السلوك المتوقَّع

إفصاح OX وكلمة المورّد

في 15 أبريل 2026، نشرت OX Security تقريرين. الأول، بعنوان "The Mother of All AI Supply Chains" — أمّ كل سلاسل توريد الذكاء الاصطناعي — وصف ثغرة معمارية في Model Context Protocol التابع لـ Anthropic. والثاني، بعنوان "MCP Supply Chain Advisory" — تنبيه سلسلة توريد MCP — عدّد التبعات اللاحقة. أما الباحثون — Moshe Siman Tov Bustan و Mustafa Naamnih و Nir Zadok و Roni Bar — فكانوا يعملون على الإفصاح منذ نوفمبر 2025. ولم يكن ما وجدوه خللًا برمجيًا. كان قرار تصميم.

فحِزم التطوير الرسمية لـ MCP لدى Anthropic، عبر Python و TypeScript و Java و Rust، تمرّر الأوامر الآتية من ملفات الإعداد عبر ناقل STDIO مباشرةً إلى التنفيذ على نظام التشغيل دون تعقيم. فملف إعداد يحدّد أمر تشغيل خادم ينتهي إلى استدعاء exec على نظام التشغيل، دون أي تحقّق من المدخلات بين الخطوتين. والثغرة معمارية بالمعنى المحدّد وهو أن إصلاحها يتطلب تغيير تصميم البروتوكول، لا ترقيع تنفيذ بعينه.

والحجم مهمّ هنا. مئة وخمسون مليون تنزيل لحِزم التطوير المتأثرة. سبعة آلاف خادم MCP متاح للعموم أو أكثر. وما يصل إلى مئتي ألف نسخة قابلة للاستغلال ضمن المجموعة التي تمكّنت OX من قياسها. وقد أثبت الباحثون بنجاح تنفيذ أوامر على ستّ منصات إنتاجية لها عملاء يدفعون — ليست كلها مسمّاة علنًا؛ وأفضل تعداد مدعوم بالأدلة يشمل GPT Researcher و LiteLLM و Windsurf و DocsGPT و Flowise و Upsonic، مع Letta AI و LangFlow التابعة لـ IBM ضمن المجموعة المتأثرة أيضًا. ورفع الباحثون حمولة إثبات مفهوم حميدة إلى إحدى عشرة سوقًا لخوادم MCP؛ قبلت تسع منها الحمولة دون مراجعة أمنية. ورفضتها GitHub. ولم تردّ Cline. وقبلتها LobeHub و Cursor Directory.

وقد أبلغت OX شركة Anthropic مرارًا خلال نافذة البحث. وكان ردّ المورّد، بحسب ما نقلته OX وما ورد في التغطية الصحفية، أن نموذج التنفيذ عبر STDIO يمثّل إعدادًا افتراضيًا آمنًا، وأن التعقيم مسؤولية المطوّر. وحدّثت Anthropic ملف SECURITY.md لديها لتشير إلى أن محوّلات STDIO ينبغي استخدامها "with caution" — أي بحذر. كان ذلك هو الإصلاح المعماري. وتوصيف OX: "this change didn't fix anything" — هذا التغيير لم يصلح شيئًا. أما Microsoft و LangChain، بحسب OX، فاتخذتا مواقف مماثلة — فالسلوك مقصود بالتصميم. ولم يظهر في التغطية الصحفية التي راجعناها أي تصريح علني من Anthropic نفسها، منسوب إلى جهة مسمّاة ومؤرَّخ، بشأن هذا الإفصاح.

أما الثغرات الإحدى عشرة (CVE) التي عدّدها The Hacker News فتمتد على المنظومة اللاحقة بأكملها. وحتى 22 أبريل، المُرقَّع منها: أصدرت LiteLLM النسخة v1.83.7-stable في 21 أبريل معالِجةً CVE-2026-30623، مع قائمة أوامر بيضاء صريحة (npx, uvx, python, python3, node, docker, deno)، والتحقق عبر Pydantic، واشتراط أن يكون تسجيل الخوادم للمشرفين فقط؛ ورقّعت DocsGPT الثغرة CVE-2026-26015؛ ورقّعت Bisheng الثغرة CVE-2026-33224. وغير المُرقَّع: Windsurf (CVE-2026-30615 بدرجة CVSS 8.0 عالية)، و Langchain-Chatchat (30617)، و Fay (30618)، و Agent Zero (30624)، و Upsonic (30625)، و Flowise (40933)، و GPT Researcher (CVE-2025-65720)، و MCP Inspector (CVE-2025-49596)، و LangFlow. أما البروتوكول نفسه فلم يتغير.

وما تسمّيه Anthropic متوقَّعًا سمّته OX، بكلمات الباحث Bustan، قابلًا لإعادة التصميم: «يمكن إعادة تصميم البروتوكول بطريقة لا تُفقده فائدته.»

المورّد يمتنع. والطرف اللاحق يدفع الثمن.

---

رقم واحد في الرابط

يوم الأربعاء 15 أبريل — اليوم نفسه الذي نشرت فيه OX — رصدت الوكالة الوطنية الفرنسية للوثائق المؤمَّنة (Agence Nationale des Titres Sécurisés) حادثةً في بوابتها ants.gouv.fr. و ANTS، التي أُعيدت تسميتها رسميًا الآن إلى France Titres، هي النظام الشبكي الوحيد الذي يمرّ عبره كل تجديد لجواز سفر فرنسي، وكل طلب لبطاقة هوية وطنية، وكل طلب لرخصة قيادة، وكل تصريح إقامة، وكل مسار عمل لتسجيل مركبة. إنها البوابة. فدورة حياة الهوية الرقمية للمواطن الفرنسي هي تسجيل دخول واحد على ants.gouv.fr.

وبحلول مساء الثلاثاء 21 أبريل، أكّد وزير الداخلية Laurent Nuñez أن ما يقارب 11.7 إلى 12 مليون حساب قد اختُرقت. وكان الفاعل المهدِّد "breach3d" — الذي يعمل تحت الاسمين المستعارين "ExtaseHunters" و "EvilDump" — قد عرض البيانات للبيع في منتديات إجرامية ابتداءً من 16 أبريل وزعم امتلاك 18 إلى 19 مليون سجل، أي نحو ثلث سكان فرنسا. أما الحقول المكشوفة فهي: معرّف الدخول، وصفة المخاطبة، والاسم الكامل، والبريد الإلكتروني، وتاريخ الميلاد، ومعرّف ANTS الفريد. وتتضمن بعض السجلات أيضًا العنوان البريدي، ومحل الميلاد، ورقم الهاتف، ورقم SIREN لحسابات الأعمال. ولم تتأثر البيانات الحيوية ولا كلمات المرور ولا مرفقات الوثائق المرفوعة. وتعهّد Nuñez بإخطار كل متضرر فرديًا عبر البريد الإلكتروني أو البريد العادي. وأُبلغت CNIL بموجب المادة 33 من اللائحة العامة لحماية البيانات ضمن نافذة الاثنتين والسبعين ساعة. و ANSSI منخرطة في الأمر. وتلقّت النيابة العامة في باريس إحالة جنائية بموجب المادة 40 من قانون الإجراءات الجزائية.

