مكدّس الاعتماديات

AA26-097A

في 7 أبريل 2026 وقّعت ستّ وكالات سيبرانية فيدرالية أمريكية على الاستشارة السيبرانية المشتركة AA26-097A. والوكالات هي: مكتب التحقيقات الفيدرالي، ووكالة الأمن السيبراني وأمن البنية التحتية، ووكالة الأمن القومي، ووكالة حماية البيئة، ووزارة الطاقة، والقيادة السيبرانية الأمريكية. وتنسب الاستشارة التعطيل النشط لمتحكّمات Rockwell Automation المنطقية القابلة للبرمجة المعرَّضة للإنترنت في منشآت المياه والصرف الصحّي والطاقة الأمريكية إلى عنقود «CyberAv3ngers» التابع للقيادة السيبرانية الإلكترونية في الحرس الثوري الإيراني.

وتؤكّد الاستشارة صراحةً وقوع تعطيل تشغيلي وخسارة مالية لدى ضحايا مسمَّين. أما دلالتها البنيوية فهي إدراج وكالة حماية البيئة موقِّعةً مشاركة. فسلطة الوكالة في الأمن السيبراني لقطاع المياه محلّ نزاع منذ إبطال محكمة عام 2023 لقاعدة الوكالة الخاصة بالأمن السيبراني لمرافق المياه. والاستشارة المشتركة الصادرة في 7 أبريل هي أكثر الوثائق الفردية حجّية التي نشرتها الحكومة الفيدرالية عن الأمن السيبراني في قطاع المياه منذ ذلك الإبطال.

وقد سبق أن نسبت Mandiant وCrowdStrike عنقود «CyberAv3ngers» إلى القيادة السيبرانية الإلكترونية في الحرس الثوري. وتشمل عدّته، بحسب الاستشارة، الاستطلاع بالاعتماد على بيانات الاعتماد الافتراضية والمتحكّمات المنطقية المعرَّضة للإنترنت، وشبكة «IOControl» لإقامة نفاذ دائم على النقاط الطرفية الصناعية.

والحملة تسبق الضربات الإسرائيلية-الأمريكية على إيران في 28 فبراير 2026، لكنها اشتدّت بشكل ملموس منذئذ. والنسبة على المستوى الفيدرالي، وبتوقيع وكالة حماية البيئة، تشير إلى أن الحملة بلغت عتبة أثر — تعطيل تشغيلي وخسارة مالية لدى ضحايا مسمَّين — يعتبر مجتمع الدفاع السيبراني الفيدرالي أنها تستوجب النسبة العلنية.

ستّ عشرة ساعة

في 14 مارس 2026 تعرّضت مدينة ماينوت بولاية داكوتا الشمالية لهجوم فدية على طبقة SCADA في محطّة معالجة المياه البلدية. وبلغ الاختراق طبقة الإشراف والتحكّم وجمع البيانات — أي الطبقة التشغيلية التي تقيم فيها نقاط الضبط والإنذارات ومنطق العمليات — لا طبقة تقنية المعلومات المؤسسية وحدها.

وشغّلت مرفق المياه عملياته يدويًّا ستّ عشرة ساعة بينما كان المهندسون يستعيدون SCADA. وتأثّر نحو ثمانين ألف مقيم. والتشغيل اليدوي عنى فتح الصمّامات وإغلاقها باليد بتعليمات المشغّل؛ وضبط إضافة المواد الكيميائية بعدّادات تناظرية وبعين المشغّل؛ وتشغيل المضخّات بمفتاح مادّي. وظلّ ناتج مياه الشرب آمنًا طوال نافذة التشغيل اليدوي لأن المشغّلين مدرَّبون على الإجراءات اليدوية، حتى حين تتعطّل الطبقة الرقمية.

والدرس المعماري بنيوي. فمرونة مرفق مياه يخدم 100,000 نسمة تأتي من مشغّلين يستطيعون تنفيذ إجراءات يدوية حين تتعطّل الطبقة الرقمية، لا من كون نظام بعينه في تقنية المعلومات أو التقنية التشغيلية غير قابل للاختراق. والردّ من جانب المستخدم: الحفاظ على إجراءات احتياطية يدوية؛ وتدريب المشغّلين عليها؛ وممارستها دوريًّا؛ وفصل شبكة تقنية المعلومات عن التقنية التشغيلية؛ واستخدام صمّامات البيانات أحادية الاتجاه حيث لا حاجة إلى نفاذ ثنائي الاتجاه.

