يوم الجمعة، وهو اليوم الذي انقضت فيه مهلة الأيام الأربعة التي حددها القاضي، أودعت وزارة الأمن الداخلي الأمريكية (DHS) تفسيرها: مذكرة من 25 صفحة وُقِّعت في «مين جاستس» — المقر الرئيسي لوزارة العدل في واشنطن — وإقرار مشفوع بيمين من ثماني صفحات كتبه العميل الذي وافق على العملية. تقول الوثيقتان معًا إن «تحقيقات الأمن الداخلي» (HSI)، ذراع التحقيقات الجنائية في الوزارة، أرسلت عميلة متخفية إلى قاعة الألعاب الرياضية في قبو كنيسة «يونيفرسيتي بابتيست» في مينيابوليس بولاية مينيسوتا مساء 28 مايو ومعها "a concealed body-worn audio recorder" (أي: جهاز تسجيل صوتي مخفي محمول على الجسد)، وإنها بقيت نحو ساعتين، وإن مشرفًا كان قد أجاز العملية بعد أن ناقش الأمر الزجري الصادر عن المحكمة وقرر أنه لا ينطبق عليها.

يضع الإقرار اسم العملية في سجل هذه المحكمة للمرة الأولى، وتحت القسم: «مشروع ويبل شيلد» (Project Whipple Shield)، الذي فُتح في 11 فبراير 2026. (كان الاسم قد صار علنيًا من قبل في أوراق قضية جنائية في مينيابوليس.) وفي الفقرة العشرين من الإقرار، وقد طُلب من العميل أن يجيب عن كل مكان عبادة مدرج على قائمة المحكمة، يجيب عن مشروع واحد ثم يتوقف. "To my knowledge, HSI has not investigated any other location on the current protected areas list as part of Project Whipple Shield." (أي: على حد علمي، لم تحقق HSI في أي موقع آخر مدرج على قائمة المناطق المحمية الحالية في إطار مشروع ويبل شيلد.) ثم: "I cannot confirm or deny that there are additional investigations at other locations on the protected locations list." (أي: لا أستطيع أن أؤكد أو أنفي وجود تحقيقات إضافية في مواقع أخرى على قائمة المواقع المحمية.)

القاضي الذي عليه أن يزن ذلك هو ف. دينيس سايلور الرابع، قاضي المحكمة الاتحادية للمنطقة القضائية في ولاية ماساتشوستس. والجملة المهمة في أمره الصادر يوم الاثنين: "Defendants shall show cause, in writing filed on the docket, on or before August 28, 2026, why they should not be held in contempt for violating the preliminary injunction." (أي: على المدعى عليهم أن يبيِّنوا الأسباب، كتابةً تودَع في سجل الدعوى، في موعد أقصاه 28 أغسطس 2026، التي تحول دون إدانتهم بازدراء المحكمة لانتهاكهم الأمر الزجري التمهيدي.) وستُعقد الجلسة عبر الفيديو يوم الجمعة المقبل، 4 سبتمبر.

الناس في قاعة الألعاب

الأمر الزجري هو أمر سايلور نفسه، صدر في 13 فبراير في قضية New England Synod v. Department of Homeland Security («سينودس نيو إنغلاند ضد وزارة الأمن الداخلي») — وهي دعوى رفعتها ثماني هيئات كنسية بعد أن ألغت الإدارة الأمريكية السياسة التي كانت تُبقي إنفاذ قوانين الهجرة خارج دور العبادة. يحظر الأمر على وزارة الأمن الداخلي وعلى «هيئة إنفاذ قوانين الهجرة والجمارك» (ICE) اتخاذ أي "Immigration Enforcement Action" (أي: «إجراء لإنفاذ قوانين الهجرة») داخل مكان عبادة محمي إلا في حالة طوارئ، وكذلك ضمن مئة قدم (نحو ثلاثين مترًا) من مداخله من دون موافقة من المقر الرئيسي. ويعرِّف الأمر ذلك المصطلح تعريفًا واسعًا: "any action … planned, conducted, undertaken, or executed, in whole or in part, to enforce the immigration laws of the United States, including any arrest, seizure, search, interrogation, questioning, interview, or investigation." (أي: أي إجراء … مخطط له أو مُدار أو مباشَر أو منفَّذ، كليًا أو جزئيًا، لإنفاذ قوانين الهجرة في الولايات المتحدة، بما في ذلك أي اعتقال أو ضبط أو تفتيش أو استجواب أو مساءلة أو مقابلة أو تحقيق.)

كنيسة يونيفرسيتي بابتيست، الواقعة في حي دينكيتاون المجاور لجامعة مينيسوتا، ليست مدعية بالاسم. فالأمر الزجري يشمل الهيئات الثماني التي رفعت الدعوى "and all of their member churches, congregations, and meetings" (أي: وجميع الكنائس والرعايا والاجتماعات الأعضاء فيها)، والكنيسة عضو في اثنتين من تلك الهيئات. وهي مدرجة على قائمة المحكمة منذ 27 فبراير؛ ولافتات مداخلها تقول ذلك.

الأشخاص الذين يصفهم إقرار الحكومة لم يعلموا قط أنهم في سجل محكمة. فيوم الأحد 12 أبريل، صوَّر عملاء كانوا يراقبون من موقف سيارات المكتبة العامة على الجانب الآخر من الشارع ثلاث سيارات، وفحصوا لوحات تسجيلها، وأحصوا "five individuals enter the basement of the Church" (أي: خمسة أفراد يدخلون قبو الكنيسة). ويوم الخميس 28 مايو، نحو الساعة 7:05 مساءً، دخلت العميلة المتخفية قاعة الألعاب لحضور حصة ملاكمة وفنون قتالية مختلطة ينظمها فريق يُدعى «ليفت جاب» (Left Jab)، وكان جهاز التسجيل يعمل.

بحلول مساء السبت كانت ثلاثة من تقارير المراقبة الأربعة التي تقف وراء تلك الرواية متاحة للقراءة علنًا، مع حجب أجزاء منها؛ وما يمكن قراءته منها يطابق الإقرار.

علمت الرعية بكل هذا من الأخبار، يوم الجمعة 14 أغسطس، بعد أن أودع محامي دفاع في تلك القضية الجنائية في مينيابوليس تقرير العميلة نفسه. وبعد يومين افتتح القس المؤقت الصلاة بإخبار المصلين. قال القس كودي ساندرز: «لا ينبغي أن نعتاد هذا. لا ينبغي أن ندعه يتحول إلى ذلك الوضع القائم المسلَّم به الذي نتوقعه ببساطة، لأن هذا خطأ.» أما جين لوبكي، وهي عضوة كانت رئيسة للكنيسة، فصاغت الأمر في إقرار مشفوع بيمين كتبته هي: «هذا انتهاك كامل لمساحتنا المقدسة.»

ما أقسم عليه العميل

صاحب الإقرار هو جون زابوني، مساعد عميل خاص مسؤول في HSI. يقول إنه تلقى الأمر الزجري وقائمة الأماكن المحمية بالبريد الإلكتروني في 28 فبراير، "with instructions on how to apply the order" (أي: مع تعليمات عن كيفية تطبيق الأمر).

قبل 12 أبريل: "HSI agents discussed this Court's preliminary injunction and determined the investigative activity would not violate the Court's order as the investigation had no nexus to immigration enforcement … I approved the investigative activity at the Church." (أي: ناقش عملاء HSI الأمر الزجري التمهيدي الصادر عن هذه المحكمة وخلصوا إلى أن النشاط التحقيقي لن ينتهك أمر المحكمة لأن التحقيق لا صلة له بإنفاذ قوانين الهجرة … وقد وافقتُ على النشاط التحقيقي في الكنيسة.) وقبل 28 مايو: "I again authorized this operation." (أي: أذنتُ بهذه العملية مرة أخرى.)

الرجل الذي كانوا يبحثون عنه، بحسب المذكرة، هو كام كينيدي، أحد قادة «ليفت جاب»، وهو "self-described revolutionary anarchist" (أي: «فوضوي ثوري» بوصفه لنفسه) كان ينظّم تدريبات على "de-arrest" و"swarm" (أي: «انتزاع الموقوفين» من أيدي العملاء و«التطويق الجماعي»).

وتُقِرّ المذكرة بما لا تستطيع تجنبه. "University Baptist Church is a Protected Area under the Preliminary Injunction." (أي: كنيسة يونيفرسيتي بابتيست منطقة محمية بموجب الأمر الزجري التمهيدي.) أما موقف سيارات المكتبة فليس كذلك — لكن "Agents could not confirm whether the parking lot was not Near a Protected Area" (أي: لم يستطع العملاء التأكد مما إذا كان موقف السيارات ليس قريبًا من منطقة محمية)، والقرب هنا هو نطاق المئة قدم الذي حدده الأمر. والمذكرة لا تنكر ما جرى في قاعة الألعاب. بل تدافع عنه.

ثلاث قراءات لعبارة واحدة

حجة الحكومة أن شيئًا من هذا كله لم يكن إنفاذًا لقوانين الهجرة، ومن ثم لم يكن شيء منه مشمولًا بالأمر. فمشروع ويبل شيلد، تقول المذكرة، حقق في جرائم من «الباب 18» — القانون الجنائي الاتحادي — لا من «الباب 8»، وهو قوانين الهجرة؛ فالتهم الثماني في لائحة اتهام يونيو كلها من الباب 18، و"none of the indicted suspects are aliens." (أي: لا أحد من المشتبه بهم المتهمين أجنبي.)

جواب الكنائس، المودع قبل ذلك بثمانية أيام، هو صياغة الأمر الزجري نفسها: "in whole or in part" (أي: كليًا أو جزئيًا). فالفقرة الأولى من لائحة الاتهام تتهم بتآمر لإيقاف عملاء DHS وICE، وأول الأغراض التي تعددها هو "[p]reventing the enforcement of federal immigration law by force, intimidation, and threats." (أي: منع إنفاذ قانون الهجرة الاتحادي بالقوة والترهيب والتهديد.)

وتجادل المذكرة بأن "in part" ينبغي أن تُقرأ كما قرأت المحكمة العليا صياغة مماثلة في قضية Bostock («بوستوك»)، قضية التمييز الوظيفي لعام 2020: باعتبارها دافعًا، لا موضوعًا.

وماذا لو كانت المحكمة قد قصدت ذلك المعنى فعلًا؟ عندئذ، تقول المذكرة في قسمها الأخير، فإن الأمر "was not 'clear and unambiguous'" (أي: لم يكن «واضحًا لا لبس فيه») — وذلك ركن من أركان الازدراء المدني للمحكمة في الدائرة الاستئنافية الأولى، وهي محكمة الاستئناف الاتحادية التي تغطي نيو إنغلاند — ولا يجوز إدانة الحكومة بالازدراء لأنها أخطأت التخمين.

جزء من دينهم

عن قاعة الألعاب تقول المذكرة: "Plaintiffs have failed to explain why the Left Jab classes are part of their religion." (أي: لم يفلح المدعون في تفسير لماذا تكون حصص ليفت جاب جزءًا من دينهم.) وتذكّر القاضي بأنه حين سأل في جلسة الأمر الزجري في فبراير عمّا إذا كانت الكنائس تريد أن تكون "a sanctuary from law enforcement … 24-7" (أي: ملاذًا من إنفاذ القانون … على مدار الساعة طوال أيام الأسبوع)، أجاب محاميها بالنفي.

لكن الأمر يحمي مبنى "regularly used" (أي: مستخدمًا بانتظام) للعبادة، لا ساعة واحدة في الأسبوع؛ وقاعة الألعاب داخل ذلك المبنى، تحت قاعة الصلاة مباشرة؛ والحماية "does not vary from hour to hour" (أي: لا تتغير من ساعة إلى ساعة). والأمر يجيز لوزارة الأمن الداخلي أن تطلب شطب أي موقع من القائمة "at any time" (أي: في أي وقت). وهي لم تفعل قط.

السابقة التي اختارتها الحكومة

من أجل قاعة الألعاب نفسها، تعود المذكرة ستة وثلاثين عامًا إلى الوراء، إلى قضية Presbyterian Church v. United States («الكنيسة المشيخية ضد الولايات المتحدة»). ففي 1984 جنّدت «دائرة الهجرة والتجنيس» (INS) — سلف ICE — مخبرين للتسلل إلى كنائس «حركة الملاذ» — وهي رعايا كانت آنذاك تؤوي لاجئين من أمريكا الوسطى — وسجّلت مرة واحدة على الأقل قداسًا كاملًا. وفي 1990 أيدت المحكمة الاتحادية للمنطقة القضائية في أريزونا أساليب الحكومة: فالمصلحة قاهرة، والعمل المتخفي أقل الوسائل تقييدًا، ما دام التحقيق يجري بحسن نية وما دام العميل ملتزمًا حدود الدعوة.

أمران في تلك القضية لا يرد ذكرهما في القسم الذي تخصصه المذكرة لها. الأول أنها كانت تحقيقًا في شؤون الهجرة — أي النوع الوحيد من التحقيقات الذي تصر الحكومة على أن ويبل شيلد لم يكن منه. والثاني هو كيف انتهت: فقد قبلت المحكمة طلب الكنائس جزئيًا وأعلنت حقوقها، وأنها "are protected against governmental intrusion" (أي: محمية من التدخل الحكومي).

ما لن تقوله

ثمة شيء واحد طلبته الكنائس ولن تعطيه الحكومة. في 18 أغسطس كان محامي قضايا في وزارة العدل قد كتب إلى محامي الكنائس أن تقارير المراقبة "are accurate" (أي: دقيقة) وأن القوائم والأمر الزجري قد ذهبا "to all ERO and HSI personnel" (أي: إلى جميع موظفي ERO وHSI) — وERO هي ذراع الترحيل في ICE — "along with … instructions on how to apply the order" (أي: مع … تعليمات عن كيفية تطبيق الأمر).

طلبت الكنائس الاطلاع على التعليمات. تقول مذكرة الجمعة إن الحكومة "affirm[s]" (أي: تؤكد) أنها عممت القائمة والأمر، لكن التعليمات نفسها مشمولة بامتياز السرية بين المحامي وموكله.

هكذا صار السجل يحمل الآن عنوان الكنيسة على قائمة وصلت إلى كل عميل في HSI، وعميلًا يقول إنه ناقش الأمر ووافق على العملية رغم ذلك، ونظرية قانونية في معنى الأمر لم تسمعها المحكمة حتى الآن. ويحمل أيضًا جملة ما كان أي محامي دفاع ليختارها: مسؤول في الوكالة، وقد سُئل عمّا تفعله وكالته أيضًا في الأماكن الأخرى المدرجة على تلك القائمة، يرفض تحت القسم أن يقول. هذا ما سيسمعه يوم الجمعة القاضي الذي كتب التعريفات بنفسه.

للتحدث إلى قناة فرانس 24، يتسلق رجل تسميه الشبكة عثمان الجبالَ فوق راولاكوت، في الشطر الذي تديره باكستان من كشمير، حتى يلتقط هاتفه بضع خطوط إشارة من خارج المنطقة. ذلك التسلق هو أدق قياس يملكه أي أحد لهذا الانقطاع: حافته في منتصف الطريق صعودًا إلى جبل.

آزاد جامو وكشمير (Azad Jammu and Kashmir) — آزاد كشمير، الجزء الذي تديره باكستان من كشمير — منقطعة عن الإنترنت إلى حدّ بعيد منذ 5 يونيو. في ذلك اليوم أعلنت الحكومة الانتخابات وعلّقت ما وصفته منظمة العفو الدولية بأنه "all internet and mobile network signals in the region" (جميع إشارات الإنترنت وشبكات الهاتف المحمول في المنطقة) — أمرٌ مدته سبعة أيام دخل الآن أسبوعه الثالث عشر — وأدرجت وزارة داخليتها لجنة العمل الشعبي المشتركة (Joint Awami Action Committee)، الحركة الاحتجاجية المعروفة اختصارًا بـJAAC، تنظيمًا محظورًا بموجب قانون مكافحة الإرهاب لديها. وقد وثّقت جماعة تحقّق مقرها المملكة المتحدة، هي مرصد جامو وكشمير لحقوق الإنسان (Jammu Kashmir Human Rights Observatory — JKHRO)، مقتل 89 مدنيًا منذ ذلك الحين، حتى أوائل أغسطس. وحددت الحكومة مكافأة قدرها 10 ملايين روبية — "head money" (مال مقابل الرؤوس)، كما أوردتها صحيفة «دون» (Dawn) الباكستانية اليومية — لقاء معلومات تفضي إلى اعتقال أربعة من قادة الحركة؛ وقد اعتُقل شوكت نواز مير منذ ذلك الحين. وبعد ظهر اليوم، في ظل ذلك الانقطاع، انتخبت الجمعية التشريعية الجديدة رئيسًا للوزراء. ما لا تفسّره أي من التغطيات هو لماذا تقول لوحات القياس في بقية العالم إن كل شيء على ما يرام.

خط مستوٍ عند منتصف السارية

IODA، مرصد أعطال الإنترنت التابع لمعهد جورجيا التقني (Georgia Tech)، يعدّ كتل الشبكة التي تستجيب للمسابر. ولا يزال كاشف الأحداث لديه يُبقي عطلًا واحدًا مفتوحًا لآزاد كشمير: بدأ في 5 يونيو الساعة 18:40 بالتوقيت العالمي، وهو الآن في يومه الـ84. وعبر المراصد العامة الكبرى الثلاثة — IODA، وشبكة قياس الرقابة OONI، وCloudflare Radar — ذلك الحدث هو الموضع الوحيد الذي يسجَّل فيه هذا الانقطاع، ولا يسجَّل إلا إذا استعلمت عن رمز منطقة واحد، 3083، وقارنت بخط أساس من الربيع.

انظر إلى آخر أسبوعين من المخطط فترى خطًا مستويًا — مستويًا عند 42 إلى 48 كتلة مستجيبة، مقابل وسيط من مارس إلى يونيو قدره 99. بعد اثني عشر أسبوعًا، صار نصف شبكة المنطقة هو خط الأساس الجديد.

كل طبقة أخرى لا تُظهر شيئًا. عند طبقة BGP — جدول التوجيه الذي يراه الإنترنت العالمي فعلًا — يكاد الانقطاع لا يوجد: فالهاوية التي شطرت استجابة المنطقة في يونيو سحبت نحو خمس عشرة كتلة من أصل 290 كتلة عناوين معلنة، و287 منها معلنة اليوم. وعلى مستوى البلد، يذوب فقدُ آزاد كشمير في الضجيج اليومي لباكستان. أما شبكات الهاتف المحمول، الطبقة التي يمتطيها الإغلاق فعليًا، فليست قابلة للقياس في آزاد كشمير أصلًا: ثلاث شبكات بالضبط تُحدَّد جغرافيًا في المنطقة — هيئة الاتصالات الخاصة (Special Communications Organization) التي يديرها الجيش، والناقل الوطني PTCL، ومزوّد خدمة صغير اسمه سكاي تيليكوم (Sky Telecom) — ولا واحدة منها مشغّل هاتف محمول. إغلاقٌ للمحمول هناك غير مرئي بحكم البناء.

وOONI ليست أوفر حظًا: فنموذجها التطوعي يحتاج إلى مسبار يعمل داخل الشبكة الخاضعة للرقابة — وتاريخها الكامل لسكاي تيليكوم، مزوّد الخدمة الوحيد القابل للقياس والمقصور على آزاد كشمير، هو 267 قياسًا عبر يومين في أغسطس 2024. بدأ أحدهم فعلًا تشغيل مسبار على شبكة هيئة الاتصالات الخاصة في 7 أغسطس من هذا العام — وفشل موقع الجزيرة في المحاولات الـ98 جميعها — لكن تلك الشبكة تمتد عبر آزاد كشمير وجلجت-بلتستان معًا، ولا تستطيع البيانات أن تقول في أي جانب من الجبال يقع المسبار. أما مواقع JAAC وJKHRO و«جدوجهد» (Jeddojehad)، الصحيفة الأردية التي توثّق الوفيات، فلم تُختبر من باكستان قط.

الأداة التي ما زالت تعمل

ما يحل محل القياس هو التحقق، مقطع فيديو تلو الآخر. فقد طابق فريق «المراقبون» (Observers) في فرانس 24 مقطعًا لرجال بزيّ داكن يترجّلون من مركبة شرطة ويطلقون النار باتجاه حشد، مع امتداد محدد من طريق ميان محمد في ميربور، «بتحديد الأبراج واللوحات الإعلانية الظاهرة في الفيديو». وحصيلة JKHRO مبنية بالطريقة نفسها — حالةً حالة، وبالأسماء: 44 حالة وفاة موثَّقة من 5 يونيو إلى 26 يوليو، و45 أخرى من 27 يوليو فصاعدًا، وأربع لا تزال غير مؤكدة. أما السلطات فلم تنشر أي أرقام على الإطلاق.

ما لا تستطيع اللقطات حمله هو الضرر البطيء. فالخدمات المصرفية في المنطقة معطلة منذ 5 يونيو، كما أفاد عضو في JKHRO فرانس 24؛ وفحص دم في مستشفى قد لا يصل إلى نتيجته أبدًا؛ والمدارس مغلقة.

عنصر رينجرز قتيل، وردّ مكتوب

العنف ليس من جانب واحد، وحجّة الدولة تستحق وزنها الكامل. فيوم الأربعاء قُتل عنصر من قوات الرينجرز الباكستانية (Pakistan Rangers) عندما فتح مسلحون النار خلال عملية لإزالة الحواجز عن طريق. وتقول وزارة الإعلام، في بيان مكتوب إلى فرانس 24 مؤرَّخ في 26 أغسطس، إن السلطات "repeatedly placed evidence on record" (وضعت الأدلة في السجل مرارًا) على أسلحة أوتوماتيكية وأخذ رهائن وتعذيب، وإن قيودها على الاتصالات كانت "calibrated, limited to areas affected by violence and imposed only for the period considered necessary for public safety" (معايَرة، ومقصورة على المناطق المتأثرة بالعنف، ومفروضة فقط للمدة التي اعتُبرت ضرورية للسلامة العامة). وتنفي JAAC استخدام العنف.

ما لا تستطيع قراءةُ السلامة العامة تفسيره هو المعايرة. فالإغلاق لم يبدأ في يوم عنف بل في اليوم الذي أُعلنت فيه الانتخابات — وهو نفسه يوم الإدراج على قوائم الإرهاب. وقد تجاوز الآن يوم الاقتراع الأخير في 10 أغسطس بثمانية عشر يومًا، في كل مكان دفعة واحدة. استجابة الدولة معايَرة على شيء ما؛ والسجل يقول إنه المعلومات، لا العنف.

ورقة الإذن

المستشعر الآخر هو الناس، والناس صاروا بحاجة إلى ترخيص. فمنذ 4 أغسطس، يحتاج كل من يعمل لوسائل إعلام أجنبية — بمن فيهم المواطنون الباكستانيون — إلى شهادة عدم ممانعة من وزارة الإعلام لممارسة العمل الصحفي خارج إسلام آباد ولاهور وكراتشي. وتفيد مجلة «ذا ديبلومات» (The Diplomat) بأن الشرط بات يطال «تغطية أي خبر» في المنطقة. والمواطنون الذين ينشرون لقطات الاحتجاجات أُدرجوا على قائمة مراقبة للإرهاب، كما تفيد فرانس 24 — إدراجٌ يجمّد حساباتهم المصرفية وشرائح هواتفهم ووثائق هويتهم. محرّر «جدوجهد»، فاروق سليريا، كان في لندن حين داهمت الأجهزة الأمنية منزله واحتجزت ثلاثة من أفراد أسرته؛ وقالوا للعائلة إن مقالاته عن كشمير «معادية للوطن». لا يستطيع العودة. أما الوزارة، في البيان المكتوب نفسه، فتسمّي الشهادات "regulatory and procedural measures" (تدابير تنظيمية وإجرائية).

لا أمر، في اليوم 84

لم ينشر أحد قط أمرًا بأي من هذا. في اليوم 84، لا يذكر موقع هيئة الاتصالات الباكستانية (Pakistan Telecommunication Authority) تعليقًا للخدمة ولا كشمير في أي موضع من صفحته الأولى، وموقع حكومة آزاد كشمير نفسه يردّ على كل طلب من هنا بجدار. انقطاعٌ بلا صك، على شبكات لا يراها أي مخطط، في منطقة يحتاج الصحفيون إلى شهادة لدخولها.