أما ناقل الهجوم، بحسب الصحافة الأمنية الناطقة بالفرنسية نقلًا عن منشورات breach3d في المنتديات، فهو إشارة مباشرة غير آمنة إلى الكائنات — أي IDOR — في واجهة moncompte.ants.gouv.fr البرمجية. معرّف صحيح واحد في رابط واجهة برمجية. غيّر العدد الصحيح، فتحصل على ملف مواطن آخر. لا تحقق من الصلاحية على مستوى الكائن. ولا تحديد لمعدّل الطلبات يلتقط عملية التعداد. وقد وصف المخترق الثغرة، بحسب ما نُقل، بأنها "a really stupid flaw" — أي ثغرة غبية حقًا.

و IDOR ليست فئة أخطاء جديدة. فقد سمّتها قائمة OWASP العشر الأولى تحت بند Broken Object Level Authorization منذ عقد كامل. وهي مشمولة في كل دورة تدريبية عن أمن الواجهات البرمجية. والماسحات الآلية تجدها. وبرامج مكافآت اكتشاف الثغرات تدفع مقابلها. وأن تشغّل بوابة ANTS واجهة برمجية إنتاجية دون تحقق من الصلاحية على مستوى الكائن، ودون تحديد لمعدّل الطلبات لكل معرّف، ودون كشف للشذوذ في أنماط التعداد — فتلك ليست ثغرة من فئة جديدة. إنها ثغرة من فئة موروثة لم تُغلقها الدولة.

واستجابة الحكومة إجرائية. إخطار لكل ضحية. وإحالة جنائية. وإبلاغ CNIL. ولم تأمر الحكومة، حتى 22 أبريل، بمراجعة للمعمارية الأمنية لبوابة ANTS، ولم تفرض المصادقة متعددة العوامل، ولم تلتزم بجدول زمني لإخراج البوابة من الخدمة لصالح بدائل قائمة على المحافظ. الاستجابة هي حوكمة-بالمتوقَّع: فئة معروفة من الثغرات، وفئة معروفة من مسارات ما بعد الاختراق. وحكيم جوادي في إيران كان ليتعرّف على هذا الموقف.

وقد وصل البديل المعماري في اليوم نفسه. فقد أُعلن أن تطبيق التحقق من العمر المرجعي في الاتحاد الأوروبي جاهز تقنيًا للتنفيذ في 15 أبريل — اليوم نفسه الذي رصدت فيه ANTS الاختراق. ومعمارية المحفظة بموجب eIDAS 2.0، أي اللائحة الأوروبية 2024/1183، هي نقيض ants.gouv.fr. فبيانات الاعتماد تعيش على جهاز المستخدم. والعرض انتقائي — أثبِت أنك فوق 18 عامًا دون كشف تاريخ ميلادك، وأثبِت جنسيتك الفرنسية دون كشف اسمك. والمحفظة غير قابلة للربط عبر عمليات العرض المتعددة. لا بوابة مركزية يمكن اختراقها، لأنه لا توجد بوابة مركزية أصلًا. و France Identité هي المحفظة الوطنية المخطط لها في فرنسا. والمهلة النهائية في 31 ديسمبر 2026 لتوفير محفظة متوافقة واحدة على الأقل في كل دولة عضو هي تاريخ التسليم المعماري. والانتقال جارٍ. أما مستخدمو ANTS الذين يتحمّلون كلفة المعمارية السابقة للمحفظة في أبريل 2026 فهم ضحايا المرحلة الانتقالية.

رقم واحد في رابط تغيّر، فانتهى ثلث سجلات إجراءات الهوية في فرنسا إلى منتدى إجرامي. استجابة الحكومة تسمّي ذلك مسألة تشغيلية. والنظرة المعمارية تسمّيه كلفةَ تشغيل تصميم عام 2015 في عام 2026.

---

اليوم 54

بلغ انقطاع الإنترنت في إيران يومه 54 في 22 أبريل 2026. والقياس، الذي تتولّاه NetBlocks، يضع الانقطاع الحالي المرتبط بالحرب عند نحو 1,272 ساعة خارج الخدمة، ويضع الوصول العالمي إلى الإنترنت داخل إيران عند نحو واحد بالمئة من مستويات ما قبل الحرب. وبدأت طبقة جزئية بقائمة بيضاء تُسمّى "Internet Pro" بالعمل من 17 إلى 20 أبريل للشركات والأكاديميين الذين يدفعون مقابل الوصول — وهو إقرار معماري من النظام بأن الكلفة الاقتصادية للانقطاع غير محتملة، لكنه أيضًا تغيير بنيوي ثنائي الطبقة يعيد توزيع الوصول بحسب القدرة على الدفع.

والمنشأ هو 28 فبراير 2026، حين بدأت الضربات الأمريكية والإسرائيلية المنسّقة واغتيل المرشد الأعلى علي خامنئي مع قيادات أخرى. فقطعت إيران إنترنتها العالمي خلال ساعات. وهبطت حركة البيانات 98 بالمئة، بحسب Cloudflare Radar. وبحلول أواخر أبريل كان الانقطاع قد تجاوز كل مرجعية مقارنة حديثة. فانقطاع الربيع العربي في مصر في يناير وفبراير 2011 استمر 5 أيام. وانقطاع نوفمبر الدامي في إيران عام 2019 استمر 6 أيام. وليبيا في 2011 استمر انقطاعها نحو 6 أشهر ولا تزال صاحبة الانقطاع الأطول — في بلد عدد سكانه 6 ملايين. أما الـ90 مليونًا في إيران فتجعل الحدث الحالي الأكبر من حيث عدد السكان في التاريخ المسجَّل.

