ملاحظات حول خصوصية الإنترنت

منشورات وأبحاث من فريق ومجتمع URnetwork.

RSS

مسار المشغِّل

اليوم، الاثنين 4 مايو 2026، يعيد الاتحاد الأوروبي فتح الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال — Chat Control 2.0 — بعد شهر بالضبط من رفض البرلمان الأوروبي تمديد الاستثناء من توجيه الخصوصية الإلكترونية في 26 مارس 2026، بـ311 صوتًا معارضًا مقابل 228 مؤيدًا و92 ممتنعًا، وسقوط الاستثناء في 3 أبريل. وفي الجمعة 8 مايو — أي بعد أربعة أيام من اليوم — تجرّد Meta الرسائل المباشرة في Instagram من التشفير من طرف إلى طرف، ناقضةً بذلك التزام الشركة المعلن في ديسمبر 2023. وفي 22 أبريل، شحنت Apple تحديثَي iOS 26.4.2 و18.7.8 الطارئين لسدّ الثغرة CVE-2026-28950، وهي خلل التسجيل في قاعدة بيانات الإشعارات الذي استغلّه مكتب التحقيقات الفيدرالي لاسترجاع رسائل Signal المحذوفة من هاتف iPhone عائد إلى أحد المتهمين. وفي 23 أبريل، وثّق تقرير "Bad Connection" الصادر عن Citizen Lab أكثر من 15,700 محاولة لتعقّب المواقع الجغرافية عبر إشارات SS7/Diameter ورسائل SIMjacker القصيرة، وسمّى ثلاث بوابات اتصالات «شبحية»: 019Mobile، وTango Networks UK، وAirtel Jersey. وفي 27 أبريل، قضت هيئة محلفين فيدرالية في أوكلاند بتعويض Meta بمبلغ 168 مليون دولار على حساب مجموعة NSO بسبب اختراق WhatsApp/Pegasus عام 2019 الذي طال 1,400 مستخدم. وفي 1 مايو، أكّد المدير بالإنابة لدائرة الهجرة والجمارك تود لاينز أن الدائرة تنشر برنامج التجسّس "Graphite" العامل دون نقرة، من إنتاج شركة Paragon Solutions. واليوم هو أيضًا اليوم 4 من 45 في العدّ التنازلي لانقضاء المادة 702 من قانون مراقبة الاستخبارات الأجنبية، مع انقضاء مهلة رفع السرّية عن رأي محكمة FISC في 15 مايو أو نحوه. ويبلغ قطع الإنترنت الشامل في إيران يومه الخامس والستين. وأجبرت مهلة هيئة Roskomnadzor الروسية في 15 أبريل أكثر من 20 منصّة على حجب العملاء المستخدمين للشبكات الافتراضية الخاصة؛ وأزالت Apple 761 تطبيق VPN من متجر التطبيقات الروسي. ونفّذت Tether أكبر عملية تجميد مفردة في تاريخها — 344 مليون دولار من USDT في 23 أبريل. وأمر قاضي المحكمة الجزئية الفيدرالية سيدني ستاين في 5 يناير شركة OpenAI بتسليم 20 مليون سجلّ لمستخدمي ChatGPT إلى المدّعين في قضية The New York Times. والخيط الجامع: كلّ طبقة تحتفظ بالنصّ الصريح لدى المشغِّل قابلة للتحويل. وهذا الأسبوع، تعمل أربع آليات تحويل في آن واحد — تراجع الشركات، والإلزام المؤسسي، والإكراه الحكومي، والاختراق الجنائي الرقمي. أما البديل المعماري — التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، على عتاد يتحكّم به المستخدم، عبر شبكات يتحكّم بها المستخدم، وبتسوية في نقود يحفظها المستخدم بنفسه — فلا يملك مسارًا للمشغِّل، ومن ثمّ لا يمكن تحويله بأيٍّ من الآليات الأربع.

اليوم

يعيد الاتحاد الأوروبي فتح الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال في بروكسل يوم الاثنين، 4 مايو 2026. وكانت الرئاسة القبرصية للمجلس قد طرحت نصّ تسوية منقّحًا في 28 أبريل؛ وجلسة اليوم هي أول جولة تفاوضية على ذلك النصّ. وتتسلّم أيرلندا الرئاسة الدورية في 1 يوليو، خلفًا لقبرص، مع هدف معلن بالتوصّل إلى اتفاق سياسي في ذلك الشهر. واليوم هو أول جلسة تفاوضية بعد تصويت البرلمان الأوروبي في 26 مارس 2026 على الاستثناء المؤقت من توجيه الخصوصية الإلكترونية — Chat Control 1.0 — الذي أخفق تمديده: إذ رفضه البرلمان بـ311 صوتًا معارضًا مقابل 228 مؤيدًا، مع 92 ممتنعًا. وكتب النائب الأوروبي عن حزب القراصنة باتريك برايَر على Mastodon في صباح ذلك اليوم: «دموع فرح. لقد رفض البرلمان تمديد المسح الجماعي بلا إذن قضائي». أما وزيرة العدل الألمانية شتيفاني هوبيغ، في 7 أبريل، فقالت: «يجب أن تكون مراقبة المحادثات بلا إذن قضائي من المحرّمات في دولة دستورية».

ولائحة الاعتداء الجنسي على الأطفال هي أهم تنظيم أوروبي معلّق يتعلّق بسرّية المراسلات. والآلية المقترحة — المسح الإلزامي على جهاز العميل لكل رسالة قبل تشفيرها — لا تكاد تتمايز معماريًّا، على مستوى ضمان السرّية، عن إزالة التشفير من طرف إلى طرف. فالعميل الذي يمسح كل رسالة بنصّها الصريح ويرسل بصمة أو تصنيفًا إلى سلطة مركزية يملك، وفق الاختبار البنيوي، مسارًا للمشغِّل: السلطة المركزية هي المشغِّل، والعميل الماسح هو أداتها.

واليوم هو أيضًا اليوم 4 من 45 في العدّ التنازلي لانقضاء المادة 702 من قانون مراقبة الاستخبارات الأجنبية.

ساعة المادة 702

في الخميس، 30 أبريل 2026، أقرّ مجلس النواب الأمريكي تمديدًا لثلاث سنوات للمادة 702 من قانون مراقبة الاستخبارات الأجنبية بأغلبية 261 صوتًا مقابل 111. غير أن مشروع القانون تضمّن بندًا لا صلة له بالموضوع يحظر إصدار عملة رقمية أمريكية للبنك المركزي. ورفض مجلس الشيوخ المشروع المحزوم. وقبل ساعات من انقضاء المهلة عند منتصف الليل، أقرّ المجلسان تمديدًا نظيفًا لمدة 45 يومًا. ووقّعه الرئيس ترامب في 1 مايو 2026. والموعد الجديد للانقضاء هو 12 يونيو 2026.

وكان ثمن السيناتور رون وايدن لمنح الموافقة بالإجماع على التمديد النظيف رسالةً بتوقيع كوتون-وارنر إلى مديرة الاستخبارات الوطنية تولسي غابارد والمدّعي العام تود بلانش، تضمن رفع السرّية خلال خمسة عشر يومًا عن رأي صادر في 17 مارس 2026 عن محكمة مراقبة الاستخبارات الأجنبية. وبدأت الساعة حين وقّع الرئيس ترامب التمديد. وخمسة عشر يومًا من 1 مايو تنتهي في 16 مايو؛ والهدف العملي هو 15 مايو. وقال السيناتور وايدن في مداخلة على أرضية مجلس الشيوخ: «هذا الرأي الصادر في 17 مارس يوثّق تجاوزات جسيمة. ومن حق الجمهور الأمريكي أن يعرف ما هي تلك التجاوزات قبل أي إعادة تفويض».