110 ملايين عدّاد

في 13 و27 أبريل 2026، أفصحت Itron — وهي واحدة من ثلاثة مورّدين مهيمنين للعدّادات الذكية في قطاعات الكهرباء والغاز والمياه في أمريكا الشمالية — عن اختراقين يمسّان أكثر من 110 ملايين عدّاد مرافق حول العالم.

وعدّادات Itron ترفع قياسات الاستهلاك إلى أنظمة الفوترة وإدارة الأحمال لدى المرافق. وكثير منها يتضمّن أيضًا تحكّمًا بمرحّل الفصل، بما يتيح قطع الخدمة عن بُعد بأمر من المرفق. والاختراق على مستوى مورّد العدّادات — أي على الطبقة التي تعلو محيط أيّ مرفق بعينه — يصل إلى كلّ عميل مرافق يستخدم عدّاد ذلك المورّد.

والدرس المعماري: منظومة العدّادات الذكية تضمّ طبقة تجميع لدى المورّد (صانع العدّاد)، وتلك الطبقة محيط واحد لبيانات عابرة للمرافق وتحكّم عابر للمرافق. وبحسب إفصاح Itron، لم يؤدِّ الاختراقان إلى تفعيل فصل جماعي، لكن انكشاف البيانات العابرة للمرافق دائم.

والردّ من جانب المستخدم: تجميع القياسات بأسلوب يحفظ الخصوصية (خصوصية تفاضلية على مستوى العدّاد — وتوجد تنفيذات بحثية لها)؛ وحقّ العميل في تعطيل مرحّل الفصل (حيث يسمح التشريع)؛ والانسحاب المحلّي من بنية القياس المتقدّمة حيث تسمح سياسة المنظِّم.

139 غيغابايت

في 27 أبريل 2026، أفصحت Pickett USA — وهي شركة خدمات هندسية أمريكية متخصّصة في LiDAR وهندسة المحطّات الفرعية لجانب المرافق — عن تسريب بحجم 139 غيغابايت. وتغطّي البيانات Tampa Electric وDuke Energy Florida وAmerican Electric Power. وهي ثلاثة من أكبر المرافق المملوكة للمستثمرين في شرق الولايات المتحدة.

وبيانات LiDAR وهندسة المحطّات الفرعية ليست موجَّهة للمستهلك. إنها تصف التخطيط الفيزيائي وتوضّع المعدّات ومسارات القنوات وتهيئة معدّات القطع وإعدادات الحماية والتحكّم في المحطّات الفرعية عالية الجهد — أي المواصفة التقنية التي يحتاجها مهاجم لتخطيط ضربات دقيقة ضدّ الأصول المادّية للشبكة.

وحين تُسرَّب هذه البيانات، تصير دائمة. ولا سبيل إلى استرجاعها.

والدرس المعماري: طبقة الخدمات الهندسية هي طبقة تجميع لدى المورّد لبيانات التصميم الفيزيائي للشبكة عبر مرافق متعدّدة. والردّ من جانب المستخدم وجانب المرفق: تقليل المشاركة الخارجية لبيانات التصميم الفيزيائي الكاملة للشبكة؛ وتقسيم بيانات التصميم وفق مبدأ الامتياز الأدنى؛ وألّا تكون البيانات الفيزيائية للتصميم قابلة للتجميع عبر المرافق.

هيثرو متوقّف

في 4 أبريل 2026، أسقط عطل برمجي لدى Collins Aerospace مطارات هيثرو وبروكسل وبرلين. وتأثّرت عمليات شركات الطيران في أنحاء أوروبا؛ ويتحرّك عبر هيثرو وحده نحو 220,000 مسافر يوميًّا.

وتشغّل Collins Aerospace حزمة برمجيات ARINC لمناولة الركّاب، وهي مستخدَمة لدى نحو ثلث شركات الطيران الأوروبية وعشرات المطارات الأوروبية. والعطل البرمجي لدى Collins يصل إلى كلّ مطار يستخدم ARINC في اللحظة نفسها — أي بنية برمجيات كخدمة بنقطة فشل واحدة لعمليات الطيران.

والدرس المعماري: طبقة عمليات الطيران الأوروبية تركّزت في عدد صغير من مورّدي برمجيات التشغيل، وأيّ عطل برمجي لدى أحدهم ينتشر فورًا عبر مطارات دول ذات سيادة متعدّدة. ولم يكن عطل 4 أبريل عدائيًّا — بل كان خللًا في نشر برمجي — لكن السطح المعماري نفسه في متناول الفعل العدائي.