ونشرت NPR في 22 أبريل قصة لـ Emily Feng عنوانها يشير إلى الآلية بعينها — "Iranians are leaving the country just to access the internet" — أي إن الإيرانيين يغادرون البلاد لمجرد الوصول إلى الإنترنت. وتناولت Feng امرأة من طهران، عُرّفت بوصفها أمًّا فقط، تقود سيارتها ساعات إلى المعبر الحدودي التركي في Kapıköy كل ثلاثة أيام لإجراء مكالمات فيديو مع ابنها الذي يدرس في جامعة تركية. وقولها: «أريد فقط أن أجري مكالمة فيديو ثم أعود إلى إيران. هذا كل شيء.» وتناولت Feng مقدّم بودكاست اسمه Ershad، وهو مشارك في تقديم بودكاست فارسي اسمه "Haagirvaagir" من مريوان: «الصوت الوحيد الآن هو صوت النظام الإيراني، لأنهم قطعوا الإنترنت.» وأشارت Feng إلى الأثر الاقتصادي — أعمال كانت تعتمد على WhatsApp و Instagram للوصول إلى زبائنها وقد انهارت. ووصفت Feng السوق السوداء لدقائق Starlink، التي تُباع بأسعار باهظة، باتصالات متقطعة عاجزة عن تحميل معظم الصفحات، ووصفت بطاقات "white SIM" — أي الشرائح المعتمدة حكوميًا — بوصفها وصول الطبقة القانونية.

وبيئة الإنفاذ قاسية. ففي 1 أبريل أو نحوه، أعلنت وسائل الإعلام الرسمية الإيرانية عبر فارس أن Starlink هدف مشروع. ووسّع الحرس الثوري التهديد ليشمل البنية التحتية التقنية الأمريكية عمومًا — Apple و Google و Meta و Microsoft و Nvidia. وحيازة طرفية Starlink صارت الآن معاقَبًا عليها بالسجن حتى عشر سنوات أو بالإعدام بموجب تشريع 2026. وأعلن قائد الشرطة أحمدرضا رادان في أبريل مصادرة 139 طرفية وتنفيذ 46 اعتقالًا؛ وحُجبت 61 حسابًا مصرفيًا في يزد؛ واعتُقل أجنبيان في منتصف أبريل ضمن شبكة تجسس مزعومة مرتبطة بالولايات المتحدة وإسرائيل، بحسب تسنيم. وتقدّر مجموعات الحقوق الرقمية أن نحو 50,000 طرفية Starlink لا تزال عاملة داخل إيران.

خمسون ألف طرفية في مواجهة قانون يعاقب بالإعدام هي ردّ المستخدم على "expected" لدى النظام. للحكومة موقف. وللسكان موقف. ولا أحد منهما ينتظر الآخر.

والسجل الاقتصادي موثَّق. فقد صرّح وزير الاتصالات الإيراني ستار هاشمي بأن الكلفة المباشرة على الاقتصاد الرقمي تبلغ 35.7 مليون دولار يوميًا. ووضع أفشين كلاهي من لجنة الاقتصاد المعرفي الكلفة المباشرة بين 30 و 40 مليون دولار يوميًا والكلفة الإجمالية، شاملةً غير المباشرة، بين 70 و 80 مليون دولار يوميًا. وبلغت الخسارة التراكمية حتى 16 أبريل نحو 1.8 مليار دولار. وهبطت المبيعات عبر الإنترنت 80 بالمئة. ومئة وخمسة وثمانون مليون معاملة مالية في يناير وحده حُذفت من الاقتصاد.

وقال علي حكيم جوادي، رئيس المنظمة النقابية لتكنولوجيا المعلومات في إيران، في 12 أبريل إنه «لا يوجد جدول زمني واضح» لاستعادة الاتصال العام، مستشهدًا بـ«ظروف حرب استثنائية» و«اعتبارات أمنية محدَّدة». هذا هو موقف السلوك المتوقَّع المعلن لدى النظام. فالانقطاع حالة حرب. وحالات الحرب لا تاريخ لانتهائها. ومن ثمّ فالانقطاع لا تاريخ لانتهائه.

وما يفعله الناس بدلًا من ذلك هو قياس النشر. فقد ارتفعت تنزيلات تطبيقات VPN بنسبة 500 إلى 579 بالمئة في الأيام الأولى من الانقطاع. وبلغ Psiphon نحو 9.6 مليون مستخدم إيراني يوميًا؛ ونحو 400,000 من إيرانيي الشتات يشاركون نطاقهم الترددي عبر Psiphon. أما مجموعة الأدوات المراوغة للفحص العميق للحزم — Shadowsocks و V2Ray و Trojan و NaïveProxy و Tor Snowflake — فهي الاستجابة من الجيل الثاني مع استثمار النظام في الفحص العميق للحزم. وقد أكّد OONI، المرصد المفتوح لتدخّلات الشبكة، وجود حقن DNS يستهدف Session Messenger وتدخّل صناديق وسيطة ضد Psiphon. النظام نشط على الطبقة التقنية. والسكان نشطون على الطبقة التقنية. وثمة سباق.

وكل طبقة نقل مستقلة — مرحّل URnetwork من النِّدّ للنِّدّ عبر العُقد المنزلية، و Outline، و Psiphon، و Shadowsocks، و V2Ray، و Tor Snowflake — هي ردّ على مستوى المستخدم على امتناع على مستوى البنية التحتية. النظام قطع الناقل. والمستخدم يلتف حوله. والـ50,000 طرفية Starlink هي قياس العتاد المرئي. وأعداد مستخدمي VPN اليوميين هي قياس طبقة البرمجيات. وقصة NPR هي قياس الطبقة البشرية — أمّ تقود سيارتها إلى Kapıköy.

«لا يوجد جدول زمني واضح» في 12 أبريل هي كلمة النظام. أما الـ50,000 طرفية والـ9.6 مليون مستخدم لـ Psiphon فهي كلمة المستخدم.

---

انعطافة Chat Control

في 26 مارس 2026، رفض البرلمان الأوروبي بـ311 مقابل 228، مع 92 امتناعًا، تمديدَ الاستثناء من توجيه ePrivacy — وهو الأداة القانونية التي أتاحت لـ Google و Meta و Microsoft و LinkedIn و Snap و TikTok أن تفحص طوعًا رسائل المستخدمين الخاصة بحثًا عن مواد الاعتداء الجنسي على الأطفال. ومات Chat Control 1.0 بوصفه نظامًا طوعيًا على أرضية البرلمان. وفي 3 أبريل، انقضى الاستثناء قانونيًا. وفي 6 أبريل، مرّ التاريخ العملي للانتهاء بالنسبة إلى المنصات التي واصلت الفحص دون السند القانوني. Tuta: «لقد فعلتموها.» Proton: «البرلمان الأوروبي وقف إلى جانب الخصوصية.» Patrick Breyer، النائب الأوروبي السابق عن حزب القراصنة: «انتصار مدوٍّ للمواطنين الذين لا يُحصون والذين أجروا المكالمات وأرسلوا الرسائل لإنقاذ خصوصية مراسلاتهم الرقمية.»