وتجيز المادة 702 الجمع بلا إذن قضائي لاتصالات الرعايا الأجانب الموجودين خارج الولايات المتحدة. ويلتقط هذا الجمع، بصورة عرضية، اتصالات الأمريكيين الذين يتواصلون مع رعايا أجانب. والبنية القانونية قائمة على تعاون المشغِّل: فمقدّمو الخدمة المسجّلون في الولايات المتحدة مُلزَمون بالمساعدة في الجمع. والمادة الخام هي حركة البريد الإلكتروني والرسائل القصيرة والصوت والمراسلة الفورية المارّة عبر مقدّمي خدمة مسجّلين في الولايات المتحدة — Google، وMicrosoft، وMeta، وApple، وAmazon.

أما الأثر المعماري للتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، في مواجهة المادة 702، فهو: أن مقدّم الخدمة يحوز نصًّا مشفّرًا لا نصًّا صريحًا. فيُنتج جمع المادة 702 بايتات غير قابلة للتأويل. ولا تستطيع سلطة المادة 702 فكّ التشفير من دون مفاتيح المستخدم. ولا يمكن إجبار مقدّم الخدمة على تسليم ما لا يحوزه.

ومهلة رفع السرّية في 15 مايو هي الفرصة الأولى لتقييم أنماط التجاوز المحدّدة التي يوثّقها رأي محكمة FISC.

الجمعة

في الجمعة، 8 مايو 2026، تجرّد Meta الرسائل المباشرة في Instagram من التشفير من طرف إلى طرف.

والتفاصيل التقنية، بحسب تحديث وثائق المطوّرين لدى Meta في 25 أبريل 2026: تبقى الرسائل المباشرة القائمة في Instagram مشفّرة على جهاز العميل بموجب تطبيق الشركة الحالي لبروتوكول Signal. أما الرسائل الجديدة اعتبارًا من 8 مايو فتستخدم بروتوكول "Server-Mediated Messaging" الذي يحتفظ بالنصّ الصريح لدى المُرحِّل الخاضع لسيطرة Meta. ويجري إخطار المستخدمين بلافتة داخل التطبيق: «اعتبارًا من 8 مايو، ستدعم الرسائل المباشرة الجديدة في Instagram ميزات الذكاء الاصطناعي والامتثال للنفاذ القانوني عبر بروتوكول جديد للمراسلة بوساطة الخادم».

وقالت اللجنة التوجيهية للتحالف العالمي للتشفير، في بيان صادر في 8 أبريل 2026: «إن تراجع Meta المعلن عن التشفير من طرف إلى طرف في الرسائل المباشرة على Instagram يناقض التزام الشركة في ديسمبر 2023 بتوسيع حماية التشفير من طرف إلى طرف في Messenger لتشمل Instagram، وهو أمر غير مسبوق لدى منصّة مراسلة استهلاكية كبرى».

أما المبرّر المعلن من Meta فهو "lawful-access compliance and AI-feature integration" — أي «الامتثال للنفاذ القانوني ودمج ميزات الذكاء الاصطناعي». والإشارة إلى "AI-feature integration" تحيل إلى ميزات مساعد Meta AI — التلخيص والترجمة والردّ الذكي وتصنيف المحتوى — وهي ميزات تشترط معماريًّا وجود نصّ صريح لدى المشغِّل.

ويتأثّر بهذا نحو ملياري حساب على Instagram. أما WhatsApp (نحو 3 مليارات مستخدم)، وiMessage (نحو 1.5 مليار جهاز)، وSignal (70 مليون مستخدم نشط شهريًّا) فتبقى مشفّرة على جهاز العميل بمفاتيح يحوزها المستخدم. ولم تعلن Meta عن تغييرات موازية في WhatsApp.

والدلالة المعمارية هي السابقة التي يُرسيها ذلك. فـ 8 مايو هو المرة الأولى التي تعكس فيها منصّة مراسلة استهلاكية كبرى نشرًا رئيسيًّا للتشفير من طرف إلى طرف على مستوى البروتوكول. لقد تبدّل الحساب التجاري: فالضغط التجاري لميزات الذكاء الاصطناعي صار يرجح على التزام سياسة الخصوصية الذي دفع التحوّل المعماري بين عامي 2014 و2024.

ذاكرة الإشعارات

في الخميس، 9 أبريل 2026، ذكر جوزيف كوكس من 404 Media أن مكتب التحقيقات الفيدرالي استرجع رسائل Signal «المحذوفة» من هاتف iPhone عائد إلى أحد المتهمين، عبر ذاكرة قاعدة بيانات الإشعارات في iOS. وتخزّن هذه الذاكرة نصّ معاينة الإشعار في قاعدة بيانات مبنية على SQLite تبقى بعد حذف التطبيق الذي أنشأها. وكانت رسائل Signal المحذوفة لدى المتهم قابلة للاسترجاع من الذاكرة على مستوى نظام التشغيل، رغم تفعيل خاصية الرسائل المتلاشية على جهاز العميل في Signal.

وفي الخميس، 16 أبريل 2026، نشر ثورين كلوسوفسكي، الاختصاصي التقني في مؤسسة الحدود الإلكترونية، تشريحًا معماريًّا: «ذاكرة الإشعارات لدى Apple فيها مشكلة خصوصية. فالتشفير من طرف إلى طرف يحمي الرسائل أثناء النقل وفي حال السكون داخل قاعدة بيانات تطبيق المراسلة. لكنه لا يحمي الرسائل المعروضة في معاينة إشعار نظام التشغيل، وهي المعاينة التي تُبقيها قاعدة بيانات الإشعارات لدى Apple في مخزن SQLite منفصل يبقى بعد حذف التطبيق الذي أنشأها».

وفي الأربعاء، 22 أبريل 2026، شحنت Apple تحديثات iOS 26.4.2 وiPadOS 26.4.2 وiOS 18.7.8. ونصّ الترقيع: "Addresses an issue with notification preview persistence." — أي «يعالج مشكلة في بقاء معاينة الإشعارات». والثغرة المخصّصة: CVE-2026-28950.

والدرس المعماري: التشفير من طرف إلى طرف ضروري لكنه غير كافٍ. فنقطة فكّ التشفير — طبقة نظام التشغيل التي تعرض الرسالة — يجب ألّا تحتفظ هي الأخرى بالنصّ الصريح بعد التفضيل الذي أعلنه المستخدم للاحتفاظ. ولا تستطيع بنية Signal أن تمنع التخزين المؤقّت على مستوى نظام التشغيل. ويغلق الترقيع الخلل المفصح عنه، لكن السطح المعماري يبقى: فأي تطبيق ذي برنامج ثابت مغلق يعرض نصًّا صريحًا على جهاز المستخدم قد يترك آثارًا لم يأذن بها المستخدم.

والاستجابة المعمارية من جانب المستخدم هي العتاد ذو البرنامج الثابت المفتوح، حيث يستطيع المستخدم تفحّص سلوك الذاكرة. فنظام GrapheneOS — توزيعة أندرويد المشتقّة من AOSP والمتخصّصة في التحصين — لا يحتفظ بمعاينات الإشعارات في ذاكرة دائمة افتراضيًّا. أما وضع الإغلاق Lockdown Mode الذي أُدخل في iOS 16 وجرى تحصينه في iOS 18، فيقلّص سطح تثبيت التطبيقات لكنه لا يعالج بقاء ذاكرة الإشعارات.

وقالت Apple في بيان لوكالة Reuters في أواخر مارس 2026: «لسنا على علم بأي هجمات ناجحة ببرمجيات تجسّس مرتزقة ضد جهاز مفعّل عليه وضع الإغلاق». وقد سبق هذا البيان الكشف عن استغلال مكتب التحقيقات الفيدرالي لذاكرة الإشعارات، وهو يبقى ساريًا على مسار برمجيات التجسّس — غير أن استرجاع المكتب استخدم مسارًا مختلفًا كليًّا: خلل ذاكرة الإشعارات.

تقرير Bad Connection

في الخميس، 23 أبريل 2026، نشر باحثا Citizen Lab غاري ميلر وسفانتيا لانغه تقرير "Bad Connection: How Surveillance Vendors Exploit Mobile Networks for Espionage" — أي «اتصال سيّئ: كيف يستغل بائعو المراقبة الشبكات الخلوية في التجسّس».