والردّ من جانب المستخدم هنا على مستوى السياسات: على سلطات المطارات أن تفرض تنوّع المورّدين في برمجيات التشغيل؛ وعلى الناقلات أن تحافظ على إجراءات احتياطية يدوية لمناولة الركّاب؛ وعلى المنظِّمين أن يعاملوا مورّدي برمجيات التشغيل بوصفهم بنية تحتية حرجة بموجب توجيه NIS2 الأوروبي وما يعادله من أنظمة وطنية.

محطّة السويد الحرارية

في 15 أبريل 2026، نسبت السويد علنًا محاولة اقتحام تخريبية لمحطّة حرارية إلى الاستخبارات الروسية. وأصدرت هيئة الأمن السويدية (Säkerhetspolisen) والوكالة السويدية لحالات الطوارئ المدنية (MSB) بيانًا مشتركًا. واستهدف الهجوم منشأة توليد حراري إقليمية تزوّد شبكة تدفئة مركزية في أواخر الشتاء.

ونسبة السويد العلنية إلى الاستخبارات الروسية ذات دلالة بنيوية. فالنسبة العلنية ظلّت تاريخيًّا محجوزة لأخطر الحوادث لأن النسبة نفسها فعل دبلوماسي. وبيان 15 أبريل يضع نسبة السويد إلى روسيا في المرتبة نفسها مع لحظات النسبة العلنية إلى روسيا في إستونيا 2007، وألمانيا 2015، والولايات المتحدة 2018.

ويحدّد تقرير Dragos السنوي لعام 2026 ثلاث جماعات تهديد جديدة تعمل في فضاء التقنية التشغيلية والتحكّم الصناعي: SYLVANITE، وAZURITE، وPYROXENE. ويحذّر Dragos من «رسم خرائط حلقات التحكّم» — أي توصيف الخصم للعمليات الفيزيائية في التقنية التشغيلية تمهيدًا لتخريب دقيق. وفدية المؤسسات الصناعية مرتفعة بنسبة تسعة وأربعين في المئة على أساس سنوي.

بلا قائد

في أبريل 2026، سحب شون بلانكي، مرشّح إدارة ترامب لمنصب مدير وكالة الأمن السيبراني وأمن البنية التحتية، ترشّحه وسط عدم يقين بشأن تثبيته في مجلس الشيوخ. والوكالة — وهي هيئة الدفاع السيبراني الفيدرالية المعيَّنة منسّقًا وطنيًّا أمريكيًّا للأمن السيبراني للبنية التحتية الحرجة — تعمل بلا مدير مثبَّت خلال أشدّ دورات أمن البنية التحتية الحرجة حدّة منذ عقود.

حملة الحرس الثوري على المتحكّمات المنطقية (AA26-097A في 7 أبريل)؛ واختراق Itron الذي مسّ 110 ملايين عدّاد (13 و27 أبريل)؛ وتسريب Pickett USA لبيانات هندسة الشبكة (27 أبريل)؛ وعطل Collins Aerospace في عمليات الطيران (4 أبريل)؛ ونسبة السويد اقتحام المحطّة الحرارية إلى روسيا (15 أبريل)؛ وفدية محطّة مياه ماينوت بداكوتا الشمالية (14 مارس)؛ ومؤشّر Dragos بارتفاع الفدية الصناعية 49% سنويًّا — كلّها متزامنة. وقدرة المنظِّم هي نفسها طبقة من مكدّس الاعتماديات. فحين لا يكون للمنظِّم قائد مثبَّت، يضعف تنسيقه للاستجابة للحوادث ونشر معلومات التهديد وتوزيع الموارد.

والردّ من جانب المستخدم هنا على مستوى السياسات: على مجلس الشيوخ تسريع تثبيت مدير للوكالة؛ وعلى السلطة التنفيذية تعيين موظّف مهني عامل ليتولّى المهامّ بصلاحيات تعادل المثبَّت في الفترة الانتقالية.

Anodot

اليوم، 5 مايو 2026، تعيد موجة ShinyHunters تأطير نفسها من «اقتحام Salesforce» إلى «سلسلة توريد البرمجيات كخدمة من أطراف ثالثة». فتسريب 119,000 سجلّ من Vimeo نشأ عبر Anodot — وهو مورّد تكامل تحليلات كخدمة — لا عبر اقتحام مباشر لـ Vimeo. وبالتزامن، أطلقت ShinyHunters بيانات بالتقطير من Carnival وMytheresa وZara و7-Eleven وPitney Bowes وCanada Life.