و4 مايو يبعد اثني عشر يومًا عن اليوم. فمفاوضات الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال — أي Chat Control 2.0، البديل الدائم — تُستأنف ذلك الاثنين. وثمة حوار ثلاثي آخر مقرر في 29 يونيو. وقد أسقطت الرئاسة الدنماركية، في موقفها المشترك المؤرَّخ 26 نوفمبر 2025، تفويضَ الفحص على جهاز المستخدم — أي القطيعة المعمارية التي كانت ستُجبر كل تطبيق مراسلة على فحص الرسائل على جهاز المستخدم قبل التشفير. وإسقاط ذلك التفويض هو الانعطافة الدنماركية، وقد أُطِّرت بوصفها استيعابًا متوقَّعًا لمخاوف الدول الأعضاء. غير أن نص CSAR يُبقي على التحقق الإلزامي من العمر. فقد انتقلت الرافعة المعمارية من حدّ إلى آخر.

وقد التزمت كل من Signal و Proton و Tuta و Threema علنًا بالانسحاب من الاتحاد الأوروبي بدلًا من قبول تفويض الفحص على جهاز المستخدم. وقالت Meredith Whittaker من Signal على المنصة التي كانت تُعرف سابقًا باسم Twitter: «لو وُضعنا في موقف نختار فيه بين تقويض نزاهة تشفيرنا وضماناتنا للخصوصية من جهة، ومغادرة أوروبا من جهة أخرى، فسنختار بأسف مغادرة السوق.» وردّد Andy Yen من Proton الموقف نفسه. وقال Matthias Pfau من Tuta، الذي اختار المقاضاة بدل المغادرة: «لن نُضعف تشفيرنا أبدًا ولن نضع فيه بابًا خلفيًا.» وقالت Threema إن Chat Control هو «جهاز مراقبة جماعية غير مسبوق بأبعاد أورويلية»؛ وإنها ستدعو «زملاءها من خدمات الاتصال إلى الانضمام إلينا في مغادرة الاتحاد الأوروبي» إذا اعتُمد. أربعة تطبيقات مراسلة تخدم عشرات الملايين من المستخدمين الأوروبيين التزمت علنًا برفض معماري.

وانعطافة المجلس بإسقاط تفويض الفحص هي حركة السلوك المتوقَّع لدى المنظِّم بالمعنى نفسه الذي هي به لدى المورّد. المورّد يقول إن المعمارية مقصودة بالتصميم. والمجلس يقول إن الانعطافة نتيجة تفاوض. وفي الحالتين يُنقل العبء خارج طبقة الحوكمة. وفي حالة المجلس يُنقل العبء إلى التحقق الإلزامي من العمر، وهو ليس فحصًا على جهاز المستخدم لكنه تحقّق من بيانات اعتماد له معماريته الخاصة في الخصوصية — مصمَّم تصميمًا جيدًا في إطار محافظ eIDAS 2.0، ومصمَّم تصميمًا سيئًا إذا نُفِّذ برفع وثائق الهوية أو بتركيز لدى مورّدين خارجيين. والأسبوع الذي جعل فيه اختراق ANTS خطرَ مركزية البوابات مرئيًا هو الأسبوع الذي نقل فيه المجلس بهدوء رافعة CSAR إلى تحقّق العمر.

والمفوضية الأوروبية تختبر، في الأسبوع نفسه، Matrix بوصفه مكمّلًا واحتياطيًا لـ Microsoft Teams. ومعمارية Matrix الاتحادية منشورة على مئات آلاف المستخدمين في الجيش الألماني Bundeswehr والحكومة الفرنسية، وفي نظام الرعاية الصحية النمساوي والبريد السويسري، وفي مركز التميّز للدفاع السيبراني التعاوني التابع للناتو NATO CCDCOE وقيادة التحول NATO ACT. وتُبلغ Element، الجهة التجارية التي تصون العميل المرجعي لـ Matrix، عن نموّ في التسجيلات ناتج عن ردّ الفعل على التحقق من العمر لدى Discord في فبراير، وهو نموّ مستمر بعد نافذة فبراير. وخمس وثلاثون دولة، بحسب Matrix، في محادثات تشغيلية بشأن عمليات نشر. فالبنية التحتية المفضَّلة سياديًا يجري اختيارها بالتوازي مع النقاش التنظيمي.

و Chat Control 2.0 في 4 مايو هو الدرجة التالية. أما مكسب 3 أبريل فهو الدرجة المعمارية الأولى في دورة الاتحاد الأوروبي لعام 2026. والرفض المعماري لدى تطبيقات المراسلة جاهز في كلتا الحالتين.

---

30 أبريل

فشل التصويت الإجرائي في مجلس النواب الأمريكي على إعادة تفويض «نظيفة» لمدة 18 شهرًا للمادة 702 من قانون مراقبة الاستخبارات الأجنبية بنتيجة 197 مقابل 228 في الساعات الأولى من صباح الجمعة 17 أبريل. وصوّت عشرون جمهوريًا مع الديمقراطيين ضد اللائحة الإجرائية. وكان تصويت إجرائي سابق على حزمة تعديلات — تعديل النائب Andy Biggs الذي يشترط أمرًا قضائيًا ورفاقه في الحزمة — قد فشل بنتيجة 200 مقابل 220 مع 12 منشقًا جمهوريًا. ومع إغلاق المسار «النظيف»، حرّك رئيس مجلس النواب Mike Johnson تمديدًا لـ10 أيام بالإجماع نحو الساعة الثانية فجرًا. وأقرّ مجلس الشيوخ التمديد بتصويت صوتي في وقت لاحق من الجمعة. ووقّعه الرئيس Trump يوم السبت. فصار موعد انقضاء المادة 702 الأصلي في 20 أبريل هو 30 أبريل.