ويوثّق التقرير ما لا يقلّ عن 15,700 محاولة مؤكَّدة لتعقّب المواقع عبر بروتوكولَي الإشارة SS7 (نظام الإشارة رقم 7) وDiameter، إضافة إلى استغلال SIMjacker عبر الرسائل القصيرة، منذ نوفمبر 2022. وسُمّيت ثلاثة كيانات اتصالات «شبحية» تُستخدم غطاءً: 019Mobile، وهو مشغّل شبكة افتراضي إسرائيلي؛ وTango Networks، وهي شركة اتصالات مسجّلة في المملكة المتحدة؛ وAirtel Jersey، وهي أداة قضائية في جزر القنال. ويُشتبه بتورّط بائع إسرائيلي للاستخبارات الجغرافية لم يُسمَّ.

والاستهداف عالمي: عشر دول على الأقل، من بينها الولايات المتحدة، وعدة دول أعضاء في الاتحاد الأوروبي، والمكسيك، والهند، وعدد من دول الخليج.

وSS7 وDiameter هما بروتوكولا الإشارة في الربط البيني القديم بين مشغّلي الاتصالات. وكلاهما يسبق أي بنية أمنية ذات معنى. فقد وُضعت مواصفة SS7 عام 1988 بلا أي آلية للاستيثاق، انطلاقًا من افتراض أن مشغّلي الاتصالات وحدهم سيصلون إلى شبكة الإشارة. وDiameter (المواصفة 3GPP TS 29.272) هو البديل في شبكات LTE و5G؛ وهو، كحال SS7، يفتقر إلى استيثاق متبادل متين بين المشغّلين. أما SIMjacker فمسار منفصل: تنفيذ أوامر عن بُعد عبر بطاقة SIM برسائل قصيرة معدّة خصّيصًا، باستغلال الضبط المتساهل لتطبيق S@T Browser.

والسطح المعماري هو افتقار طبقة الإشارة الخلوية القديمة إلى سرّية الهوية من طرف إلى طرف. فالمشغّلون قادرون على التوجيه، أو الاستغلال، أو الخضوع للإكراه. وليس لدى المستخدمين أي بصيرة معمارية بمن يستعلم عن مواقعهم أو يرسل إليهم رسائل استغلال.

أما الاستجابة من جانب المستخدم فهي: الاستيثاق العتادي بمعيار FIDO2 الذي يصمد أمام اختراق بطاقة SIM (لأن الاستيثاق مرتبط بالعتاد لا برقم الهاتف — YubiKey، وNitrokey، وSoloKey)، والأجهزة الخلوية ذات البرنامج الثابت المفتوح التي تغلق سطح تثبيت التطبيقات (GrapheneOS).

واستجابةً لتقرير Bad Connection، أجرى متصفّح Tor 15.0.10 — الصادر في 21 أبريل 2026، والذي حلّت محلّه منذئذٍ النسخة 15.0.11 — تدويرًا لخوادم STUN الخاصة بـ Snowflake، تحسّبًا لتصاعد محاولات الحجب من جانب الدول.

Paragon على الحدود

في الجمعة، 1 مايو 2026، أكّد المدير بالإنابة لدائرة الهجرة والجمارك تود لاينز، في شهادة أمام لجنة الأمن الداخلي بمجلس النواب، أن دائرة الهجرة والجمارك تنشر برنامج التجسّس "Graphite" العامل دون نقرة، من إنتاج شركة Paragon Solutions.

وشركة Paragon Solutions، التي أسّسها خرّيجو الوحدة الإسرائيلية 8200 السابقون، تبيع الاستغلال دون نقرة على iOS وأندرويد بوصفه خدمة مُدارة. وGraphite هو منتجها الرئيسي. وقد سبقت تأكيدَ لاينز فضيحةُ "Graphite" الإيطالية — التي أكّد فيها المدّعون الإيطاليون اختراق هاتف iPhone الخاص بالصحفي فرانتشيسكو كانتشيلاتو باستخدام Graphite، ورفضت فيها Paragon التعاون مع التحقيق الإيطالي.

والدلالة المعمارية: صار اقتناء وكالة فيدرالية لبرمجيات تجسّس تجارية أمرًا مؤكّدًا علنًا على مستوى وزارة اتحادية. ولا يوجد تشريع رقابي علني ينطبق على الاقتناء أو النشر. ولا يوجد شرط بإخطار المستهدفين؛ فالمستهدفون لا يعلمون أنهم مستهدفون.

أما الاستجابة من جانب المستخدم فهي الأجهزة الخلوية ذات البرنامج الثابت المفتوح — GrapheneOS أو ما يماثله — حيث يستطيع المستخدم تفحّص سطح تثبيت التطبيقات، إضافة إلى إعدادات مكافئة لوضع الإغلاق تغلق مسارات الاستغلال الشائعة دون نقرة، إضافة إلى الرصد الجنائي الرقمي المستمر من Citizen Lab ومنظمة العفو الدولية.

حكم الـ 168 مليونًا

في الاثنين، 27 أبريل 2026، قضت هيئة محلفين فيدرالية في أوكلاند بتعويض Meta بمبلغ 168 مليون دولار كتعويضات عقابية وتعويضية على حساب مجموعة NSO. وجاء الحكم بعد محاكمة استمرّت ثلاثة أسابيع. ووجدت هيئة المحلفين أن مجموعة NSO مسؤولة عن انتهاك قانون الاحتيال وإساءة استخدام الحاسوب وقانون كاليفورنيا الشامل للنفاذ إلى بيانات الحاسوب والاحتيال، في اختراق WhatsApp / Pegasus عام 2019 الذي طال 1,400 مستخدم.

أما دفوع NSO — الحصانة السيادية (زعمت NSO أنها تتصرّف بوصفها وكيلًا لعملاء سياديين)؛ والاستهداف الخاضع لسيطرة العميل (دفعت NSO بأن الاستهداف مسؤولية العميل لا البائع)؛ و«الاعتراض المشروع» (زعمت NSO أن Pegasus لا يُباع إلا لأغراض الاعتراض المشروع) — فقد رُفضت كلّها.

والدلالة المعمارية: أن بائعي برمجيات التجسّس التجارية العاملة دون نقرة ضدّ خدمات المراسلة المشفّرة من طرف إلى طرف يملكون ملاءمة بنيوية بين المنتج والسوق. وقد حدّد النظام القانوني، للمرة الأولى في محاكمة، سعرًا لتلك الملاءمة. أما ما إذا كان الحكم سابقةً للتقاضي اللاحق ضدّ برمجيات التجسّس التجارية فيتوقّف على المراجعة الاستئنافية.

اليوم 65 في إيران

يصادف اليوم اليوم الخامس والستين من قطع الإنترنت الشامل في إيران. وقد بدأ القطع في 28 فبراير 2026، عقب التبادل الإسرائيلي-الإيراني. والاتصال الوطني، بحسب NetBlocks وCloudflare Radar، أدنى بكثير من واحد في المئة من مستويات ما قبل الحرب.

وللمقارنة: قطع الإنترنت الشامل في إيران، المستمرّ منذ 65 يومًا، هو أطول انقطاع وطني تفرضه دولة يُسجَّل على الإطلاق لدى ائتلاف KeepItOn التابع لمنظمة Access Now. فقطع ميانمار بعد انقلاب 2021 كان أطول من حيث المدة الإقليمية، لكن الاتصال الوطني استُعيد على مراحل؛ وقطع تيغراي الذي دام عامين كان إقليميًّا؛ وقطع كشمير الذي دام 552 يومًا بموجب المادة 370 كان إقليميًّا. وقد وثّق تقرير KeepItOn لعام 2025 الصادر عن Access Now، والمنشور في 31 مارس 2026، رقمًا قياسيًّا بلغ 313 حالة قطع للإنترنت عالميًّا في 2025 — وقد أنتجت إيران الآن أطول حالة قطع وطنية مفردة في 2026 خلال الأشهر الخمسة الأولى من العام.

وفي 21 أبريل 2026، أرست وزارة الاتصالات الإيرانية نظام نفاذ متدرّج بصفة مؤسسية. وأُعلن عن مستويين: مستوى "Internet Pro" بسقف بيانات شهري قدره 50 غيغابايت للمواطنين المدقَّقين الذين يجتازون مراجعة للولاء السياسي؛ وشرائح SIM «البيضاء» المخصّصة للمسؤولين والصحفيين المعتمَدين. والتأكيد البنيوي: أن إيران تريد لهذا القطع أن يستمرّ بوصفه التوازن الجديد، لا أن يُعكس.