والنمط المرصود اليوم: تكامل تحليلي واحد لبرمجيات كخدمة من طرف ثالث يصير المسار إلى بيانات عملاء كثيرين. وكانت Salesforce هي مجمّع البرمجيات كخدمة الحامل للثقة الذي غطّته نشرة أمس. أما Anodot فهي مجمّع البرمجيات كخدمة من طرف ثالث لـ Salesforce. والنمط المعماري يتضاعف: اختراق تكامل واحد في Salesforce يصل إلى كلّ عميل من عملاء كلّ عميل من عملاء Salesforce يستخدم ذلك التكامل.

والردّ من جانب المستخدم: تدقيق تكاملات البرمجيات كخدمة من أطراف ثالثة (أيّ تكامل ينفذ إلى أيّ كائنات في Salesforce؟ وهل النطاق هو الحدّ الأدنى الضروري؟)؛ وتقسيم التكاملات لكلّ مؤسّسة على حدة؛ وبدائل عن منصّات التحليلات التي تجمّع لدى المورّد (Mautic أو Listmonk أو Plausible Analytics أو Matomo أو Metabase مستضافة ذاتيًّا).

وأصدرت Cushman & Wakefield بيانها الرسمي اليوم، واصفةً الاقتحام بأنه «محدود» ومؤكّدةً أن المسار كان تصيّدًا صوتيًّا. وتلتزم Instructure الصمت بشأن مهلة 6 مايو.

NSO في عهد فريدمان

في يناير 2026 صارت NSO Group تحت سيطرة مستثمرين أمريكيين. وقد سمّت المجموعة المشترية، بقيادة روبرت سيموندز، السفير الأمريكي السابق لدى إسرائيل في عهد ترامب ديفيد فريدمان رئيسًا تنفيذيًّا لمجلس الإدارة. وجُرّد تقرير الشفافية الصادر في يناير 2026 من أرقام إنهاء التعاقد مع العملاء التي كانت تظهر في تقارير السنوات السابقة. وNSO تمارس ضغطًا علنيًّا لشطبها من قائمة الكيانات الأمريكية.

وفي أكتوبر 2025 خفّضت قاضية المحكمة الجزئية الأمريكية فيليس هاملتون التعويضات العقابية في قضية WhatsApp ضدّ NSO من 167.2 مليون دولار إلى نحو 4 ملايين دولار. والقضية الآن في وضعية استئناف أمام الدائرة التاسعة. وهذا التخفيض بأربعين ضعفًا يقلّص جوهريًّا الثمن الذي يفرضه النظام القانوني على إساءة استخدام برامج التجسّس التجارية — الثمن الذي كان حكم أوكلاند في ربيع 2026 قد رفعه.

وفي ديسمبر 2025 شطبت الخزانة الأمريكية بهدوء ثلاثة كيانات من Intellexa من قائمة المواطنين المصنَّفين خصوصًا. وهذا الشطب يخفّف الضغط المالي على عنقود Intellexa.

والدلالة المعمارية: بائع التجسّس التجاري الذي عمل ضدّ المراسلة المشفَّرة طرفًا إلى طرف على نطاق واسع صار تحت ملكية أمريكية متحالفة مع السلطة التنفيذية، مع تخفيض الثمن القانوني للإساءة، فيما شُطبت بهدوء كيانات Intellexa المصنَّفة سابقًا. والمضادّ المعماري: أجهزة محمولة ببرامج ثابتة مفتوحة (بما يعادل وضع الإغلاق في GrapheneOS)، ورصد جنائي مستمرّ من Citizen Lab ومنظمة العفو الدولية، وتقاضٍ بموجب قانون حرية المعلومات بشأن شراء الوكالات الأمريكية لبرامج التجسّس، وضغط سياسي للحفاظ على عقوبات قائمة الكيانات وتصنيفات الخزانة.

إدانة أثينا

في 26 فبراير 2026، أدانت محكمة جنائية في أثينا تال ديليان — الضابط الإسرائيلي السابق في استخبارات الجيش ومؤسّس Intellexa — وثلاثة تنفيذيين آخرين في الشركة، بتهمة الاعتراض غير المشروع لاتصالات المجتمع المدني والصحفيين في اليونان باستخدام برنامج التجسّس «Predator» الخاصّ بالشركة. وهذه أوّل إدانة جنائية لتنفيذيي شركة تجسّس تجاري في أيّ مكان.

ونشأت الملاحقة اليونانية من فضيحة «Predatorgate» عام 2022 التي استُهدف فيها نحو 100 شخص — صحفيون وناشطون ومحامون ومسؤول يوناني رفيع — ببرنامج تجسّس ورّدته Intellexa.