اختير في إسلام آباد

الرجل الذي انتخبته الجمعية اليوم لم يُختَر في مظفر آباد (Muzaffarabad)، عاصمة المنطقة. ففي وقت متأخر من ليل الأربعاء، في دار رئيس الوزراء في إسلام آباد، أبلغ رئيس وزراء باكستان، شهباز شريف، أربعةً من كبار رجال آزاد كشمير في حزبه، الرابطة الإسلامية الباكستانية - جناح نواز (Pakistan Muslim League-Nawaz)، بأن شقيقه الأكبر، الزعيم الأعلى للحزب نواز شريف، قد حسم الترشيح: المحامي (باريستر) سيد افتخار علي جيلاني، البالغ من العمر 46 عامًا، والذي لم تطلبه القيادة الإقليمية للحزب نفسها. واعترض رئيس الحزب في آزاد كشمير، شاه غلام قادر، ورئيس وزراء سابق للمنطقة، راجه فاروق حيدر، وقالا إنهما سيتغيبان عن التصويت.

جيلاني لا يشغل أي دائرة انتخابية. خسر مقعده في الجمعية عام 2021، ودخل الجمعية الجديدة في 24 أغسطس عبر مقعد مخصص — المقعد المحجوز للتكنوقراط، الذي يملؤه الأعضاء لا الناخبون. ويصف البورتريه الذي نشرته «دون» في اليوم نفسه هذا المسار: "a return through a reserved seat and, finally, a decision made at the very top of the party" (عودة عبر مقعد محجوز، وأخيرًا، قرار اتُّخذ في أعلى قمة الحزب).

القاعة في الثانية ظهرًا

في الثانية بعد ظهر اليوم، انعقدت الجمعية في مظفر آباد وانتخبت جيلاني رئيسًا للوزراء بـ30 صوتًا مقابل 14 على مرشح حزب الشعب الباكستاني سردار مختار أحمد عباسي. أربعة وأربعون صوتًا، لا ستة وأربعون: فرئيس الجمعية لا يصوّت، وقادر نفّذ اعتراضه وتغيّب — رئيس الحزب الفائز نفسه في الإقليم. أما حيدر، المعترض الآخر، فدخل وصوّت. وبيان الوزارة، الصادر قبل التصويت بيومين، يقول إن "the electoral process in AJK has since been completed" (العملية الانتخابية في آزاد جامو وكشمير قد اكتملت منذ ذلك الحين) وإن القيود على الإنترنت "being progressively normalized" (يجري تطبيعها تدريجيًا). وعدُّ «دون» لمقاعد القاعة يقول ما تعنيه "completed" (اكتملت): فالجمعية تضم 53 مقعدًا، وقوامها الحاضر 46، لأن سبعة مقاعد لم يجرِ فيها الاقتراع قط. والمرحلة الثالثة من الاقتراع — جميع الدوائر الإحدى عشرة في مقاطعة بونش (Poonch) — لم يُسمح بمضيّها إلا في اثنتين من مديرياتها، باغ وهافيلي؛ واحتجّت مفوضية الانتخابات بالقانون والنظام. خمسة مقاعد في مديرية بونش نفسها واثنان في سُدهنوتي، حزام الاحتجاج المحيط براولاكوت، لم تصوّت قط. أما حزب الشعب الباكستاني، الذي يدّعي وقوع تزوير واسع النطاق، فقد قدّم مرشحه على أي حال.

البيان نفسه يقول إن خدمات الإنترنت "remained available in the majority of areas" (ظلت متاحة في غالبية المناطق). والمخطط الذي لا يُنتظر من أحد أن يقرأه يقول إن آزاد كشمير تستجيب بأقل من نصف مستواها في مارس منذ اثني عشر أسبوعًا متتاليًا؛ وعبر ساعة الفرز قرأ 45. لقد قطعوا الإنترنت، وحظروا الحركة، وفرضوا الترخيص على الصحافة — ثم أجروا التصويت.

راولاكوت لا عضو منتخبًا لها، ولا إنترنت — بقدر ما يستطيع أي أحد في الخارج أن يقيس. المخططات مستوية. والوزارة تقول إن الوضع طبيعي. ورجل يتسلق جبلًا ليرسل رسالة نصية.

ليست الخوادم — فتلك ما تزال تعمل، وستجيبك إن كنت تعرف عناوينها الرقمية. الذي مات هو الاسم. فقد وضعت Public Interest Registry — أو PIR، المنظمة الأمريكية غير الربحية التي تدير سجلّ نطاقات .org من مدينة رستون بولاية فيرجينيا — النطاق تحت الحالة serverHold، وهي حالة تزيله من منطقة .org. اختفى كل موقع ويب تحت autistici.org من دفتر عناوين الإنترنت. واختفى معه كل عنوان بريد إلكتروني على @autistici.org — قرابة 12,000 صندوق بريد بإحصاء المجموعة التي تديرها، ونحو 16,000 بإحصاء الحكومة الأمريكية. أي بريد يُرسَل إلى أي منها يفشل الآن، لأن الجهاز الذي يحاول تسليمه لم يعد قادرًا على معرفة أين تقيم.

لم تنشر أي وسيلة إخبارية هذا الخبر. وحتى لحظة كتابة هذه السطور، لا وجود له إلا في سجلات سجلّ النطاقات، حيث عثر عليه مكتب التحرير هذا.

أوتيستيتشي/إنفنتاتي — أو A/I كما يعرفها مستخدموها — مجموعة إيطالية يديرها متطوعون منذ عام 2001، تقدّم للناشطين البريد الإلكتروني واستضافة المواقع والمدونات والدردشة لمن يطلبها، من دون تسجيل هوياتهم. يوم الأربعاء صنّفها مكتب مراقبة الأصول الأجنبية التابع لوزارة الخزانة الأمريكية، OFAC، وهو الجهاز الذي يدير العقوبات الاقتصادية، «إرهابيًا عالميًا مصنَّفًا بشكل خاص» (Specially Designated Global Terrorist) — زاعمًا أن ما تقدّمه من "encrypted email accounts, chat and video conferencing" — أي «حسابات بريد إلكتروني مشفّر ودردشة ومؤتمرات فيديو» — ومن استضافة يدعم ماديًا "Antifa cells and other violent left-wing extremists" — أي «خلايا أنتيفا وغيرها من متطرفي اليسار العنيفين» — بما في ذلك حزب العمال الكردستاني. وشملت الدفعة نفسها من التصنيفات جماعة الاحتجاج البريطانية «باليستاين أكشن» (Palestine Action) المحظورة أصلًا في بلدها، وشبكة التضامن الفلسطينية «مسار بديل» (Masar Badil).

وإلى جانب التصنيف، أصدر مكتب OFAC الترخيص العام رقم 36 (General License 36)، الذي يأذن بـ"the wind down of any transaction involving Autistici Inventati" — أي «تصفية أي معاملة تخص أوتيستيتشي إنفنتاتي» — حتى الساعة 12:01 فجرًا من 25 سبتمبر. شهر كامل، على الورق. وهكذا قرأته المجموعة: فبعد ظهر الخميس أعادت نشر نداء بعنوان "Defend Autistici/Inventati Before September 25" — أي «دافعوا عن أوتيستيتشي/إنفنتاتي قبل 25 سبتمبر».

بعد نحو خمس عشرة ساعة من إعادة النشر تلك، سحب سجلّ النطاقات الاسم. من التوقيع على الترخيص العام إلى serverHold: نحو 37 ساعة. وكان قد بقي من مهلة التصفية 28 يومًا.

اقرأ رموز الحالة

السجل العلني للنطاق يقول من فعل هذا. تأتي حالات النطاقات في عائلتين: الرموز التي تبدأ بكلمة "client" يضبطها المسجِّل — وهو هنا Gandi، الشركة الفرنسية التي اشترت A/I الاسم عبرها عام 2000 وتبقيه مسجلًا حتى عام 2029 — والرموز التي تبدأ بكلمة "server" يضبطها سجلّ النطاقات نفسه. عند الساعة 1:57 من فجر اليوم اكتسب autistici.org ثلاثة رموز: serverHold وserverTransferProhibited وserverUpdateProhibited. الثلاثة كلها من جانب السجلّ. أما بصمة Gandi الوحيدة على السجل فقفل نقلٍ روتيني سابق لكل هذا. هذه يد PIR، في فيرجينيا — أمّا هل تصرفت بتعليمات من OFAC أم بحكم امتثالها الخاص، فهذا ما لم تقله PIR، وكلا الجوابين مقلق.

كانت العملية جراحية. فقيد العقوبات يذكر نطاقًا واحدًا بالضبط، autistici.org، ونطاق واحد بالضبط هو الذي أظلم. أسماء المجموعة الشقيقة — noblogs.org وinventati.org وinvestici.org — تُحلّ بشكل طبيعي. لم تمسّ الدولة خادمًا واحدًا. مدّت يدها إلى دفتر العناوين وحذفت سطرًا واحدًا، وكان ذلك كافيًا.

ما الذي يرخّصه الترخيص فعلًا

لا شيء في هذا يبدو غير قانوني. الترخيص العام رقم 36 يأذن بـ"all transactions… that are ordinarily incident and necessary to the wind down of any transaction involving Autistici Inventati… through 12:01 a.m. eastern daylight time, September 25, 2026." — أي «جميع المعاملات… التي تكون في العادة ملازمة وضرورية لتصفية أي معاملة تخص أوتيستيتشي إنفنتاتي… حتى الساعة 12:01 فجرًا بالتوقيت الصيفي الشرقي، 25 سبتمبر 2026». يأذن. وهذه الكلمة لا تُلزم أحدًا بفعل أي شيء، وعقوبات OFAC تقوم على المسؤولية الموضوعية — لا يُشترط القصد — ولهذا فإن القراءة الآمنة لأي سؤال في العقوبات هي دائمًا القراءة الأسرع.

انظر مرة أخرى إلى رموز الحالة الثلاثة وستشاهد ذلك المنطق وهو يُنفَّذ. اثنان منها — serverTransferProhibited وserverUpdateProhibited — هما ما يتطلبه تجميد الأصول آليًا: النطاق الآن ملكية محجوزة لكيان مصنَّف، والملكية المحجوزة يجب أن تُثبَّت في مكانها، غير قابلة للنقل أو التعديل. أما الثالث، serverHold، فليس تجميدًا. إنه مفتاح إطفاء. لا يحفظ الأصل؛ بل يطفئه، ومعه كل صندوق بريد وكل صفحة كانت تستجيب لذلك الاسم. سجلٌّ يحمي نفسه كان يحتاج إلى الرمزين الأولين. أما صناديق البريد فماتت بالرمز الثالث.

هكذا وُجد شهر السماح في وثيقة حكومية، بينما ضُبطت الساعة الفعلية بردود فعل الامتثال لدى نقطة اختناق أمريكية واحدة يمرّ عبرها كل اسم .org على وجه الأرض.

الاتهام هو قائمة الخدمات نفسها

نظرية وزارة الخزانة تستحق أن تُقرأ كاملة. يقول بيانها الصحفي إن A/I "exclusively provides its services to vetted individuals, collectives, and groups it perceives to be aligned with its ideology, including to sanctioned terrorist organizations such as the Kurdistan Workers' Party (PKK)." — أي إنها «تقدّم خدماتها حصريًا لأفراد وتجمّعات وجماعات جرى التحقق منها وتراها متوافقة مع أيديولوجيتها، بما في ذلك منظمات إرهابية خاضعة للعقوبات مثل حزب العمال الكردستاني (PKK)». فإن كانت A/I تدير عن علم بنية تحتية لحزب العمال الكردستاني، فالنظرية القانونية ليست غريبة: فقد قضت المحكمة العليا الأمريكية في قضية Holder v. Humanitarian Law Project عام 2010 بأن حتى الدعم الشبيه بالتعبير، متى جرى بالتنسيق مع جماعة مصنَّفة، يمكن أن يُعاقَب عليه بوصفه دعمًا ماديًا.

أما هل خدمت A/I حزب العمال الكردستاني فعلًا وعن علم، فلا يستطيع أحد خارج الحكومة أن يجزم بذلك حاليًا؛ إذ لم يُنشر أي دليل. ما يدعمه السجل فعلًا أضيق من ذلك وأغرب: لا وثيقة منشورة تسمّي عملًا إرهابيًا محددًا واحدًا ساعدت فيه المجموعة. فالسلوك الذي تعدّده وزارة الخزانة — "website hosting on foreign servers, encrypted email accounts, chat and video conferencing" — أي «استضافة مواقع على خوادم أجنبية، وحسابات بريد إلكتروني مشفّر، ودردشة ومؤتمرات فيديو» — هو قائمة الخدمات لدى كل مزوّد يحترم الخصوصية على وجه الأرض، مضافًا إليها خطوة تحقق. التصنيف يُقرأ، بكلمات الحكومة نفسها، كلائحة اتهام موجهة إلى البنية التحتية.

«قنبلة ذرية للقضاء على أرنب»

المجموعة تنفي كل شيء، وبإنجليزيتها هي: "We deny all allegations… Antifascism and anticapitalism are not terrorism. Protesting is not terrorism." — أي «ننفي كل الاتهامات… معاداة الفاشية ومعاداة الرأسمالية ليستا إرهابًا. الاحتجاج ليس إرهابًا». وفي مقابلة نشرها الموقع الإخباري الإيطالي Fanpage صباح اليوم — بعد ساعات من الحجب — ردّ عضو في المجموعة على اتهام «التحقق المسبق» بالتفصيل. فالمدونات، بحسب العضو، هي أكثر ما تديره A/I انفتاحًا: أي شخص لديه حساب على خوادمهم، أو على خوادم ذات سياسة متوافقة، يمكنه فتح مدونة. «لا يصلنا أي إشعار، ولسنا مضطرين إلى الموافقة المسبقة على أحد. المدونة تُفتح ببساطة». والطلبات القانونية التي وصلت عبر القنوات القانونية، بحسب العضو، جرى اتباعها والامتثال لها. أما ما بنته الولايات المتحدة بدلًا من ذلك، فهو بكلمات العضو «أشبه باستخدام قنبلة ذرية للقضاء على أرنب صغير».

وللعضو نظرية خاصة في سبب حدوث هذا الآن: حركات أمريكية تنظّم صفوفها ضد إدارة الهجرة والجمارك الأمريكية (ICE) تستخدم منصات A/I للتواصل، ومراكز أبحاث موالية لواشنطن أمضت عامًا كاملًا في التصويب على المدونات.

صمّموا بنيتهم تحسبًا للمصادرة. وهذه لم تكن مصادرة.

تعرّضت A/I للمداهمة من قبل، وبنيتها كلها جواب على المداهمات. ففي عام 2004 نسخت الشرطة الإيطالية كل قرص في خادم المجموعة بتعاون من شركة الاستضافة التي تتعامل معها، Aruba — ولم تكتشف A/I ذلك إلا مصادفة بعد عام. ردّت المجموعة بإعادة البناء وفق ما سمّته «خطة R*» (R* Plan): خدمات موزعة على خوادم في عدة بلدان، ومشفّرة، بحيث لا تستطيع مصادرة واحدة أن تذهب ببريد المجتمع كله. طوال ربع قرن كان الافتراض التصميمي أن أحدًا ما سيأتي في النهاية من أجل الأجهزة.

لم يأتِ أحد من أجل الأجهزة. حجب سجلّ النطاقات يهزم التصميم كله من طبقة أعلى منه: وزّع خوادمك على ما شئت من الولايات القضائية — اسمك يظل يعيش في قاعدة بيانات واحدة، في فيرجينيا. الرافعة نفسها سُحبت من قبل على مستوى نطاقات الدول — فقد حجب سجلّ النطاقات في الهند نطاقات حركات احتجاجية هذا الصيف من دون أي سند منشور — لكن هذه المرة الأمر يجري في .org، فضاء الأسماء الذي تعيش فيه منظمات العالم غير الربحية، وهو ينفّذ تصنيف إرهاب ضد مستضيف من المجتمع المدني في ديمقراطية حليفة، بصمت، بأمر واحد من أوامر السجلّ.

القانون يحمي الرسائل. لا شيء حمى العنوان.

الذين يقع عليهم هذا كله هم في الغالب غير مَن ورد ذكرهم في بيان وزارة الخزانة الصحفي. إنهم الناشطون والصحفيون والإيطاليون العاديون الذين كانت مراسلاتهم تسكن عنوانًا لم يعد يُحلّ. فقانون العقوبات يستثني "any postal, telegraphic, telephonic, or other personal communication, which does not involve a transfer of anything of value" — أي «أي اتصال شخصي بريدي أو برقي أو هاتفي أو غيره، لا ينطوي على نقل أي شيء ذي قيمة»؛ وتضيف الأسئلة الشائعة لدى OFAC نفسها أن الأمريكيين لا يخالفون العقوبات "for engaging in such constitutionally protected activity" — أي «بممارسة مثل هذا النشاط المحمي دستوريًا». الاستثناء سليم لم يُمسّ. وهو الآن يحمي بريدًا لا سبيل إلى تسليمه.

تعرف PIR تمامًا ما الذي يفعله حذف عنوان، لأن سياستها الخاصة بمكافحة إساءة الاستخدام تقول ذلك بنفسها: فهي بصفتها سجلّ نطاقات «لا تستطيع إزالة أجزاء منفردة من المحتوى»؛ بل «لا تستطيع سوى تعليق اسم النطاق بأكمله، وهو ما يجعل أي منشورات وسلاسل نقاش ونطاقات من المستوى الثالث وبريد إلكتروني وكل محتوى آخر… غير قابل للوصول»، ولهذا تصف السياسةُ الإجراءَ على مستوى DNS بأنه «في العادة علاج غير متناسب يمكن أن يسبب أضرارًا جانبية جسيمة». كُتبت تلك الكلمات عن حالات إساءة الاستخدام، لا عن العقوبات. ومع ذلك فهي أدقّ وصف نشره أي طرف لما حدث لـautistici.org عند الساعة 1:57 من فجر اليوم — وصف نُشر مسبقًا، من الطرف الذي فعلها.

في منتصف صباح اليوم بالتوقيت العالمي المنسق كان الحجب ما يزال قائمًا، وقد أُعيد تأكيده في سجل سجلّ النطاقات، ولم تكن مدونة المجموعة نفسها — الآمنة على نطاق شقيق لم يسمّه قيد العقوبات — قد أخبرت مستخدميها بعدُ بأن الاسم قد اختفى.

سيتجادل الناس حول التصنيف شهورًا، في إيطاليا وربما في المحاكم. أما صناديق البريد فلم تحصل على شهور. حصلت على 37 ساعة، عند الساعة 1:57 فجرًا، من سجلّ نطاقات لم ينبس ببنت شفة.

ما يريد الدفاع رؤيته هو الكيفية التي راقبتهم بها الحكومة. فيوم الأربعاء، مُنحت ثلاث منظمات قلّما تترافع في الصف نفسه — معهد كيتو (Cato)، ومؤسسة الحقوق الفردية والتعبير (FIRE)، وجمعية سيادة القانون (Society for the Rule of Law) — الإذنَ بتقديم مذكرة صديقة للمحكمة يحمل قسمها الثاني عنوان "NSPM-7 Was Used in This Case to Surveil Dissent" (استُخدمت NSPM-7 في هذه القضية لمراقبة المعارضة) — وNSPM-7 توجيه رئاسي صدر عام 2025؛ المزيد عنه أدناه. وفي داخلها، مع حاشية، الجزء الذي لم يكن أحد قد فكّ شفرته من المستندات العلنية المرفقة بطلب الدفاع: تحقيقات الأمن الداخلي (HSI)، الذراع التحقيقية لوزارة الأمن الداخلي، حصلت سرًّا على سنوات من السجلات المالية للاتحاد الدولي لموظفي الخدمات (SEIU)، ونقابة عمال الاتصالات في أمريكا (CWA)، والاتحاد الدولي للمهندسين المهنيين والتقنيين (IFPTE)، وحركة «صنرايز» (Sunrise Movement)، ومنظمة «أصوات من أجل العدالة العرقية» (Voices for Racial Justice) — «التي لم تُتَّهم أيٌّ منها بأي جريمة».

كانت الأداة استدعاءً جمركيًّا.

الاستدعاءان علنيان، بوصفهما مستندين مرفقين بطلب الدفاع. كلٌّ منهما نموذج HSI رقم 3115، يعلوه العنوان "SUMMONS — To Appear and/or Produce Records — 19 U.S.C. § 1509" (استدعاء — للمثول و/أو تقديم السجلات — المادة 1509 من الباب 19 من مدونة قوانين الولايات المتحدة)، وكلٌّ منهما يذكر سند سلطته بأنه "section 509, Tariff Act of 1930" (المادة 509 من قانون التعريفات الجمركية لعام 1930). في 6 مارس، صدر عن العميل الخاص المسؤول ستيفن شرانك استدعاءٌ إلى «فيدواير» (Fedwire)، خدمة التحويلات البرقية التابعة للاحتياطي الفيدرالي، يطلب كل تحويل منذ 1 يناير 2023 يخص أربعة كيانات تابعة لـSEIU. وفي 9 مارس صدر عن شرانك استدعاء آخر إلى «ذا كليرينغ هاوس» (The Clearing House)، النظام الخاص للمقاصة بين البنوك، يطلب «أي سجلات وجميعها» من 1 يناير 2023 إلى 9 مارس 2026 عن CWA، وIFPTE — «نقابة كندية»، كما يشير طلب الدفاع، لها حساب في بنك مونتريال في تورونتو — وحركة صنرايز، وكيانين اسماهما مطموسان. ويحمل النموذجان السطر نفسه: "You are requested not to disclose the existence of this summons for an indefinite period of time." (يُطلب منكم عدم الإفصاح عن وجود هذا الاستدعاء لأجل غير مسمى.)

وما عاد به الاستدعاء كان الحياة اليومية العادية لنقابة. فتقرير لـHSI اعتُمد في 30 أبريل، في قضية فُتحت «وفقًا لمذكرة الأمن القومي الرئاسية رقم 7»، يسجّل أن ما أعادته فيدواير أظهر المكتب الوطني لـSEIU وهو يحوّل من فروعه المحلية وإليها "annuity payments, strike payments, strike supplies, investments, union member dues, retiree dues, medical expenses, and pension fund expenses" (مدفوعات أقساط سنوية، ومدفوعات إضراب، ولوازم إضراب، واستثمارات، واشتراكات أعضاء النقابة، واشتراكات المتقاعدين، ونفقات طبية، ونفقات صناديق التقاعد). وسطره الأخير: "This financial investigation involving protest domestic terrorist financing continues." (هذا التحقيق المالي المتعلق بتمويل إرهاب محلي احتجاجي مستمر.)

للنموذج تاريخ

لقد صُوِّب النموذج الجمركي نحو منتقدي الحكومة من قبل. ففي مارس 2017، سلّمت هيئة الجمارك وحماية الحدود (CBP) إلى تويتر استدعاءً بموجب §1509 يطلب "[a]ll records regarding the twitter account @ALT_USCIS" (كل السجلات المتعلقة بحساب تويتر @ALT_USCIS)، وهو حساب مجهول الهوية ينتقد سياسة الإدارة في الهجرة. رفعت تويتر دعوى في 6 أبريل 2017؛ فسحبت CBP الاستدعاء في اليوم التالي. ثم خلص المفتش العام في الوزارة نفسها إلى أن غرض CBP «لم تكن له صلة باستيراد البضائع أو بتقدير الرسوم الجمركية وتحصيلها»، وأنها «ربما تكون قد تجاوزت نطاق سلطتها بموجب المادة 1509»، وأن المكتب الذي أصدر الاستدعاء كان، بين يناير 2015 ومايو 2017، قد استخدم النموذج نفسه بالمخالفة لسياسته الداخلية «في ما لا يقل عن 1 من كل 5 مرات».

وفي 11 سبتمبر 2025، سلّمت وزارة الأمن الداخلي إلى «ميتا» استدعاءين بموجب §1509 للكشف عن هوية صانع محتوى مجهول على فيسبوك وإنستغرام؛ وفي نوفمبر وُجّهت رسالة من السيناتور رون وايدن إلى كريستي نويم، على رأس الوزارة، تصفهما بأنهما «استخدام غير لائق على نحو بيّن لهذه السلطة التحقيقية الجمركية». وفي الأسبوع نفسه الذي حمل فيه استدعاءا النقابات توقيعَ شرانك، أبلغت «ريديت» (Reddit) أحد مستخدميها بأن إدارة الهجرة والجمارك الأمريكية (ICE) سلّمتها استدعاءً بموجب §1509 للكشف عن هويته بسبب منشورات تنتقد عميلًا متورطًا في إطلاق نار قاتل؛ فتقدّم بطلب لإبطال الاستدعاء، فسحبته ICE، بحسب ما أوردت مجلة Reason.