أما الكلفة الاقتصادية اليومية، بحسب معهد توني بلير وNetBlocks، فهي من 70 إلى 80 مليون دولار.

والدرس المعماري: أن الدولة التي تتحكّم ببنية المشغّلين المرخّصين قادرة على تعطيل مسار المشغِّل بالكامل. وتشمل الاستجابة من جانب المستخدم الشبكات المتشابكة (Briar، وBridgefy)، والوصلات الساتلية الصاعدة (ذكرت Reuters وجود أطباق Starlink غير رسمية داخل إيران)، ووسائط Tor القابلة للتوصيل (Snowflake، وmeek-azure، وobfs4)، والتحايل المموّه للبروتوكولات (Outline، وV2Ray، وTrojan، وReality، وShadowsocks).

حجب العملاء في روسيا

في الأربعاء، 15 أبريل 2026، أجبرت الهيئة الفيدرالية الروسية للإشراف على الاتصالات وتقنية المعلومات ووسائل الإعلام الجماهيري — Roskomnadzor — ما لا يقلّ عن عشرين منصّة كبرى على الحجب الفعّال للعملاء الذين يحاولون النفاذ عبر شبكة افتراضية خاصة. ومن المنصّات المسمّاة: Yandex، وSberbank، وVK، وWildberries، وGosuslugi (البوابة الحكومية الإلكترونية الاتحادية).

وانخفضت إتاحة Telegram إلى نحو 5 في المئة من دون شبكة افتراضية خاصة. وتأثّر نحو 105 ملايين مستخدم روسي. وأزالت Apple 761 تطبيق VPN من متجر التطبيقات الروسي في موعد مهلة 15 أبريل أو قبله بقليل. وتسبّبت بنية التفتيش العميق للحزم نفسها المسؤولة عن الحجب من جانب المنصّات في انقطاع مصرفي على مستوى البلاد في 4 أبريل، حين اصطدمت البصمات مع حركة مصرفية مشروعة. وحُجب موقع VPN Traffic Light المتخصّص في تتبّع الشبكات الافتراضية الخاصة في 9 أبريل.

وقد وثّقت Meduza استخدام موظفين في Roskomnadzor أنفسهم لشبكات افتراضية خاصة لمواصلة النشر على منصّات صارت محجوبة.

والدرس المعماري: أن الدولة قادرة على إجبار المنصّات على إنفاذ الحجب من جانب المنصّة، لا عند طبقة الشبكة وحدها. أما الاستجابة من جانب المستخدم فهي وسائط نقل مقاوِمة للرقابة تعمل تحت بصمات التفتيش العميق للحزم أو بمحاذاتها — Tor 15.0.10 مع Snowflake؛ وV2Ray VLESS+Reality؛ وShadowsocks-2022؛ وTrojan؛ وWireGuard مع obfsproxy؛ ووسيط النقل الندّي لدى URnetwork.

تجميد الـ 344 مليونًا

في الخميس، 23 أبريل 2026، نفّذت Tether أكبر تجميد مفرد للأصول في تاريخها: 344 مليون دولار من USDT على سلسلة Tron، جُمّدت بطلب من جهة إنفاذ قانون لم تُسمَّ. وتجاوز مجموع عمليات التجميد لدى Tether منذ 2017 الآن 4.4 مليارات دولار.

ووظيفة القائمة السوداء لدى Tether هي مفتاح إداري مركزي يُستعمل بلا مراجعة قضائية وبلا إخطار للطرف المقابل. والدرس المعماري: أن العملات المستقرّة المزوّدة بوظائف قوائم سوداء يتحكّم بها المشغِّل ليست نقودًا مقاوِمة للرقابة — بل هي سجلّ مأذون له بسعر معلن.

والمضادّ المعماري يسير على ثلاثة مسارات. Bitcoin: رسّخت BIP392 (مارس 2026) وBIP376 (أبريل 2026) وBIP77 الخاصة بـ PayJoin غير المتزامن حزمةَ المدفوعات الصامتة وPayJoin v2 على سجلّ Bitcoin الشفّاف. وصار نقل BIP324 v2 المشفّر بين الأقران هو الافتراضي في Bitcoin Core. Monero: تدقيق Trail of Bits لـ FCMP++ — إثبات العضوية الكامل عبر السلسلة بلس بلس — يمتدّ من 11 مايو إلى 22 مايو، وهو البوابة الأخيرة قبل تفعيل انقسام صلب يوسّع مجموعة إخفاء الهوية من 16 مخرجًا تمويهيًّا لكل معاملة إلى مجموعة مخرجات المعاملات غير المنفقة التاريخية بأكملها، وهي حاليًّا نحو 150 مليون مخرج (أي توسّع في عدم القابلية للربط بمقدار عشرة ملايين ضعف تقريبًا). Zcash: العرض المحمي نحو 31 في المئة من التداول (5.17 ملايين ZEC)؛ وبلغت المعاملات المحمية 59.3 في المئة من نشاط الشبكة في فبراير؛ وتقدّمت Grayscale بطلب أول صندوق مؤشرات فوري لعملة خصوصية بعد إغلاق هيئة الأوراق المالية والبورصات تحقيقها مع مؤسسة Zcash.

وفي الأسبوع نفسه الذي شهد تجميد Tether، أحكم مجلس محافظي البنك المركزي الأوروبي، في 9 و10 أبريل، حوكمة برنامج اليورو الرقمي التجريبي. وتُغلق طلبات مقدّمي خدمات الدفع في 14 مايو. وبنية العملة الرقمية للبنك المركزي تتضمّن مسار المشغِّل بحكم التصميم: فالبنك المركزي أو مقدّمو خدمات الدفع المفوّضون عنه هم من يحوز السجلّ.

فالعملات المستقرّة التي يتحكّم بها المشغِّل والعملات الرقمية للبنوك المركزية هي نقود ذات مسار للمشغِّل. أما Bitcoin بالمدفوعات الصامتة، وMonero بـ FCMP++، وZcash المحمي، فهي نقود بحيازة المستخدم.

مبدأ ستاين

في الاثنين، 5 يناير 2026، رفض قاضي المحكمة الجزئية الأمريكية سيدني ستاين اعتراض OpenAI على تسليم عشرين مليون سجلّ لمستخدمي ChatGPT ضمن إجراءات الكشف للمدّعين في قضية The New York Times. وقضى القاضي ستاين بأن مدخلات المستخدمين إلى خدمات ذكاء اصطناعي تجارية ليست محميةً بموجب مبدأ التعديل الرابع في قضية Carpenter v. United States (2018) — وهو حكم المحكمة العليا القاضي بأن الحكومة تحتاج عمومًا إلى إذن قضائي للوصول إلى معلومات المواقع الخلوية المحفوظة لدى طرف ثالث.

وميّز حكم ستاين بين سجلّات الذكاء الاصطناعي وسجلّات المواقع الخلوية: فمستخدمو الذكاء الاصطناعي يقدّمون المحتوى طوعًا إلى طرف ثالث لمعالجته؛ أما سجلّات المواقع الخلوية فتتولّد تلقائيًّا بمجرّد حيازة المستخدم لهاتف. ولهذا التمييز أثر عملي: أن سجلّات الذكاء الاصطناعي المحفوظة لدى مقدّمي خدمة تجاريين تخضع للإنتاج ضمن الكشف المدني لدى الطرف الثالث.

وفي السياق الأوسع: قضية Bartz v. Anthropic — أكبر دعوى جماعية أمريكية لحقوق النشر ضدّ بائع ذكاء اصطناعي توليدي — لها جلسة الإنصاف النهائية في 14 مايو 2026، مع تسوية مقترحة بقيمة 1.5 مليار دولار على جدول القضية. وقبلت محكمة ميلانو الإيطالية دعوى جماعية ضدّ Meta في 14 أبريل 2026، تغطّي نحو 35 مليون مستخدم. وأعلن المدّعي العام لولاية تكساس عن تسوية مع Google بقيمة 1.375 مليار دولار في 29 أبريل 2026.