والدلالة المعمارية: حتى 26 فبراير 2026، لم تكن أيّ ولاية قضائية قد نجحت في ملاحقة تنفيذيي شركة تجسّس تجاري جنائيًّا عن تبعات نشر منتجهم. وسابقة أثينا ترسّخ أن دفاع صناعة التجسّس القائل «نحن نبيع المنتج فحسب، والعميل هو من يسيء استخدامه» لا يصمد أمام ملاحقة جنائية — في الولاية القضائية اليونانية على الأقلّ.

عقد المليونَي دولار

Paragon Solutions — التي بيعت إلى AE Industrial Partners بنحو 900 مليون دولار قبل الموافقة الإسرائيلية النهائية من هيئة DECA — مندمجة الآن تشغيليًّا داخل هيئة إنفاذ قوانين الهجرة والجمارك الأمريكية بعقد مُعاد تفعيله قيمته 2 مليون دولار. وقد أكّد المدير بالإنابة للهيئة تود ليونز هذا النشر في شهادته أمام لجنة الأمن الداخلي بمجلس النوّاب في 1 مايو 2026. وقاد السيناتور رون وايدن 30 مشرّعًا في رسالة رقابية في 24 أبريل 2026.

وبالتزامن، تتعنّت Paragon علنًا أمام المدّعين الإيطاليين الذين يحقّقون في اختراق كانتشيلاتو / Fanpage. وكانت الخطوة الأولى للادّعاء الإيطالي طلب إفصاح Paragon عن قائمة عملائها كاملة؛ وردّ Paragon، بحسب التقارير العلنية، كان عدم التعاون.

والدلالة المعمارية: صار شراء وكالة فيدرالية لبرامج تجسّس تجارية مؤكّدًا علنًا بمبلغ عقد محدّد وإدارة حكومية محدّدة، بلا قانون رقابة علنية ينطبق على الشراء أو النشر، وبلا اشتراط إخطار المستهدَف.

«Bad Connection» — غير مرئي لـ MVT

تقرير «Bad Connection» الصادر في 23 أبريل 2026 عن باحثَي Citizen Lab غاري ميلر وسفانتيه لانغه — وقد غطّته النشرة الثالثة — يتضمّن نتيجة إضافية ذات دلالة بنيوية: مراقبة «المشغّل الشبح» عبر SS7 / Diameter غير مرئية لـ Mobile Verification Toolkit (MVT) وiVerify وLookout — أي منتجات الكشف الجنائي التجارية والمفتوحة الثلاثة التي يعتمد عليها المجتمع المدني لتأكيد اختراق الأجهزة.

فالمستخدم لا يستطيع أن يثبت من جانب الجهاز أنه متعقَّب عبر SS7. والدلالة المعمارية: منظومة تجسّس تجاري هاجرت إلى مسار لا تستطيع أدوات التحليل الجنائي كشفه تترك المستخدمين بلا ملاذ معماري على طبقة الجهاز.

والردّ من جانب المستخدم ينتقل إلى طبقة الشبكة: مصادقة عتادية بمعيار FIDO2 تنجو من اختراق شريحة SIM؛ وتدقيق أمني لـ SS7/Diameter على جانب المشغّل بتكليف من GSMA (وقد شُدّد مؤخّرًا)؛ وإفصاح تفرضه الجهة المنظِّمة عن علاقات التوجيه بين المشغّلين.

518 قتيلًا

في 23 أبريل 2026، أكّدت لجنة تحقيق تنزانية سقوط 518 قتيلًا و2,390 مصابًا في العنف الذي أعقب انتخابات أكتوبر 2025. وقد جرى ذلك العنف تحت انقطاع كامل للإنترنت دام خمسة أيام.

ووثّق تحالف KeepItOn التابع لـ Access Now 5,448 ساعة من انقطاعات الإنترنت في تنزانيا خلال 2025 — بخسارة اقتصادية بلغت 889.8 مليون دولار في 2025، وهي الأسوأ في أفريقيا.

والدلالة المعمارية: انقطاع الإنترنت ليس مجرّد آلية للتحكّم في المعلومات؛ إنه ممكِّن لعنف الدولة. فحين يعجز المواطنون عن التواصل والتنظيم وتوثيق عنف الدولة لحظةً بلحظة، تصير رواية الدولة عن عنفها هي المصدر الوحيد. وتأكيد اللجنة التنزانية سقوط 518 قتيلًا لم يأتِ إلّا بعد رفع الانقطاع، وهو ما يبرهن على المبدأ.

