غدًا
غدًا، الأربعاء 6 مايو 2026، تنقضي مهلتا ابتزاز من ShinyHunters في الوقت نفسه.
الأولى ضدّ Instructure، مشغّلة نظام إدارة التعلّم Canvas. فإشعار "FINAL WARNING — PAY OR LEAK" — أي «إنذار أخير — ادفعوا أو نسرّب» — الصادر عن هذا التجمّع الإجرامي، والمنقول عبر BreachForums والذي رصدته Privacy Rights Clearinghouse وComparitech وKrebsOnSecurity، يشير إلى نحو 3.65 تيرابايت من البيانات تغطّي ما يُقدَّر بـ 240 إلى 275 مليون سجلّ عبر ما يقارب 9,000 إلى 15,000 مؤسسة تعليمية. ويشمل التسريب مليارات الرسائل الخاصة بين الطلاب والمعلّمين، ونسخة Instructure من Salesforce. وكانت مدارس وايزاتا العامة (مينيسوتا) أوّل عميل معروف لـ Canvas يحذّر أولياء الأمور.
وقد أكّدت Instructure انكشاف الأسماء وعناوين البريد الإلكتروني ومعرّفات الطلاب والرسائل بين المستخدمين. ويبقى رقم 3.65 تيرابايت ادّعاءً من جانب المجرمين. أما الصيغة المتحفّظة فهي: «عشرات إلى مئات الملايين من سجلّات طلاب مرحلة ما قبل الجامعة وما بعدها، بما فيها الاتصالات بين الطلاب والمعلّمين، معرَّضة لخطر وشيك بالنشر العلني». وهو ثاني اختراق مؤكَّد لدى Instructure خلال ثمانية أشهر. أما الحادثة السابقة، في سبتمبر 2025، فكشفت نحو 1.7 مليون سجلّ.
والمهلة الثانية تنطبق على Cushman & Wakefield، التي أفصح عنها بشكل منفصل اليوم، 5 مايو، كونور جونز من The Register. ويوصف الاقتحام بأنه مدفوع بالتصيّد الصوتي — أي هجوم هندسة اجتماعية عبر مكالمة هاتفية ضدّ مكتب الدعم لدى الشركة — مع استخدام بيانات الاعتماد التي حُصل عليها من مكتب الدعم للنفاذ إلى نسخة الشركة من Salesforce. وCushman & Wakefield واحدة من أكبر شركات خدمات العقارات التجارية في العالم، ولها مكاتب في نحو 60 دولة وعملاء في قطاعات الخدمات المالية والحكومة والتجزئة والرعاية الصحية والتقنية. وبحسب التقارير، احتوت نسخة Salesforce على سجلّات إدارة علاقات العملاء، وخطوط الصفقات، ومراسلات الوساطة، وبيانات المستأجرين.
ومهلة تواصل ShinyHunters، بحسب الإفصاح: 6 مايو. اليوم نفسه لمهلة Instructure. والفاعل نفسه، بحسب نسبة مصدر The Register.
واليوم، 5 مايو، هو اليوم السابق.
طبقة Salesforce
Salesforce هي طبقة البرمجيات كخدمة الحاملة للثقة الوحيدة التي يقيم فيها أكبر تركّز لبيانات المؤسسات العابرة للعملاء. نحو 150,000 مؤسسة عميلة، بحسب تقارير Salesforce المنشورة، تضمّ غالبية شركات Fortune 500، ومئات الآلاف من مؤسسات التعليم في مرحلتَي ما قبل الجامعة وما بعدها، ووكالات حكومية فيدرالية وولائية، وعشرات الآلاف من المنظمات غير الربحية.
وحين يحتفظ مورّد واحد ببيانات علاقات العملاء لـ 150,000 مؤسسة على منصّة مشتركة متعدّدة المستأجرين، فإن كلّ استغلال جديد ضدّ المنصّة — أو ضدّ مسار مصادقة عميل واحد إليها — يملك القدرة المعمارية على الوصول إلى كلّ العملاء في اللحظة نفسها.