ولم يكن التمرد حدثًا عابرًا. فقد اصطفّت كتلة الحرية Freedom Caucus مع التكتل التقدمي في الكونغرس بشأن اشتراط أمر قضائي للاستعلامات المتعلقة بأشخاص أمريكيين — وهو ائتلاف عابر للحزبين ذو ثبات محدَّد. وعكس النائب Jim Jordan، رئيس اللجنة القضائية في مجلس النواب، علنًا عقدًا من مناصرته لاشتراط الأمر القضائي ليدعم التمديد «النظيف»، موضحًا: «إنه برنامج مختلف اليوم»؛ و«توفّر المادة 702 الصلاحية اللازمة، وقد أثبتت أنها من بين أكثر أدوات الأمة فعالية.» وانقلاب Jordan هو الإشارة بحد ذاته. أما الائتلاف الصامد في وجه انقلابه — Biggs و Davidson و Massie و Roy، والعشرون الذين صوّتوا بالرفض — فهو المقاومة المؤسسية لتأطير إعادة التفويض «النظيفة» بوصفها متوقَّعة.

وقدّم السيناتور Mike Lee والسيناتور Ron Wyden قانون إصلاح المراقبة الحكومية لعام 2026 في مارس. وهو إعادة تفويض للمادة 702 لأربع سنوات مع اشتراط أمر قضائي للاستعلامات المتعلقة بأشخاص أمريكيين، وإغلاق ثغرة وسطاء البيانات، وإلغاء توسعة مزوّدي خدمات الاتصالات الإلكترونية لعام 2024. ويضم المشاركون في التقديم السيناتورتين Cynthia Lummis و Elizabeth Warren. أما قائدا المشروع في مجلس النواب فهما النائبان Warren Davidson و Zoe Lofgren. وقدّم السيناتور Lee والسيناتور Dick Durbin بشكل منفصل قانون SAFE الأضيق. فالمعمارية الإصلاحية موجودة في نص مجلس الشيوخ؛ والأداة فاعلة. وقال زعيم الأغلبية في مجلس الشيوخ John Thune بعد إخفاق مجلس النواب يوم الجمعة: «علينا أن ننعطف ونكتشف ما الذي يمكن أن يمرّ.»

ووصف النائب Jamie Raskin، الديمقراطي الأبرز في اللجنة القضائية بمجلس النواب، إعادةَ التفويض «النظيفة» بأنها «صفقة قذرة». وكان تعديل النائب Jerry Nadler لعام 2024 بشأن عمليات البحث من الباب الخلفي قد سقط بنتيجة 212 مقابل 212 في تصويت متعادل؛ وائتلاف 2026 يحاول تجنّب تلك السابقة. والتزم النائب Thomas Massie علنًا: «سأصوّت بالرفض على التمرير النهائي لمشروع إعادة تفويض المادة 702 من FISA إذا لم يتضمّن حكمًا بشأن الأمر القضائي.»

وفي 30 أبريل — أي بعد ثمانية أيام من اليوم — إما أن تحصل المادة 702 على إعادة تفويض متعددة السنوات مع إصلاحات مرفقة، أو على حلّ مؤقت أقصر، أو على انقضاء، أو، وهو مستبعد، على إعادة تفويض «نظيفة» عبر إجراء ينشأ في مجلس الشيوخ. وكل نتيجة مشروطة بما يقدّمه مجلس الشيوخ في الأسبوع المقبل.

أما تأطير «المتوقَّع» الصادر عن قيادة مجلس النواب — بأن انقلاب Jim Jordan كان إعادة معايرة عملية وأن التمديد «النظيف» كان المسار الواقعي — فهو مفردات حالة الفراغ في الحوكمة. والائتلاف المناهض لذلك التأطير هو الخبر. أربعة أشهر في طور التكوّن.

وحزمة URnetwork والمصادر المفتوحة لا تنتظر التصويت. مفاتيح بحوزة المستخدم، ونقل من النِّدّ للنِّدّ، وإشراف اتحادي، ووكلاء مستضافون ذاتيًا — كل منها إجراء تخفيف يُشحن بصرف النظر عمّا يفعله الكونغرس بالمادة 702. فـ30 أبريل يقرر خط الأساس القانوني. أما البديل المعماري فقد ظلّ يبرهن خط الأساس التقني طوال عقد.

---

الإشعار الثاني

في 7 أبريل 2025 — أي العام الماضي لا هذا العام، وإن كان الالتباس مفهومًا — رفض اللورد القاضي Rabinder Singh والقاضي Jeremy Johnson من محكمة صلاحيات التحقيق البريطانية سعيَ وزارة الداخلية إلى إبقاء طعن Apple على إشعار القدرة التقنية سريًا. وكان الإشعار، الذي سُلِّم إلى Apple في يناير 2025، يطالب بوصول عالمي إلى بيانات iCloud المحمية بالحماية المتقدمة للبيانات. وكانت Apple قد سحبت الحماية المتقدمة للبيانات من المملكة المتحدة في فبراير 2025 بدلًا من الامتثال. وجعل حكم Singh/Johnson التقاضي علنيًا. وانضمت Privacy International و Liberty بوصفهما متدخلتين. ورُفض طلب تدخل WhatsApp. وكان طعن Apple الأول ماضيًا في مساره.

وفي أغسطس 2025، قالت مديرة الاستخبارات الوطنية Tulsi Gabbard علنًا إن المملكة المتحدة أسقطت الأمر بعد ضغط من Trump و Vance — إذ نُقل أن Trump قال لرئيس الوزراء Keir Starmer: «لا يمكنكم فعل هذا»، ووصف Vance الإشعار بأنه «جنون». وفي سبتمبر 2025، أصدرت وزارة الداخلية إشعار قدرة تقنية ثانيًا، ضُيِّق نطاقه ليقتصر على مستخدمي المملكة المتحدة، وأقرّه مفوّض صلاحيات التحقيق السير Brian Leveson. وفي 14 أكتوبر 2025، ردّت محكمة صلاحيات التحقيق طعن Apple الأول استنادًا إلى "change in circumstances" — أي تغيّر في الظروف، بحكم سحب الإشعار الأول فعليًا. واستمر طعن Apple على الإشعار الثاني المقتصر على المملكة المتحدة في إجراءات محكمة صلاحيات التحقيق. وكانت جلسة استماع من سبعة أيام بشأن "assumed facts" — أي وقائع مفترضة — مقرَّرة، بحسب أمر إدارة الدعوى الصادر عن Singh و Johnson في يوليو 2025، في أوائل 2026. وحتى 22 أبريل 2026، لا يؤكد أي تقرير علني أن تلك الجلسة قد عُقدت.