وظهر النمط نفسه في 15 مارس 2026، حين فرضت جمهورية الكونغو (برازافيل) انقطاعًا وطنيًّا للإنترنت يوم الانتخابات. وقاست NetBlocks الاتصال عند نحو 3% من خطّ الأساس المعتاد. والنتيجة: إعادة انتخاب دوني ساسو نغيسو لولاية خامسة بنسبة 94.82%. وساسو نغيسو يشغل الرئاسة منذ 1997، وشغلها قبل ذلك من 1979 إلى 1992.

والردّ المعماري من جانب المستخدم هو الشبكات المتشابكة والوصلات الفضائية لتوثيق الشأن المدني أثناء الانقطاعات: Briar (بلوتوث وTor)، وBridgefy (شبكة متشابكة)، وأطباق Starlink غير الرسمية (موثَّقة في إيران والسودان)، وReticulum، وMeshtastic، ومنتجات GoTenna PRO الاستهلاكية.

تسوية Roblox

في 21 أبريل 2026، دفعت شركة Roblox 35.8 مليون دولار في تسويات متزامنة مع نيفادا (12.5 مليون دولار)، وألاباما (12.2 مليون دولار)، وفيرجينيا الغربية (11.1 مليون دولار). ولا تزال 146 قضية معلّقة ضمن التقاضي الفيدرالي متعدّد المناطق.

وتشترط التسوية أن تزيل Roblox التشفير الطرفي من محادثات القاصرين. وهي أوّل تسوية أمريكية تسلّح سلامة الأطفال ضدّ التشفير.

والدلالة المعمارية: نجح المدّعون العامّون للولايات، لأوّل مرّة، في انتزاع تسوية تُلزم منصّة استهلاكية كبرى قريبة من المراسلة بالتراجع عن حماية التشفير الطرفي على مستوى البروتوكول، على أساس سلامة الأطفال، وقبل أن يفرض ذلك أيّ إجراء تنظيمي أو تشريعي فيدرالي. أما تراجع Meta عن التشفير الطرفي في Instagram المعلَن ليوم 8 مايو — وقد غطّته النشرة الثالثة — فكان فعلًا طوعيًّا من الشركة؛ في حين أن تراجع Roblox فعل تفرضه تسوية مع مدّعين عامّين للولايات. والنمط المعماري واحد — إعادة إدخال مسار المشغّل على طبقة المراسلة — لكن الآلية تنظيمية لا مؤسّسية.

وكان 22 أبريل 2026 موعد الامتثال للقاعدة المعدَّلة من قانون حماية خصوصية الأطفال على الإنترنت. والتغطية الجديدة: المعرّفات الحيوية (بصمات الوجه والصوت وأنماط القزحية) والمعرّفات الصادرة عن الحكومة. والعقوبات: 53,088 دولارًا لكلّ مخالفة لكلّ طفل في اليوم. وتشير تقارير المركز الوطني للأطفال المفقودين والمستغَلّين إلى 21.3 مليون بلاغ عبر CyberTipline في 2025، منها 1.5 مليون بلاغ له صلة بالذكاء الاصطناعي التوليدي.

واليوم، 5 مايو، رفع المدّعي العامّ لولاية بنسلفانيا أوّل دعوى من نوعها بشأن انتحال صفة طبّية ضدّ Character.AI.

Common Crawl

29 أبريل 2026: أرسل تحالف News/Media Alliance — نيابة عن NBCUniversal وCNN وVox Media وZiff Davis ومئات الناشرين الإقليميين الأمريكيين — رسالة رسمية إلى ريتش سكرينتا، المدير التنفيذي لمؤسسة Common Crawl، يطالبه فيها بإزالة محتوى الناشرين من مجموعة Common Crawl وإنشاء سجلّ للانسحاب.

وتستند الرسالة صراحةً إلى المادة 53 من قانون الذكاء الاصطناعي الأوروبي بشأن اشتراط ملخّص بيانات التدريب لنماذج الأغراض العامة، وهو ما يصير مُلزِمًا قانونًا في 2 أغسطس 2026. وCommon Crawl هي المجموعة الأساسية المستخرَجة من الويب لغالبية مجموعات بيانات تدريب النماذج اللغوية الكبيرة.

وفي اليوم نفسه، رُفعت سبع دعاوى قتل خطأ في المنطقة الشمالية لكاليفورنيا ضدّ OpenAI وسام ألتمان، تطالب بأكثر من مليار دولار. والمدّعون هم عائلات ضحايا إطلاق النار الجماعي في تامبلر ريدج. وتستشهد الدعاوى بما وثّقته OpenAI داخليًّا في يونيو 2025 من رفع علامة على حساب مطلق النار ثم تجاوزها.