وقد برهن عنقود ShinyHunters في 2024-2025 — Snowflake، وAT&T، وTicketmaster، وAdvance Auto Parts، وLendingTree، وPure Storage، ونحو 165 عميلًا — على هذا النمط. وكان المسار حينها نسخ Snowflake المُعدّة إعدادًا خاطئًا لدى العملاء؛ والبيانات المأخوذة كانت تخصّ عملاء أولئك العملاء. أما إفصاحا Instructure وCushman & Wakefield في مايو 2026 فهما النمط نفسه لدى مورّد مختلف: Salesforce بوصفها المجمّع متعدّد المستأجرين؛ والتصيّد الصوتي بوصفه المسار إلى المصادقة؛ وبيانات عملاء العملاء بوصفها الحمولة المسرَّبة.
والدرس المعماري من هذا النمط بنيوي. فاختيار البرمجيات كخدمة الحاملة للثقة هو القرار المعماري الأكثر أثرًا الذي تتّخذه مؤسسة، لأنه يحدّد نطاق انفجار كلّ استغلال جديد. والمؤسسة التي تأتمن بيانات علاقات عملائها لمنصّة برمجيات كخدمة متعدّدة المستأجرين تقبل، وفق الاختبار المعماري، أن استغلالًا ضدّ أيّ عميل من عملاء تلك المنصّة قد يصل إلى بياناتها. أما المؤسسة التي تشغّل Mailcow وForgejo وخادم Matrix منزليًّا وNextcloud وMautic وSuiteCRM بنفسها فقد حدّت نطاق انفجارها بمحيطها وحده.
التناقض
في الأسبوع نفسه الذي تتقارب فيه مهلتا Instructure / Cushman & Wakefield، يتحرّك التنظيم في ولايات قضائية عدّة لفرض مزيد من رفع الهوية إلى المورّدين.
موعد الإلزام بواجهة Apple للنطاق العمري المعلَن هو 1 يوليو 2026 — أي بعد سبعة وخمسين يومًا من اليوم. والواجهة، بمواصفتها الحالية، تُلزم التطبيقات الموجَّهة لمستخدمين دون الثامنة عشرة بالاتصال ببنية الهوية لدى Apple للحصول على نطاق عمري معلَن لمستخدم الجهاز. والآلية التي يُثبَت بها عمر المستخدم ليست تعمية بالإفصاح الانتقائي؛ إنها إثبات هوية على مستوى الحساب تقوم به Apple، مع إنشاء سجلّات تحقّق عند كلّ استدعاء.
تقارير إنفاذ Ofcom البريطانية بشأن Meta وTikTok وYouTube وSnapchat وRoblox وX كانت مستحقّة فور انقضاء مهلة 30 أبريل. والمادة 12 من قانون السلامة على الإنترنت بشأن ضمان العمر تُلزم المنصّات بتطبيق تحقّق عمري "highly effective" أي «شديد الفعّالية». وقد وصفت ميلاني داوز، الرئيسة التنفيذية لـ Ofcom، التنظيم في شهادتها في مارس 2026 قائلة: «يجب أن تكون المنصّات "highly confident" — أي واثقة إلى حدّ عالٍ — من أعمار المستخدمين وقت الوصول». وقد جرى تفعيل عبارة "highly confident" عمليًّا بوصفها رفعًا لهوية صادرة عن الحكومة، أو مسحًا حيويًّا للوجه، أو إثبات هوية مماثلًا.
قانون الخدمات الرقمية الأوروبي وتطبيق التحقّق من العمر المرجعي الأوروبي. في أواخر أبريل 2026 شحن الاتحاد الأوروبي تطبيق تحقّق من العمر مرجعيًّا مفتوح المصدر بوصفه الأساس التقني لإلزام التحقّق من العمر المرتقب. وتجاوز بول مور، المستشار الأمني البريطاني العامل بشكل مستقلّ، هذا التطبيق في دقيقتين بتعديل ملفّ ضبط نصّي صريح. ورقّع الاتحاد الأوروبي الثغرة خلال أربع وعشرين ساعة. وقد بُني التطبيق المرجعي على يد مهندسين مهرة تحت رقابة تمويل أوروبي. وتجاوزه مستشار أمني متعاقد واحد في دقيقتين.