ولم تُعِد Apple تفعيل الحماية المتقدمة للبيانات في المملكة المتحدة. ولا يزال إشعار القدرة التقنية الثاني ساريًا. وتقول Caroline Wilson Palow من Privacy International إن الإشعار الثاني الأضيق «قد يكون تهديدًا للأمن والخصوصية على مستوى العالم لا يقلّ حجمًا عن القديم». ويبقى موقف Apple: «لم نبنِ قط بابًا خلفيًا أو مفتاحًا رئيسيًا لأي من منتجاتنا أو خدماتنا، ولن نفعل ذلك أبدًا.»

والموقف المعماري هو نفسه موقف تطبيقات المراسلة الرافضة لـ CSAR. فحين يحاول المنظِّم أن يهندس التنازل داخل التشفير، يسحب المورّد الميزة بدلًا من أن يتنازل. الكلفة حقيقية — فمستخدمو المملكة المتحدة لا يملكون الحماية المتقدمة للبيانات. والموقف محفوظ — فمعمارية التشفير غير منقوصة، في أي مكان، لأي مستخدم.

أما إرشادات Ofcom النهائية بشأن "accredited technologies" — أي التقنيات المعتمَدة — لكشف مواد الاعتداء الجنسي على الأطفال بموجب قانون السلامة على الإنترنت فمتوقَّعة في ربيع 2026، وقد أشارت الهيئة إلى تحفّظها على فرض الفحص على جهاز المستخدم، مع احتفاظها بالصلاحية القانونية. وفي 21 أبريل 2026، فتحت Ofcom تحقيقًا رسميًا مع Telegram بشأن إخفاقات مزعومة في الامتثال المتعلق بمواد الاعتداء الجنسي على الأطفال بموجب المادة 10 من قانون السلامة على الإنترنت. والغرامات المحتملة: 18 مليون جنيه إسترليني أو 10 بالمئة من الإيرادات العالمية.

وإعادة التوجيه لدى وزارة الداخلية — سحب الإشعار الأول، وإعادة إصداره ثانيًا أضيق وأهدأ — هي الإجراء القانوني المتوقَّع الذي أعلنته الدولة. والسابقة قابلة للتصدير. ففرنسا وألمانيا وأستراليا وباقي شركاء العيون الخمس يراقبون. وموقف الرفض المعماري لدى Apple، ولدى تطبيقات المراسلة المعنية بـ CSAR، ولدى عمليات نشر البدائل الاتحادية، هو الجواب.

---

مفردات الحوكمة

ستة تصريحات، ثلاث قارات، كلمة واحدة. Anthropic في كاليفورنيا: تنفيذ الأوامر عن بُعد في MCP سلوك متوقَّع. وزارة الداخلية الفرنسية في باريس: ثغرة IDOR لدى ANTS ثغرة غبية حقًا، وهي طريقة أخرى للقول: «لم نتوقعها ولن نغيّر المعمارية.» النظام الإيراني في طهران: لا جدول زمني واضح، ظروف حرب استثنائية. المجلس الأوروبي برئاسة دنماركية في بروكسل: إسقاط تفويض الفحص على جهاز المستخدم نتيجة تفاوض. القيادة الجمهورية في مجلس النواب الأمريكي: انقلاب Jim Jordan إعادة معايرة؛ والتمديد «النظيف» هو المسار المسؤول. وزارة الداخلية البريطانية في لندن: إشعار القدرة التقنية الثاني هو الإجراء القانوني المتوقَّع.

وفي كل حالة، "expected" هي حركة صانع القرار لإعادة تصنيف نتيجةٍ ما بوصفها مُدخلًا لا مُخرجًا — شيئًا يُقبل به لا شيئًا يُصمَّم ضده. إنها حالة الفراغ في الحوكمة. فالمسؤولية تنتقل بعيدًا عن المورّد والمنظِّم والحكومة إلى المطوّر اللاحق، والمواطن المخترَق، والسكان المقطوعين عن الشبكة، والمشرّع المعارض، وتطبيق المراسلة المنسحب، والمستخدم.

والنماذج المضادة هذا الأسبوع محدَّدة.

فقد رقّعت LiteLLM معالجتها لأوامر MCP في 21 أبريل بقائمة بيضاء صريحة — npx و uvx و python و python3 و node و docker و deno — وتحقّق عبر Pydantic، واشتراط أن يكون تسجيل الخوادم للمشرفين فقط. وعاملت المشروعُ الثغرةَ بوصفها مسؤوليته هو، لا مسؤولية المورّد الأعلى. تلك هي المسؤولية المعمارية في عصر السلوك المتوقَّع: حين يمتنع البروتوكول عن الفعل، يفعل الطرف اللاحق على أي حال. واتخذت DocsGPT و Bisheng القرار نفسه. أما المشاريع غير المُرقَّعة — Windsurf و LangChain-Chatchat و Fay و Agent Zero و Upsonic و Flowise و GPT Researcher و MCP Inspector و LangFlow — فهي كلفة التتابع في الأسبوع الجاري. وتاريخ ترقيع كل مشروع منها هو جوابه على ما إذا كان يقبل بـ"expected" الذي أعلنته Anthropic أرضيةً للحوكمة.

والتزامات Signal و Proton و Tuta و Threema بالانسحاب من الاتحاد الأوروبي هي النموذج المضاد الآخر. فحين يحاول المنظِّم أن يهندس التنازل داخل الشيفرة، يسحب المورّد الميزة بدلًا من أن يتنازل. ويبقى الموقف المعماري محفوظًا في أماكن أخرى. وأضافت Tuta حركة ثانية — دعوى قضائية ضد الاتحاد الأوروبي — ترفض القبول بالانسحاب بوصفه الخيار الوحيد.

وسحب Apple للحماية المتقدمة للبيانات من المملكة المتحدة هو الموقف نفسه على مستوى العتاد والسحابة.

أما الـ50,000 طرفية Starlink العاملة داخل إيران في مواجهة قانون يعاقب بالإعدام، والـ9.6 مليون مستخدم إيراني يومي لـ Psiphon، وعبور السوق السوداء للإنترنت عبر Kapıköy — فهي النموذج المضاد لدى المستخدم. لم ينتظر السكان جدول النظام الزمني. بل بنوا جدولهم.

والنواب الجمهوريون العشرون الذين صوّتوا ضد اللائحة الإجرائية «النظيفة» للمادة 702 في 17 أبريل هم النموذج المضاد المؤسسي. Jim Jordan أعلن أن الأمر متوقَّع. وعشرون قالوا لا.