والدلالة المعمارية: لم تعد حرب مصدر بيانات تدريب الذكاء الاصطناعي حربًا في قاعات المحاكم تُخاض على نظريات حقوق النشر؛ صارت حرب إزالة من المجموعات تُخاض على الامتثال التنظيمي. ولم يعد سطح مسؤولية مورّدي الذكاء الاصطناعي مقتصرًا على حقوق النشر؛ صار يشمل القتل الخطأ.

اليوم (5 مايو)

بعد ظهر هذا الثلاثاء، عدّة تطوّرات:

• رفع المدّعي العامّ لولاية بنسلفانيا أوّل دعوى من نوعها بشأن انتحال صفة طبّية ضدّ Character.AI.
• أصدرت Cushman & Wakefield بيانها الرسمي بشأن اقتحام ShinyHunters (وصفته بأنه «محدود»، مع تأكيد التصيّد الصوتي).
• تلتزم Instructure الصمت بشأن مهلة 6 مايو.
• أفاد مكتب المفتّش العامّ في وزارة الأمن الداخلي بأن 76 في المئة من تطبيقات الهواتف الذكية التي يستخدمها موظّفو مكتب الاستخبارات تنطوي على مخاطر أمنية تبلغ عتبات التصنيف الداخلية للوزارة نفسها.
• أُلغي مؤتمر RightsCon 2026 في لوساكا رسميًّا تحت ضغط مُبلَّغ عنه من جمهورية الصين الشعبية على زامبيا بسبب مشاركة مندوبين تايوانيين.
• إعادة تأطير ShinyHunters عبر Anodot تمدّ ضغط مهلة 6 مايو عبر سلسلة توريد البرمجيات كخدمة من أطراف ثالثة.

غدًا (6 مايو): تنقضي مهلة ابتزاز ShinyHunters لشركة Instructure. وتنقضي مهلة تواصل ShinyHunters مع Cushman & Wakefield. وتحلّ مهلة الترقيع الفيدرالي لدى CISA بشأن الثغرة CVE-2026-33825 من فئة Black-Hammer / BlueHammer / RedSun. ويتواصل تقييم أثر اختراق الشيفرة المصدرية لدى Trellix في 2 مايو. وفي 7 مايو: نتائج Cloudflare وCoinbase وLyft.

النمط الجامع

اعتماديات المستخدم في حياته اليومية — الماء والكهرباء والنقل والاتصالات والمدفوعات والتعليم والرعاية الصحية والهوية — تتراكم كلّ منها عبر:

1. أنظمة التقنية التشغيلية والتحكّم الصناعي (متحكّمات Rockwell المنطقية في منشآت المياه والصرف والطاقة؛ وSCADA في محطّة ماينوت؛ والعدّادات الذكية عند وصلات المرافق السكنية).
2. مجمّعات البرمجيات كخدمة لدى المورّدين (Salesforce؛ وAnodot؛ وItron؛ وARINC من Collins Aerospace؛ وهندسة Pickett USA).
3. تكاملات بيانات الطرف الثالث للطرف الثالث (مسار Anodot الذي وصل إلى عملاء Vimeo).
4. اعتماديات سلسلة التوريد (تتابع Bitwarden-CLI عبر الاستيلاء على Checkmarx KICS في Docker Hub، 22 أبريل).
5. بائعو تجسّس خاضعون لسيطرة أجنبية أو مستحوَذ عليهم محلّيًّا (NSO في عهد فريدمان؛ وعقد Paragon مع ICE بمليونَي دولار؛ وإدانة Intellexa في أثينا؛ وشطب الخزانة لكيانات Intellexa المصنَّفة).
6. قدرة المنظِّم (CISA بلا قائد مثبَّت؛ وقاعدة وكالة حماية البيئة للأمن السيبراني في قطاع المياه محلّ نزاع؛ وCIP-015-2 لدى FERC وNERC قيد الانتظار).
7. التحكّم في المعلومات (انقطاع تنزانيا خمسة أيام الذي أتاح 518 وفاة؛ وجمهورية الكونغو عند 3% من خطّ الأساس؛ وضغط الصين على زامبيا لإلغاء RightsCon).
8. تراجع عن التشفير تفرضه التسويات (تسوية Roblox مع مدّعين عامّين للولايات بقيمة 35.8 مليون دولار تشترط تجريد محادثات القاصرين من التشفير الطرفي).