محفظة الهوية الرقمية الأوروبية. مهلة صارمة في 24 ديسمبر 2026 — أي بعد 233 يومًا من اليوم — لكي توفّر الدول الأعضاء محافظ eIDAS 2.0 عاملة. والبنية، وهذا مهمّ، قائمة على الإفصاح الانتقائي: فالمحفظة، لا الجهة المتحقّقة، هي التي تحوز بيانات الاعتماد، ولا تفصح إلّا عن السمات المطلوبة. وهذه هي الآلية الصحيحة معماريًّا. لكن نضج التنفيذ يتفاوت بين الولايات القضائية، والإطار التنظيمي المحيط بالمحفظة لا يُلزم الجهات المتحقّقة من أطراف ثالثة بقبول براهين الإفصاح الانتقائي بديلًا عن الإفصاح الكامل عن الهوية.
حظر أستراليا لوسائل التواصل لمن هم دون السادسة عشرة. يسري في أواخر 2026، ويُلزم المنصّات بالتحقّق من أن المستخدمين في السادسة عشرة أو أكبر. وآلية التحقّق غير محدّدة.
قانون SREN الفرنسي. ينصّ على التحقّق من العمر للمحتوى الموجَّه للبالغين، بآليات تتراوح بين التحقّق ببطاقة ائتمان ورفع هوية صادرة عن الحكومة وإثبات حيوي.
قوانين التحقّق من العمر على مستوى الولايات الأمريكية. قانون تكساس SB 2420، الذي أوقفته الدائرة الخامسة في 23 ديسمبر 2025، كان يفرض رفع الهوية للنفاذ إلى محتوى البالغين. وقد أقرّت كاليفورنيا وفلوريدا وميسيسيبي وتينيسي وفرجينيا وولايات أخرى تشريعات مماثلة.
والنمط في كلّ ولاية قضائية: التحقّق من العمر، في النصّ التنظيمي، جرى تفعيله عمليًّا بوصفه رفعًا للهوية إلى مورّد من طرف ثالث، مع إنشاء سجلّات تحقّق عند كلّ استدعاء. فالمورّد هو مسار المشغّل. وسجلّ التحقّق هو ناقل المراقبة.
المورّد
في 16 فبراير 2026، انكشفت للعلن لوحة العمليات الموجَّهة للحكومات لدى Persona، مورّد التحقّق من العمر لدى Discord. وعرضت اللوحة معلومات العملاء وتهيئات التكامل وسجلّات التحقّق. واكتشف الانكشاف باحث أمني من طرف ثالث وأفصح عنه ضمن الإفصاح المسؤول. وتشمل قاعدة عملاء Persona منصّة Discord (نحو 300 مليون مستخدم)، وعددًا من عملاء المنصّات الاستهلاكية الآخرين.
والدلالة المعمارية: المورّد الذي تعتمد عليه Discord للتحقّق من أعمار مستخدميها — أي لحيازة وثائق الهوية الصادرة عن الحكومة والنتائج التعموية للتحقّق من الهوية — انكشفت لوحة عملياته بلا مصادقة لمدّة غير مُفصح عنها. فمورّد التحقّق من العمر هو مورّد آخر في سلسلة توريد البرمجيات كخدمة الحاملة للثقة، وهو خاضع لاختراق مسار المشغّل نفسه الذي يمسّ كلّ برمجيات كخدمة حاملة للثقة.
وفي 24 فبراير 2026، غرّم مكتب مفوّض المعلومات البريطاني منصّة Reddit مبلغ 14.47 مليون جنيه إسترليني (18.4 مليون دولار) بسبب تعاملها مع بيانات التحقّق من العمر. والنتيجة المحدّدة: أن آلية التحقّق من العمر لدى Reddit جمعت صور هويات صادرة عن الحكومة واحتفظت بها بعد انقضاء نافذة التحقّق المشروعة، بما يخالف المادة 5(1)(هـ) من اللائحة العامة لحماية البيانات البريطانية — أي مبدأ الحدّ من التخزين.