والبرلمان الأوروبي، في 26 مارس، رفض تمديد Chat Control 1.0 بـ311 مقابل 228. ذلك هو النموذج المضاد لدى المواطن والبرلمان. أما انعطافة المجلس اللاحقة تحت الرئاسة الدنماركية بإسقاط تفويض الفحص فهي الأثر السياسي؛ وتصويت البرلمان هو القرار المعماري.

---

حزمة النشر

بالنسبة إلى المستخدم، السؤال ليس أي نموذج مضاد يستحق التصفيق. السؤال هو أي حزمة معمارية يجب نشرها.

مفاتيح بحوزة المستخدم. Signal و Proton و Tuta و Threema و Apple iMessage مع الحماية المتقدمة للبيانات خارج المملكة المتحدة، و Matrix مع مفاتيح موقَّعة تبادليًا لكل جهاز. فالمورّد لا يمكن إجباره على إنتاج ما لا يملكه. والموقف المعماري هو الرفض المبدئي، وهو فعّال تجريبيًا: فحين يختبر المنظِّم المعمارية، يسحب المورّد الميزة بدلًا من أن يفرّط في المفتاح.

الاتصالات الاتحادية. Matrix في 35 دولة، وفي الجيش الألماني Bundeswehr، وفي NATO CCDCOE، وقيد التقييم لدى المفوضية الأوروبية. Bluesky عند 42 مليونًا. Mastodon عند 10 ملايين. فالوضع الافتراضي أحادي المشغّل له بديل اتحادي بشبكته الخاصة وجمهوره الخاص ومنظومته التجارية الخاصة. والاتحادية تعني أن خيار الإشراف قابل للتركيب، وأن مسار الهجرة قابل للنقل، وأن نقطة الفشل الوحيدة غائبة معماريًا.

هوية بحوزة المستخدم. محافظ eIDAS 2.0 بحلول 31 ديسمبر 2026 في كل دولة عضو في الاتحاد الأوروبي. France Identité بالنسبة إلى فرنسا. وتطبيق التحقق من العمر المرجعي في الاتحاد الأوروبي، الجاهز تقنيًا في 15 أبريل. والإفصاح الانتقائي — إثبات تجاوز 18 عامًا دون مشاركة الاسم، وإثبات الجنسية دون مشاركة تاريخ الميلاد — هو النقيض المعماري لبوابة ANTS. فالمحفظة تخزّن بيانات الاعتماد على جهاز المستخدم؛ والطرف المعتمِد لا يعرف إلا ما يختار المستخدم الإفصاح عنه. ومهلة ديسمبر هي واحدة من أسرع انتقالات معمارية بيانات الاعتماد في تاريخ الحوكمة الرقمية الأوروبية.

النقل من النِّدّ للنِّدّ. مرحّل URnetwork عبر العُقد المنزلية. و Tor و Psiphon و Outline و Shadowsocks و V2Ray و Trojan و NaïveProxy و Tor Snowflake. و WireGuard بوصفه معيار شبكات VPN الاستهلاكية عند 94 بالمئة. وشبكات VPN اللامركزية تنمو 140 بالمئة سنويًا. فالنقل الذي يلتف حول طبقة الناقل هو جواب الطبقة الأولى على امتناع الطبقة الأولى. وإيران هي الاختبار الصعب الحالي. وروسيا هي اختبار الضغط الزاحف. والاستجابة المعمارية متطابقة في الحالتين؛ والضغط اليومي مختلف.

وكلاء مستضافون ذاتيًا. LangChain مع معالجة MCP معقَّمة. LlamaIndex مع TrustedAgentWorker. Ollama للاستدلال المحلي. ومجتمع MCP الاتحادي معمارية موازية لمعمارية Anthropic أحادية المشغّل. والترقيعات اللاحقة (ترقيع LiteLLM في 21 أبريل) هي المعمارية الجسر إلى أن تلحق الحوكمة الاتحادية بالركب. وحزمة أدوات حوكمة الوكلاء من Microsoft (2 أبريل) إسهام في أمن وقت التشغيل.

برمجيات ثابتة مفتوحة على عتاد المستخدم. Klipper و Marlin و Duet على الطابعات ثلاثية الأبعاد في مواجهة مشروع قانون Part C في نيويورك لتصفية البرمجيات الثابتة. و OpenWRT على الموجّهات. و Lineage OS و GrapheneOS على الهواتف حيث يسمح العتاد. فجهاز المستخدم يشغّل شيفرة يستطيع المستخدم فحصها. والبرمجيات الثابتة التي تفرضها الدولة على المورّد قابلة للاستبدال ببرمجيات المجتمع المدقَّقة مجتمعيًا. الجهاز جهاز المستخدم.

كل طبقة من هذه الطبقات تُشحن اليوم. ولا واحدة منها هي الوضع الافتراضي. وقرار النشر هو المعمارية، والمعمارية هي الجواب على مفردات الحوكمة.

---

ما العمل

إن كنت تشغّل وكيل ذكاء اصطناعي أو مساعِد برمجة: دقّق في تعرّضك عبر MCP. فمجموعة ترقيعات LiteLLM (v1.83.7-stable) هي قالب هذا الأسبوع للتعقيم عند الطبقة اللاحقة. وإن كانت حزمتك تشمل Windsurf أو Cursor أو LangFlow أو Flowise أو Agent Zero أو Upsonic أو GPT Researcher أو MCP Inspector، فرقّع أو استبدل. وانشر MCP اتحاديًا — سجلًّا داخليًا للمؤسسة من الخوادم المدقَّقة مع توقيع موثَّق مجتمعيًا — لأي عبء عمل وكيلي يكون فيه نطاق الضرر مهمًّا.

إن كنت مقيمًا في فرنسا أو مواطنًا أوروبيًا عمومًا: اختراق ANTS لا يستدعي إجراءً يتجاوز الوعي به. فمكتب Nuñez سيُخطر بالبريد العادي أو الإلكتروني. والخط الساخن للإبلاغ عن الاحتيال 0 805 805 817 هو مسار الإبلاغ الحكومي الفرنسي. وانتبه للتصيّد الموجّه المبني على معرّف دخولك في ANTS أو بريدك الإلكتروني أو تاريخ ميلادك تحديدًا. ولا تثق برسائل ants.gouv.fr التي تصلك في الأسابيع المقبلة دون التحقق منها عبر قناة خارجية. وفعّل المصادقة الثنائية على ANTS. ومع توفّر France Identité ومحفظة eIDAS 2.0، انتقل إليهما.