فالمحاكم الأمريكية والأوروبية هي التي ترسي عمليًّا مبدأ خصوصية الذكاء الاصطناعي، عبر الكشف واعتماد الدعاوى الجماعية، لا عبر تحرّك المنظّمين. أما الإنفاذ العام المؤسسي لخصوصية الذكاء الاصطناعي في أوروبا فقد توقّف: إذ ألغت محكمة روما في 18 مارس 2026 الغرامة البالغة 15 مليون يورو التي فرضتها هيئة Garante الإيطالية على OpenAI — وهي الإجراء النهائي الوحيد بموجب اللائحة العامة لحماية البيانات ضدّ ChatGPT في أوروبا — تاركةً صفرًا من الإجراءات العامة الأوروبية القائمة بموجب اللائحة ضدّ خدمات الذكاء الاصطناعي عامة الغرض، وذلك قبل 90 يومًا من دخول أحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي حيّز التنفيذ في 2 أغسطس (وهي أحكام تحمل غرامات تبلغ ثلاثة في المئة من رقم الأعمال العالمي).

والمضادّ المعماري هو نماذج الأوزان المفتوحة العاملة بالاستدلال المحلي على عتاد المستخدم: DeepSeek V4 Pro، وMistral Medium 3.5، وLlama 3.3، وQwen 3، وGPT-OSS. فحيث لا يوجد سجلّ لدى طرف ثالث، لا يوجد ما يُكشف عنه، ولا ما يُستدعى بأمر قضائي.

السطح الجامع

ثماني فئات من الإفصاحات، كلّها خلال الأسبوع الماضي:

  1. تراجع الشركات. Meta تجرّد الرسائل المباشرة في Instagram من التشفير من طرف إلى طرف في 8 مايو.
  2. الإلزام المؤسسي. الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال يُستأنف اليوم؛ والعدّ التنازلي لانقضاء المادة 702 في اليوم 4 من 45؛ ورفع السرّية لدى محكمة FISC في اليوم 4 من 15.
  3. الإكراه الحكومي. قطع الإنترنت الشامل في إيران في يومه 65؛ وحجب روسيا للعملاء المستخدمين للشبكات الافتراضية الخاصة في 15 أبريل؛ و761 تطبيق VPN أُزيلت من متجر التطبيقات الروسي.
  4. الاختراق الجنائي الرقمي. ترقيع ذاكرة إشعارات iOS لدى Apple للثغرة CVE-2026-28950 الذي يغلق مسار استرجاع مكتب التحقيقات الفيدرالي لرسائل Signal؛ وأكثر من 15,700 محاولة تعقّب عبر SS7/Diameter في تقرير Bad Connection الصادر عن Citizen Lab؛ وتأكيد استخدام دائرة الهجرة والجمارك لبرنامج Paragon Graphite؛ وحكم الـ 168 مليون دولار ضدّ NSO.
  5. القائمة السوداء النقدية لدى المشغِّل. تجميد Tether بقيمة 344 مليون دولار.
  6. مسار المشغِّل في قواعد بيانات المراقبة. 1.6 مليون استعلام غير قانوني عبر Flock في شرطة سان فرانسيسكو؛ وإلغاء عقد أوشكوش.
  7. مبدأ سجلّات الطرف الثالث في الذكاء الاصطناعي. ستاين و20 مليون سجلّ ChatGPT إلى The New York Times؛ وإلغاء قرار Garante؛ ومنحدر الـ 90 يومًا لأحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي.
  8. المعمارية المضادّة. تدوير خوادم STUN الخاصة بـ Snowflake في Tor 15.0.10؛ وبناء GrapheneOS رقم 2026042100؛ وBIP392/376/77 في Bitcoin؛ وتدقيق Trail of Bits لـ Monero من 11 إلى 22 مايو.

والفئات الثماني كلّها تشترك في خاصية معمارية واحدة: مسار المشغِّل. فأيّ طبقة تحوز النصّ الصريح، يصبح المشغِّل عندها قابلًا لأن:

  • يُلزَم (لائحة الاعتداء الجنسي على الأطفال، والمادة 702، وقواعد تقنية المعلومات الهندية)؛
  • يُكرَه (روسيا، وإيران، وبيلاروسيا، والصين)؛
  • يُخترَق (SS7/Diameter في Bad Connection، وPegasus من NSO، وGraphite من Paragon، وذاكرة الإشعارات لدى مكتب التحقيقات الفيدرالي)؛
  • يتراجع طوعًا (Meta وInstagram، وApple ADP في المملكة المتحدة).

فالتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم يزيل مسار المشغِّل بالنسبة إلى الرسائل. والعتاد ذو البرنامج الثابت المفتوح يزيل مسار المشغِّل بالنسبة إلى نقاط الطرف. والاستيثاق العتادي بمعيار FIDO2 يزيل مسار المشغِّل بالنسبة إلى بيانات الاعتماد. ووسائط النقل المقاوِمة للرقابة تزيل مسار المشغِّل بالنسبة إلى بلوغ الشبكة. والعملات المشفّرة الحافظة للخصوصية تزيل مسار المشغِّل بالنسبة إلى تسوية القيمة. والذكاء الاصطناعي مفتوح الأوزان بالاستدلال المحلي يزيل مسار المشغِّل بالنسبة إلى سجلّات الاستدلال. والهوية الاتحادية بالإفصاح الانتقائي تزيل مسار المشغِّل بالنسبة إلى بيانات الاعتماد. والخدمات المستضافة ذاتيًّا تزيل مسار المشغِّل بالنسبة إلى البيانات المخزّنة.

وحزمة الأوّليات الخاضعة لتحكّم المستخدم — وهي الحزمة نفسها التي سمّتها الطبعة السابقة مضادًّا لوتيرة الهجمات السيبرانية المتسارعة بالذكاء الاصطناعي — لا تملك، بحكم الخاصية المعمارية «لا مشغِّل»، أي سطح يمكن تحويله بأيٍّ من الآليات الأربع.

ثلاث ساعات

اليوم هو اليوم 4 من 45 في العدّ التنازلي لانقضاء المادة 702. واليوم هو أيضًا اليوم 4 من 15 في العدّ التنازلي لرفع السرّية لدى محكمة FISC. واليوم هو اليوم 1 من عدد غير معلوم من جلسات الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال قبل الشهر المستهدف للاتفاق السياسي تحت الرئاسة القبرصية، وهو يوليو.

والجمعة 8 مايو هو موعد تراجع Meta عن التشفير من طرف إلى طرف في Instagram.

ومن 11 مايو إلى 22 مايو هي نافذة تدقيق Trail of Bits لـ Monero FCMP++.

و14 مايو هو موعد جلسة الإنصاف في قضية Bartz v. Anthropic وإغلاق طلبات مقدّمي خدمات الدفع لليورو الرقمي.

و15 مايو هو الموعد المستهدف لرفع السرّية لدى محكمة FISC.

و12 يونيو هو موعد انقضاء المادة 702.

و2 أغسطس هو موعد دخول أحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي الأوروبي حيّز التنفيذ.

الخاتمة

النصّ الصريح لدى المشغِّل هو مسار المراقبة. فالمشغِّل يمكن أن يُلزَم، أو يُكرَه، أو يُخترَق، أو أن يتراجع طوعًا. وهذا الأسبوع، الآليات الأربع كلّها فاعلة في آن واحد، في دورة واحدة من أيام العمل.

أما التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، على عتاد يتحكّم به المستخدم، عبر شبكات يتحكّم بها المستخدم، وبتسوية في نقود يحفظها المستخدم بنفسه، مع ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكّم بها المستخدم، ومع هوية اتحادية، وعلى خدمات مستضافة ذاتيًّا — أي حزمة الأوّليات الكاملة الخاضعة لتحكّم المستخدم — فلا يملك مسارًا للمشغِّل. لا يوجد مشغِّل يستطيع قراءة الرسالة، ولا مشغِّل يستطيع إعادة تفعيل الاحتفاظ من دون موافقة المستخدم، ولا مشغِّل يستطيع إسقاط الحركة بأمر حكومي، ولا مشغِّل يستطيع إدراج معاملة في قائمة سوداء، ولا مشغِّل يستطيع إنتاج سجلّ لإجراءات الكشف، ولا مشغِّل يستطيع كشف بيانات اعتماد، ولا مشغِّل يمكن استدعاؤه قضائيًّا لتسليم بيانات مخزّنة.