وفي 23 أبريل 2026، وصف أندي ين، الرئيس التنفيذي لـ Proton، في جولة مقابلات منسّقة شملت الغارديان وبلومبرغ وTechCrunch، إلزامات التحقّق من العمر المتكاثرة بأنها «موت إخفاء الهوية على الإنترنت». وحجّة ين تحديدًا:
«التحقّق من العمر بالصيغة المقترحة الآن في بلد بعد بلد يعني موت إخفاء الهوية على الإنترنت. فالبنية لا تختلف بنيويًّا عن قاعدة بيانات تضمّ وثائق هوية كلّ بالغ والخدمات التي دخل إليها».
ووصفة ين: على المنظِّمين أن ينصّوا على بيانات الاعتماد ذات الإفصاح الانتقائي بوصفها آلية التحقّق، لا على إثبات الهوية من جانب المورّد.
المضادّ المعماري
المضادّ المعماري لتنظيم رفع الهوية هو حزمة من العناصر التعموية الأوّلية التي تُشحن اليوم.
بيانات الاعتماد القابلة للتحقّق من W3C، الإصدار 2.0، المصدَّق في مارس 2026، وهو يدعم الإفصاح الانتقائي عبر تواقيع BBS+ وBBS24 وJWP. فالمستخدم يحوز بيانَ اعتماد تصدره جهة (إدارة مركبات في ولاية، أو هيئة هوية وطنية، أو مسجّل جامعة). ويستطيع المستخدم أن يفصح عن سمات محدّدة من ذلك البيان — سمة «العمر لا يقلّ عن 18» — دون الإفصاح عن البيان نفسه. ولا تعلم الجهة المتحقّقة سوى السمة المُفصح عنها.
المعرّفات اللامركزية، الإصدار 1.1، وهو يدعم أساليب did:web وdid:peer وdid:ion وdid:key. فالمعرّف اللامركزي هو المعرّف التعموي الذي يتحكّم به المستخدم؛ وحلّه لامركزي؛ ولا يقتضي الحلّ الخاصّ بكلّ أسلوب سجلًّا واحدًا.
محفظة الهوية الرقمية الأوروبية بموجب eIDAS 2.0. مهلة صارمة في 24 ديسمبر 2026 (بعد 233 يومًا من اليوم). فالمحفظة، لا الجهة المتحقّقة، هي التي تحوز بيانات الاعتماد، ولا تفصح إلّا عن السمات المطلوبة. وهي إلزامية لجميع الدول الأعضاء السبع والعشرين.
طقم تواقيع BBS+. قيد التقييس في IETF. وهو العنصر التعموي الأوّلي الذي يتيح الإفصاح الانتقائي عن بيان اعتماد موقَّع واحد: فالجهة المتحقّقة تتحقّق من التوقيع؛ ونطاق الإفصاح يحدّده المستخدم.
رموز Privacy Pass المجهولة. RFC 9577، المنشور في أكتوبر 2024. فالجهة المتحقّقة لا تستطيع ربط عمليات تحقّق منفصلة بالمستخدم نفسه. وApple وGoogle وCloudflare هي الجهات الثلاث التي تنشره إنتاجيًّا اليوم.
رخصة القيادة المحمولة في Apple Wallet (mDL)، وفق المعيار ISO/IEC 18013-5، في ثلاث عشرة ولاية إضافة إلى بورتوريكو. فالهاتف يحوز بيان الاعتماد. والإفصاح الانتقائي مُنفَّذ على طبقة البروتوكول بين الهاتف والجهة المتحقّقة. ويستطيع المستخدم أن يفصح عن «فوق 21» دون الإفصاح عن تاريخ الميلاد أو الصورة أو العنوان أو رقم الرخصة.
هوية ولايات الولايات المتحدة في Google Wallet. بنية مماثلة لرخصة القيادة المحمولة في Apple Wallet.
شفافية سلامة سلسلة التوريد IETF SCITT. الأساس التعموي للتحقّق من الادّعاءات المتعلّقة بسلاسل توريد البرمجيات دون رفع البرمجيات نفسها.
الحزمة تُشحن اليوم. والتنظيم الذي يحلّ في أواخر 2026 ينبغي أن ينصّ على الإفصاح الانتقائي بوصفه آلية التحقّق. وحيث لا ينصّ المنظِّم عليه، على المورّدين أن يتبنّوه طوعًا.