بعد أربعة أيام من مقتل أليكس بريتي

NSPM-7 — مذكرة الأمن القومي الرئاسية رقم 7، "Countering Domestic Terrorism and Organized Political Violence" (مكافحة الإرهاب المحلي والعنف السياسي المنظم) — وُقِّعت في 25 سبتمبر 2025. والملف الذي سمّته HSI باسم "Operation Puppet Master" (عملية محرّك الدمى)، والذي يصفه رد الحكومة المكتوب على طلب الدفاع بأنه «تحقيق مالي لكشف مصادر التمويل»، فُتح في 28 يناير — أي، بحسب طلب الدفاع، «بعد أربعة أيام فقط من أن قتل العملاءُ أليكس بريتي عمدًا». وبريتي، ممرض عناية مركزة يبلغ من العمر 37 عامًا في مستشفى شؤون المحاربين القدامى (VA) في مينيابوليس، قُتل بالرصاص على يد اثنين من ضباط هيئة الجمارك وحماية الحدود في 24 يناير بينما كان يصوّر العملاء بهاتفه. ويضيف الرد أن فرقة العمل المشتركة «فانغارد» (Joint Task Force Vanguard) «أُنشئت بعد صدور NSPM-7» ومهمتها «استهداف الأفراد والمنظمات المنخرطة في العنف السياسي»، وأن قضاياها «تُنفَّذ بحياد وتشمل عنفًا وتهديدات من اليسار واليمين على السواء».

أما طلب الدفاع، المقدَّم في 13 أغسطس والذي انضم إليه ثلاثة عشر من المتهمين مع سانت، فيطالب بالأوراق التي وراء المراقبة: المراسلات بين المدعين في مينيسوتا وواشنطن حول فتح القضية، وأي شيء صادر عن أي وكالة يوحي بدافع سياسي، والملاحظات الأولية للعملاء، والتقارير التحقيقية التي لا تزال محجوبة، و— في مطلبه الرابع — ملفات التعرف على الوجوه: «كل تقارير Clearview AI التي أنتجتها عن المحتجين والناشطين خلال عملية مترو سيرج». والتقرير الخاص بسانت يحتوي، كما يقول الطلب، على «صور رجل آخر وعائلته، بمن فيهم زوجته الحامل وابنته الصغيرة، مسحوبة من صفحة ذلك الرجل على فيسبوك، وصارت الآن مرتبطة ارتباطًا لا فكاك منه بالسيد سانت في قواعد بيانات HSI الداخلية».

سبع وثلاثون صفحة، وقانون واحد غائب

ذلك الرد — 37 صفحة، قُدّم في 21 أغسطس — لا ينكر شيئًا من هذا. يقول إن السجلات المالية «ذات صلة ضئيلة، إن وُجدت، بلائحة الاتهام الحالية»، وإنها سُلِّمت «من باب الحيطة الزائدة»، وإن الاستدعاءين كانا «أداة استُخدمت في محاولة تبيُّن مصدر ذلك التمويل» للحواجز. وهو يدافع عنهما استنادًا إلى 18 U.S.C. § 3486 وإلى موجز من خدمة أبحاث الكونغرس يسرد اختبار المحكمة العليا الرباعي لاستدعاءات مصلحة الضرائب الأمريكية (IRS). وعلى امتداد 37 صفحة لا يستشهد أبدًا بـ19 U.S.C. § 1509، القانون المطبوع على النموذجين اللذين يدافع عنهما. ولا يقول أبدًا "Clearview". ولا "facial"، ولا "photo"، ولا "Exhibit 30" — المستند الذي تجلس فيه عائلة الرجل الغريب.

وحجة الحكومة، في أقوى صورها، هي هذه: أوامر الاستدعاء الإدارية الموجهة إلى الشركات لا تحتاج إلى سبب محتمل؛ وكان للتحقيق غرض مشروع، لأن «المتهمين جمعوا أموالًا لدعم حواجزهم» — أحدهم اشترى مقطورة لحاجز 23 يناير، كما يلاحظ الرد؛ والسجلات ذهبت إلى الدفاع على أي حال؛ والحكومة «لا تعتزم استخدامها في المحاكمة». غير أن الشرط الأول في الموجز لمثل هذا الاستدعاء هو أن "the inquiry is within the authority of the agency" (يكون التحقيق ضمن سلطة الوكالة). وهذا هو الجزء الذي لا يحاجج فيه الرد أبدًا، وكلمات القانون نفسه تجعل ذلك عسيرًا: فالمادة §1509 تتحدث عن "the correctness of any entry" (صحة أي بيان جمركي) — أي الأوراق التي تُقدَّم حين تعبر البضائع حدودًا — وعن "the liability of any person for duty, fees and taxes" (مسؤولية أي شخص عن الرسوم الجمركية والأتعاب والضرائب)؛ ولم يعثر هذا المكتب على أي قرار قضائي منشور اختبر بندها الأوسع — الامتثال للقوانين "administered by the United States Customs Service" (التي تديرها دائرة الجمارك الأمريكية) — في مواجهة تحقيق جنائي لـHSI. وصندوق إضراب نقابةٍ ليس بيانًا جمركيًّا.

من في القاعة

المجموعات الخارجية الثلاث ليست حليفًا طبيعيًّا للمتهمين: مركز أبحاث ليبرتاري، ومنظمة تدافع عن حرية التعبير في الجامعات، وجمعية قانونية أسسها مخضرمون من إدارات جمهورية. أما النقابات فليست في القاعة أصلًا — حتى لحظة النشر لم تكن أيٌّ من المنظمات الخمس قد علّقت علنًا؛ وكان موقع SEIU متوقفًا للصيانة. وللقاضي الجزئي تاريخ مع أوراق مكتب المدعي العام هذا: فمن بين 36 شخصًا اتُّهموا بالاعتداء على عملاء أو إعاقتهم خلال حملة الانتشار، أحصت MPR News إسقاط 18 قضية إسقاطًا تامًّا وإنهاء 11 أخرى باتفاقات عدم ملاحقة، وفي جلسة في أبريل وُصفت إحدى تلك الوثائق الاتهامية على لسان شولتز بأنها "false affidavit" (إفادة خطية كاذبة).

ليس أمام أي قاضٍ

جلسة اليوم عن كشف الأدلة — هل يحصل المتهمون على المراسلات والملاحظات وتقارير التعرف على الوجوه المتبقية. أما ما إذا كان يجوز لاستدعاء جمركي أن يصل إلى خزانة نقابة، فليس معروضًا على القاضي شولتز، ولم يُعرض قط على أي قاضٍ: في المرتين اللتين خيض فيهما نزاع قضائي على استدعاء §1509 يستهدف هوية منتقد، سحبته وزارة الأمن الداخلي ولم تحكم أي محكمة، وهذان الاستدعاءان لم يُنازَع فيهما قط لأن الأطراف الوحيدة التي أُبلغت بهما طُلب منها ألا تقول شيئًا. والاسمان المطموسان في استدعاء «كليرينغ هاوس» لا يزالان مجهولين. وقد طلبت الحكومة تأجيل مرافعة اليوم لأن «واحدًا فقط من محامي الولايات المتحدة المُخطَرين متاح حاليًّا»، وجاء الرفض من شولتز يوم الاثنين. وهكذا، في الساعة 3:30، سيتجادل المحامون حول الأوراق، بينما تجلس ثلاث سنوات من أجور الإضراب واشتراكات المتقاعدين في ملف لدى HSI، تحت تقرير آخر كلمته في المسألة "continues" (مستمر).

والآن تريد وزارة العدل اسمك، وتاريخ ميلادك، وعنوانك، ورقم ضمانك الاجتماعي، وبيانات والدك أو وليّ أمرك.

يوم الجمعة قالت هيئة منقسمة من الدائرة التاسعة إن بوسعها أن تحاول. القضية هي QueerDoc, PLLC v. DOJ، رقم 25-7384، وقد فُصل فيها في 14 أغسطس. وQueerDoc هي العيادة — ممارسة طبية عبر الإنترنت تصف مثبّطات البلوغ والهرمونات، لمرضى منهم قاصرون، في عشر ولايات. ويسمّي موقعها الإلكتروني ثلاثة أطباء ومسؤولاً إدارياً.

جاء أمر الاستدعاء في خمسة عشر بنداً، معظمها عادي: ملفات موظفين، ورموز فوترة، وعقود صيدليات. أما الطلبات من 11 إلى 13 فليست كذلك. فهي تطالب بسجلات كل مريض وُصف له يوماً مثبّطُ بلوغ أو هرمون، وتطالب، بعبارة أمر الاستدعاء نفسها، بـ"[d]ocuments sufficient to identify each patient." — أي مستندات كافية لتحديد هوية كل مريض. والقاضي ريتشارد باييز، المخالف في الرأي، وضع لذلك رقماً: "thousands of intrusive patient and employee records." — أي آلاف من سجلات المرضى والموظفين البالغة التطفّل.

هذا ما تحقق فيه الحكومة. ليس صيدلية. وليس شركةَ تصنيع. بل موقعاً إلكترونياً.

تمرّ النظرية القانونية عبر حظر «سوء الوسم» في قانون الغذاء والدواء ومستحضرات التجميل (Food, Drug, and Cosmetic Act)، وسوء الوسم يشمل نشر «وسم» ("labeling") زائف أو مضلِّل. والوسم، كما قضت المحكمة العليا في Kordel v. United States سنة 1948، لا يلزم أن يكون ملصقاً بأي شيء: "No physical attachment . . . is necessary." — أي لا يلزم أي إلصاق مادي. وقاعدة إدارة الغذاء والدواء (FDA) نفسها تمدّه إلى ما يكاد يكون أيَّ "printed, audio, or visual matter descriptive of a drug." — أي أي مادة مطبوعة أو صوتية أو مرئية واصفة لدواء. وهكذا تنطبق الصفة على صفحات QueerDoc العامة، والأغلبية تسمّيها: صفحتان من التعليمات لحقن الهرمونات ذاتياً، وصفحة تقول إن آثار مثبّطات البلوغ "completely reversible." — قابلة للعكس تماماً.

تلك الجملة الأخيرة هي الجريمة المزعومة. وأرقام الضمان الاجتماعي هي التحقيق.

لا هيئة محلفين كبرى، ولا قاضٍ، ولا إذن قضائي

هذا أمر استدعاء إداري (administrative subpoena) بموجب حكم من قانون HIPAA هو 18 U.S.C. §3486، يتيح لوزير العدل أو من يفوّضه إلزامَ أي جهة بتقديم مستندات في أي تحقيق في جريمة رعاية صحية اتحادية. لا هيئة محلفين كبرى (grand jury). ولا قاضٍ. ولا إذن قضائي (warrant). ولا إثبات لسبب محتمل (probable cause). والسبيل الوحيد لمقاومته هو التقدّم بطلب إبطال (motion to quash)، والعبء يقع على المتلقّي.

تقدّمت QueerDoc بطلب الإبطال، وفي 27 أكتوبر 2025 أبطل قاضٍ اتحادي في سياتل، هو جمال وايتهيد، أمرَ الاستدعاء بالكامل. فقد خلص إلى أنه صدر لغرض غير مشروع (improper purpose): تنفيذاً لهدف الرئيس المعلن بإنهاء الرعاية المؤكِّدة للجندر (gender-affirming care). ولم يكن الأثر الورقي خفيّاً، وليس فيه شيء محلّ نزاع. فأمر تنفيذي وُقّع في يناير 2025 أوعز إلى الوزارة بإعطاء الأولوية لتحقيقات من هذا النوع بالضبط. وفي أبريل أبلغت وزيرةُ العدل آنذاك باميلا بوندي كلَّ موظفي وزارة العدل أن الهدف هو — بحسب تلخيص الأغلبية نفسها — "bring [gender-affirming care] to an end." — أي الوصول بـ[الرعاية المؤكِّدة للجندر] إلى نهايتها. وفي 11 يونيو أرسل بريت شوميت، في يومه الأول على رأس القسم المدني (Civil Division)، الرسالة نفسها إلى موظفيه هو وسلّم QueerDoc أمرَ الاستدعاء هذا.

نقضت الدائرة التاسعة الحكم. فالقاضي كارلوس بيا، المعيَّن من جورج دبليو بوش، حرّر رأي المحكمة؛ والقاضي دانيال بريس، المعيَّن من ترامب، انضم إليه؛ وباييز، المعيَّن من كلينتون، خالف. لا شيء من الأثر الورقي، هكذا قضت الأغلبية، يُعدّ دليلاً على سوء نية (bad faith): "The President may direct DOJ to exercise its statutory authority in a manner that aligns with his broader policy goals." — أي يجوز للرئيس أن يوجّه وزارة العدل إلى ممارسة سلطتها القانونية على نحو يتماشى مع أهدافه السياساتية الأوسع.

الطريق الذي سلكته الهيئة إلى هناك أهمّ من تلك الجملة نفسها. فهي لم تخالف وايتهيد فيما فعلته الوزارة. بل أعادت تصنيف نوعِ ما خلص إليه. فالنتائج الوقائعية (findings of fact) لقاضي الموضوع تصمد في الاستئناف ما لم تكن غير منطقية أو بلا سند؛ أما الاستنتاجات القانونية فلا تحظى بمثل هذه الحماية. وما خلص إليه وايتهيد من غرض غير مشروع لم يكن، كما كتب بيا، نتيجةً وقائعية أصلاً: "The issue here is not one of fact. The district court conducted no evidentiary hearings and took no testimony." — أي المسألة هنا ليست مسألة واقع؛ فالمحكمة الابتدائية (district court) لم تعقد جلسات إثبات ولم تستمع إلى شهادات. واستنباطُ الغرض من التصريحات العلنية للإدارة "did not amount to fact-finding but rather the drawing of legal conclusions from undisputed facts." — أي لم يرقَ إلى تقصّي وقائع، بل كان استخلاصَ استنتاجات قانونية من وقائع غير متنازع عليها.

وصف باييز ذلك بأنه مجانبٌ للصواب، وأشار إلى Anderson، وهو قرار للمحكمة العليا من سنة 1985 يقول العكس: فالاحترام الواجب (deference) يسري حتى حيث تستند نتائج القاضي إلى "documentary evidence or inferences from other facts." — أي أدلة مستندية أو استدلالات من وقائع أخرى. وقد دارت القضية على أيٍّ من هاتين الجملتين تصدّق.

فالأغلبية، كما كتب، "manufactures legal errors that will require federal courts to rubber stamp investigations initiated by the DOJ to harass opponents and chill disfavored causes, so long as the investigation serves the President's policy priorities." — أي تصطنع أخطاء قانونية ستُلزم المحاكمَ الاتحادية بالختم بلا نظر على تحقيقات تباشرها وزارة العدل لمضايقة الخصوم وترهيب القضايا المغضوب عليها، ما دام التحقيق يخدم أولويات الرئيس السياساتية. وختم بما هو أقسى، بجملة قلّما يكتبها القضاة عن زملائهم: "I am doubtful the majority would so contort the governing law and our precedent if this case did not promise to impede access to gender-affirming care." — أي يساورني الشك في أن الأغلبية كانت لتلوي القانونَ الحاكم وسوابقنا هذا الليَّ لو لم تكن هذه القضية تعِد بإعاقة الوصول إلى الرعاية المؤكِّدة للجندر.

وطرح السؤال الذي لا تجيب عنه الأغلبية أبداً: إذا كان الغرض هو معرفة ما إذا كان دواءٌ قد أُسيء وسمُه، "how are children's names, dates of birth, social security numbers and addresses relevant to this purpose?" — أي ما صلةُ أسماء الأطفال وتواريخ ميلادهم وأرقام ضمانهم الاجتماعي وعناوينهم بهذا الغرض؟

واسع بحكم التصميم

موقف الحكومة أقوى مما يسمح به السخطُ المحيط به. فأوامر الاستدعاء الإدارية يُراد لها أن تكون واسعة. والمحكمة العليا تسمّي ما سلّمه الكونغرس للوكالات "powers of original inquiry" — أي سلطات التحرّي الأصيل: إذنٌ بالنظر قبل أن تكون لديك قضية. والصلة بالموضوع هي المِصفاة الحقيقية الوحيدة، والعتبة منخفضة عمداً. ويسوق بيا نقطة يصعب الردّ عليها: "even if the subpoena is overbroad — an issue the district court did not reach and the parties briefed only minimally — the proper remedy would be to narrow it, not to quash it in its entirety." — أي حتى لو كان أمر الاستدعاء مفرطَ الاتساع — وهي مسألة لم تبلغها المحكمة الابتدائية ولم يتناولها الطرفان في مذكراتهما إلا في أضيق الحدود — فإن العلاج الصحيح هو تضييقه، لا إبطاله بالكامل.

ذلك قانون عادي، والأرجح أنه صحيح. فقد أبطل وايتهيد الطلباتِ الخمسة عشر كلَّها، بما فيها ملفات الموظفين وعقود الصيدليات التي لم تعترض عليها QueerDoc أصلاً.

وهو ما يطرح السؤال عن معنى القانون المستقر هنا. فأمر استدعاء QueerDoc ليس حالة معزولة. إنه يحمل رقماً، وكذلك سواه: ففي حاشيةٍ يسرد باييز أحكاماً بشأن أوامر الاستدعاء 25-1431-014 و-016 و-019 و-030 و-032. وفي 9 يوليو 2025 — وهو اليوم الذي حلّ فيه أجَلُ امتثال QueerDoc نفسها — أعلنت الوزارة الحملةَ في بيان صحفي عنوانه "Department of Justice Subpoenas Doctors and Clinics Involved in Performing Transgender Medical Procedures on Children." — أي وزارة العدل توجّه أوامر استدعاء إلى أطباء وعيادات متورطين في إجراء عمليات طبية للتحول الجندري على أطفال. وسبع محاكم على الأقل، كما يكتب باييز، "quashed, recommended quashal, or modified these subpoenas" — أي أبطلت هذه الأوامر أو أوصت بإبطالها أو عدّلتها — سبعةُ أحكام موزَّعة على تلك الأرقام الخمسة.

أحد تلك الأرقام، -032، هو قضية رود آيلاند، حيث خلصت محكمة في مايو 2026 إلى أن الوزارة سبق أن قبلت ببيانات مجهولة الهوية في عدة ولايات قضائية. ويستشهد بها باييز لطرح السؤال البديهي: إذا كانت السجلات مجهولة الهوية تفي بالغرض في أماكن أخرى، فلأي شيء إذن معلوماتُ تحديد الهوية؟

أمرُ استدعاء QueerDoc هو أول هذه الأوامر التي تفصل فيها محكمة استئناف اتحادية — فثمة استئناف أمام الدائرة الأولى (First Circuit) قُيّد في السجل أولاً، في نوفمبر، وما يزال منظوراً. لم تكن الأغلبية تتبع قانوناً مستقراً حين نقضت الحكم. بل كانت تصنعه.

هل سيُبلَّغ المرضى؟

لا شيء في الرأي يقول إنهم سيُبلَّغون. ففي رأيٍ من خمسٍ وتسعين صفحة لا تمنح الأغلبيةُ خصوصيةَ المرضى إلا جملتين، وكلتاهما تسلّم المشكلة إلى جهة أخرى: فالمحكمة الابتدائية "may entertain any objections specific to DOJ's requests for patient medical records," — أي يجوز لها أن تنظر في أي اعتراضات تخص طلبات وزارة العدل المتعلقة بالسجلات الطبية للمرضى — وعلى المحكمة والطرفين "should also consider whether protective orders or other devices should be used to ameliorate any concerns about privacy." — أي أن ينظروا أيضاً فيما إذا كان ينبغي استخدام أوامر حماية (protective orders) أو أدوات أخرى لتخفيف أي مخاوف بشأن الخصوصية. «ينبغي أن ينظروا». لا يوجد أمر حماية. ولا وصف لفريق فرز. أما إبلاغ الناس الذين ملفاتُهم في الكومة فلا يَرِد ذكره إطلاقاً.

هم ليسوا أطرافاً، ولا يمكنهم أن يكونوا كذلك. والطرف الوحيد الذي يستطيع الاعتراض نيابةً عنهم هو العيادة التي عالجتهم — ولو أن العيادة امتثلت بحلول ذلك الأجَل، كما يفعل معظم المتلقّين، لما كان لأيٍّ من هذا رقمٌ في سجل قضائي.

الصفحة الأولى من الرأي تقول FOR PUBLICATION — أي «معدّ للنشر». ولو كان القرار غير منشور لما ألزم أحداً سواه. أما الرأي المنشور فسابقة: على كل قاضي محكمة ابتدائية اتحادية من أريزونا إلى ألاسكا أن يتبعه الآن في المرة القادمة التي تُصدر فيها الحكومة أمرَ استدعاء يبدو سياسياً.

لم ينتقل رقمُ ضمان اجتماعي واحد من يد إلى يد. فالهيئة لم تأمر بأي إبراز (production)؛ بل أعادت القضية (remand) إلى وايتهيد ليقرّر ما إذا كان أمر الاستدعاء مفرطَ الاتساع ومفرطَ الإرهاق. وما يزال بوسع العيادة أن تكسب.

تأسست QueerDoc على يد كريستال بيل، من أطباء طب الأسرة الحاصلين على شهادة البورد ومن أعضاء هيئة التدريس في جامعة واشنطن. والموقع الإلكتروني الذي تحقق فيه وزارة العدل ما يزال قائماً. وعلى الصفحة التي تعرّف بالعاملين فيه، تجثم فوق سيرهم الذاتية هذه الملاحظة:

«لقد أزلنا معظم صور فريقنا حفاظاً على السلامة في هذه الأوقات الراهنة!!!! نعرف أن من الصعب ألا يكون للاسم وجهٌ حين تقابل مقدّمَ رعاية جديداً. وقد اتخذنا هذا القرار محاولةً منا للمساعدة في حماية فريقنا ولمواصلة تقديم الرعاية لكم أطول مدة ممكنة.»

أنزل مقدّمو الرعاية وجوههم هم. والحكومة تريد أسماء المرضى.

قال بيخار: "Yes, I have ephemeral messaging on Signal" — نعم، لديّ مراسلة زائلة على Signal. "My background is a security engineer and from a professional paranoid, I try to be very mindful about my communications OPSEC" — خلفيتي مهندس أمن، ومن موقع المرتاب المحترف، أحاول أن أكون شديد الحرص على أمن اتصالاتي (OPSEC). وسُئل عمّا إذا كانت رسائله النصية مع زملائه السابقين في Meta تختفي، فقال: "Yes, they do" — نعم، تختفي.

ونحن نعلم أنه قال ذلك لأن Meta دوّنته. فبعد ثمانية أيام أُعيد إيراد ذلك التبادل، بالتشديدات التي وضعتها Meta نفسها، داخل التماس (motion) من 26 صفحة في محكمة اتحادية تبعد 2,000 ميل، يطلب من القاضية هناك أن تُبعده عن منصّة الشهادة كلياً.

استمعت المحكمة إلى المرافعة في 13 أغسطس وأبدت أسبابها في المحضر. واليوم وصل الرفض مكتوباً.

كتبت كبيرة القضاة (Chief Judge) إيفون غونزاليس روجرز:

"[I]t is obvious that this motion falls into the category of a 'Hail Mary' attempt to eliminate a strong witness for the plaintiffs. The attempt fails, and although Meta can cross-examine Bejar, it cannot imply that a legal obligation to preserve those texts existed."

أي: من الواضح أن هذا الالتماس يندرج في فئة محاولة "Hail Mary" — الرمية اليائسة الأخيرة — لإقصاء شاهد قوي لصالح المدّعين. والمحاولة تفشل، ومع أنه يجوز لـMeta أن تُخضع بيخار للاستجواب المضاد، فإنه لا يجوز لها أن توحي بأن التزاماً قانونياً بحفظ تلك الرسائل كان قائماً.

الفقرة 2، بين الأمور التنظيمية

أمر ما قبل المحاكمة رقم 8 (Pretrial Order No. 8) ثلاث صفحات، أُودع قبل يومين من المرافعات الافتتاحية. والحكم هو الفقرة 2 منه، وهي واحدة من خمس تمتدّ من مستندات المرافعة الافتتاحية إلى مواعيد إيداع المذكّرات — أمرٌ يجمع حكماً مع أمور تنظيمية روتينية.

ويرد فيه: «طلب Meta استبعاد بيخار من الإدلاء بالشهادة في المحاكمة مرفوض» ("Meta's request to exclude Bejar from testifying at trial is DENIED").

يجوز لـMeta أن تسأل بيخار عن سبب تلاشي رسائله. ولا يجوز لها أن تقول لهيئة المحلفين إنه كان ملزَماً بحفظها.

من هو، ولماذا تريد Meta إبعاده

غادر بيخار شركة Meta في 2015، ثم عاد بعد أربع سنوات مستشاراً لوحدة Instagram التابعة لها، بعدما حدّثته ابنته المراهقة وصديقاتها عن المضايقات الجنسية غير المرغوب فيها التي كنّ يتلقّينها هناك. وفي أكتوبر 2021 أرسل ما وجده إلى زوكربيرغ، وإلى رئيس Instagram آدم موسيري، وإلى شيريل ساندبرغ. ويقول إن الردّ كان «صمتاً تاماً».