فالحزمة نفسها التي سمّتها الطبعة السابقة مضادًّا معماريًّا لوتيرة سوق الهجمات هي المضادّ المعماري لتراجع البائعين والدول عن السرّية. نماذج التهديد مختلفة. والخاصية المعمارية واحدة.

لا مشغِّل. لا مسار. لا تحويل.

Further Discussion

مسار المشغِّل

هذا الأسبوع، تعمل أربع آليات في آن واحد على تحويل السطح المعماري نفسه إلى مسار للمراقبة. والسطح هو مسار المشغِّل. ومسار المشغِّل هو أي طبقة في حزمة المستخدم للاتصالات أو الهوية أو النقود أو الحوسبة أو التخزين، يُحفظ عندها المحتوى الصريح لبيانات المستخدم لدى كيان خارج محيطه — مشغّل خدمة مراسلة، أو شبكة إشارة لمشغّل خلوي، أو مزوّد استدلال للذكاء الاصطناعي، أو مُصدِر عملة مستقرّة، أو بائع قارئات آلية للوحات السيارات، أو منصّة تعاون مستضافة سحابيًّا، أو نظام تشغيل مغلق البرنامج الثابت على نقطة طرف. فأيّ طبقة تحوز النصّ الصريح هي الطبقة القابلة للتحويل. اليوم، الاثنين 4 مايو 2026، يعيد الاتحاد الأوروبي فتح الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال في بروكسل. وكانت قبرص قد طرحت نصّ تسوية منقّحًا في 28 أبريل؛ واليوم هو أول جلسة تفاوضية على ذلك النصّ. والمقترح: مسح إلزامي على جهاز العميل لكل رسالة قبل تشفيرها. ومعماريًّا، لا يكاد ذلك يتمايز عن إزالة التشفير من طرف إلى طرف — فسلطة المسح المركزية مشغِّل، والعميل الذي يقوم بالمسح أداتها. وتتسلّم قبرص الرئاسة الدورية للمجلس في 1 يوليو مع هدف معلن بالتوصّل إلى اتفاق سياسي في ذلك الشهر. واليوم هو أيضًا اليوم 4 من 45 في العدّ التنازلي لانقضاء المادة 702 من قانون مراقبة الاستخبارات الأجنبية. والموعد الجديد للانقضاء هو 12 يونيو. أما رفع السرّية لدى محكمة مراقبة الاستخبارات الأجنبية عن رأي صادر في 17 مارس 2026، يقول السيناتور وايدن إنه يوثّق "serious abuses" — أي «تجاوزات جسيمة» — فيجب أن يتمّ في 15 مايو أو نحوه. ذلك هو الإلزام المؤسسي. اليوم، يتحرّك الاتحاد الأوروبي نحو فرض مسار المشغِّل. والولايات المتحدة تتحرّك نحو إعادة التفاوض عليه. وفي الجمعة، بعد أربعة أيام من اليوم، تجرّد Meta الرسائل المباشرة في Instagram من التشفير من طرف إلى طرف. والتغيير التقني على مستوى البروتوكول: تبقى الرسائل المباشرة القائمة والمشفّرة على جهاز العميل مشفّرة؛ أما الرسائل الجديدة اعتبارًا من 8 مايو فتستخدم بروتوكول Server-Mediated Messaging الذي يحتفظ بالنصّ الصريح لدى المُرحِّل الخاضع لسيطرة Meta. ونحو ملياري حساب. والمبرّر المعلن من Meta هو "lawful-access compliance and AI-feature integration" — أي «الامتثال للنفاذ القانوني ودمج ميزات الذكاء الاصطناعي». وقد وصف بيان اللجنة التوجيهية للتحالف العالمي للتشفير في 8 أبريل هذا التراجع بأنه غير مسبوق لدى منصّة مراسلة استهلاكية كبرى. ذلك هو تراجع الشركات. فـ Meta تعيد طوعًا تفعيل مسار المشغِّل الذي كانت قد أغلقته معماريًّا. وخلال الأسبوع الماضي، شحنت Apple تحديثَي iOS 26.4.2 و18.7.8 الطارئين. وأغلق الترقيع الثغرة CVE-2026-28950 — خلل التسجيل في قاعدة بيانات الإشعارات الذي استغلّه مكتب التحقيقات الفيدرالي لاسترجاع رسائل Signal المحذوفة من هاتف iPhone عائد إلى أحد المتهمين. وقد كُشف عن الخلل في 404 Media في 9 أبريل، وشُرّح لدى مؤسسة الحدود الإلكترونية في 16 أبريل، ورُقّع في 22 أبريل. فالتشفير من طرف إلى طرف يحمي الرسائل أثناء النقل وفي حال السكون داخل قاعدة بيانات تطبيق المراسلة. لكنه لا يحمي الرسائل المعروضة في معاينة إشعار نظام التشغيل، وهي المعاينة التي يُبقيها نظام التشغيل مغلق البرنامج الثابت في ذاكرة منفصلة. ذلك هو الاختراق الجنائي الرقمي. وتقرير "Bad Connection" الصادر عن Citizen Lab — والمنشور في 23 أبريل بقلم غاري ميلر وسفانتيا لانغه — يوثّق ما لا يقلّ عن 15,700 محاولة لتعقّب المواقع الجغرافية عبر استغلال إشارات SS7 وDiameter، إضافة إلى SIMjacker عبر الرسائل القصيرة، منذ نوفمبر 2022. وسُمّيت ثلاث بوابات اتصالات تُستخدم غطاءً: 019Mobile، وTango Networks UK، وAirtel Jersey. والاستهداف في عشر دول على الأقل. ويُشتبه بتورّط بائع إسرائيلي للاستخبارات الجغرافية لم يُسمَّ. وSS7 وDiameter هما طبقة الإشارة الخلوية القديمة. وكلاهما يسبق أي بنية أمنية ذات معنى. والمشغّلون قادرون على التوجيه، أو الاستغلال، أو الخضوع للإكراه. وفي 1 مايو، أكّد المدير بالإنابة لدائرة الهجرة والجمارك تود لاينز، في شهادة أمام لجنة الأمن الداخلي بمجلس النواب، أن الدائرة تنشر برنامج التجسّس "Graphite" العامل دون نقرة من إنتاج Paragon Solutions. وفي 27 أبريل، قضت هيئة محلفين فيدرالية في أوكلاند بتعويض Meta بمبلغ 168 مليون دولار كتعويضات عقابية وتعويضية على حساب مجموعة NSO بسبب اختراق WhatsApp/Pegasus عام 2019. ذلك هو الاختراق الجنائي الرقمي على نطاق واسع. وإيران في اليوم 65 من قطع الإنترنت الشامل. والاتصال الوطني أدنى بكثير من واحد في المئة من مستويات ما قبل الحرب. وأرست وزارة الاتصالات في 21 أبريل نظام نفاذ متدرّج بصفة مؤسسية — باقات "Internet Pro" بسعة 50 غيغابايت للمواطنين المدقَّقين الذين يجتازون مراجعة للولاء السياسي؛ وشرائح SIM «البيضاء» للمسؤولين. والكلفة الاقتصادية اليومية: من 70 إلى 80 مليون دولار. وروسيا، في 15 أبريل، أجبرت ما لا يقلّ عن عشرين منصّة كبرى على الحجب الفعّال للعملاء المستخدمين للشبكات الافتراضية الخاصة. وأزالت Apple 761 تطبيق VPN من متجر التطبيقات الروسي. وانخفضت إتاحة Telegram إلى نحو 5 في المئة من دون شبكة افتراضية خاصة. وتأثّر نحو 105 ملايين مستخدم روسي. ذلك هو الإكراه الحكومي. فالدولة التي تتحكّم ببنية المشغّلين المرخّصين قادرة على تعطيل مسار المشغِّل بالكامل. وجمّدت Tether في 23 أبريل مبلغ 344 مليون دولار من USDT في إجراء واحد — أكبر تجميد مفرد في تاريخ الشركة. ويتجاوز مجموع عمليات التجميد منذ 2017 مبلغ 4.4 مليارات دولار. ووظيفة القائمة السوداء لدى Tether هي مفتاح إداري مركزي يُستعمل بلا مراجعة قضائية وبلا إخطار للطرف المقابل. تلك هي النقود ذات المسار للمشغِّل. وأحكم مجلس محافظي البنك المركزي الأوروبي في 9 و10 أبريل حوكمة برنامج اليورو الرقمي التجريبي. وتُغلق طلبات مقدّمي خدمات الدفع في 14 مايو. وبنية العملة الرقمية للبنك المركزي تتضمّن مسار المشغِّل بحكم التصميم. وأمر قاضي المحكمة الجزئية الفيدرالية سيدني ستاين في 5 يناير شركة OpenAI بتسليم عشرين مليون سجلّ لمستخدمي ChatGPT إلى المدّعين في قضية The New York Times، قاضيًا بأن مدخلات المستخدمين إلى خدمات ذكاء اصطناعي تجارية ليست محميةً بموجب مبدأ Carpenter. ذلك هو مبدأ الكشف عن سجلّات الطرف الثالث. فالسجلّ لدى البائع هو مسار المشغِّل بالنسبة إلى استدلال الذكاء الاصطناعي. ثماني فئات. سطح معماري واحد. وأربع آليات تحويل — تراجع الشركات، والإلزام المؤسسي، والإكراه الحكومي، والاختراق الجنائي الرقمي — كلّها فاعلة في آن واحد. والنمط ليس مصادفة. النمط هو أنه حيثما وُجد نصّ صريح لدى المشغِّل، وُجد المسار، والمسار يُسلَك الآن. هذا الأسبوع هو البرهان. مسار المشغِّل هو مسار المراقبة. والمعمارية هي السياسة.