النظير على مستوى الدولة
في 21 أبريل 2026، رفع الاتحاد الأمريكي للحرّيات المدنية ومنظمة Common Cause دعوى فيدرالية ضدّ وزارة العدل تطعن في أوّل تجميع فيدرالي على الإطلاق لسجلّات الناخبين في الولايات الخمسين كلّها ضمن قاعدة بيانات واحدة خاضعة للسيطرة الفيدرالية. ويشمل التجميع أرقام الضمان الاجتماعي وتواريخ الميلاد لنحو 168 مليون ناخب أمريكي مسجَّل. وقد استقال مسؤول خصوصية رفيع في وزارة العدل في 3 أبريل بسبب المشروع.
والدلالة المعمارية هي نفسها دلالة تركّز Salesforce. فمحيط واحد لأكثر البيانات الشخصية حساسيةً سياسيًّا لجمهور الناخبين بأسره هو، وفق الاختبار المعماري، على بعد اختراق واحد من كشف 168 مليون سجلّ من أرقام الضمان الاجتماعي وتواريخ الميلاد. واختراق من جهاز استخبارات أجنبي أو جماعة ابتزاز إجرامية أو شخص من الداخل سيجعل بيانات 168 مليون أمريكي دائمة وموزَّعة بلا رجعة.
والمضادّ المعماري هو الفيدرالية بحكم التصميم. أي مزامنة سجلّات الناخبين في الولايات مزامنةً عابرة من أجل نزاهة الانتخابات (إزالة التكرار وتتبّع تغيّر العناوين) دون إنشاء تجميع فيدرالي دائم. وبروتوكولات تعموية للمقارنة العابرة — تقاطع المجموعات الخاصّ، والحوسبة متعدّدة الأطراف — تحقّق الهدف السياساتي المتمثّل في إزالة التكرار عبر الولايات دون المخاطرة المعمارية.
وفي الأسبوع نفسه الذي تتقارب فيه مهلتا Instructure / Cushman & Wakefield، تمركز الحكومة الفيدرالية سجلّات الناخبين — ويطعن المجتمع المدني في ذلك أمام محكمة فيدرالية لأجل مخاوف المخاطرة المعمارية نفسها التي تدور حولها هذه النشرة.
أرضية الرعاية الصحية
سجّل الربع الأول من 2026 مئتين وواحدًا من هجمات الفدية على المستشفيات في الولايات المتحدة وحدها، بحسب تجميعات Comparitech / KrebsOnSecurity / Privacy Rights Clearinghouse. وQilin هي عائلة الفدية الأكثر نشاطًا. ومن الضحايا المسمَّين الذين لا يزالون في أطوار إفصاح نشطة: منظومة جامعة ميريلاند الطبية، وInsight Hospital Chicago، وHospital Caribbean Medical Center.
وبلغت التسوية الرباعية لـ HIPAA التي أعلنها مكتب الحقوق المدنية في وزارة الصحة والخدمات الإنسانية في 23 أبريل نحو 1.7 مليون دولار، وشملت 427,000 مريض. واللافت أن أحد مكوّنات التسوية — Star Group / SG Health Plan بمبلغ 245,000 دولار — كان ضربة غير معتادة لخطّة صحية يرعاها صاحب عمل، بما يشير إلى أن المكتب يوسّع إنفاذ HIPAA ليشمل رعاة الخطط لا مقدّمي الخدمة المشمولين وحدهم.
وصار الباب 42 من مدوّنة اللوائح الفيدرالية، الجزء 2، وهو القاعدة الفيدرالية التي تحكم خصوصية سجلّات علاج اضطرابات تعاطي المواد، قابلًا للإنفاذ مدنيًّا في 16 فبراير 2026. والقاعدة الآن مُلزِمة بعقوبات مدنية. ودخلت تسوية التنصّت في قضية Naviance / PowerSchool بقيمة 17.25 مليون دولار طور المطالبات، وهي تشمل أكثر من 10 ملايين طالب.