وقد شهد ضد Meta في ثلاث محاكمات. ويُنتظر أن يفعل ذلك مجدداً يوم الثلاثاء في أوكلاند، حيث تتّهم 29 ولاية شركة Meta بجمع بيانات الأطفال بصورة غير قانونية، وتقول أربع منها أيضاً إنها كذبت بشأن مدى أمان منتجاتها.

ودفع التماس Meta بأنه أتلف أدلة باستخدام تطبيق يحذف الرسائل بمؤقّت، وطلب استبعاده، أو أن يُقال لهيئة المحلفين أن تستنتج الأسوأ.

أربعة إخطارات، ولمن كان كلٌّ منها

بيخار ليس طرفاً. والأطراف ملزَمون بحفظ المستندات ذات الصلة بالدعوى؛ أما الشهود فغير ملزَمين بذلك عادةً، ما لم يُخطرهم شيءٌ بوجوبه. فبنت Meta الالتزام من أي إخطار استطاعت أن تجده، وسمّت أربعة: طلب النائب العام لولاية تينيسي في أبريل 2023، وطلب التحقيق المدني (civil investigative demand) الصادر عن نيومكسيكو في نوفمبر من العام نفسه، وأمر الاستدعاء (subpoena) الذي أصدرته Meta نفسها في فبراير 2025، وأمر هذه المحكمة في ديسمبر 2025 بتقديم المراسلات التي تقول Meta إنها مفقودة بالضبط.

ولا يتناولها الحكم بهذا التسلسل، لكنه يجيب عن الأربعة جميعاً. فالأولان إجراءٌ يخصّ غير Meta، ولا حقّ قانونياً لها في إنفاذ إجراء طرف آخر؛ كتبت غونزاليس روجرز: «لا صفة (standing) لـMeta في إنفاذ أمر استدعاء صادر عن نائب عام» ("Meta has no standing to enforce a subpoena issued by an attorney general"). والثالث هو أمر الاستدعاء الذي أصدرته Meta نفسها، والرابع هو أمر هذه المحكمة، وأياً كان مُصدِرهما فليس بوسع Meta أن تجعلهما مستمرَّين. فهي «لا تملك، في واقع الأمر، آلية قانونية لإنفاذ ادّعائها بأن بيخار كان تحت التزام مستمرّ بحفظ مراسلات Signal. فـMeta لم تشترط هي نفسها إبرازاً مستمراً للمستندات؛ ولم تُصدر أمر استدعاء متابعة» ("does not have, in reality, a legal mechanism to enforce its claim that Bejar was under a continuing obligation to preserve Signal communications. Meta did not itself require an ongoing production; nor did it issue a follow up subpoena").

ناشفيل، مقروءةً من أوكلاند

كانت نظرية Meta في الصلة بالموضوع أن بيخار كان يجنّد زملاء سابقين للشهادة ضد الشركة، وأن الرسائل كانت ستُظهر ذلك. وفي سياق البتّ فيما إذا كانت تحتاج إلى جلسة إثبات أصلاً، قرأت غونزاليس روجرز أربعة أيام من شهادته في State of Tennessee v. Meta Platforms، حيث كان أول شاهد يُستدعى. ووجدت أن «القليل جداً منها تعلّق بأي ادّعاءات تجنيد. بل تركّزت المسائل على عمل بيخار الفعلي في Meta» ("Very little concerned any allegations of recruitment. Rather, the issues focused on Bejar's actual work at Meta").

الحذف الذي لا تستطيع Meta تسميته

لا تستطيع Meta أن تقول ماذا كان في الرسائل المفقودة. ما لديها استنتاج مبنيّ على البكسلات.

أبرز بيخار في مارس 2025 خيطَي محادثة على Signal في هيئة ثماني لقطات شاشة، أحد الخيطين مع المبلِّغة عن المخالفات فرانسيس هاوغن. ولم يقدّم معها أي بيانات وصفية، وهو ما يجعل، بإقرار Meta نفسها، من «المستحيل على Meta أن تعرف بالضبط كيف التُقطت هذه المحادثات».

فذهبت Meta إلى الصورة. يقول الالتماس إن صفحة المساعدة في Signal تنصّ على أن «كل رسالة متلاشية، من دون استثناء، ستحمل أيقونة عدّاد تنازلي مرئية أسفل فقاعة الرسالة» ("[e]ach and every disappearing message will have a timer countdown icon that is visible at the bottom of the message bubble"). ولم تجد Meta أي أيقونة عدّ تنازلي في اللقطات الثماني، فاستنتجت من غيابها أن بيخار لا بدّ أن يكون إمّا قد شغّل المؤقّت بعد تلك المحادثات، وإمّا أطفأه ليلتقط تلك اللقطات.

تلك هي مشكلة الإثبات الحديثة في صورة واحدة: شركة تحاجّ بوقوع حذف انطلاقاً من الحافة السفلى لفقاعة رسالة في لقطة شاشة لمحادثة لم تكن طرفاً فيها قط.

حجّة Meta أقوى مما توحي به هذه الصورة

وفي المسألة العامة، القانون إلى جانب Meta. فالمحاكم تُوقِع بالفعل جزاءات على المتقاضين الذين يتركون الأدلة تنقضي — وهذا هو إتلاف الأدلة (spoliation)، أي إعدام مادة كان أحدهم ملزَماً بحفظها: فقد وصف قاضٍ اتحادي في أركنساس التحوّل إلى Signal في أثناء التقاضي بأنه «إتلاف متعمّد وسيّئ النيّة للأدلة» ("intentional, bad-faith spoliation of evidence") سنة 2019، ويستشهد التماس Meta بحالتين أخريين. كما سبق لغونزاليس روجرز أن أمرت بيخار بتسليم هذه المراسلات، مقرّرةً أن حاجة Meta ترجح على حجّته بأن الكشف عنها سيفضح أشخاصاً تحدّثوا إليه في سرّية.

وثمّة نافذة زمنية واحدة محرجة فعلاً. فقد راسلت أنيكه بوفون، وهي باحثة أمان في Meta سُرِّحت في ديسمبر 2025، بيخارَ على Signal؛ ولم يكونا قد التقيا قط. وفي إفادتها التمهيدية في يونيو 2026 شهدت بتبادلات جرت في ديسمبر 2025 وفبراير 2026 بشأن هذا التقاضي. وجاء آخر إبراز قام به في 12 يناير 2026، أي بعد أوّلهما. ولم تُبرَز أي رسائل Signal معها.

وأقوى المواد ضدّه هي في الإفادة التي وقّعها هو نفسه. فهو، على قوله، «دأب سنوات طويلة على تطهير حساباته البريدية من المعلومات غير الضرورية»، ولم يحتفظ بمذكّرة أكتوبر 2021 الموجّهة إلى زوكربيرغ — وهي الوثيقة التي تقوم عليها روايته العلنية عن Meta. ويمكن لقاضٍ أن يخلص، من دون أن يظنّه غير صادق، إلى أن مَن يحذف بحكم العادة ثم صار شاهداً بهذه الأهمية كان ينبغي له أن يتوقف عن الحذف.

وجوابه إنكار قاطع مشفوع بيمين: «ادّعى محامو Meta أنني استخدمت خاصية سمّوها "auto delete" — أي الحذف التلقائي — أو أنني حذفت رسائل على نحو آخر. وهذا غير صحيح» ("That is false"). ويقول إنه، من اليوم الذي ثبّت فيه Signal في 2023 إلى أن أنهى الإبراز في يناير 2026، لم يستخدم أي حذف تلقائي في أي تبادل مع موظف سابق في Meta. وهذا يبلغ تبادل ديسمبر. ويقف دون تبادل فبراير.

الفكرة نفسها، مصوَّبةً في اتجاهين

وحدّد الأمر نفسه مهلةً تنتهي ظهراً، وفق ما وُجِّه في جلسة 13 أغسطس، لإيداع تعليمات مقترحة لهيئة المحلفين بشأن المادة 230 (Section 230)، وهي الدرع الاتحادية للمنصّات. وأودع الطرفان اليوم.

وتطلب تعليمات Meta أن يُقال للمحلفين إنه لا يجوز لهم أن يخلصوا إلى أنها مارست ممارسات غير عادلة، ولا إلى أن أياً من تصريحاتها كاذب أو مضلِّل، استناداً إلى أيٍّ من عشرة أمور مذكورة. وسادسها «السماح لمحتوى الغير بأن يكون خاصاً أو بأن يختفي بعد مدة من الزمن» ("[a]llowing third-party content to be private or to disappear after a period of time").

وهما فرعان مختلفان من القانون، وحجّة الدرع ليست من اختراع Meta: فقد قرّرت هذه المحكمة في 2024 أن المحتوى الزائل وظيفةُ نشرٍ محميّة، وتعليمات الولايات نفسها تمتثل تحت الاحتجاج. لكنها الفكرة نفسها — محتوى يتلاشى بمؤقّت — تصل درعاً حيث تبنيه Meta وإتلافاً للأدلة حيث يستخدمه شاهد، بتوقيع آشلي م. سيمونسن من مكتب Covington & Burling، المستشار القانوني الخارجي لـMeta، في ملفَّين بينهما تسعة أيام.

ما لا يقوله الأمر

لا يقول إن استخدام Signal محميّ، ولا إن للشاهد أن يشغّل مؤقّتاً متى شاء. يقول إن هذه الشركة لم تستطع إنفاذ هذا الالتزام المزعوم في مواجهة هذا الشاهد: لا آلية، ولا أمر استدعاء متابعة، ولا صفة على مطالبة غيرها، ولا إثبات لـ«اعتماد أُبلغ به بيخار فعلاً» ("reliance actually communicated to Bejar"). وهذا أضيق من حق، وأنفع منه.

والمحكمة التي تخلص إلى انتفاء الالتزام ليست مضطرة إلى أن تمضي فتمنع الطرف الخاسر من الإيحاء بقيامه. لكن هذه المحكمة فعلت.

وتقول Meta، في تصريح قبل المحاكمة، إنها تختلف بشدّة مع ادّعاءات الولايات، وتشير إلى عملها الطويل في دعم الشباب.

ويشرح بيخار سبب وجود التطبيق على هاتفه: «بعض المهتمين بمناقشة قضايا مثل الأمان على الإنترنت يخشون أن تنتقم منهم Meta إذا انكشفت اتصالاتهم».

وكان من يشاهدونها قد أمضوا أسابيع في تهيئتها لذلك. وقال المختبر الاتحادي للعمليات السيبرانية في البرازيل للصحفيين لاحقاً إن المجموعة فتحت حساب PIX — وهو مفتاح تحويل مصرفي فوري — باسم الفتاة من دون علم أمّها، وأرسلت إليها مالاً لشراء شفرات حلاقة.

وسمّت الشرطة المدنية (Polícia Civil) في ماتو غروسو دو سول التحقيق باسمها. وقُدِّمت في برازيليا يوم 4 أغسطس عمليةٌ حملت اسم Operação Lívia: خمسة مراهقين تتراوح أعمارهم بين 13 و17 عاماً محتجزون، ومشتبهٌ بأنه قائد المجموعة وهو صبي عمره 14 عاماً. وقالت الشرطة أيضاً إنها عثرت على طفل ثانٍ، في ولاية أخرى، كان بثّ وفاته قد حُدِّد له موعد فعلاً، فأوقفته.

وقالت الحكومة أيضاً ما رأت أن المنصّة أخطأت فيه. فقد عدّد فيكتور فرنانديز، الأمين الوطني للحقوق الرقمية في وزارة العدل، ثلاثة إخفاقات: Discord لم توقف البثّ، ولم تُنزل المحتوى فوراً، ولم تبلّغ السلطات. وأعلن إحالة الأمر إلى ANPD، الهيئة الوطنية لحماية البيانات في البرازيل، وهي الجهة التي تُنفّذ أيضاً ECA Digital، أي قانون حماية الأطفال على الإنترنت الذي دخل حيّز النفاذ في مارس.

وتقول Discord إنها أزالت القناة وأوقفت الحسابات المعنيّة في أقل من 25 دقيقة. أما ما لا ينازع فيه أحد فهو ما بدأ تلك الساعة: تحذيرٌ من الشرطة.

وصلت الإحالة في 7 أغسطس. وبعد خمسة أيام صدر قرار.

الجملة الاعتراضية

في الساعة 10:21 من صباح 12 أغسطس، وقّع فابريسيو غيمارايس مادروغا لوبيس، المشرف على الإنفاذ في ANPD، ثلاث صفحات عنوانها Despacho Decisório nº 3/2026/SFI. وهي تعلّق، عن كل مستخدم في البرازيل، خاصية Go Live في Discord — أي الزرّ الذي يبثّ شاشتك أو كاميرتك داخل قناة صوتية. وتعلّق كذلك أي خاصية أخرى للفيديو والمشاركة مكافئة لها وظيفياً "(com criptografia de ponta a ponta e supervisionados por mecanismos equivalentes aos adotados no âmbito da funcionalidade 'Go Live')": أي مشفَّرة من طرف إلى طرف، وخاضعة لإشراف آليات مكافئة للآليات المستخدمة في Go Live.

خاصية Go Live محظورة بالاسم. أما الجملة الاعتراضية فهي الطريق الذي يتجاوز به القرارُ هذه الخاصية، وهي تشترط أمرين في آن واحد: أن تكون الخاصية مشفَّرة، وأن تكون خاضعة لإشراف على نحو ما كانت عليه Go Live. الشقّان معاً — غير أن أحدهما خاصّية تشفيرية، وهذا هو الجديد. والتسبيب العلني للهيئة يطابق ذلك: Discord لا تملك وصولاً إلى محتوى إرسال الفيديو أثناء حدوثه، ومن ثمّ لا يمكنها كشف مخالفة في الزمن الحقيقي.

والبند التالي يتجاوز الزرّ إلى البنية التحتية. فتتوقّف إعادة البثّ، والنسخ المرآتي، ومشاركة الشاشة، سواء عبر الخصائص الأصلية أو عبر البوتات وخطّافات الويب وواجهات البرمجة والأتمتة. ثم على Discord أن تضع تدابير فعّالة تقنياً ضد التحايل — بإعادة تسمية الخاصية، أو عبر نطاقات وسيطة، أو رموز دعوة، أو عمليات إعادة توجيه. إعادة التسمية ممنوعة قبل أن يقترحها أحد.

ويستمرّ التعليق إلى أن تُثبت الشركة أن التدابير تعمل، وتحصل كذلك على إذن مسبق صريح من الهيئة بإعادة تشغيل الخاصية.

التشفير حقيقي بالفعل

منذ سبتمبر 2024 وDiscord تنقل الصوت والفيديو إلى بروتوكول تسمّيه DAVE، مبنيّ على معيار Messaging Layer Security لتشفير المحادثات الجماعية، وراجعته شركة الأمن Trail of Bits. ووصف الشركة نفسها لنطاق البروتوكول يشمل بثّ Go Live.

هذه رواية الشركة عن منتجها هي — وملفّ الجهة التنظيمية يقبلها. فالمذكرة الفنية لـANPD تثبّت تاريخ وصول البروتوكول إلى الفيديو المباشر: 2 مارس 2026، بعد إقرار ECA Digital وقبل 15 يوماً من دخوله حيّز النفاذ. والهيئة لا تقول تماماً إن Discord شفّرت Go Live لتسبق القانون. إنها تضع التاريخين أحدهما بجانب الآخر.

الصفحات التي هي صور

القرار المؤلَّف من 3 صفحات يقرّر ولا يحاجّ. فأسبابه مستعارة بجملتها من مذكرة فنية من 18 صفحة، وُقّعت ذلك الصباح في الساعة 10:06 وذُيّلت بتوقيع ثانٍ في الساعة 10:11 — أي قبل القرار بعشر دقائق. ونشرت الهيئة هذه المذكرة في نسخة علنية، فيها الصفحتان السابعة والثامنة مسطَّحتان إلى صورتين، لأنهما تحملان مستطيلات سوداء فوق ما قالته Discord للجهة التنظيمية عن كيفية عمل أنظمة السلامة لديها. اطلب من أداة استخراج النصّ هاتين الصفحتين، تُعِدْ إليك لا شيء على الإطلاق. فعرضناهما وقرأناهما بوصفهما صوراً.

وتسجّل المذكرة أن الأنظمة الاستباقية لدى Discord لا تحلّل محتوى الصوت والفيديو الخاصَّين، لأن هاتين الخاصيتين مشفَّرتان من طرف إلى طرف. وبدلاً من ذلك تمنح الشركة الخوادم والحسابات درجات بحسب السلوك، وتخلص المذكرة إلى أن هذا التقييم لم يكن قريباً من رفع علامة على هذا الخادم.

ثم تأتي الجملة التي تزعزع القرار كلّه:

"Não se trata, portanto, de mera delimitação técnica decorrente do uso da criptografia, mas de falha no próprio modelo de detecção baseado nos sinais comportamentais, que não foi capaz de identificar como prioritário um ambiente que já reunia indícios de risco alto."

أي: ليس الأمر إذن مجرّد حدّ تقني ناشئ عن استخدام التشفير، بل هو خلل في نموذج الكشف نفسه، الذي لم يقدر على أن يحدّد بوصفه أولويةً بيئةً كانت تجمع فعلاً مؤشرات خطر مرتفع.

نظرت الجهة التنظيمية في الحجّة القائلة إن التشفير هو المشكلة، فرفضتها — في الصفحة الثامنة، تحت شريط أسود، داخل الوثيقة التي يتبنّاها قرارها نفسه تسبيباً له. وبعد عشر دقائق، وفي القرار نفسه، يبلغ النصُّ المنطوق منتجاتٍ أخرى مستنداً في جزء من ذلك إلى السؤال عمّا إذا كانت مشفَّرة.

الأمان الذي يعمل بالبلاغات يحتاج إلى شاهد

لا شيء من هذا يجعل القرار ضعيفاً، والقضية التي وراءه قوية.

آلية الإبلاغ تحتاج إلى شخص حاضر غير متورّط، قادر على التصرّف، يعرف أن الآلية موجودة، ويثق بأن الشركة ستستخدمها في الوقت المناسب. وفي خادم خاص جُمِّع لهذا الغرض بالذات، هذا الشخص غير موجود. وكان ردّ Discord على خفض عتبة التنبيه أن ذلك سينتج مزيداً من الإنذارات الكاذبة؛ وردّ الهيئة أنه حين يكون الخطر إصابة جسيمة أو وفاة طفل، فإن كلفة السلب الكاذب أعلى بما لا يُقاس من كلفة إرسال خادم إضافي واحد إلى مراجعة بشرية.

ولم تُخرج ANPD منصّة Discord من الخدمة، وهو ما كانت جانجا دا سيلفا، سيدة البرازيل الأولى، قد طالبت به علناً قبل أيام. بل علّقت خاصية واحدة، وتركت كل ما عداها يعمل، وكتبت طريق العودة داخل القرار.

يوم الاثنين

يمنح القرار Discord 3 أيام عمل لتقديم إقرار، موقَّع من ممثل قانوني ومسؤول تقني معاً، يُثبت أن التعليق مكتمل في البرازيل كلّها، ويسمّي التاريخ والساعة والأنظمة والإصدارات المعنيّة.

والساعة لا تبدأ عند التوقيع. فكلا الأجلين — الأيام الثلاثة، و10 أيام العمل المتاحة للطعن — يبدأ عند الإخطار الرسمي، ولم يتثبّت هذا المكتب من موعد تبليغه. وبالعدّ من الأربعاء 12 أغسطس، تقع أيام العمل الثلاثة يوم الاثنين 17، وهو التاريخ الذي يذكره الطرفان نفساهما.

وكانت المذكرة الفنية، قبل عشر دقائق، قد اقترحت ما هو أرفق: أن تُطفئ Discord خاصية Go Live في غضون 3 أيام عمل. فأبقى المشرف على الأيام الثلاثة، ونقلها من موضعها. صارت الآن المهلة المتاحة لإثبات إطفاء كان ينبغي أن يكون قد حدث أصلاً.

ومساء الجمعة ردّت الشركة بأن ذلك غير ممكن. فهندسة إطفاء محصور ببلد واحد، واختباره ونشره عبر عملاء سطح المكتب والهاتف وأجهزة الألعاب، مع أدلة التحقّق التي يطلبها القرار، "não são materialmente executáveis, com integridade, no prazo fixado" — أي هي غير قابلة للتنفيذ مادياً، بنزاهة، في الأجل المحدَّد. والجزء الصعب ليس المفتاح، بل البند الخاص برموز الدعوة. وطلبت الشركة إلغاء القرار، وإن لم يكن فمهلةَ 15 يوم عمل. وحتى مساء السبت 15 أغسطس، لم يُنقَل عن الهيئة أي جواب.

وبقيةُ المذكرة تمدّ يدها إلى الحقيقة نفسها التي يستند إليها القرار، ثم تجرّها في الاتجاه المعاكس. فالتشفير، على قول Discord، هو ما منعها من حجب المحتوى. وخادم واحد يسير على غير ما ينبغي ليس نظاماً معطوباً: إذ تحتجّ الشركة بالاستثناء المنصوص عليه في القانون لحالة "falha isolada ou residual, inerente ao estado da técnica" — أي خلل معزول أو متبقٍّ، ملازم لحالة التقنية. وكلٌّ من الطرفين يدافع عن الموقف الذي كنت تتوقّعه من الآخر.

على أحدهم في برازيليا أن يقرّر يوم الاثنين.

وما سيقرّرونه ضيّق. أما ما يدوّنه القرار فليس ضيّقاً: أنّ خاصية فيديوٍ يجوز أن توجد إذا كان مشغّلها قادراً على مراقبتها، ولا يجوز إن لم يكن. ماتت طفلة عمرها 13 عاماً لأن أحداً لم يكن يراقب، وهذا سبب حقيقي للرغبة في قاعدة كهذه. ومع ذلك تبقى قاعدةً تخصّ كل منتج مشفَّر، وُضِعت في قضية تخصّ منتجاً واحداً.

كان موعد تسليم العروض اليوم الساعة 2 ظهراً بالتوقيت الشرقي. وفي الساعة 1:35 ظهراً، ولم يبقَ على ساعة المكتب نفسه سوى 25 دقيقة، عدّل المكتب الإعلان: «يُمدَّد بموجب هذا طلبُ العروض المعني حتى 8/14/26 في تمام الساعة 2:00pm (EST). وسيصدر لاحقاً تعديلٌ يسند هذا التمديد.»

التمديد في ذاته أمر لا يستوقف أحداً. أما ما قطعه التمديد فيستوقف. فطوال يومين آخرين يبقى منشوراً الإعلانُ العام لعلاقة بستين مليون دولار، وهو عند القراءة المتأنية لا يكاد يصف شيئاً على الإطلاق.

سبعة من ثمانية أجوبة تقول «اسألونا»

«الملخّص/طلب العروض المدمج» — وهو المسار السريع لشراء المنتجات التجارية، المستخدَم هنا بموجب FAR Part 12.202(b) من دليل قواعد الشراء الفيدرالي، وبموجب انحراف فئوي دائم عن اللائحة — عليه أن يستوفي ثمانية بنود مرقّمة. البند (i) هو الإعلان نفسه، وهو يؤدي وظيفته: سيكون هذا عقد توريد مفتوح المدة يُرسى على متعاقد واحد بسعر ثابت، مع أمر شراء فوري بموجبه، وهو غير مخصَّص للشركات الصغيرة.

ثم يكفّ الإعلان عن الإجابة. قائمة البنود والكميات: «ستُقدَّم مع وثائق طلب العروض (RFP/Solicitation)». وصف ما يجري شراؤه، بما في ذلك المستندات المؤيِّدة لأي أوصاف تحمل اسماً تجارياً: الجملة نفسها. مواعيد التسليم وأماكنه: الجملة نفسها. الأحكام السارية، وبنود العقد السارية: الجملة نفسها، خمس مرات متتالية. أما البندان (vii) و(viii) — أي تاريخ استلام العروض ووقته ومكانه، وكل ما قد يحتاج القارئ إلى معرفته غير ذلك — فيُحالان بألفاظ مختلفة إلى المكان نفسه.

وذلك المكان ليس عاماً. يقول الإعلان: «يتضمن هذا الإعلان وثائق طلب عروض/التماس ‹خاضعة للرقابة› على Sam.gov». وعلى مقدّمي العروض المهتمين «أن يطلبوا نسخة… عبر إعلان Sam.gov هذا»، ويجب أن يحمل الطلب اسماً وجهة اتصال ومُعرِّف الكيان الفريد (Unique Entity Identifier — UEI)، وهو رقم التسجيل الذي تحتاجه أي شركة لتتعامل تجارياً مع الحكومة.