لا مشغِّل

المضادّ المعماري لأربع آليات تحويل فاعلة في آن واحد هو خاصية معمارية واحدة: لا مشغِّل. وحزمة الأوّليات الخاضعة لتحكّم المستخدم تملك هذه الخاصية. فالتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم يعني أنه لا يوجد مشغِّل يستطيع قراءة الرسالة. والعتاد ذو البرنامج الثابت المفتوح على شرائح يستطيع المستخدم تفحّصها يعني أنه لا يوجد مشغِّل يستطيع إعادة تفعيل الاحتفاظ من دون موافقة المستخدم. ووسائط النقل المقاوِمة للرقابة تعني أنه لا يوجد مشغِّل تستطيع الدولة إلزامه بإسقاط الحركة. والعملات المشفّرة الحافظة للخصوصية تعني أنه لا يوجد مشغِّل يملك وظيفة قائمة سوداء. والذكاء الاصطناعي بالاستدلال المحلي على حوسبة يتحكّم بها المستخدم يعني أنه لا يوجد مشغِّل لديه سجلّ يُستدعى قضائيًّا. والهوية الاتحادية بالإفصاح الانتقائي تعني أنه لا يوجد مشغِّل يملك بيانات الاعتماد ليكشفها. والخدمات المستضافة ذاتيًّا تعني أنه لا يوجد مشغِّل خارج محيط المستخدم يحوز البيانات. وكل «لا مشغِّل» من هذه يغلق واحدة من آليات التحويل الأربع على المستوى المعماري. الطبقة الأولى: عملاء المراسلة بمفاتيح يحوزها المستخدم. Signal، وTuta، وProton، وThreema، وBriar، وCwtch، وSession، وخادم Matrix المنزلي. كلّها مفتوحة المصدر، وكلّها مشفّرة من طرف إلى طرف بمفاتيح يتحكّم بها المستخدم، وكلّها متاحة اليوم بلا كلفة. ويفيد تقرير الشفافية لدى Signal للربع الأول من 2026 بـ 14 مليون حساب جديد. وتجاوزت Tuta 10 ملايين حساب في أواخر أبريل. ولدى Proton نحو 100 مليون حساب عالميًّا. ومسارات الانتقال موجودة. فتراجع Meta عن التشفير في Instagram في 8 مايو يغلق سطح منتج واحد؛ أما العملاء مفتوحو المصدر فيبقون. والاختبار المعماري: أن البائع الذي يجرّد طوعًا التشفير من طرف إلى طرف ليس أساسًا لبنية سرّية. أما البائع الذي لا يستطيع ذلك — لأن البروتوكول لا يسمح به، ولأن المفاتيح بحوزة المستخدم، ولأن الشيفرة المصدرية قابلة للتدقيق، ولأن البناء قابل لإعادة الإنتاج — فهو الأساس. الطبقة الثانية: العتاد ذو البرنامج الثابت المفتوح. شحن GrapheneOS البناء رقم 2026042100 في 21 أبريل. والشراكة مع Motorola المعلنة في المؤتمر العالمي للهاتف المحمول تستهدف أجهزة 2027. وعدد المستخدمين نحو 400,000 نشط. ويواصل CalyxOS دورة بنائه المركّزة على أجهزة Pixel؛ وقد حذّر المشروع من أن تحوّل سياسة Google في يناير 2026 بشأن نشر AOSP يجعل الإصدارَين الفصليَّين للمنصّة QPR1 وQPR3 حصريَّين لأجهزة Pixel عمليًّا — وهو قلق بنيوي بالنسبة إلى توزيعات أندرويد المجتمعية. ولا يزال /e/OS وLineageOS وOpenWRT نشطة. وتُشحن PinePhone Pro وLibrem 5 للمستخدمين الذين يريدون برنامجًا ثابتًا يمكنهم تدقيقه بالكامل. وقد أغلق ترقيع ذاكرة الإشعارات لدى Apple في 22 أبريل خللًا واحدًا مفصحًا عنه؛ أما السطح المعماري — نظام تشغيل مغلق البرنامج الثابت يحتفظ بالنصّ الصريح عند نقاط الطرف — فيبقى قائمًا في الأجهزة مغلقة البرنامج الثابت. والبرنامج الثابت المفتوح يغلق هذا السطح. الطبقة الثالثة: الاستيثاق العتادي بمعيار FIDO2. YubiKey، وNitrokey، وSoloKey. بيانات اعتماد مرتبطة بالعتاد تصمد أمام اختراق بطاقة SIM — فتقرير "Bad Connection" الصادر عن Citizen Lab يوثّق أكثر من 15,700 محاولة تعقّب عبر SS7 وDiameter وSIMjacker، وكلّها تُعالَج عند طبقة التطبيق لا عند طبقة المشغّل، حين يكون الاستيثاق مرتبطًا بالعتاد لا برقم الهاتف. وتُبنى فوق ذلك الاستجابة المعمارية من جانب المستخدم لبرمجيات التجسّس التجارية (Pegasus من NSO، وGraphite من Paragon): FIDO2 + وضع الإغلاق + عتاد مفتوح البرنامج الثابت + رصد جنائي رقمي مستمرّ من Citizen Lab ومنظمة العفو الدولية. الطبقة الرابعة: وسائط النقل المقاوِمة للرقابة. متصفّح Tor 15.0.10، الصادر في 21 أبريل، أجرى تدويرًا لخوادم STUN الخاصة بـ Snowflake. وV2Ray VLESS+Reality. وShadowsocks-2022. وTrojan. وWireGuard مع obfsproxy. والنقل الندّي لدى URnetwork. أما الحجب المفروض على المنصّات من جانب الدولة والموثّق في مهلة Roskomnadzor الروسية في 15 أبريل — عشرون منصّة أُجبرت على حجب العملاء المستخدمين للشبكات الافتراضية الخاصة؛ و761 تطبيق VPN أُزيلت من متجر Apple الروسي — فيُغلق من جانب المستخدم بتمويه على طبقة النقل يعمل تحت بصمات التفتيش العميق للحزم أو بمحاذاتها. أما قطع إيران المستمرّ منذ 65 يومًا فهو الحالة الأصعب: فحين تُعطَّل بنية المشغّلين المرخّصين بالكامل، تشمل الاستجابة من جانب المستخدم الشبكات المتشابكة (Briar، وBridgefy)، والوصلات الساتلية الصاعدة غير الرسمية، والتنسيق خارج النطاق. وتقرير KeepItOn لعام 2025 الصادر عن Access Now — برقم قياسي بلغ 313 حالة قطع عالميًّا — يؤطّر حجم المشكلة؛ أما وسائط النقل من جانب المستخدم فتؤطّر المضادّ المعماري. الطبقة الخامسة: العملات المشفّرة الحافظة للخصوصية. Bitcoin Core 27.0 وما بعده مع نقل BIP324 v2 المشفّر بين الأقران بوصفه الافتراضي الآن؛ ورسّخت BIP392 (مارس 2026) وBIP376 (أبريل 2026) وBIP77 