وقطاعا الرعاية الصحية والتعليم هما أشدّ برهانين راهنين على أن حيازة المورّد فخّ. والمضادّ المعماري عند هذه الطبقة: جمع بالحدّ الأدنى الضروري، وبيانات اعتماد ذات إفصاح انتقائي لنفاذ الأطبّاء، ونسخ احتياطية معزولة وغير متّصلة، وبنية استعادة غير قابلة للتغيير على مستوى نظام التشغيل، ومصادقة عتادية بمعيار FIDO2 لمحطّات عمل الأطبّاء.
تتمّة سلسلة التوريد
22 أبريل 2026: بلغ تتابع Bitwarden-CLI — عبر الاستيلاء على Checkmarx KICS في Docker Hub — بيئة الإنتاج. والجديد فيه: أن الحمولة الخبيثة في Bitwarden-CLI كانت أوّل هجوم يُرصد علنًا في البرّية ويستهدف تهيئات خوادم بروتوكول سياق النموذج (MCP).
فحمولة Bitwarden، عند تثبيتها، تبحث عن .cursor/mcp.json و.claude/settings.json وما يماثلهما من ملفّات تهيئة خوادم MCP لمساعدي البرمجة بالذكاء الاصطناعي، وتستبدل بنقاط نهاية خوادم MCP المشروعة نقاطَ نهاية يتحكّم بها الخصم. وبذلك تمرّ الاستدعاءات اللاحقة لمساعد البرمجة عبر خادم MCP الذي يتحكّم به الخصم، مسرِّبةً المطالبات وإكمالات الشيفرة.
والدلالة المعمارية: بنية بروتوكول سياق النموذج الاتحادية، التي يُفترض أن تكون المضادّ من جانب المستخدم لأسطح الحزم المركزية في npm وPyPI وDocker Hub، صارت هي نفسها هدفًا. وأوّل هجوم يُرصد علنًا على تهيئة MCP يغلق الردّ القائل «MCP الاتحادي أكثر أمانًا بنيويًّا من سجلّات الحزم المركزية». فـ MCP الاتحادي مختلف بنيويًّا، لكنه صار أيضًا تحت الهجوم. والردّ من جانب المستخدم: التحقّق من التواقيع التعموية لنقاط نهاية خوادم MCP، وبناءات قابلة لإعادة الإنتاج لخوادم MCP، وإيقاع تحديث لـ MCP خاصّ بكلّ مؤسسة مع تسجيل تدقيقي.
RightsCon لوساكا
اليوم، 5 مايو 2026: أُلغي مؤتمر RightsCon 2026 في لوساكا — وهو الملتقى العالمي للحقوق الرقمية الذي تستضيفه Access Now سنويًّا منذ 2011 — قبل أيام من افتتاحه، بعدما طالبت الحكومة الزامبية، تحت ضغط مُبلَّغ عنه من جمهورية الصين الشعبية، بأن تستبعد Access Now المندوبين التايوانيين من الملتقى. ورفضت Access Now. وأُلغي الملتقى. وسجّلت مؤسسة الحدود الإلكترونية وهيومن رايتس ووتش وFront Line Defenders مواقفها علنًا.
والدلالة المعمارية لهذه النشرة: مُحي المكان الرئيسي لملتقى المجتمع المدني العالمي للحقوق الرقمية بضغط صيني على الحكومة المضيفة. وقد كان RightsCon المكان الذي نشر فيه مشروع Tor نواقل الالتفاف للمستخدمين المعرَّضين للخطر؛ وحيث عرض Citizen Lab كشوف Pegasus؛ وحيث التقت Apple وGoogle وMeta وSignal وProton وTuta بباحثي الخصوصية؛ وحيث نسّق التحالف العالمي للتشفير.
والإلغاء لا يلغي العمل، لكنه يلغي الالتقاء الحضوري. وأدوات تنسيق المجتمع المدني التي لا تعتمد على بلد مضيف واحد — خوادم Matrix المنزلية الاتحادية والندّ للندّ وغير المتزامنة، وForgejo، وMailcow، وJitsi، وBriar — تصير البديل المعماري. فحزمة العناصر الأوّلية نفسها التي تحمي حيازة المستخدم لهويته تحمي أيضًا تنسيق المجتمع المدني من تعطيل بلد مضيف واحد.