وهكذا فإن البند الوحيد الذي ينجو هو البند الذي يقول إن ثمة عملية شراء تجري. وأشدّ ما فُقد إيلاماً هو مبرِّر تحديد الاسم التجاري: فالبند (iii) موجود تحديداً لكي تقترن تسمية جهة صانعة بعينها بسبب معلَن، وقد نُقل هذا السبب إلى ما وراء استمارة الطلب.

الجملة التي كانت تقول مَن يحق له التقدّم

مرتين من قبل، اشترى مكتب دالاس نفسه خطّ المنتجات نفسه وقال جهاراً مَن يحق له البيع. في 28 أغسطس 2025: «مرفق طيّه وثائق طلب عرض الأسعار (RFQ) الخاصة بهذا الالتماس، وهو مقصور على Cellebrite, Inc. ومعيدي البيع المعتمدين لديها. ولا يجوز تقديم عروض الأسعار إلا لمقدّمي العروض المؤهَّلين، وعليهم تقديم ما يثبت التفويض بإعادة بيع منتجات Cellebrite، إلى جانب رقم مُعرِّف الكيان الفريد (UEI) الخاص بهم.» وفي 6 أبريل 2026 تكرّرت الجملة نفسها — لكن هذه المرة بفاصلة عليا شاردة: "it's" مكان "its".

أما في الإعلان الذي يُغلق يوم الجمعة، فقد اختفت تلك الجملة.

اقرأ النصّين جنباً إلى جنب تجد أن المُعرِّف قد بدّل وظيفته. كان دليلاً: أرفِق رقم UEI الخاص بك لتُثبت أنك معيد بيع معتمد لدى Cellebrite. وصار الآن مفتاحاً: أرفِق رقم UEI الخاص بك لتُرسَل إليك الوثائق. الرقم نفسه الذي كان يبرهن على الأهلية صار يشتري حق الاطّلاع، والسؤال الذي كان يجيب عنه — مَن المؤهَّل — لم يعد يُطرح علناً.

ساعتان بينهما أربع ساعات

نصّ الإعلان يقول الساعة 2 ظهراً. وأحد حقول واجهة SAM.gov نفسها يوافقه. وحقل آخر لا يوافقه: فتاريخ الاستجابة المقروء آلياً يسجّل 2026-08-14T18:00:00+00:00، والسجلّ نفسه يصف منطقته الزمنية بأنها America/New_York. والبرنامج الذي يأخذ الحقل بحسب هذا الوصف — أي بوصفه توقيتاً محلياً في نيويورك — سيجدول تقديم العرض للساعة 6 مساءً، فيخطئ بأربع ساعات. الحقل في الواقع بتوقيت UTC؛ والوصف يبيّن كيف سيُعرض الوقت، لا ما يحتويه الحقل.

ثم إن للنصّ عيبه هو الآخر. فعبارة "2:00pm (EST)" تسمّي التوقيت الشرقي القياسي (Eastern Standard Time)، وهو غير معمول به في أغسطس؛ المعمول به هو التوقيت الشرقي الصيفي (Eastern Daylight Time). ومقدّم العرض الذي يأخذ الاختصار حرفياً يتأخر ساعة كاملة.

قرأ هذا المكتب التحريري السجلَّ نفسه خطأً ثلاث مرات، وهذه التصويبات هي سبب وجود هذا القسم. فقد سجّلت ملاحظاتنا الموعد النهائي على أنه الساعة 6 مساءً بالتوقيت الشرقي — مقروءاً من الحقل لا من النص — بل إن إحدى جولات بحثنا استدلّت على ذلك الجواب ودوّنته حتى لا تعود إليه أي جولة لاحقة. وكان خطأً؛ فالموعد النهائي كان الساعة 2 ظهراً. وسجّلنا أيضاً نافذة تقديم عروض مدتها ثلاثة أيام عمل، بعد أن قرأنا تاريخ أحد التعديلات على أنه تاريخ النشر. أما النافذة الحقيقية، من 29 يوليو إلى 12 أغسطس، فكانت عشرة أيام عمل — أي أطول من أيام العام الماضي التسعة، وهو ما يقلب استنتاجاً كنّا على وشك نشره رأساً على عقب. ثلاثة أخطاء في سجلّ واحد، ومصدرها جميعاً قراءة وثيقة تذكر أهمّ حقيقة فيها بثلاث طرق مختلفة.

هاتف مَن هو

الناس الواقعون في الطرف الآخر من عملية الشراء هذه يظهرون في وثيقة حكومية واحدة، وهي وثيقة ICE نفسها. فتقييم أثر الخصوصية الذي يحكم التحليل الجنائي للوسائط الإلكترونية، DHS/ICE/PIA-042، يصف الغرض من هذه الأدوات ومَن تطالهم.

فالفاحصون «عليهم مراجعة كل المعلومات الموجودة على الوسيط» ليحدّدوا ما هو ذو صلة — أي أن التفتيش شامل أولاً وانتقائي بعد ذلك. وتصل الأجهزة بأمر تفتيش أو أمر استدعاء (subpoena) أو تكليف بالحضور (summons)، أو بتسليم طوعي، أو — بالنسبة إلى العملاء الذين يتصرفون بموجب صلاحية التفتيش الحدودي — عبر استثناء يتيح لهم «تفتيش الأجهزة الإلكترونية أو المعلومات الواردة فيها، واحتجازها ومصادرتها والاحتفاظ بها ومشاركتها، بوجود اشتباه فردي أو بغيره».

وما يُنسخ من الهاتف يبقى بعد ذلك. فإذا انتهت القضية إلى ملاحقة قضائية، بقي خمس سنوات بعد آخر استئناف. وإذا لم تنتهِ إلى ذلك، بقي حتى إغلاق القضية — أو 16 عاماً إن كان يُحتمل أن يُحتاج إلى المادة مرة أخرى. وإذا كانت القضية مفتوحة والجريمة لا تسقط بالتقادم، فإن المادة المستخرَجة «تُعدّ سجلاً دائماً» و«ستُحفظ إلى أجل غير مسمّى».

وتدوّن ICE بنفسها مَن لا تستطيع أن تنصفهم:

مخاطر الخصوصية: ثمة خطر يتمثل في أن بعض الأفراد الذين توجد بياناتهم على وسائط أو أجهزة إلكترونية يستخدمها أكثر من شخص لن يعلموا أن معلوماتهم قد جرى الحصول عليها، ومن ثمّ لن يعلموا بوجود فرصة للتظلّم. التخفيف: لا يمكن تخفيف هذه المخاطر.

حاسوب محمول مشترك، لوح عائلي، هاتف شريك. يكفي القانونَ رضا شخص واحد له سلطة على الجهاز؛ أما بيانات كل من عداه فتُؤخذ معها، وموقف الدائرة المدروس هو أنه لا يمكن فعل شيء من أجلهم. هذه الفقرة عمرها 11 عاماً ولم تكن يوماً خبراً. وهي الجواب عن سؤال: ما الذي تصفه الوثائق الخاضعة للرقابة؟

الحجّة المؤيِّدة لهذه الطريقة في الشراء

لنأخذ جانب الدائرة على محمل الجد، فلها جانب فعلاً. قواعد المنتجات التجارية موجودة لتتمكن الحكومة من إعادة شراء شيء معروف دون إقامة مسابقة تستغرق ستة أشهر. وعقد التوريد المفتوح المُرسى على متعاقد واحد لخطّ منتجات مُسمّى أمر عادي. والسرعة هنا جزء من التصميم لا تحايلٌ عليه — وإن كانت الأرقام تناقض الصيغة التي توقّع هذا المكتب أن يجدها من تلك الحجّة. فعبر كل الملخّصات/طلبات العروض المدمجة التي نشرتها ICE على الإطلاق، وعددها 696، يبلغ وسيط النافذة سبعة أيام عمل. أما هذه النافذة فامتدت عشرة أيام، أي أطول من نحو ثلثي تلك النوافذ. ولتصنيف وثائق المتطلبات على أنها خاضعة للرقابة مبرِّر حقيقي هو الآخر: فقائمة علنية بقدرات الاستخراج التي تشتريها جهة إنفاذ قانون بالتحديد هي إفصاح تشغيلي، ولا أحد له حق فيه.

كل جزء من ذلك صحيح. ولا شيء منه يفسّر لماذا كان لا بد أن تغادر النصَّ العام الجملةُ التي تسمّي البائعين المؤهَّلين الوحيدين، ولا لماذا صار مبرِّر الاسم التجاري الذي تطلب FAR إعلانه للجمهور خلف استمارة طلب، ولا لماذا يعجز إعلان عن ذكر موعده النهائي مرة واحدة.

ما الغاية من إعلان عام؟

أنفقت ICE ما مجموعه $59,961,959.58 لدى Cellebrite عبر 215 عقداً مُرسى. وأكبرها أمر شراء واحد بقيمة $11,112,194.40، وُقّع في أواخر سبتمبر من العام الماضي، وينتهي في 29 سبتمبر 2026 — وهذا بالضبط هو الغرض من موعد الجمعة النهائي.

الإعلان ما زال منشوراً وما زال سارياً، والتعديل الذي يجيز موعده النهائي الجديد لا وجود له. فالعلني هو أن عملية شراء تجري، من شركة مُسمّاة، في تاريخ لا يستطيع السجلّ الاتفاق عليه. أما الخاضع للرقابة فهو كل ما يحتاجه القارئ ليعرف إن كانت فكرة جيدة أم لا.

ليست هذه فضيحة. إنها سجلّ عام تحوّل إلى مؤشِّر يشير إلى سجلّ خاص، والمؤشِّر هو الجزء الوحيد الذي يستطيع أحد التحقق منه.

ففعل المحققون الشيء البديهي: أخذوا ذلك الرقم وبحثوا عن صاحبه.

جاء الرقم مسجّلًا باسم عمرو عبدالحكم عمارة، وكان حينها طالبًا جامعيًا في علوم الحاسب بأبو كبير. حوكم غيابيًا وحُكم عليه بـ«السجن المؤبد»، وهو ما تُعرّفه المادة 14 من قانون العقوبات المصري بالحبس «مدة حياته». العناوين المصرية تسمّيه «25 سنة»، وكذلك فعل الموجز الذي عمل عليه هذا المكتب.

وحكم المؤبد يستند إلى تصريح المحامي ورواية شقيقته؛ ولم يطّلع أحد على الحكم نفسه. د. كمال شعيب يسمّي محكمة جنايات أسيوط العسكرية، القضية رقم 172 لسنة 2024، أما الصحيفة التي حاورت شقيقته فتُدرج القضية تحت «جنايات السويس» — تناقض لا توفّق بينه أي وثيقة.

ولم يخبره أحد. بقي الحكم دون إعلان أكثر من ثمانية عشر شهرًا، وهو يحضر المحاضرات ويؤدي الامتحانات، حتى طرق محضرا محكمة باب أسرته وسألا عن عمرو.

سلّم نفسه. وفي إعادة المحاكمة، في 17 يونيو 2026، قضت المحكمة بالعقوبة نفسها. وفي 4 أغسطس أو نحوه أُبلغت أسرته بأن الحكم صُدّق عليه — وهي الخطوة التي تجعله قابلًا للتنفيذ. عمره عشرون عامًا.

عشرة خطوط، توقيع واحد، عصر يوم واحد

هذا ما أوصله إلى هناك، كما روت شقيقته ياسمين لـ«المصري اليوم». طلب صديق له أن يستعير بطاقة رقمه القومي. كانت شقيقة الصديق تعمل في بيع خطوط المحمول بأحد فروع الشركات، وتحتاج خطًا واحدًا إضافيًا لتبلغ «التارجت» الذي يحفظ لها وظيفتها.

ذهب عمارة معه إلى الفرع، وسلّم بطاقته، ووقّع على ما فهم أنه عقد لشريحة واحدة. وفُتحت باسمه عشرة خطوط في ذلك اليوم، بحسب شقيقته. ثم فُعّلت وبيعت لآخرين. وقواعد الجهاز القومي لتنظيم الاتصالات (NTRA) تتيح للمصري عشرة خطوط صوتية من كل شركة محمول: كان الاحتيال على مقاس القاعدة تمامًا.

هذه رواية الأسرة. أما رواية النيابة فهي الدفتر: الرقم كان مسجّلًا باسمه، وهذا ما دلّ عليه.

وفي 7 أغسطس 2026، أي قبل الإحالة بثلاثة أيام، ظهر المتحدث باسم الجهاز محمد إبراهيم على قناة «إكسترا نيوز» وشرح كيف يعمل هذا الترتيب: الخطوط تتنقل بين الناس على مدى السنوات «دون علم المالك الأصلي»، «وهو ما قد يعرضه للمساءلة القانونية باعتباره المتعاقد على الخط».

هذا هو بعينه ما أُدين به عمرو عمارة، يصفه الجهاز المنظِّم لهذا القطاع كأنه النظام يعمل كما ينبغي، وكأن ضبطه من واجب المواطن.

«المسؤولية القانونية شخصية»

وفي اليوم نفسه نشر الجهاز بيانًا على موقعه. وفقرته الثانية هي أكثر جملة صدرت عن مؤسسة مصرية هذا الشهر جدارةً بالتوقف عندها:

«يُطمئِن الجهاز المواطنين إلى أن مجرد تسجيل خط هاتف محمول باسم شخص لا يرتب بذاته مسؤوليته عن الأفعال التي تتم باستخدامه… فالمسؤولية القانونية شخصية، ولا تُنسب الأفعال إلى غير مرتكبها.»

ثم تأتي العبارة التي تكشف ما في الأمر: «دون إخلال باختصاص جهات التحقيق والقضاء في تقدير الأدلة». الجهاز يقول إن السجل ليس دليلًا، ويقول كذلك إن الفصل في المسألة ليس من شأنه. وقبل نحو ثلاثة أيام كان جواب محكمة قد صار نهائيًا.

الجواب هو سجل أفضل

وفي 10 أغسطس 2026 أحال الجهاز شركات المحمول الأربع كلها إلى النيابة العامة: أورنج مصر، وفودافون مصر، وإي آند مصر، و«وي» التابعة للمصرية للاتصالات. وأغلق قناة التسجيل الجماعي للشركات. وألزم الشركات بإرسال رسائل نصية إلى الخطوط القديمة القائمة على أنظمة الشركات تلك، تُبلغ من يحوز الخط بأن يتوجه إلى فرع ويتعاقد عليه باسمه، أو يفقده. وأمرها بالتعجيل بـ«بصمة الوجه» عند شراء خط وعند قراءة قيدك أنت في السجل. وحتى 11 أغسطس لا تُعرف الإحالة إلا من التغطية الصحفية؛ فالجهاز لم ينشرها.

سجل هوية إلزامي أنتج حكمًا بالمؤبد على شاب كان كل ما فعله أن وقّع استمارة في فرع. وجواب الدولة هو أن تجعل خدع السجل أصعب.

ولا أحد في مصر يطرح أن يتوقف السجل عن كونه ما تصدّقه المحكمة.

القواعد كانت تقول هذا كله من قبل

وعلى بعد صفحتين في الموقع نفسه تقبع قواعد ينشرها الجهاز منذ سنوات. فقواعد الشركات تُلزم شركات المحمول بتسجيل كل شريحة شركات جديدة «ببيانات المستخدمين الفعليين للشرائح»، وتحظر تنشيط الشريحة «الا بعد اخذ صورة ضوئية ملونة من الرقم القومي الساري للمستخدم الفعلي».

تلك هي حزمة الطوارئ الصادرة في 10 أغسطس 2026، وكانت هي القاعدة سلفًا.

وقواعد الأفراد أشدّ، وقد التزم عمارة بكل واحدة منها: «يستلزم التعاقد على شريحة التليفون المحمول تواجد العميل شخصياً».

كان حاضرًا بشخصه. وهكذا وقع ما وقع.

رقم لا يُسمح لك بقراءته

ودفعت قضية عمارة المصريين إلى «أرقامي»، الخدمة في تطبيق الجهاز التي تسرد الخطوط المسجلة على رقمك القومي. سعاد محمد وجدت عشرة، عند شركة تقول إنها لم تتعامل معها يومًا. ومحمد سعودي وجد خمسة.

وكان الجهاز قد أوقف «أرقامي» قبل ذلك بمدة قصيرة، كما شرح المتحدث، لأن أي شخص كان يستطيع الاطلاع على الخطوط المسجلة على رقم قومي بذلك الرقم القومي وحده. ثم عادت الخدمة مرقّعة: التطبيق الآن لا يعرض من كل رقم إلا جزءًا.

أما سعودي، الذي كان قد صوّر خطوطه الخمسة كاملة قبل التوقف، فلم يعد قادرًا على قراءتها. الترقيع سحب السجل من الشخص المكتوب فيه اسمه.

والمخرج المعلن استمارة. تحضر إلى نقطة بيع، وتسلّم الموظف بطاقتك الأصلية، ويختم لك «استمارة عدم حيازة الخط». فعلاج خط صرفه موظف نقطة بيع على بطاقتك هو استمارة يحرّرها موظف نقطة بيع على بطاقتك.

ما لم يثبت

لا تذكر بيانات الجهاز عمرو عمارة في أي موضع — لا بيان التطمين في 7 أغسطس، ولا الإحالة في 10 أغسطس. بحث هذا المكتب فلم يجد رابطًا. ما وجده نحو ستة أيام تفصل بين صيرورة حكم بالمؤبد نهائيًا وإرسال أربع شركات إلى النيابة، وبينهما موجة شكاوى. تجاور في الزمن؛ لا سببية مثبتة.

وما لا يملكه هذا المكتب: أي رقم قانون في الإحالة، التي لا تحيل إلا إلى «أحكام القانون»؛ ومدةٌ للمهلة، فهي «المهلة المحددة» وحسب؛ والحكم نفسه، فليس معنا إلا تصريح المحامي برقم قضيته ورواية شقيقته عن الجلسة؛ وفي العراق، أي عدد للمواطنين الذين استُخدمت أسماؤهم. نشر الجهاز تطمينه؛ ولم ينشر إنفاذه.

العطل نفسه، في العراق، في اليوم نفسه — 10 أغسطس

وفي بغداد، مساء ذلك اليوم، أوقف بليغ أبو كلل، رئيس الجهاز التنفيذي لـهيئة الإعلام والاتصالات العراقية، بيع شرائح الهاتف النقال عبر الوكلاء ونقاط البيع في إقليم كردستان كله، وقصره على الفروع الرئيسية للشركات المرخّصة إلى أن تُستكمل «آليات التوثيق الإلكتروني والتحقق الأمني».

والسبب الذي أعلنه هو هذه القصة بعينها: الهيئة رصدت «شكاوى ومؤشرات تتعلق بتسجيل شرائح اتصال بأسماء مواطنين من دون علمهم أو موافقتهم». والإجراء، كما قال، قائم لمنع «التزوير وانتحال الهوية»، والبديل يُبنى مع الشركات المرخّصة و«الأجهزة الأمنية». وفي كل ما نشرته الهيئة، لا ترد «انتحال الهوية» إلا مرة واحدة: في هذا الأمر.

الحجة لصالح بصمة الوجه، معروضة كما ينبغي

أحمد بدوي، رئيس لجنة الاتصالات في مجلس النواب المصري، عرض التاريخ على الشاشة. فبين 1997 و2018، كما قال، كان التاجر يُسلَّم ثلاثمئة أو أربعمئة خط ليبيعها لحساب مستهدفات البيع لدى الشركات. وخرجت بهذه الطريقة عشرات الآلاف من الخطوط. القناة هي الثقب؛ وإغلاقها هو الإصلاح المباشر؛ والتحقق الحيّ من الوجه عند الشبّاك يُبطل الحيلة التي أوقعت عمارة — بطاقة مستعارة وتوقيع واحد. وزعمه، حتى 11 أغسطس، أن ذلك في غضون شهر «سيقضي على استخدام أي خط هاتف بغير اسم صاحبه الحقيقي».

وهذه حجة جدية. وهي في الوقت نفسه ليست جوابًا على قضية عمرو عمارة، لأن ما من شيء في حزمة أي من البلدين يمسّ الخطوة التي أدانته: رقم في دفتر، يُقرأ كأنه شخص.

أعلن بدوي أن مصر ستوقف وكلاءها وموزعيها ولن تبيع الخطوط إلا من الفروع الرسمية للشركات. وبعد ثمانٍ وأربعين ساعة، أمرت هيئة الإعلام والاتصالات العراقية بالشيء نفسه في إقليم كردستان.

دولتان. عطل واحد. والعلاج نفسه، دون تواصل بينهما — إعلانٌ من مشرِّع، ثم أمرٌ من جهة تنظيمية لا يسري إلا في إقليم واحد. وبالبحث بالعربية والإنجليزية في 11 أغسطس لم نجد منبرًا واحدًا بأي من اللغتين نشرهما معًا.

وهذه ليست مصادفة تخصّ مصر والعراق. هذا ما يفعله هذا التصميم.

في 4 أغسطس أمرت الهيئة الوطنية لحماية البيانات في البرازيل، ANPD، بوقف هذا المسح. الأمر — Despacho Decisório nº 2/2026/SFI، أي «القرار التنفيذي رقم 2/2026»، الموقَّع من مشرفها العام على الإنفاذ فابريسيو غيمارايس مادروغا لوبيس (Fabrício Guimarães Madruga Lopes)، بوصفه تدبيرًا وقائيًا بموجب المادة 55-J من القانون Lei nº 13.709، وهو القانون العام لحماية البيانات في البرازيل (LGPD) — يعلّق كل معالجة بيومترية لأغراض الحضور المدرسي عبر شبكة مدارس الولاية، ويمهل بارانا عشرة أيام عمل لإثبات الإيقاف: إقرار رسمي موقَّع من سلطة عامة مختصة، إضافةً إلى تقرير فني يسمّي كل نظام وكل قاعدة بيانات مشمولين، ويحدد أين تقع كل قاعدة بيانات بيومترية، ومن يتولى حفظها.

اقرأ الأمر كما يقرؤه أب أو أم، وستجد أن أعلى ما فيه صوتًا صمتٌ. لا شيء في الأمر يقول إن وجوه الأطفال ستُحذف. بل يقول إنها ستُحفظ. إيقاف الشيء والرجوع عنه فعلان مختلفان، والمسافة بين الفعلين هي حيث يقبع الآن مليون قالب وجه.

لم يأمر أحد بحذف الوجوه

يمتد الأمر على خمس صفحات، وليس فيه كلمة واحدة تعني «احذف». فتّش هذا المكتب نصه البرتغالي الكامل عن كل مصطلح يستعمله قانون حماية البيانات البرازيلي وممارساته للدلالة على محو البيانات — الإزالة والاستبعاد والتخلص وإخفاء الهوية والمسح والإتلاف ومشتقاتها، ثمانية مصطلحات في المجموع — فوجد أن كلًّا منها يرد صفر مرة بالضبط. المحو ببساطة غير موجود في الوثيقة.

ما يأمر به النص بدل ذلك، في البند 1.3.2(b)، هو أن يصف تقريرُ الولاية "as medidas adotadas para impedir novas operações de tratamento e o respectivo regime de preservação ou bloqueio" — أي التدابير المتخذة لمنع عمليات معالجة جديدة، وما يقابلها من نظام حفظ أو تجميد. يتوقف المسح؛ وتبقى القوالب في قواعد بيانات صار على بارانا الآن أن تسجّل رسميًا مواقعها وأسماء أمناء حفظها.

ثمة سبب وجيه لذلك، وهو على الأرجح القرار الصائب. فهذا تدبير وقائي في إجراء إنفاذ جارٍ، لا عقوبة — والأمر نفسه يحيل الملف إلى وحدة العقوبات في الهيئة، التي ستقدّر ما إذا كانت ستفتح إجراءً عقابيًا رسميًا. الجهة التنظيمية لا تأمر بإتلاف الأدلة في منتصف الإجراءات؛ فما أمرتَ بمحوه لا تستطيع لاحقًا تقييمه. لكن كون الحفظ صائبًا لا يجعله إنصافًا. الأطفال الذين جُمعت وجوههم لا يستردونها اليوم. ما يحصلون عليه هو وعد بأن لا أحد يطابق عليها حاليًا — وملف مفتوح لم يُطرح فيه سؤال المحو بعد.