كلّ طبقة سطح هجوم محتمل. وحين لا يكون للمنظِّم (CISA) قائد مثبَّت ويتزايد حجم الهجمات 49% سنويًّا، يصير مكدّس الاعتماديات هشًّا. والنمط بنيوي.

المضادّ المعماري

تقليل الطبقات. قلّل عدد المورّدين، وعدد تعرّضات التقنية التشغيلية للإنترنت، وعدد المجمّعات ذات نقطة الفشل الواحدة. وحافِظ على قدرة المنظِّم. وانشر حزمة العناصر الأوّلية التي يتحكّم بها المستخدم عند كلّ طبقة:

• تقسيم الشبكة في بيئات التقنية التشغيلية: عزل فيزيائي حيث أمكن؛ وصمّام بيانات أحادي الاتجاه للمسارات التي تقتصر على القياس؛ ونفاذ عبر مضيف حصين لتغييرات الهندسة.
• تنويع المورّدين على طبقة تجميع البرمجيات كخدمة: تجنّب البنى القائمة على Salesforce واحدة أو Anodot واحد أو Itron واحد أو ARINC واحد.
• بديل يدوي محلّي: درّب المشغّلين على الإجراءات اليدوية (شغّلت ماينوت بداكوتا الشمالية 16 ساعة يدويًّا بعد فدية 14 مارس)؛ ومارسوها دوريًّا.
• بدائل مفتوحة المصدر أو مفتوحة البرامج الثابتة للتقنية التشغيلية حيث نضجت: OpenPLC، وMosquitto كوسيط MQTT، وApache PLC4X، وأطقم تطوير OPC UA مفتوحة المصدر.
• الحفاظ على قدرة المنظِّم: مدير لـ CISA مثبَّت من مجلس الشيوخ؛ وإنفاذ NERC CIP؛ وتطبيق NIS2 الأوروبي؛ وسلطة لجان المرافق العامة في الولايات على الأمن السيبراني.
• مرونة على جانب المستخدم: تعدّد المرافق وتعدّد المشغّلين حيث يسمح الاقتصاد؛ ووصلات فضائية لمقاومة الانقطاعات؛ وشبكات متشابكة (Briar، وMeshtastic، وReticulum، وGoTenna PRO) للطوارئ المدنية.
• قابلية الكشف الجنائي على طبقة الجهاز: أجهزة محمولة ببرامج ثابتة مفتوحة (GrapheneOS) حيث لا يستطيع مسار SS7/Diameter / Pegasus / Graphite تجاوز سلوك الذاكرة المؤقّتة وقاعدة بيانات الإشعارات القابل لفحص المستخدم.
• حزمة العناصر الأوّلية التي يتحكّم بها المستخدم من النشرات 02-04 — عملاء مفتوحون، وبرامج ثابتة مفتوحة، وFIDO2، ونواقل مقاومة للحجب، وعملات خاصة، وذكاء اصطناعي بالاستدلال المحلّي، وهوية اتحادية، وخدمات مستضافة ذاتيًّا — مطبَّقة عند كلّ طبقة من مكدّس الاعتماديات.

الخاتمة

غدًا، 6 مايو، تنقضي مهلة ShinyHunters لشركة Instructure. وغدًا تنقضي مهلة التواصل مع Cushman & Wakefield. وغدًا تنقضي مهل الترقيع الفيدرالي لدى CISA على عدّة ثغرات مدرَجة في فهرس الثغرات المستغَلّة. وغدًا يواصل نمط اليوم. وأنماط الستّين يومًا الماضية تتقارب على تشخيص معماري واحد: مكدّس الاعتماديات أطول من اللازم، وأشدّ تركّزًا من اللازم، وأهشّ من اللازم، فيما يفتقر المنظِّم الذي ينبغي أن ينسّق الدفاع إلى قائد مثبَّت، وفيما يجري الاستحواذ على بائعي التجسّس القادرين على استغلال الهشاشة تحت ملكية محلّية ويرون عقوباتهم تُخفَّف.

تقليل الطبقات هو المضادّ الوحيد القابل للتعميم. مورّدون أقلّ. ومجمّعات ذات نقطة فشل واحدة أقلّ. وتكاملات أقلّ. واعتماديات أقلّ. وحافِظ على المنظِّم. وانشر حزمة العناصر الأوّلية التي يتحكّم بها المستخدم عند كلّ طبقة.

مكدّس الاعتماديات هو النمط. وتقليل الطبقات هو الردّ.