ما بعد الكمّية
6 مارس 2026: بدأت Signal بفرض بروتوكول SPQR / Triple Ratchet المقاوم للحوسبة الكمّية على تسجيلات الحسابات الجديدة. وهو أوّل قطع صارم لمسار غير مقاوم للكمّية في مراسل استهلاكي كبير. وأُلغي تسجيل حسابات signal-cli جماعيًّا (وهو العميل غير الرسمي لسطر الأوامر المستخدم على نطاق واسع للبوتات وسير العمل المؤتمت وتكاملات الجسور). وتعطّل كثير من البوتات. والدلالة المعمارية أن فرض الانتقال إلى التعمية المقاومة للكمّية بقطع المسارات غير المقاومة صارمًا هو وضعية نشر مختلفة جوهريًّا عن عرض امتدادات اختيارية.
30 مارس 2026: نشرت Google Quantum AI، مع جاستن دريك (مؤسسة إيثيريوم) ودان بونيه (ستانفورد)، ورقة تبرهن على خفض بنحو 20 ضعفًا في عدد الكيوبتات اللازم لكسر لوغاريتم المنحنى البيضوي secp256k1 في بيتكوين. والحدّ الأدنى الجديد: أقلّ من 500,000 كيوبت فيزيائي، بزمن هجوم يُقاس بالدقائق متى وُجد ذلك العتاد. وsecp256k1 في بيتكوين يؤمّن نحو 2 تريليون دولار من القيمة السوقية. والانتقال إلى تواقيع مقاومة للكمّية يقتضي تغييرات في بروتوكول التوافق؛ ومسار BIP للانتقال إلى ما بعد الكمّية قيد النقاش النشط.
21 أبريل 2026: أكّدت ورقة من Coinbase / ستانفورد / مؤسسة إيثيريوم أن تجميعات المعرفة الصفرية (Aleo وAztec وRailgun) محصَّنة ضدّ الكمّية نظريًّا-معلوماتيًّا بحكم تصميمها. ويمكن نقل منظومة التوقيع فوق طبقة التسوية الخاصة بالتجميع إلى عناصر أوّلية مقاومة للكمّية دون تغيير ضماناتها التعموية.
والمضادّ المعماري الجاهز لما بعد الكمّية في المراسلة والنقل والتواقيع: Signal SPQR، والتحقّق من مفاتيح جهات الاتصال في iMessage، وبنية التوقيع الجاهزة لما بعد الكمّية في Apple Wallet، ونشر Cloudflare الهجين لـ ML-KEM في TLS بأكثر من 60%، وتفعيل Akamai الافتراضي لما بعد الكمّية في 31 يناير. وينقضي FIPS 140-2 في 21 سبتمبر 2026، وهو منحدر الشراء الفيدرالي.
قوس الأسبوع الواحد
اليوم (5 مايو) يقع ضمن إيقاع معيّن من الساعات.
- غدًا (6 مايو): مهلة ShinyHunters لشركة Instructure. ومهلة ShinyHunters لشركة Cushman & Wakefield.
- 11-22 مايو: تدقيق Trail of Bits لـ FCMP++ في مونيرو.
- 14 مايو: جلسة الإنصاف النهائية في تسوية Bartz ضدّ Anthropic بقيمة 1.5 مليار دولار. وإغلاق طلبات مزوّدي خدمات الدفع لليورو الرقمي.
- 15 مايو: مهلة رفع السرّية عن رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس (إصلاح المادة 702).
- 12 يونيو: انقضاء المادة 702.
- 30 يونيو: مهلة CURP Biométrica المكسيكية (127 مليون خطّ محمول).
- 1 يوليو: موعد الإلزام بواجهة Apple للنطاق العمري المعلَن.
- 2 أغسطس: بدء سريان أحكام الذكاء الاصطناعي العام في قانون الذكاء الاصطناعي الأوروبي.
- 11 سبتمبر: الإفصاح عن الثغرات إلى ENISA خلال 24 ساعة بموجب قانون المرونة السيبرانية الأوروبي.
- 21 سبتمبر: انقضاء FIPS 140-2.