طابع زمني واحد سيحسم الأمر

أيام العمل العشرة لا تُحسب من توقيع 4 أغسطس ولا من نشر الأمر في 6 أغسطس. فالبند 8 صريح: "a contagem dos prazos acima corresponde à intimação desta decisão" — أي أن عدّ المهل يبدأ من التبليغ الرسمي للولاية. لو حُسبت المهلة من 4 أغسطس لانقضت يوم الثلاثاء 18 أغسطس؛ والتبليغ جاء بعد ذلك بشكل شبه مؤكد، ولذلك فإن 18 أغسطس هو أبكر تاريخ يمكن أن يستحق فيه تقديم الرد. والنافذة نفسها هي نافذة الولاية للطعن. سيكون من السهل — ومن الخطأ — أن يُقال إن بارانا تخلفت عن الرد. هي لم تفعل. فاليوم هو تقريبًا اليوم الثاني أو الثالث من مهلة قوامها عشرة أيام.

ما يجعل هذا الرد جديرًا بالانتظار خانةٌ واحدة فيه. دفاع بارانا العلني هو أن البرنامج كان تجريبيًا وتوقف من تلقاء نفسه في يوليو. والبند 1.3.2(c) يلزم الولاية بأن تقدّم "a data e o horário da efetiva desativação" — أي تاريخ وساعة الإيقاف الفعلي لوظائف التعرف على الوجوه. طابع زمني قبل 4 أغسطس يعني أن الولاية محقة، وأن ANPD علّقت شيئًا كان ميتًا أصلًا. وطابع زمني بعده يعني أن النظام كان حيًّا حين وصلت إليه الجهة التنظيمية. سطر واحد في تقرير امتثال مستحق في الإجراء رقم 00261.007049/2024-06 ينهي هذا الجدل في الحالتين.

بيان صحفي لديسكورد، وصمت في حق بارانا

لم يصل الأمر إلى الجمهور أصلًا إلا لأن النشرة الداخلية للهيئة — Boletim de Serviço Eletrônico، أي «نشرة الخدمة الإلكترونية»، حيث ظهر الأمر في 6 أغسطس — نشرةٌ علنية، ولأن أحدًا ما قرأها. الهيئة لم تعلن شيئًا.

بعد ثلاثة أيام من توقيعه، في 7 أغسطس، فتحت الهيئة نفسها إجراء إنفاذ ضد منصة الدردشة Discord، في أعقاب وفاة مراهق في الثالثة عشرة ومزاعم عن مجموعة تحرّض على إيذاء النفس. جاء ذلك الإجراء ومعه بيان صحفي، ومرفقًا به مستند فتح القضية، وتلقفته في اليوم نفسه صحيفة O Globo، من كبرى الصحف البرازيلية، ومجلة CartaCapital وموقعا Poder360 وOlhar Digital.

بعض هذا الفارق قابل للتفسير. فوفاة طفل أجدر بالتغطية الإخبارية، وربما كان التحذير العلني هو المقصود أصلًا. والتحرك ضد ذراع أخرى من أذرع الدولة قد يستلزم بروتوكولات إخطار لا يستلزمها التحرك ضد منصة أجنبية. والبيان الصحفي ليس التزامًا قانونيًا، والنشرة الداخلية تُعد نشرًا من الناحية الرسمية. ولننصف الفعل ذاته أيضًا: معظم هيئات حماية البيانات تتحرك ببطء، وتتحرك ضد الشركات الخاصة قبل غيرها، أما هذه الهيئة فأمرت حكومة ولاية بإطفاء نظامها المدرسي الأبرز في غضون أيام.

كل ذلك صحيح، وتبقى بعده بقية مقلقة. فالبيان الصحفي هو الطريقة التي تخبر بها هيئةٌ الجمهورَ أيَّ أفعالها تريد له أن يُرى، أما طريق النشرة الداخلية فيتطلب قارئًا يعرف سلفًا أين يبحث. في أسبوع واحد، وفي شأن بيانات الأطفال، حصلت المنصة الأجنبية على الإعلان وحصلت الولاية على الصمت. وقد امتد أثر هذا الصمت: فحتى 8 أغسطس لم تكن هناك أي تغطية للأمر باللغة الإنجليزية على الإطلاق — صفر مادة معثور عليها، مقابل 61 بالبرتغالية.

يمكن الامتثال له، لا مجادلته

الأمر يقرر لكنه لا يعلّل. فتسبيبه الموضوعي — لماذا خالفت هذه المعالجةُ القانونَ — مُدرج بالإحالة من Nota Técnica nº 4/2026، وهي مذكرة فنية لم تنشرها ANPD. الوثيقة التي تأمر علنية؛ والوثيقة التي تعلّل ليست كذلك. وقرار مبني على هذا النحو يمكن الامتثال له، لكن لا يمكن مجادلته — لا من جانب الولاية، ولا من جانب الآباء والأمهات عند المدرسة التالية، في الولاية التالية، حيث سيُعرض عليهم العرض نفسه.

لشخص واحد حق خاص في قراءة تلك المذكرة. فالبند 4 من الأمر يوجّه بإرسالها إلى "o titular de dados cujo requerimento levou à abertura" لقضية الرصد — أي صاحب البيانات الذي أدى طلبه في 2024 إلى أن تبدأ ANPD مراقبة هذا البرنامج. شخص واحد قدّم طلبًا؛ وبعد عامين أُمرت ولاية بالكف عن مسح مليون طفل. المذكرة التي تشرح السبب ينبغي أن تُنشر لسائر الناس. اطلبوها من الهيئة.

ماء في الخزان أصلًا

القالب البيومتري ليس صورة فوتوغرافية. إنه رقم مشتق من وجه، وغايته كلها أن يبقى قابلًا للمطابقة ما بقي الوجه موجودًا. لهذا كان التعليق إنصافًا أصغر مما يوحي به اسمه. فالمعالجة صنبور يمكنك إغلاقه. أما القوالب فماء موجود في الخزان أصلًا. تقرير امتثال بارانا يجب أن يقول أين يُحفظ ذلك الماء وبيد من. ولا شيء فيه ملزمٌ بأن يقول إلى متى.

الأنظمة التي لا تجمع شيئًا لا تحتاج قط إلى مثل هذه الجلسة. وكل ما عداها — كل ماسح حضور، وكل وسيلة راحة تبدأ بقياس طفل — ينتهي في نهاية المطاف إلى إنتاج صفحة كهذه: صفحة تفعل فيها الجهة التنظيمية أقصى ما تستطيع، وتبقى الوجوه حيث هي.

وفي 10 يوليو، وقّع المكتب نفسه — مكتب دعم التحقيقات والعمليات في دالاس — العقد الذي يليه برقم واحد في السلسلة: 13,000,000 دولار لشركة ZeroFox، وهي شركة أميركية للأمن السيبراني تبيع مراقبة التهديدات على منصّات التواصل الاجتماعي. تنافست ثلاث شركات هذه المرة. ومع ذلك لم يُعلن عن الإسناد في أي مكان، ولم يُعثَر على التبرير العلني الذي تفرضه اللائحة. ومهلة الثلاثين يومًا لنشره تنتهي يوم الأحد 9 أغسطس. الليلة هي اليوم 28.

ضع السجلّين جنبًا إلى جنب فتجدهما مقلوبين: الصفقة الضخمة التي لم تشهد أي منافسة جرت في العلن، والصفقة الصغيرة التي جرت عليها منافسة اختفت في العتمة. هذا الانقلاب يستحقّ دقائق من انتباهك لسبب واحد. فمهما حمل يوم الأحد، يُظهر هذان العقدان أن قاعدة الإفصاح لا يمكن التحقّق منها من الخارج: لا أنها تأخّرت، ولا أنها احتُرمت، ولا شيء على الإطلاق.

الشراء الصاخب والشراء الصامت

يقع الإسنادان بفارق رقم واحد في السلسلة الفدرالية، 70CMSD26C00000005 و…006، وكل خانة فيهما تسير عكس البديهة. فالإسناد من مصدر وحيد هو المُعلن عنه: طُلب العرض من شركة واحدة، ووصل عرض واحد، ونُشر إشعار عام في اليوم التالي. أما الإسناد الذي جرت عليه منافسة فهو الخفيّ: ثلاثة عروض عبر إجراء تفاوضي، ولا إعلان عام — والخانة التي تسجّل وجود إعلان في قاعدة البيانات مكتوب فيها NO («لا»).

تأتي مهلة يوم الأحد من استثناء الإلحاح، أي المادة 6.302-2 من FAR — لائحة المشتريات الفدرالية (Federal Acquisition Regulation)، وهي الكتاب الذي ينظّم كيف تشتري الحكومة الأميركية كل شيء — وهي المادة التي تتيح للجهة الحكومية أن تضيّق المنافسة عندما يكون التأخير سببًا لضرر مالي أو تشغيلي جسيم، وتمنحها ثلاثين يومًا بعد الإسناد لنشر التبرير الكتابي. لكن قاعدة بيانات الحكومة نفسها تصنّف شراء ZeroFox على أنه "full and open competition after exclusion of sources" («منافسة كاملة ومفتوحة بعد استثناء مصادر») — وثلاثة عارضين في منافسة تفاوضية ليسوا صورة حالة طارئة. فإمّا أن التصنيف متسامح، وإمّا أن الشراء كان أكثر عاديةً مما يوحي به الإلحاح. وكلّما كان أكثر عاديةً، صار الإعلان الغائب أصعب على التفسير.

والحجم يدفع في الاتجاه نفسه. فـ13 مليون دولار مبلغ صغير بمقاييس الدائرة، والإسنادات بهذا الحجم هي تلك التي لا يكشفها سوى الورق: أما مبلغ 94.7 مليون دولار المجاور له فكان سيجذب الانتباه مهما قال السجل. بند بـ13 مليون دولار يمرّ دون أن يلاحظه أحد — إلا إذا كانت قاعدة الإفصاح تعمل.

كانت ثلاثة، واثنان منها في العتمة

الاعتراض الطبيعي هو انتقاء الشواهد، ولذلك فهذه هي المجموعة كاملةً. بين 15 يونيو و7 أغسطس وقّع هذا المكتب 82 إسنادًا؛ وباستعراض سجلّ الدائرة صفحةً صفحةً حتى آخره — 633 صفًّا على سبع صفحات، لا الصفحتين اللتين يعيدهما السحب الافتراضي — يتبيّن أن العقود النهائية ثلاثة بالضبط، أي العقود الجديدة القائمة بذاتها لا الأوامر الصادرة في إطار عقود إطارية جرت المنافسة عليها قبل ذلك.

والثالث من الصغر بحيث يسقط من أي سحب مرتّب بحسب الحجم: 70CMSD26C00000004، بقيمة 486,749.68 دولارًا لشركة Guardian Centers of Georgia، وُقّع في 20 يوليو، ومن مصدر وحيد بموجب المادة 6.302-1 من FAR. وفي خانة fed_biz_opps الخاصة به مكتوب NO. فالعدد إذن ثلاثة، واثنان من الثلاثة لم يُعلن عنهما قطّ. والإسناد بقيمة 94.7 مليون دولار هو العقد الوحيد القائم بذاته الذي أخرجه هذا المكتب إلى العلن طوال الصيف — وهذا يجعل النمط أسوأ مما لو كان ثنائيًّا، لا أفضل.

ما تبيعه ZeroFox

تبيع ZeroFox حماية العلامات التجارية ومراقبة التهديدات على منصّات التواصل الاجتماعي، وشركتها الأمّ هي LookingGlass Cyber Solutions. وعميلها الجديد هو مكتب الدائرة الذي يقول اسمه ما يفعله: دعم التحقيقات والعمليات.

أما ما اشترته الدائرة فعليًا فليس في السجل. فالإسناد لا يصف أي مُخرَج، ولن تستنتج هيئة التحرير قدرةً ما من قائمة منتجات بائع. لكن هذا المجهول هو تحديدًا ما وُجدت الوثيقة الغائبة لحلّه: التبرير هو المكان الذي تشرح فيه الحكومة، كتابةً، ما الذي تشتريه ولماذا ضُيّقت المنافسة. وبالنسبة إلى عقد بـ13 مليون دولار لم يُعلن عنه قطّ، بين وكالة لإنفاذ قوانين الهجرة وشركة لمراقبة منصّات التواصل الاجتماعي، كانت تلك الوثيقة هي البيان العلني الوحيد الذي كان سيوجد أبدًا.

التفسير البريء

خُذ جانب المكتب لحظةً، فحجّته حقيقية. تنافست ثلاث شركات — فأيًّا كان هذا، فهو ليس هديةً لبائع لا يستطيع أحد أن ينافسه. والتأخّر في الورق هو أكثر أنواع الفشل عاديةً في التعاقد الفدرالي: مواعيد النشر تُتجاوَز في أنحاء الحكومة كلها، وتاريخ فائت ليس تعميةً على شيء. والمهلة لم تنقضِ بعد — فتبرير يُنشر قبل الأحد يعني امتثالًا كاملًا، ويصبح هذا حديثًا عن قاعدة نجحت. وأقوى ما في الأمر أن هذا المكتب نفسه أعلن للعموم عن إسناده الأكبر بكثير في اليوم التالي. والمكاتب المصمّمة على الإخفاء لا تفعل ذلك.

كل ذلك قائم. لكن ما لا يستعيده أي منه هو عُذر الجهل بالقاعدة. فالمكتب الذي أعلن في يوم واحد عن إسناد قيمته 94.7 مليون دولار هو المكتب نفسه الذي لم ينشر شيئًا في ثمانية وعشرين يومًا عن إسناد قيمته 13 مليون دولار — المشتري نفسه، والسلسلة نفسها، والشهر نفسه. هذا لا يُثبت أي مخالفة. بل يعني أنه إن مرّ الأحد في صمت، فلن يستطيع أحد في ذلك المكتب أن يقول إنه لم يكن يعرف القاعدة.

قاعدة لا تُمسك بأحد

وهذا هو رأي هيئة التحرير فعلًا، وهو ليس أن موظّف تعاقدات في دالاس يخفي شيئًا. بل هو أنه ما كان أحد خارج المبنى ليعرف لو كان يفعل.

تفعل لائحة المشتريات الفدرالية كل شيء على النحو الصحيح حتى الخطوة الأخيرة. فالجهة التي تضيّق المنافسة يجب أن تكتب تبريرًا، وأن تحصل على اعتماده من مستوى إداري يعلو بارتفاع القيمة المالية، وأن تجعله علنيًا — في غضون ثلاثين يومًا من الإسناد في مشتريات الإلحاح. بل إن اللائحة توقّعت الحيلة البديهية. فالفقرة (e) من المادة 6.305 تُلزم موظّف التعاقدات بأن يحذف المواد المملوكة للشركات وكل ما هو مُستثنى من الإفصاح بموجب قانون حرية المعلومات (Freedom of Information Act، القانون الأميركي الذي يُتيح لأي فرد أن يطلب سجلات الحكومة الفدرالية)، ثم تُغلق الباب: "This process must not prevent or delay the posting of the justification" («لا يجوز أن يمنع هذا الإجراء نشر التبرير أو يؤخّره»). فالمحتوى الحسّاس سببٌ لنشر قدرٍ أقلّ، لا سببٌ لعدم النشر إطلاقًا.

والمخرج هو الفقرة (f)، وهو مخرج ضيّق: لا يسقط الالتزام إلا حيث يكون النشر مما "would disclose the executive agency's needs and disclosure of such needs would compromise national security or create other security risks" («سيكشف احتياجات الجهة التنفيذية، وكشف تلك الاحتياجات سيضرّ بالأمن القومي أو ينشئ مخاطر أمنية أخرى»). معقول — إلا أنه ليس هناك ما يُلزم الجهة بأن تقول إنها استخدمت الفقرة (f). لا وثيقة مختصرة، ولا علامة، ولا إشعار «محجوب». والنافذة العلنية التي تظهر فيها التبريرات لا تستطيع أن تُظهر لمن هو في الخارج الفرق بين «لا شيء مُنشَر» و«لا شيء مرئي». من الخارج، يُنتج الحجب المشروع والمهلة الفائتة السجلّ ذاته: لا شيء.

وقاعدة شفافية لا يمكن تمييز الالتزام بها من خرقها لم تبقَ قاعدة. صارت عُرفًا — شيئًا تفعله الجهة الحكومية عندما تختار أن تُرى وهي تفعله. وهذا ما يشبهه ثنائي دالاس: مرئيّ في العقد الكبير، غير مرئيّ في العقد الصغير، ولا سبيل إلى معرفة أيّ نوعٍ من عدم الرؤية هو هذا.

والإصلاح يكلّف سطرًا واحدًا. متى استُدعيت الفقرة (f)، يجب فرض إشعار علني بديل: تبرير موجود، وهو محجوب، وهذه هي السلطة القانونية للحجب. تبقى السرّية المشروعة مشروعة. ويصبح الصمت قابلًا للقراءة.

الأحد

سجلّ إسناد ZeroFox علنيّ ولا يحتاج إلى تسجيل دخول؛ وعنوانه الدقيق في المراجع. ويوم الأحد، اليوم الثلاثين، سيكون هناك إمّا تبرير على SAM.gov — البوابة الحكومية الموحّدة التي تُنشر عليها إعلانات التعاقد الفدرالي ووثائقه — وإمّا لا شيء كما هو الآن. فإن ظهر، فالقاعدة نجحت، وهذه المقالة سجلٌّ لمنظومة تعمل. وإن لم يظهر، فأنت مع ذلك لن تكون قد أمسكت بأحد — الفقرة (f) تضمن ذلك — والضمانة هي النتيجة.

لن يخبرنا الأحد إن كان أحد قد فعل شيئًا خاطئًا. سيخبرنا إن كانت القاعدة قادرة على أن تخبرنا بأي شيء على الإطلاق.

الجملة هي المادة 2(3) من لائحة المفوضية التنفيذية (الاتحاد الأوروبي) 2026/1755، وهي القواعد الإجرائية التي كتبتها المفوضية لتحقيقاتها هي في الذكاء الاصطناعي — أُقِرَّت في 20 يوليو، ونُشرت في الجريدة الرسمية (Official Journal)، وهي جريدة الاتحاد القانونية، في 21 يوليو، وتدخل حيّز النفاذ يوم الاثنين 10 أغسطس. ونصّها الكامل:

"The Commission may require the provider to disable any logging measures that could track or record the Commission's access to the general-purpose AI model, to the extent necessary to ensure the integrity and confidentiality of the evaluation process." الترجمة: «يجوز للمفوضية أن تُلزِم المورّد بتعطيل أي تدابير تسجيل قد تتعقّب أو تسجّل وصول المفوضية إلى نموذج الذكاء الاصطناعي ذي الغرض العام، بالقدر اللازم لضمان سلامة عملية التقييم وسرّيتها.»

المورّد — أي الشركة التي طوّرت النموذج وتطرحه في السوق — هو نفسه الطرف المأمور بالتعطيل، فهذا ليس وصولًا سرّيًا؛ إنه يعلم أن المفتّشين جاءوا. الذي يخسره هو الدليل: قدرته على أن يُثبت، في مواجهة رواية المفوضية نفسها، ما الذي وُصِل إليه وكم استمرّ ذلك. ولم تُؤمَر أي شركة بعد بإطفاء أي شيء؛ ولا يمكن أن تُؤمَر قبل يوم الاثنين. ولم يقل أحدٌ لماذا. تُفتَتح القوانين الأوروبية بـ«الحيثيات»، وهي فقرات مرقّمة تبيّن الغرض من القانون؛ ولهذه اللائحة ستّ منها، وليس فيها واحدة تذكر التسجيل.

راقِب كل شيء، إلا نحن

هذه الجملة تقع أولًا على من يديرون الأمن في شركات النماذج.

الحكاية الأنيقة — القانون يأمر بحفظ السجلّات، واللائحة تأمر بإطفائها — حكايةٌ خاطئة، والخطأ كان خطأنا أولًا: فواجبات التسجيل في قانون الذكاء الاصطناعي، وهي المادتان 12 و19، تلزم أنظمة الذكاء الاصطناعي عالية الخطورة، وهي فصلٌ آخر من القانون؛ ومورّد النموذج لا يلتزم بأيٍّ منهما. الذي يلتزم به مورّد نموذجٍ ذي مخاطر نُظُمية — أي مخاطر تمتدّ إلى نطاق الاتحاد بأسره — هو المادة 55(1)(d): «مستوى ملائم من الحماية السيبرانية» للنموذج ولبنيته التحتية المادية، وعدم الامتثال يُغرَّم بما يصل إلى 3% من حجم الأعمال العالمي أو 15 مليون يورو، أيّهما أعلى.

وتُثبت الشركة ذلك عبر مدوّنة الممارسات الخاصة بنماذج الذكاء الاصطناعي ذات الغرض العام (General-Purpose AI Code of Practice)، وهي كتاب القواعد الذي يوقّعه المورّدون لإظهار امتثالهم، وقد صاغها خبراء مستقلّون ثم أعلنت المفوضية نفسها أنها كافية. ويشترط الملحق الأمني للمدوّنة كشف التسلّل «على كل الشبكات والأجهزة»، وفريق أمن يتولّى «مراقبة تنبيهات EDR» — وهي برمجيات كشف الاختراق على الأجهزة الطرفية، تُنبّه إلى المتسلّلين — وسجلًّا آمنًا لكل جهاز يحتفظ بمعاملات النموذج، أي أوزانه.

و«أي تدابير تسجيل قد تتعقّب أو تسجّل وصول المفوضية» تبلغ ذلك كلّه. والمدوّنة تتوقّع الاستبدال: فالتدبير 6.2 يشترط في أي ضابط بديل أن يحقّق «كشف النشاط المشبوه أو الخبيث» — ولا شيء يحقّق ذلك على قناةٍ أُمِرتَ بألّا تسجّلها. والمادة 55(2) تُغلق الحلقة: فالمورّد الذي يخرج عن المدوّنة «عليه أن يُبرهن على وسائل امتثال بديلة وكافية لتقييمها من قِبل المفوضية». وهذا هو موقع مهندس الأمن، من يوم الاثنين: مُلزَمٌ بمعيارٍ وصفته المفوضية بأنه كافٍ، وقابلٌ لأن تأمره المفوضية بخرقه، ثم تُقيّمه المفوضية على ما تبقّى منه.

الحجّة لمفتِّشٍ لا يُرى

المُقيِّم الذي يُسجَّل وصوله يمكن كشفه، والشركة القادرة على التعرّف إلى بصمة حركة بيانات المفوضية تستطيع أن توجّه تلك الجلسات إلى نقطة تحقّق (checkpoint) — أي نسخة محفوظة من النموذج — تعمل فيها مرشّحات السلامة، فتُصدّق المفوضية بعد ذلك على نموذجٍ لا يستطيع أحدٌ غيرها استخدامه. ولهذا الإخفاق اسم: التدريس للاختبار (teaching to the test)، وهو الطريقة المعتادة التي يموت بها التقييم من طرف ثالث.

وقانون الذكاء الاصطناعي يزيد المسألة حدّة، لأن الامتثال مُقَرٌّ به ذاتيًا في معظمه: فالمورّدون هم من يُجرون اختباراتهم العدائية بأنفسهم ويوثّقونها بأنفسهم. وإذا لم يرَ المنظّم إلا رواية الشركة عن اختبار الشركة لنفسها، فإن نظام المخاطر النُّظُمية يصبح تصديقًا ذاتيًا مذيَّلًا بصفحة توقيع.

وأقوى حجّةٍ هي الاختبارات نفسها. فمجموعة الأسئلة التي تسبر بها المفوضية القدرات السيبرانية الهجومية أو الارتقاء البيولوجي — أي ما يضيفه النموذج إلى قدرة مستخدمه على الأذى الجرثومي — تتكوّن، بحكم تصميمها، من مطالبات (prompts) ناجحة. والمورّد الذي يسجّل تلك المدخلات ويحلّلها يحصل على مجموعةٍ هجومية منتقاة على حساب المنظّم. وأي نظام تفتيش جدّي يحتاج وصولًا غير معلَن، وقاعدةٌ تحمي سلامة التقييم ليست فضيحة.

القاعدة الأفضل جاءت أولًا

لكن هذه المشكلة بعينها سبق أن حُلّت، في المدوّنة التي صادقت عليها المفوضية، وحُلّت على الوجه الصحيح. فالملحق 3.5 يجعل الموقّعين يتعهّدون بأنهم:

"will not undermine the integrity of external model evaluations by storing and/or analysing inputs and/or outputs from test runs without express permission from the evaluators." الترجمة: «لن يقوّضوا سلامة التقييمات الخارجية للنماذج بتخزين و/أو تحليل مدخلات و/أو مخرجات جلسات الاختبار من دون إذن صريح من المقيّمين.»

هذا يمنع المورّد من الاحتفاظ بمضمون الاختبار — المطالبات، والإكمالات، والمادة التي يمكن أن يُدرَّب عليها النموذج — وهو معلَّقٌ على موافقة المقيِّم. أما سجلّ الأمن فيبقى شغّالًا. وجملة يوم الاثنين تحكم سجلّ الوصول بدلًا من ذلك، وليس فيها خطوة موافقة على الإطلاق. ولو كانت القاعدتان تغطّيان الأرض نفسها، لكانت جملة يوم الاثنين زائدة لا لزوم لها.