الخاصة بـ PayJoin غير المتزامن المدفوعات الصامتة وPayJoin v2 على سجلّ Bitcoin الشفّاف. Monero: تدقيق Trail of Bits لإثبات العضوية الكامل عبر السلسلة بلس بلس يمتدّ من 11 مايو إلى 22 مايو، وهو البوابة الأخيرة قبل تفعيل انقسام صلب يوسّع مجموعات إخفاء الهوية من ستة عشر مخرجًا تمويهيًّا إلى مجموعة مخرجات المعاملات غير المنفقة التاريخية بأكملها، وهي حاليًّا نحو 150 مليون مخرج — أي توسّع في عدم القابلية للربط بمقدار عشرة ملايين ضعف تقريبًا. Zcash: العرض المحمي نحو 31 في المئة من التداول؛ والمعاملات المحمية 59.3 في المئة من نشاط الشبكة في فبراير؛ وطلب صندوق المؤشرات الفوري من Grayscale قُدّم. ولا يملك أيٌّ من الثلاثة مفتاحًا إداريًّا. أما تجميد Tether المفرد بقيمة 344 مليون دولار في 23 أبريل — بمجموع تراكمي قدره 4.4 مليارات دولار — فهو النقيض: نقود العملات المستقرّة ذات القائمة السوداء لدى المشغِّل هي نقود ذات مسار للمشغِّل. وإحكام حوكمة برنامج اليورو الرقمي التجريبي لدى البنك المركزي الأوروبي في 9-10 أبريل هو النمط المعماري نفسه على مستوى البنك المركزي. وتُغلق طلبات مقدّمي خدمات الدفع في 14 مايو. الطبقة السادسة: الذكاء الاصطناعي بالاستدلال المحلي. DeepSeek V4 Pro (1.6 تريليون معامل، منها 49 مليارًا نشطة، وسياق مليون رمز، برخصة على نمط MIT). وMistral Medium 3.5 (128 مليار معامل كثيف، وسياق 256K، و77.6 في المئة على SWE-Bench Verified، برخصة MIT معدّلة). وLlama 3.3، وQwen 3، وGPT-OSS — عائلات مفتوحة الأوزان تصونها المجتمعات ببناءات قابلة لإعادة الإنتاج. وOpenAI Privacy Filter (نموذج خليط خبراء بـ 1.5 مليار معامل منها 50 مليونًا نشطة، برخصة Apache 2.0، لتنقيح المعلومات الشخصية على الجهاز داخل المتصفّح). وFederated MCP — بروتوكول سياق النموذج الاتحادي بحزم موقّعة تعميًّا، ووتيرة ترقيع لكل مؤسسة، والتفافًا على السطح المركزي لـ npm وPyPI وDocker Hub الذي كان هدفًا لهجمات سلسلة التوريد. وحكم القاضي ستاين في 5 يناير بشأن قابلية عشرين مليون سجلّ ChatGPT للكشف هو مبدأ سجلّات الطرف الثالث. فحيث لا يوجد سجلّ لدى طرف ثالث — لأن الاستدلال يجري على عتاد يتحكّم به المستخدم — لا يوجد ما يُكشف عنه ولا ما يُستدعى بأمر قضائي. الطبقة السابعة: الهوية الاتحادية بالإفصاح الانتقائي. مهلة eIDAS 2.0 في 31 ديسمبر 2026. وبيانات الاعتماد القابلة للتحقّق لدى W3C بالإصدار 2.0. والمعرّفات اللامركزية بالإصدار 1.1. والخاصية المعمارية: بيان اعتماد يحوزه المستخدم ويفصح عنه انتقائيًّا، حيث يكون التحقّق تعموياً، ولا يعرف المُصدِر هوية الجهة المتحقّقة، ولا تعرف الجهة المتحقّقة أي شيء لم يُفصح عنه انتقائيًّا. وSIMjacker، وتعقّب SS7، وتقرير Bad Connection الأوسع الصادر عن Citizen Lab، تُغلق جزئيًّا عند طبقة بيانات الاعتماد حين يكون بيان الاعتماد مجذّرًا في العتاد والإفصاح انتقائيًّا. الطبقة الثامنة: الخدمات المستضافة ذاتيًّا. خادم Matrix المنزلي. وNextcloud — بديل عن Drive. وForgejo — بديل عن GitHub. وMailcow. وJitsi. وOllama مع MCP الاتحادي. ونطاق انفجار محدود في مواجهة اختراقات جانب البائع مثل اختراق مستودع الشيفرة المصدرية لدى Trellix في 2 مايو، وحادثة Vercel/Context.ai في 19 أبريل، وعنقود Anodot/Salesforce التابع لـ ShinyHunters، واختراق Instructure الذي طال 275 مليون سجلّ بمهلة فدية في 6 مايو. حيازة يشغّلها المستخدم. ثماني طبقات. وخاصية معمارية واحدة — لا مشغِّل — تغلق ثماني فئات من تحويل مسار المشغِّل. كان عقد 2014-2024 تحوّلًا معماريًّا بطيئًا نحو التشفير من طرف إلى طرف بوصفه الافتراضي الاستهلاكي. والانعكاس بين 2024 و2026 تحوّل معماري بطيء عائد نحو النصّ الصريح لدى المشغِّل بوصفه افتراضًا للشركات والمؤسسات. والانعكاس غير متجانس؛ وهو لا يطال كل طبقة؛ لكن المسار متّسق. وتراجع Meta عن التشفير في Instagram في 8 مايو هو إثبات المفهوم على أن منصّة مراسلة استهلاكية كبرى تستطيع عكس نشر رئيسي للتشفير من طرف إلى طرف من دون عواقب تنظيمية أو سوقية ذات شأن. والاستجابة من جانب المستخدم ليست انتظار انعكاس المسار من جديد. بل هي نشر الخاصية المعمارية — لا مشغِّل — عند كل طبقة تُشحن فيها اليوم. وكل طبقة تُشحن اليوم. فـ Signal يُشحن اليوم؛ وGrapheneOS يُشحن اليوم؛ وYubiKey يُشحن اليوم؛ وTor 15.0.10 يُشحن اليوم؛ وBIP324 في Bitcoin يُشحن اليوم؛ وDeepSeek V4 Pro يُشحن اليوم؛ وeIDAS 2.0 يُشحن قبل 31 ديسمبر؛ وMatrix يُشحن اليوم. أما الساعات التي تعمل هذا الأسبوع — انقضاء المادة 702 في 12 يونيو؛ ورفع السرّية لدى محكمة FISC في 15 مايو؛ وهدف الرئاسة القبرصية للائحة الاعتداء الجنسي على الأطفال في يوليو؛ ودخول أحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي الأوروبي حيّز التنفيذ في 2 أغسطس؛ وتفعيل Monero FCMP++ في منتصف 2026 — فهي ساعات سياسات وبروتوكولات. وستواصل العمل. وحزمة الأوّليات من جانب المستخدم لا تتوقّف على الاتجاه الذي تسير إليه. لا مشغِّل. لا مسار. لا تحويل.

Comics

#1مسار المشغِّل
#2لا مشغِّل