- 24 ديسمبر: المهلة الصارمة لمحفظة الهوية الرقمية الأوروبية.
وكلّ ساعة منها مهلة مؤسسية أو تنظيمية أو بروتوكولية. أما حزمة العناصر الأوّلية التي يتحكّم بها المستخدم — الحزمة نفسها المسمّاة في النشرات الثلاث السابقة — فلا تتوقّف على أيّ اتجاه تسلكه هذه الساعات.
الخاتمة
مهلة الغد ليست لحظة الاختراق. فالاختراق وقع بالفعل. الغد هو لحظة التوزيع.
275 مليون سجلّ من بيانات طلاب مرحلة ما قبل الجامعة وما بعدها، إضافةً إلى مليارات الرسائل الخاصة بين الطلاب والمعلّمين، إضافةً إلى بيانات علاقات عملاء واحدة من أكبر شركات العقارات التجارية في العالم، كلّها تقيم على نسخ من Salesforce تخضع اليوم للابتزاز في وقت واحد ومن الفاعل نفسه. واليوم هو اليوم السابق. وإشعار ShinyHunters "FINAL WARNING — PAY OR LEAK" — أي «إنذار أخير — ادفعوا أو نسرّب» — يحدّد 6 مايو.
وفي الأسبوع نفسه، تفرض البنية التنظيمية في ولايات قضائية عدّة مزيدًا من رفع الهوية إلى المورّدين. واجهة Apple للنطاق العمري المعلَن. وإنفاذ Ofcom البريطاني. وتطبيق التحقّق من العمر المرجعي الأوروبي. وحظر أستراليا لمن هم دون السادسة عشرة. وقانون SREN الفرنسي. وقوانين الولايات الأمريكية. فالمورّد الذي يحوز الهوية هو المورّد الذي يُخترق. أما المضادّ المعماري — بيانات اعتماد ذات إفصاح انتقائي بمفاتيح يحوزها المستخدم — فموجود في معايير W3C وIETF وNIST، مصدَّقًا ومنشورًا ويُشحن اليوم. والنصّ التنظيمي لم يلحق بعد.
وحزمة العناصر الأوّلية التي يتحكّم بها المستخدم، المسمّاة في النشرات الثلاث السابقة — عملاء مفتوحون بمفاتيح يحوزها المستخدم، وعتاد مفتوح البرامج الثابتة، ومصادقة FIDO2، ونواقل مقاومة للحجب، وعملات مشفّرة حافظة للخصوصية، وذكاء اصطناعي بالاستدلال المحلّي، وهوية اتحادية بإفصاح انتقائي، وخدمات مستضافة ذاتيًّا — لا تملك، بحكم خاصّيتها المعمارية «لا رفع»، أيّ سطح يمكن أن تديره الآليات الأربع المسمّاة في النشرة الثالثة (تراجع الشركات، والإلزام المؤسسي، وقسر الدولة، والاختراق الجنائي)، ولا أيّ سطح يمكن أن تديره آلية «حيازة المورّد فخًّا» المسمّاة في هذه النشرة.
لا ترفع هويتك إلى مورّد التحقّق من العمر. أفصح عن العمر تعمويًّا.
لا ترفع سجلّات الطلاب إلى نظام إدارة تعلّم كخدمة. استضف النظام على بنية يشغّلها المستخدم.
لا ترفع بيانات علاقات العملاء إلى منصّة واحدة متعدّدة المستأجرين. قسّمها لكلّ مؤسسة على حدة.
لا ترفع السجلّات الطبية إلى مورّد سجلّات صحية إلكترونية واحد. احتفظ بالسجلّات وفق قاعدة الحدّ الأدنى الضروري في HIPAA.
لا ترفع بيانات المعاملات إلى مشغّل عملة مستقرّة. سوِّ بعملات محفوظة بحيازة المستخدم.
لا ترفع مطالبات الذكاء الاصطناعي إلى سجلّ لدى طرف ثالث. شغّل الاستدلال على عتاد يتحكّم به المستخدم.
لا ترفع سجلّات ناخبي الولايات إلى قاعدة بيانات فيدرالية. زامِن مزامنةً عابرة بمقارنة تعموية.
لا ترفع.