أختامٌ، لا تعتيم

لا يعمل أي مفتّشٍ أوروبي آخر بهذه الطريقة. في قانون المنافسة، يجوز لمفتّشي المفوضية أن يختموا السجلّات، وكسر الخَتْم غرامةٌ تصل إلى 1% من حجم الأعمال. وفي الرقابة المصرفية، يجوز للبنك المركزي الأوروبي أن يحضر بلا إعلان مسبق — لكن بقرارٍ فقط، وبإذنٍ قضائي حيث يقتضي القانون الوطني ذلك. خمسة أنظمة فُحِصت. والمفاجأة، في كل واحدٍ منها، تأتي من عدم الإبلاغ. لا من عدم التسجيل.

الرقيب الذي لم يستدعِه أحد

من الذي قال «نعم»؟ في قانون الاتحاد جهةٌ مُعيَّنة للاعتراض: المشرف الأوروبي لحماية البيانات (European Data Protection Supervisor، ويُختصر EDPS)، وهو رقيب الخصوصية الداخلي للاتحاد، ويجب على المفوضية أن تستشيره حين يمسّ مشروعُ قانونٍ تنفيذي طريقةَ معالجة «البيانات الشخصية» (اللائحة 2018/1725، المادة 42(1)). وعلى امتداد 5,304 كلمة، لا تُسمّي اللائحة الجديدة المشرف قطّ، ولا تستشهد بتلك اللائحة، ولا تستخدم عبارة «البيانات الشخصية» (personal data) ولا مرة واحدة.

وهذا الصمت ليس من عادة المشرف. ففي 6 مارس 2026 أودع ملاحظات رسمية على مشروعٍ آخر تحت قانون الذكاء الاصطناعي نفسه — أي ستة أيام قبل أن يُفتَح مشروع اللائحة 2026/1755 لتعليقات الجمهور — ولائحةٌ شقيقة أُقِرَّت في 15 يوليو، أي خمسة أيام قبل هذه اللائحة، تُثبت رأي المشرف في حيثيتها الخامسة. أما هذا القانون فلا شيء عنه: لا في النص، ولا تعليقٌ وُجد في أي مكان ينشر فيه المشرف أعماله — وهو بحثٌ لم نستنفده. واستشارة المشروع اجتذبت 51 مساهمة؛ ولم نستطع استخراجها، فبقي مجهولًا ما إذا كان أحدٌ قد نبّه إلى جملة التسجيل.

سلطة على مقاس توقيع واحد

السلطة الأمّ تأتي مكسوّةً بالضمانات: فطلب الوصول بموجب المادة 92 من قانون الذكاء الاصطناعي يجب أن يذكر الأساس القانوني، والغرض والأسباب، ومدة الامتثال، والغرامات السارية؛ وفي اللائحة التنفيذية، يُؤمَر بالوصول نفسه بـ«قرار». أما شرط التسجيل فليس فيه شيء من ذلك — لا قرار، ولا إحالة مرجعية، ولا شكل مقرَّر. والنظام الداخلي للمفوضية يسمح بتفويض «التدابير التسييرية أو الإدارية» إلى المديرين العامين، وهم كبار موظفيها. القرار قرار؛ أما شرطٌ بلا تسمية فهو من النوع الذي يوقّعه موظف.

وتُعدّد المادة 10(3) من اللائحة نفسها التصرفات التي تقطع مدة التقادم الخمسية للغرامات، ومن بينها «طلبات الوصول لإجراء تقييمات النماذج». وكل انقطاعٍ يجعل المدة تبدأ من جديد، بسقفٍ يبلغ عشر سنوات. فالحادثة التي تُصفّر الساعة هي نفسها الحادثة التي قد يُقال للمورّد ألّا يسجّلها.

و«المفوضية» هنا ليست عقلًا واحدًا: فالمدوّنة صاغها خبراء مستقلّون، لا موظفو المفوضية؛ ومكتب الذكاء الاصطناعي (AI Office) — وهو وحدةٌ داخل المديرية العامة للشبكات والمضامين والتكنولوجيات التواصلية (DG CNECT)، أي إدارة السياسات الرقمية في المفوضية — هو الذي جمعهم، ثم أعلنت المفوضية ومجلس الذكاء الاصطناعي (AI Board)، الذي يضمّ مندوبي الدول الأعضاء، أن النتيجة كافية. والمكتب نفسه هو الذي يُجري تقييمات النماذج، وهو الذي سيقوم بالزيارة؛ ومديرٌ عام قد يوقّع الشرط. ولم يظهر قطّ أي قرار وصولٍ بموجب المادة 92؛ بحثنا فلم نجد شيئًا. والانزلاق المؤسسي أرجح من تصميم أي فاعلٍ واحد، وهو أسوأ في ناحية واحدة: لا يحتاج أحدٌ أن يقصده.

اتركوا لكل طرف نسخة

لقد حلّ الاتحاد هذه المشكلة مرةً سلفًا، في الحالة الأصعب. فحين يجب أن يبقى سجلٌّ سالمًا خلال تفتيشٍ للمفوضية، لا يثق قانون المنافسة بأيٍّ من الطرفين: يختم الخزانة ويجعل كسر الخَتْم جُرمًا في ذاته. والوريث الرقمي للخَتْم هو سجلٌّ لا يقبل إلا الإضافة (append-only)، يستطيع الطرفان التحقّق منه ولا يستطيع أيٌّ منهما تعديله.

ويترك النصّ للمورّد رافعتين. المادة 3(5) تتيح تقديم ملاحظات معلَّلة على الخبراء الذين تعيّنهم المفوضية — وهي تستحق الاستخدام، لأن الطرف الموجود داخل بنيتك التحتية قد يكون، بموجب المادة 4، متعاقدًا مُختارًا بإجراءات الشراء العام. وقرار الوصول بموجب المادة 2(1) قابلٌ للمراجعة بموجب المادة 263 من معاهدة عمل الاتحاد الأوروبي (TFEU)، وهي الطريق المعاهَدي للطعن في تصرفات الاتحاد أمام القضاء.

على المفوضية أن تنظر داخل هذه النماذج؛ فهذا هو مقصد القانون، والحجّة للوصول غير المعلَن حجّة حقيقية. أما ما كان ينبغي ألّا تفعله فهو أن تحسم تضاربًا في المصالح بأن تترك طرفًا واحدًا ممسكًا بالنسخة الوحيدة من السجلّ — في جملةٍ لا تشرحها أيٌّ من حيثياتها الستّ.

الأشخاص المدرَجون في القائمة طلبوا أن يختفوا: ناجون من التربّص والعنف الأسري، وقضاة، ومراجعو خدمات الصحة الإنجابية، وكل من لديه سبب لمحو أثره. ومنذ يناير وهم يتقدّمون بالطلبات بموجب قانون الحذف في كاليفورنيا (California Delete Act)، وهو نافذة واحدة تُبلِغ منها كل وسيط بيانات في الولاية بأن يمحوك. قبل ستة أيام شُغّل النصف الآخر من الآلية: فمن 1 أغسطس 2026 يُلزِم القانون المدني لكاليفورنيا، §1798.99.86(c)(1)، كل وسيط مسجّل بأن "access the accessible deletion mechanism … at least once every 45 days." — أي أن «يدخل إلى آلية الحذف الميسّرة … مرة واحدة على الأقل كل 45 يومًا». وهكذا تتحرّك القائمة الآن إلى الخارج، إلى أنظمة مئات الوسطاء — وهي بالضبط الصناعة التي كان هؤلاء الأشخاص يتوارون عنها — وتُغلق أول دورة إلزامية في نحو 15 سبتمبر.

المعرّفات مُجزَّأة، وهذا يبدو حمايةً. لكن على نواة معالج واحدة في حاسب محمول، يعود رقم هاتف كاليفورني مدرَج في القائمة رقمَ هاتفٍ من جديد في نحو 43 ثانية. والوكالة التي بنت الآلة — وكالة حماية الخصوصية في كاليفورنيا (California Privacy Protection Agency)، وهي الجهة التنظيمية للخصوصية في الولاية — أبلغت الوسطاء فعلًا بأن هذا قادم: فتدوينة لها في 10 يوليو تقول "starting on August 1, data brokers must download the hashed deletion requests and compare them against the personal information in their records." — أي إنه «بدءًا من 1 أغسطس، على وسطاء البيانات تنزيل طلبات الحذف المُجزَّأة ومقابلتها بالمعلومات الشخصية في سجلاتهم». أما ما لم تفعله فهو أن تقول شيئًا عن الانكشاف الذي تُحدثه القائمة. فغرفة أخبارها، التي أعدنا فحصها في 7 أغسطس، لا يزال أحدث ما فيها منشورًا في 4 أغسطس عن ولاية فيرمونت؛ وبدء التشغيل في 1 أغسطس نال دليلًا إرشاديًا للوسطاء، ولم يَنَل مَن هم على القائمة أي إشعار على الإطلاق.

التجزئة تُفَكّ في ثوانٍ

تحمل القائمة ستة أنواع من المعرّفات، وواحد منها فقط هو المسمّى في اللائحة — أي في مدوّنة لوائح كاليفورنيا، الباب 11 (11 CCR) — وهو MAID، معرّف إعلاني للهاتف المحمول. أما الخمسة الأخرى فهي تسميات من المواصفة الفنية لمنصّة الحذف DROP — NDZ (الاسم الأول، واسم العائلة، وتاريخ الميلاد، والرمز البريدي)، وEmail (البريد الإلكتروني)، وPhone (الهاتف)، وNameVIN (الاسم مقرونًا برقم تعريف المركبة)، وCTVID، وهو معرّف تلفزيون متصل بالإنترنت. وقبل أن يُجزَّأ أي شيء، تُسطِّح اللائحة المُدخَل: حروف صغيرة، وحذف علامات الترقيم، وطيّ الحروف المُعلَّمة إلى ما يقابلها من حروف بسيطة، حتى إن مثالها هي نفسها يحوّل "Björn O'Connor-López" إلى "bjornoconnorlopez." وتصبح التواريخ ثماني خانات، والهاتف آخر عشر خانات منه، ثم يأتي بند جامع يأمر الوسيط بأن "implement any other standardization that the data broker knows will increase the likelihood of a match." — أي أن «ينفّذ أي توحيد قياسي آخر يعرف الوسيط أنه سيزيد احتمال المطابقة». كل خطوة من هذه الخطوات تُبدِّد قدرًا من العشوائية (الإنتروبيا)، والعشوائية هي الشيء الوحيد الفاصل بين التجزئة والقيمة التي حُسبت منها.

أعدنا حساب المثالين المحلولين الواردين في المواصفة الفنية للولاية نفسها. فخرجت كل بصمة حقل وكلتا البصمتين المركّبتين متطابقتين، بتةً ببتة، على أنها SHA-256 عادية فوق ترميز UTF-8 ومُخرَجة بترميز Base64 — لا مِلح، ولا مفتاح، ولا أي شيء لا يحمله السجل العام أصلًا. وتجزئة بلا مفتاح لقيمة منخفضة العشوائية ليست تنكّرًا؛ إنها أحجية يحلّها حاسب محمول بتجريب كل الأجوبة، وSHA-256 تجيب بنحو 7.1 مليون تخمين في الثانية على نواة معالج واحدة، دون أي بطاقة رسوميات.

| ما يوجد على القائمة | عدد الاحتمالات | الزمن على نواة واحدة في حاسب محمول | |---|---|---| | رقم هاتف في كاليفورنيا | 304,000,000 | ~43 ثانية | | أي رقم أمريكي أو كندي | 6,400,000,000 | ~15 دقيقة | | اسم وتاريخ ميلاد ورمز بريدي، مقابلةً بملف الناخبين في كاليفورنيا | ~22,000,000 | ~3 ثوانٍ | | معرّف تلفزيون متصل قصير | 2.8 × 10¹² | ~4.6 أيام | | معرّف إعلاني للهاتف المحمول | 2¹²⁸ | غير ممكن عمليًا |

قائمة الهواتف ليست مُستعارة الهوية؛ إنها نصّ صريح مع خطوة إضافية واحدة. أما قائمة الاسم وتاريخ الميلاد والرمز البريدي فلا تحتاج تخمينًا من أصله: تُجزّئ الشخص الواحد الذي تبحث عنه وتسأل هل الناتج مدرَج فيها — عرّاف يجيب بنعم أو لا، وبذلك تعود التجزئة اسمًا. وحتى المعرّف الإعلاني، الذي لا يمكن كسره فعلًا، لا يحتاج كسرًا؛ فهو مفتاح ربط تُشغّله شركة تقنيات إعلانية على أجهزتها هي لتعرف أيّها يعود لشخص يحاول محو نفسه.

والفكرة الأولى البديهية — أضيفوا مِلحًا إلى التجزئات — لا يمكن أن تعمل هنا. المِلح يحمي كلمات المرور المخزّنة لأن الطرف الذي يتحقّق يحمل أصلًا السرّ الذي كتبه المستخدم قبل لحظة. أما DROP، وهي منصّة الحذف التي تديرها الولاية، فشكلها معاكس: الوسيط يختبر سجلاته هو، وهي سجلات لم ترها كاليفورنيا يومًا، مقابل قائمة الولاية، فلا بدّ أن يصل الطرفان إلى البصمة نفسها كلٌّ على حدة — ومِلح يُشارَك مع كل وسيط مسجّل في البلد ليس سرًّا.

عُرض على كاليفورنيا الحلّ، فرفضته كتابةً

هذا هو الجزء الذي لم ينشره أحد. أثناء إعداد اللائحة، قال خبراء التشفير للوكالة إن هذا سيحدث. في الملحق A من البيان النهائي للأسباب — وهي الوثيقة التي تُلزَم وكالات كاليفورنيا بنشرها للردّ على تعليقات الجمهور قبل إقرار أي لائحة — اقترح المعلّقون تقاطع المجموعات الخاصة (private set intersection)، وهو بروتوكول يجعل طرفين لا يعرفان إلا ما هو مشترك بينهما ولا شيء غير ذلك، أو إجراء المطابقة داخل بيئة تنفيذ موثوقة (trusted execution environment). وكانوا صادقين بشأن الثمن، فأقرّوا بأن ذلك سيمنع «وسطاء البيانات من كتم المعرّفات في المستقبل»، ورأوا أن المقايضة تستحقّ.

قالت الوكالة لا، وسببها هو القصة كلها:

«تلاحظ الوكالة البدائل التي اقترحها المعلّق بديلًا عن التجزئة، لكن الوكالة قرّرت أن التجزئة طريقة واسعة الاستخدام وآمنة ومتاحة لحماية البيانات، وأن أي طريقة تمنع الكتم المستمر للمعرّفات من جانب وسطاء البيانات تفشل في تنفيذ القانون تنفيذًا كافيًا.»

اقرأ النصف الثاني على مهل. قانون الحذف لا يطلب من الوسيط أن ينساك مرة واحدة؛ إنه يُلزمه بأن يواصل كتمك — أي أن يستمرّ في حجب بياناتك عن التداول — من الآن وإلى ما بعد. ولكي يكتمك إلى الأبد، لا بدّ أن يحتفظ بشيء دائم يعني أنت — والتجزئة هي هذا الشيء بالضبط: رمز دائم قابل لإعادة الاشتقاق. وكل مخطط عرضه خبراء التشفير يعمل بألّا يترك للوسيط مثل هذا الرمز، ولهذا استبعدته الوكالة. فثقب الخصوصية ليس عيبًا فشل التصميم في سدّه؛ إنه الوظيفة التي بُني التصميم ليؤدّيها.

ثم يُقفل §7620(c) الدائرة: "By submitting a deletion request, a consumer consents to disclosure of their personal information to a data broker for purposes of processing their deletion request." — أي أن «تقديم طلب الحذف يعني موافقة المستهلك على الإفصاح عن معلوماته الشخصية لوسيط بيانات لأغراض معالجة طلب الحذف الذي قدّمه». وقَصْرُ الإفصاح على هذا الغرض قيدٌ حقيقي، وهو أفضل جواب يملكه هذا التصميم — فالموافقة ليست مفتوحة على كل شيء. لكن هذا القيد يحكم ما يجوز للوسيط أن يفعله بالإفصاح، لا ماهيّة الإفصاح نفسه. وأن تطلب من كاليفورنيا أن تجعلك منسيًّا يبقى معناه أن تُدرَج في قائمة يُنزّلها الوسطاء.

حُجّة الوكالة أقوى مما يقرّ به منتقدوها

لا شيء في ما سبق يجعل الوكالة مستهترة. فقد رفضت التشفير الصريح لأنه كان سيترك الوسطاء ممسكين بمفاتيح فكّ التشفير — وهذا أسوأ بلا جدال. وشدّدت قاعدة المطابقة إلى تطابق 100%، وهو ضمانة حقيقية ضدّ حذف الأشخاص الخطأ. والقوائم مُقسَّمة، فالوسيط الذي لا يملك سوى عناوين البريد لا يتلقّى أبدًا قائمة الأسماء وتواريخ الميلاد؛ والتنزيلات تراكمية بعد الأولى؛ والوصول يكلّف تسجيلًا سنويًا بـ6,000 دولار تحت حساب باسم معلوم. وإرسال الأسماء والأرقام نصًّا صريحًا إلى مئات الشركات كان سيكون أسوأ من كل هذا.

وأصعب نقطة في الملف ليست ذنب الوكالة أصلًا. ففي §1798.99.86(b)(3) — وهو أمرٌ كتبه المشرّع لا الوكالة — تُفرَض آلية تتيح للوسيط أن يحدّد ما إذا كنت قد قدّمت طلبًا، على أن هذه الآلية "shall not allow the disclosure of any additional personal information … unless otherwise specified in this title." — أي أنها «لا تسمح بالإفصاح عن أي معلومات شخصية إضافية … إلا إذا نُصَّ على غير ذلك في هذا الباب». وإذا نحّيت الاستثناء الختامي جانبًا، فما يبقى مسألةُ تقاطع مجموعات خاصة، سُلّمت إلى وكالة حكومية ومُوّلت على أنها تنزيل ملف CSV.

لكن الدفاعات تصمد أقلّ مما تبدو. فالتسليم التراكمي لا يفيد شيئًا متى كان التنزيل الأول هو المتن كاملًا ويحتفظ كل وسيط بنسخة منه؛ والتقسيم يثق بالوسطاء في أن يُعلنوا معرّفاتهم بصدق؛ وحمايات §7616 قانونية لا تقنية — فلا شيء يمنع وسيطًا من حساب ما يشاء انطلاقًا من القائمة، إذ لا تحرّم اللائحة إلا استخدام النتيجة.

بند واحد يكفي لإغلاقه قبل انتهاء الدورة الأولى

هناك رافعة، وشدّها لا يحتاج مجلسًا تشريعيًا. تُتيح §7601(c) أن تحمل قائمة الحذف اسم خوارزمية التجزئة الخاصة بها؛ وقد باركت الوكالة SHA-256 في ردٍّ على تعليق لكنها امتنعت عن كتابتها في نصّ اللائحة. وبإمكانها أن تنصّ على Argon2id بدلًا منها — وهي دالة اشتقاق مفاتيح بطيئة بالتصميم — عبر إجراء لائحي، فيصبح هجوم الـ43 ثانية غير ممكن عمليًا بين ليلة وضحاها: القائمة نفسها، ودالة مختلفة، ولا حاجة إلى مشروع قانون.

ويقوم تحت هذا حدّان صادقان. نحن نُبلّغ عن اللائحة والمواصفة، لا عن النظام العامل: فاللائحة تُجيز أي خوارزمية، وواجهة برمجة الوسطاء الحيّة تقع خلف تسجيل دخول، ولذلك لا يمكننا التأكيد ما الذي يُصدره DROP المنشور اليوم. والرقم المتكرّر كثيرًا، «300,000+»، هو تعداد الوكالة نفسها من 2 يونيو — أشخاصٌ لا طلبات، ولم يُحدَّث منذ ذلك الحين. أما ما يمكننا تأكيده فهو التصميم، والتصميم هو المقصود.

آلة مبنيّة لتتذكّرك إلى الأبد

انزع كل ما سبق ويبقى تناقض واحد. النظام الذي يجب أن يتعرّف عليك إلى الأبد كي يستمرّ في حمايتك لا بدّ أن يحفظ شيئًا يعني أنت — وكل ما يعني أنت يمكن إرجاعه إليك. والمخرج الوحيد هو ألّا تكون قابلًا للتعرّف من الآلة إطلاقًا. وهذه ليست تفصيلة تقنية؛ إنها قرار في مَن يقوم بالعمل: الوسطاء، أم الأشخاص الذين يحاولون الاختفاء منهم. اتخذت كاليفورنيا القرار أثناء إعداد اللائحة، والبديل العملي بين يديها، فاختارت الوسطاء.

في ليل 18 أكتوبر 2024 اعترضت سيارتان مركبةً في وسط مابوتو، وأفرغ المسلحون الذين ترجّلوا منهما عشرات الرصاصات فيها. قتلوا إلفينو دياس، المحامي البالغ 45 عاماً الذي كان مستشاراً للمرشح الرئاسي المعارض فينانسيو موندلاني، وباولو غوامبي، الوكيلَ الانتخابي لحزب «بوديموس» الذي دعم ترشُّحَ موندلاني. كانت موزمبيق قد صوّتت قبل ذلك بتسعة أيام، وكان الفرز موضعَ نزاعٍ بالفعل. وما تزال الجريمة بلا حلّ.

بدأت الاحتجاجات في 21 أكتوبر. وبعد ثلاثة أيام أعلنت لجنةُ الانتخابات فوزَ دانييل شابو، مرشحِ حزب «فريليمو» الحاكم، بنسبة 70.67 في المائة، فاستخدم موندلاني فيسبوك ليدعو إلى إضرابات في عموم البلاد. وفي اليوم التالي بدأ إنترنت الهواتف المحمولة يتعطل.

كان يتعطل وفق جدول. سجّلت مراصدُ الشبكات هبوطاً في 25–26 و31 أكتوبر وقطعاً ليلياً من 4 إلى 8 نوفمبر — الاتصال يسقط مساءً ويعود مع الصباح — في مابوتو وفي نامبولا. ومن 29 أكتوبر قُيِّد الوصول إلى فيسبوك وواتساب. وفي 31 أكتوبر أرسل مشغّلو المحمول الثلاثة، «فوداكوم» و«موفيتل» و«تي إم سيل» (Tmcel)، إلى زبائنهم الرسالةَ نفسها: الوصول إلى بعض الشبكات الاجتماعية «مقيَّد مؤقتاً لأسباب خارجة عن إرادتنا». غير أن لتلك الأسباب عنواناً. فقد دافعت INCM، هيئةُ تنظيم الاتصالات، عن القيود بوصفها استجابةَ أمنٍ قومي لمحتوى يروّج لمظاهرات عنيفة — واحتجّت بقانون الاتصالات سنداً لسلطتها. وفي 18 نوفمبر أكّد المشغلون عودةَ الخدمة كاملةً. ولم يفسّر أحدٌ شيئاً.

بحلول ذلك الوقت كانت الشرطة تجيب المسيرات بالرصاص الحيّ. وكانت «بلاتافورما ديسيدي» (Plataforma Decide)، مرصدُ المجتمع المدني الذي أمسك السجلّ، قد أحصت حتى منتصف يناير نحو 314 قتيلاً بالرصاص و633 جريحاً وأكثر من 4,236 موقوفاً. وفي 23 ديسمبر أمضت رئيسةُ المجلس الدستوري، لوسيا دا لوز ريبيرو، ساعةً ونصف الساعة في قراءة الإعلان الذي ثبّت فوز شابو بنسبة 65.17 في المائة — أقرّ المجلس بوقوع مخالفات وقضى بأنها لم تؤثر في النتيجة — وفي اليومين التاليين قُتل ما لا يقل عن 21 شخصاً آخرين.

هذا هو معنى «التحكم في حركة الاتصالات» في موزمبيق. أمسِكْ به جيداً، فكلُّ وثيقةٍ في ما يلي إنما تدور حوله.

بعد عامٍ، جاء كتاب القواعد

بعد أحد عشر شهراً من أداء شابو اليمين، حصلت الممارسةُ على أوراقها. في 16 ديسمبر 2025 نشر مجلسُ الوزراء المرسوم Decreto n.º 48/2025 مُقِرّاً به «لائحة التحكم في حركة الاتصالات» (Regulamento de Controlo de Tráfego de Telecomunicações). أعطى المرسومُ INCM صلاحيةَ تعليق خدمات الاتصالات واتخاذ "quaisquer outras medidas" — أي تدابير أخرى — وألزم المشغلين بمراقبة الحركة مراقبةً مستمرة، وبحجب الاتصالات، وبتسليم البيانات إلى أجهزة الدولة، والبياناتُ الوصفية داخلةٌ فيها. ما فُعل بالشبكة أواخر 2024، على نحوٍ قابلٍ للإنكار و«لأسباب خارجة عن إرادتنا»، صارت له الآن موادُّ مرقّمة. وألغى المرسومُ كذلك سلفَه، المرسوم Decreto n.º 38/2023.