إن كان لديك أهل أو مصالح في إيران: الانقطاع في يومه 54 دون تاريخ انتهاء معلن. و VPN و Psiphon و Shadowsocks و V2Ray و Tor Snowflake ومرحّل URnetwork من النِّدّ للنِّدّ هي الأدوات المتاحة على مستوى المستخدم. و Starlink يحمل خطر عقوبة الإعدام. وقصة NPR هي الحقيقة الميدانية الراهنة: استجابة السكان صامدة وبارعة ومكلفة وغير مستدامة عند كلفتها الحالية.

إن كنت تشغّل تطبيق مراسلة مشفَّرًا أو تستخدمه: الحوار الثلاثي بشأن Chat Control 2.0 يُستأنف في 4 مايو. و Signal و Proton و Tuta و Threema ملتزمة معماريًا. ووضع الإشعار الثاني لدى Apple في المملكة المتحدة هو القالب لكيفية ظهور ضغط الدولة في موقف أقل مواجهةً — اسحب الميزة، واحفظ المعمارية. والمستخدمون ذوو العناوين البريطانية بلا حماية متقدمة للبيانات أصلًا. والمستخدمون ذوو العناوين الأوروبية في نافذة اثني عشر يومًا حتى الدرجة التالية.

إن كنت شخصًا أمريكيًا: مهلة المادة 702 في 30 أبريل تبعد ثمانية أيام. ومجلس الشيوخ سينشئ ما عجز مجلس النواب عن تمريره «نظيفًا». وراقب نصّي GSRA و SAFE Act — فهما الأداتان الإصلاحيتان. ومعماريات المفاتيح بحوزة المستخدم والنقل من النِّدّ للنِّدّ إجراءات تخفيف بصرف النظر عن التصويت.

إن كنت تشغّل بنية تحتية: الامتثال لـ eIDAS 2.0 (31 ديسمبر 2026 لتوفّر المحافظ)، والتزامات الموجة الثانية من DSA (تبدأ عمليات التدقيق في يناير 2027)، ونافذة حسن النية في DSP التي تُغلق في 8 يوليو، وبدء الإنفاذ في 6 أكتوبر. تقاويم الامتثال متزامنة. خطّط على هذا الأساس.

حالة الفراغ في الحوكمة هي موقف 2026 لدى صنّاع القرار الذين يفضّلون إعلان النتائج متوقَّعة على أن يصمّموا ضدها. وهي ليست موقف المستخدم. ولا يجب أن تكون موقف الحزمة. فكل تطبيق مراسلة اتحادي منشور، وكل تشفير بمفاتيح بحوزة المستخدم، وكل محفظة إفصاح انتقائي، وكل عقدة نقل من النِّدّ للنِّدّ، وكل مشروع MCP لاحق مُرقَّع، وكل حمولة برمجيات ثابتة مدقَّقة مجتمعيًا، وكل صوت ضد إعادة تفويض «نظيفة» — هو الاستجابة المعمارية.

"expected" هي حالة الفراغ في الحوكمة. أما المسؤول فهو المعمارية التي تختارها.

---

المراجع (1)

المراجع

• OX Security: "The Mother of All AI Supply Chains" و "MCP Supply Chain Advisory"، 15 أبريل 2026.
• تغطية The Register و TheHackerNews و BDTechTalks لإفصاح MCP، 16–20 أبريل 2026.
• تنبيه LiteLLM الأمني، ملاحظات إصدار v1.83.7-stable، 21 أبريل 2026.
• NVD CVE-2026-30615, CVE-2026-30623, CVE-2026-26015, CVE-2026-33224, CVE-2026-30617, CVE-2026-30618, CVE-2026-30624, CVE-2026-30625, CVE-2026-40933, CVE-2025-49596, CVE-2025-65720.
• بيان وزارة الداخلية الفرنسية (Laurent Nuñez)، 21 أبريل 2026.
• تغطية The Register و Cybernews و Bleeping Computer و Help Net Security و Connexion France و Orange/AFP لاختراق ANTS، 16–22 أبريل 2026.
• Clubic و Developpez و Silicon و RGPD Kit بشأن ناقل هجوم IDOR في moncompte.ants.gouv.fr.
• قياس NetBlocks لانقطاع الإنترنت في إيران، متواصل خلال 2026.
• تغطية Iran International لعدّ الأيام والانقطاع.
• NPR (Emily Feng)، 22 أبريل 2026، "Iranians are leaving the country just to access the internet."
• Bloomberg و Al Jazeera و TIME و Tasnim بشأن حملة إيران على Starlink وحالة وقف إطلاق النار.
• تصنيفات OFAC في وزارة الخزانة الأمريكية للوزيرين الإيرانيين Kalagari و Zarepour.
• تصريحات Patrick Breyer و Tuta و Proton و Signal و Threema بشأن CSAR.
• الموقف المشترك لمجلس الاتحاد الأوروبي بشأن CSAR (الرئاسة الدنماركية)، 26 نوفمبر 2025.
• تغطية Computer Weekly و The Register و Consilium و EFF لـ CSAR وانقضاء الاستثناء من ePrivacy.
• تصويتات مجلس النواب بالنداء على اللائحة الإجرائية للمادة 702 (17 أبريل 2026)؛ وإقرار التمديد لـ10 أيام؛ وتوقيع Trump في 18–19 أبريل 2026.
• تغطية Nextgov و The Hill و Axios و Common Dreams لتمرد المادة 702.
• نص قانون إصلاح المراقبة الحكومية لعام 2026 في مجلس الشيوخ (Lee-Wyden)؛ و SAFE Act (Lee-Durbin).
• محكمة صلاحيات التحقيق البريطانية، "Apple Inc v. Secretary of State for the Home Department"، حكم 7 أبريل 2025؛ وردّ الطعن في 14 أكتوبر 2025؛ وأمر إدارة الدعوى، 23 يوليو 2025.
• مذكرات تدخّل Privacy International و Liberty.
• تصريح Caroline Wilson Palow، سبتمبر 2025.
• تحقيقات وإرشادات Ofcom بموجب قانون السلامة على الإنترنت، حتى 21 أبريل 2026.
• eIDAS 2.0 (اللائحة الأوروبية 2024/1183) والإعلان عن تطبيق التحقق من العمر المرجعي في الاتحاد الأوروبي، 15 أبريل 2026.