أمين مظالم، لا منظمة غير حكومية

جاء الطعن من داخل الدولة. في فبراير 2026 طلب Provedor de Justiça — أمينُ المظالم في موزمبيق، ملتمساً بموجب المادة 244(2)(f) من الدستور — من المجلس الدستوري إسقاطَ المرسوم على أساسين: أن الحكومة شرّعت حيث لا يجوز التشريع إلا للبرلمان، وأن المنظومة تنتهك الحقّ في التعبير وفي الحياة الخاصة وفي حرمة الاتصالات. وكانت حجّتُه في البيانات الوصفية أمضى ما في الملف: الوصول إلى البيانات الوصفية يتيح "a reconstrução detalhada de padrões de comunicação, localização geográfica, redes de contactos, hábitos quotidianos, preferências pessoais e até inclinações políticas e religiosas" — إعادةَ البناء المفصّلة لأنماط الاتصال، والموقع الجغرافي، وشبكات المعارف، والعادات اليومية، والتفضيلات الشخصية، بل حتى الميول السياسية والدينية.

ثمانية عشر بنداً، ستة تواقيع

في 29 يوليو 2026، وفي Acórdão n.º 6/CC/2026 — الحُكم رقم 6/CC/2026 — أسقط المجلس النواةَ التنفيذية للمرسوم: صلاحيةَ التعليق، والبندَ الجامع، وواجبَي المراقبة المستمرة والحجب، وتسليمَ البيانات، والوصولَ إلى البيانات الوصفية، وسبعَ مواد بأكملها — ثمانية عشر بنداً، في فقرةِ منطوقٍ واحدة. (قالت نسخةٌ سابقة من هذا العدد تسعة عشر؛ القائمة المنطوقة تنتهي عند ثمانية عشر.) وقّع ستةُ قضاة، بلا رأيٍ مخالف ولا رأيٍ مستقل. ويتوقف الأمر القضائي عند هذا الحدّ — لا شيء عن الأثر الانتقالي، ولا شيء عمّا يحكم «التحكم في الحركة» الآن. والتوقيع الأول هو لوسيا دا لوز ريبيرو — الرئيسة التي قرأت إعلان ديسمبر 2024.

ست عشرة صفحة، والأزمة التي أنتجت المرسوم لا تظهر في أيٍّ منها: لا احتجاجات، ولا قتلى، ولا منصات محجوبة، ولا حتى سنة 2024. الرقابة الدستورية المجرّدة مجرّدةٌ إلى هذا الحدّ بالضبط.

مَن يملك بناءه، لا هل يجوز

أخذ المجلس بأساس أمين المظالم الأول وتوقّف عنده. وصاغ المسألة بالخط الغليظ في الصفحة 9: القانون Lei n.º 4/2016، قانونُ الاتصالات الذي احتُجّ به أساساً قانونياً للمرسوم، "não contém qualquer norma que autoriza a vigilância estrutural e permanente das comunicações" — لا يتضمن أيَّ قاعدة تجيز الرقابة الهيكلية الدائمة على الاتصالات. لاحظِ الصدى: إنه قانون الاتصالات نفسُه الذي أشارت إليه INCM في نوفمبر 2024 لتسويغ الحجب.

فالمادة 178(2) من الدستور تحصر تقييدَ الحقوق الأساسية في «جمعية الجمهورية» (Assembleia da República)، برلمانِ موزمبيق — وذلك reserva absoluta، اختصاصٌ حصريّ مطلق كما قضى المجلس، لا يجوز تسليمه إلى الحكومة حتى بتفويض تشريعي، فكيف بافتراضه افتراضاً عبر لائحة. فالمرسوم "instituiu um regime normativo de monitorização, recolha de dados, suspensão de serviços e intervenção em redes" — أنشأ نظاماً معيارياً للمراقبة وجمع البيانات وتعليق الخدمات والتدخل في الشبكات — من غير القانون البرلماني الذي هو وحده ما كان يستطيع الإذن به.

فالحُكم إذن يفصل في مَن يملك بناء هذا، لا في هل يجوز له أن يوجد. لا شيء في الحُكم يقضي بأن المراقبة المستمرة غير متناسبة، ولا بأن «مفتاح القطع» يتعارض مع أي شيء سوى الفصل بين السلطات. يستطيع البرلمان أن يمرّر النص نفسه قانوناً ولن يقف هذا الحُكم في طريقه. والبرلمان ليس أرضاً محايدة: يشغل «فريليمو» 171 مقعداً من مقاعد الجمعية الـ250. أما الحكومة فقالت في 3 أغسطس إنها تحترم الحُكم — كلماتٌ لا تكلّفها شيئاً.

اثنتان وخمسون صفحةً أُعيدت غير مقروءة

لقد حاولت الحكومة فعلاً أن تدافع عن مرسومها. في 6 أبريل 2026، وداخل المهلة، أودع مجلسُ الوزراء دفاعاً من 52 صفحة عبر محامٍ — كان توكيلُه، الموقَّع من رئيس الوزراء، يخوّله المثول أمام Tribunal Administrativo da Cidade de Maputo، المحكمة الإدارية لمدينة مابوتو. محكمةٌ أخرى. لكن المجلس ردّ الملف لسببٍ أوسع من خطأ الجهة: ففي الرقابة المجرّدة، كما قضى، لا يجوز لجهةٍ مبلَّغة أن توكّل محامياً أصلاً، لأن الإجراء مؤسسيٌّ لا خصومةَ فيه بين طرفين. ولمّا كان "não resulta da LOCC qualquer efeito cominatório, no caso de falta ou ilegitimidade de pronunciamento" — لا يترتب بموجب القانون الأساسي للمجلس الدستوري (LOCC) أيُّ جزاء على غياب الردّ أو عدم صحته — مضى المجلس إلى الحُكم في قضية أمين المظالم من غير جوابٍ عليها. لم يقرأ أحدٌ خارج المحكمة كلمةً واحدة مما كانت الحكومة ستدفع به.

المسح الضوئي الذي أبقاه سرّاً

الحُكم علنيٌّ منذ 31 يوليو. لكنه ظلّ أيضاً، بالمعنى الوحيد المهمّ، غيرَ منشور: فملف PDF على موقع المجلس بلا طبقة نصية. يستخرج pdftotext ستة عشر حرفاً من ست عشرة صفحة؛ وكل صفحة مسحٌ ضوئي بتدرّج الرمادي. لا يمكن البحث فيه ولا نسخُه ولا فهرستُه ولا ترجمتُه آلياً — ولهذا لا تتجاوز التغطيةُ حتى الآن خبرَ وكالةٍ واحداً باللغة الإنجليزية، ولا توجد في أي مكانٍ قصةٌ تقتبس منه. كلُّ مقطعٍ أوردناه أعلاه إنما وُجد لأن هذا المكتب حوّل الصفحات إلى صور نقطية، ومرّرها في أداة تعرُّفٍ ضوئي على الحروف كُتبت لهذا الغرض خصيصاً، وراجع الناتج مقابل الصور حرفاً حرفاً.

أمرٌ قضائي لا يمكن البحث فيه لا يمكن الاستشهاد به ولا فحصُه ولا الاحتجاجُ به في وجه المرسوم التالي. إنه قابلٌ للعثور عليه غيرُ قابلٍ للقراءة — وتلك هي الطريقة التي يتحول بها سجلٌّ عام إلى سجلٍّ خاص من غير أن يقرر أحدٌ إغلاقه. والإصلاح لا يكلّف شيئاً: انشروا النص إلى جانب المسح.

مشروع القانون الذي يجب ترقّبه

ما يضمنه هذا الحُكم ليس أن المفتاح قد اختفى، بل أن المفتاح التالي يجب أن يكون قانوناً صادراً عن «جمعية الجمهورية»، يُصاغ ويُناقَش علناً في قاعةٍ يستطيع البلد كله أن يراقبها — أمام الناس الذين استُخدم عليهم المفتاح في المرة الماضية. ترقّبوا ذلك المشروع. وإذا استشهدتم بالقضية فاستشهدوا بـ ***Acórdão n.º 6/CC/2026*, Processo n.º 03/CC/2026, بتاريخ 29 يوليو 2026** — لا بملخّصات الوكالات، فهي تخطئ في أساس الحُكم.

آزاد جامو وكشمير — أو آزاد كشمير اختصارًا، وهي الشطر الذي تديره باكستان من كشمير — تصوّت في ثلاث جولات، شعبةً إدارية واحدة في كل مرة. مساء 23 يوليو، وبعد سبعة أسابيع من الانقطاع، عاد الإنترنت إلى أولى هذه الشُّعَب، ميربور. وبعد أربعة أيام صوّتت ميربور. ووصل النطاق العريض إلى مظفر آباد، عاصمة المنطقة، نحو الساعة 10 مساءً في 29 يوليو، قبل أربعة أيام من جولتها. ثم، بين الواحدة والثالثة فجر 31 يوليو، عادت المنطقة كلها إلى الظلام — بلا إعلان، وبلا أمر، وبلا أي حادث مبلَّغ عنه تلك الليلة. وظلت مظلمة. أما بونش، الشعبة التي تصوّت أخيرًا يوم الاثنين، فهي حيث كانت احتجاجات هذا الصيف الأقوى والأشد دموية. ولم يُبلِّغ أحد قط عن عودة الإنترنت إليها.

بدأ الانقطاع ليلة 5 يونيو، وهو اليوم الذي حظرت فيه الحكومة لجنة العمل الشعبي المشترك (Joint Awami Action Committee)، الحركة التي تقود الاضطرابات، قبيل إضراب دُعي إليه في 9 يونيو. وكان أمر التعليق — الذي أُفيد عنه ولم يُنشر قط — لسبعة أيام، حتى 12 يونيو. ومنذ ذلك الحين لم ينتهِ ولم يُجدَّد علنًا. وأعلن كبير مفوضي الانتخابات غلام مصطفى مغل جدول المراحل الثلاث في 21 يوليو؛ فبدأت إعادة الخدمة بعد يومين، شعبةً فشعبة، بترتيب الاقتراع.

الانتخابات هي الأسبوعان اللذان تكون فيهما الحكومة في أمسّ الحاجة إلى مواطنين مطّلعين، وفي أشد النفور من مواطنين منسّقين. وقد حسمت آزاد كشمير هذا التوتر بمفتاح كهرباء. فالاتصال هناك كفّ عن أن يكون بنية تحتية وصار مخصصًا يُصرف — يُطلب عبر الجهة التي تدير الانتخابات، ويُسلَّم لكل شعبة مع اقتراب موعد اقتراعها، ويُسحب عند منتصف الليل بيد أحدٍ لم يوقّع شيئًا قط.

هيئة الامتحانات صارت تقبل واتساب

ثلاثة وستون يومًا مدة تكفي لإعادة تنظيم بلد حول صمت منطقة واحدة فيه. ففي الأسبوع الثاني من الانقطاع، سافر ريان خان، وهو طالب من مظفر آباد، إلى خارج كشمير، إلى غاري حبيب الله في إقليم خيبر بختونخوا الباكستاني، ليقدّم أوراقًا عبر الإنترنت — وروى أن عشرات الكشميريين الآخرين هناك يفعلون الشيء نفسه. وبحلول أغسطس كانت الهيئة الوطنية المنظِّمة لمهنة الطب قد مدّدت مهلة التسجيل لامتحان القبول مرتين، وفتحت مركز اختبار في إسلام آباد للمرشحين الكشميريين، وقبلت الطلبات عبر واتساب أو البريد الإلكتروني أو البريد العادي أو حضوريًا. وفي 3 أغسطس وصف أمينُ وزارة الصحة في آزاد كشمير نفسِها، العميد عامر رضا، التعليقَ بأنه مستمر. ولا يوجد أمر يقول متى ينتهي.

بيلاوال يقول شكرًا

في 23 يوليو أفادت صحيفة «دون» (Dawn) الباكستانية بأن حزب الشعب الباكستاني طلب من كبير مفوضي الانتخابات في آزاد كشمير السعي إلى إعادة الخدمة قبل الاقتراع، وقالت رسالة الحزب محتجّةً إن الاتصال ضروري للحملات الانتخابية. وفي مساء اليوم نفسه بدأت هيئة الاتصالات الباكستانية إعادة تشغيل ميربور، بناءً على توجيهات من الحكومة الاتحادية. وفي اليوم ذاته سمّى رئيس الحزب، بيلاوال بوتو زرداري، على منصة X الجهةَ التي تدخّلت، كاتبًا AJK اختصارًا لآزاد جامو وكشمير:

«أنا ممتن لحزب الشعب في AJK على جهودهم & لمفوضية الانتخابات في AJK على تدخّلها… وآمل أن تُقبل أيضًا طلباتنا بشأن مظفر آباد والمناطق الأخرى في أقرب…»

بعد ستة أيام، كان في مظفر آباد نطاق عريض.

إذن «أُعيد» كلمة خاطئة هنا. لقد استُصدر الاتصال استصدارًا: طلبه حزبٌ عبر المفوضية التي تدير الاقتراع، ومُنح شعبةً فشعبة، ومشروطًا صراحة — البقية تأتي «مع تحسّن الوضع الأمني» — ثم اعتُرف به علنًا مع الشكر. لم يُستَعَد الاتصال. بل أُعير. والمُعير لا يتزحزح من أجل الجولة الأخيرة: ففي 4 أغسطس أكد المتحدث باسم المفوضية أن جدول يوم الاثنين قائم، رافضًا الأنباء عن تغييرٍ فيه بوصفها «لا أساس لها ومخالفةً للوقائع».

مفتاح قُلب بعد منتصف الليل

يُحصي IODA، مرصد انقطاعات الإنترنت التابع لمعهد جورجيا للتكنولوجيا (Georgia Tech) الأميركي، كتل الشبكات التي تستجيب لمسابيره في منطقة ما. كان الوسيط في آزاد كشمير 98.9 قبل 5 يونيو، و43.4 طوال الانقطاع؛ وعبر أسبوع الاستعادة صعد إلى 78.1. ثم، بين نحو الواحدة والثالثة فجر 31 يوليو بتوقيت باكستان، هوى إلى 51 — جرفٌ من ساعتين لا يتعلق به شيء. واليوم تراوح العدد بين 41 و55، بوسيط 48.0، وآخر قراءة 42: أقل من نصف المعتاد. ويسجّل IODA ذلك كله حدثَ انقطاع واحدًا: فُتح عند 18:40 بالتوقيت العالمي في 5 يونيو، وطوله 62.3 يومًا، وما يزال مفتوحًا.

ويؤكد الأمرَ مشغّلٌ واحد من دون أي جغرافيا في الحساب: فشركة Sky Telecom، إحدى ثلاث شبكات فقط تتحدد عناوينها جغرافيًا داخل المنطقة، أُطفئت بين منتصف الليل والواحدة فجر 31 يوليو — 8.24 كتلة مستجيبة في ذروة أسبوع الاستعادة، ووسيطٌ قدره 1.0 هذه الليلة. ولا يستنسخ أيٌّ من الضوابط — ثلاث مناطق باكستانية أخرى، وست شبكات أخرى — هذا الهبوط الدرَجي.

تصحيح واحد: قرأت مسودة صباح اليوم صعودًا استمر ست ساعات إلى 50.0 على أنه «أول صعود متواصل منذ 30 يوليو». اثنتا عشرة ساعة إضافية من البيانات دحضته، فيخرج هذا الادعاء من المقال.

أربعة مدّعى عليهم، ولا توقيع

في باكستان نفسها، لآلة قطع الاتصالات أسماء على الأقل: المادة 54 من قانون الاتصالات لعام 1996، ووزارة الداخلية توجّه، والهيئة المنظِّمة تمتثل. وقد سبق للمحكمة العليا في إسلام آباد أن حكمت في هذه العادة — ففي عريضة من عام 2016، قضى القاضي أطهر مِن الله بأن تعليق الشبكات "under the pretext of law and order and national security was in contradiction with the constitution" — أي أن تعليقها بذريعة النظام العام والأمن القومي يتناقض مع الدستور — وأن الطريق القانوني الوحيد هو إعلان رئاسي لحالة الطوارئ. ولم يُنشر أي إعلان.

أما آزاد كشمير فليست إقليمًا كسائر أقاليم باكستان، وهناك لم يقل أحد من الذي تصرّف أصلًا. فحين وُوجهت المحكمة العليا لآزاد جامو وكشمير بعريضة ضد الانقطاع، اضطُرت إلى توجيه إخطارات إلى أربع جهات دفعة واحدة — حكومة آزاد كشمير، ومجلس كشمير، وهيئة الاتصالات الباكستانية، ومنظمة الاتصالات الخاصة (SCO)، وهي المشغّل الذي يديره الجيش والذي هو في مناطق كشمير النائية الشبكةُ نفسها. ومحكمة تضطر إلى سؤال أربعة مدّعى عليهم لتعرف من تصرّف إنما تقول لك: لا أحد وقّع.

الأسبوع الذي أُسدلت فيه الستائر

وبينما تنتظر بونش، تُغلق النوافذ التي يُطلّ منها على المنطقة واحدةً تلو الأخرى. في 3 أغسطس اتهمت وزارة الإعلام قناةَ الجزيرة بتشويه صورة انتخابات آزاد كشمير؛ وفي اليوم نفسه صار موقع الجزيرة متعذر الوصول في باكستان. واختبرت مسابيرُ الرقابة التطوعية — شبكة OONI — الموقعَ 62 مرة في 3 أغسطس فأخفقت 62 مرة، ولم ينجح أيٌّ من 269 اختبارًا على مدى أربعة أيام؛ بينما تخرج مواقع BBC والغارديان وX و«دون» نظيفة من الاختبار. وفي 1 أغسطس اقتاد رجال بزي الشرطة صحافيَّين يغطيان شؤون كشمير، راضي طاهر ومحمد سيف، من مكتبهما في إسلام آباد؛ ولم تُقرّ الشرطة باحتجازهما. وفي 4 أغسطس ظهرت «المبادئ التوجيهية لتسهيل عمل وسائل الإعلام الأجنبية» الجديدة الصادرة عن الوزارة: صار صحافيو وسائل الإعلام الأجنبية يحتاجون إلى شهادة عدم ممانعة (NOC) للعمل الصحفي خارج إسلام آباد ولاهور وكراتشي — أي في أماكن مثل آزاد كشمير.

أربعون قتيلًا، والحجة النزيهة لصالح الظلام

حجة الانقطاع تستحق وزنها كاملًا، لأن هناك قتلى. فقد أحصت منظمة العفو الدولية أربعين قتيلًا على الأقل قبل الانتخابات — أربعة وثلاثين من المحتجين، وستة من الشرطة والقوات شبه العسكرية. وقال قائد شرطة المنطقة، لياقت علي مالك، في 3 أغسطس: «لقد فقدتُ سبعة من رجالي. وأُصيب أكثر من 200 من ضباطي في الأسابيع القليلة الماضية.» وللاقتراع المتدرج تفسيرات عادية — فقوة فقدت سبعة من ضباطها لا تستطيع تأمين ثلاث شُعَب في وقت واحد — وبونش، معقل اللجنة المحظورة، شهدت أشد الاشتباكات دموية. أعِد الخدمة إلى أهدأ الشُّعَب أولًا وأعنفها أخيرًا، كما يفعل أي مدير أمني، فيتطابق التقويمان لأن كليهما يتبع خريطة الاضطراب.

وأقوى أركان الحجة ركنٌ لا جواب عندنا عليه: دولة تعتزم سرقة انتخابات كانت ستُبقي الأنوار مطفأة طوال التصويت، لا أن تشعلها قبله بناءً على طلب حزب معارض وتدع ذلك الحزب ينسب الفضل إلى نفسه.

لكن الذي لا تستطيع القراءة الأمنية تفسيره هو التوقيت. فالاستجابة الأمنية تقتفي الأحداث؛ وهذا اقتفى جدولًا. لم يتحسن شيء في 23 يوليو، ولم يتدهور شيء في 31 يوليو — الذي تغيّر في كل مرة هو موقع شعبةٍ في الطابور. وأمر الأيام السبعة في أسبوعه التاسع. ولم يوقّع أحد على يوم واحد منه.

الاثنين يحسم الأمر

يمكن دحض هذا الادعاء في غضون أربعة أيام، وعلى يد أي شخص: فبيانات IODA علنية، وآزاد كشمير هي المنطقة 3083. إذا أضاءت بونش في عطلة هذا الأسبوع ثم عادت إلى الظلام بعد اقتراع الاثنين، اكتمل النمط للمرة الثالثة. وإذا بقيت مظلمة طوال الاقتراع، قويت القراءة الأمنية وضعفت قراءتنا.

حدٌّ واحد: لا توجد أداة قياس علنية تستبين الاتصال بدقة أدنى من مستوى المنطقة، ولذلك فإن عبارة «بونش مظلمة» استنتاجٌ — من القياس على مستوى المنطقة، ومن غياب أي إبلاغ عن استعادة الخدمة هناك، ومن وصف حكومة آزاد كشمير نفسها له بأنه مستمر في 3 أغسطس.

وفي بنجغور، بإقليم بلوشستان الباكستاني، الإنترنت المحمول مقطوع منذ 2022 — أُعيد مرة واحدة، عشرة أيام، في سبتمبر 2025، كما لاحظت «دون» هذا الأسبوع. دولةٌ قادرة على إبقاء مقاطعة بلا إنترنت أربع سنوات قادرةٌ على أن تعيرها إياه أسبوعًا؛ وآزاد كشمير هي أول حالة يمكن فيها مطابقة التواريخ مع تقويم اقتراع.

أما وسائل نقل البيانات التي لا تمرّ بأي جهة مرخّصة — راديو الشبكات التشابكية (mesh)، ومرحّلات التخزين ثم التمرير، وأجهزة المراسلة الساتلية — فتقع خارج متناول مفتاح كهذا. وليست هذه علاجًا؛ فالشبكات التشابكية لا تحمل الحوالات المالية. لكن على مدى ثلاثة وستين يومًا، لم يكن بوسع أحد أن يُحصي ما فُعل بآزاد كشمير إلا لسبب واحد: أن آلات العدّ كانت قابعة خارجها.

في 4 أغسطس 2026 نشرت منظمة أكسِس ناو (Access Now) خطاباً مؤرَّخاً في 28 يوليو، وقّعته ثماني منظمات، منها منظمة العفو الدولية وهيومن رايتس ووتش، ومُوجَّهاً إلى رئيس وزراء بنغلاديش الجديد طارق رحمان. وفيه جملة واحدة تنقض ما لا يزال السجل المكتوب بالإنجليزية يقوله عن بلده:

«القانون المعدَّل يستمرّ في الحفاظ على دور المركز الوطني لمراقبة الاتصالات»

يقول السجل إن المركز — واختصاره NTMC، وهو جهاز الاعتراض المركزي للدولة، أي الجهة التي تتنصّت على الاتصالات نيابةً عن أجهزتها الأمنية — قد أُلغي. وقد أُلغي فعلاً، مدة 64 يوماً. ثم جاء البرلمان الذي يسيطر عليه حزب رحمان فألغى الإلغاء، وأسند قراره إلى تاريخ يجعل مدوّنة القوانين تبدو بلا فجوة واحدة.

واختيار المُخاطَب هو بيت القصيد. فالخطاب يذكّر رحمان بأن أعضاءً من حزبه هو، حزب بنغلاديش الوطني (BNP)، كانوا أنفسهم بين المُراقَبين، مستنداً إلى تقرير لجنة تقصّي الحقائق الأممية عن احتجاجات يوليو–أغسطس 2024: اختطاف مكّنته المراقبة، واحتجاز تعسّفي، وإخفاء قسري. فالناس الذين راقبتهم الآلة هم اليوم من يتحكّم بها.

أربعة وستون يوماً من الإلغاء

مراجعة كلّفت بها الحكومة المؤقتة التي سبقت الانتخابات، موضوعها شراء تقنيات المراقبة واستخدامها — لم تُنشر بعد، لكن صحيفة The Daily Star البنغلاديشية الناطقة بالإنجليزية قرأتها ونقلت منها — تصف ما صار إليه المركز: المراقبة «تحوّلت من سلطة استثنائية إلى ممارسة روتينية»، وعجز المركز عن توثيق مَن أمر بعمليات الاعتراض، ومتى، وعلى أي أساس. وكانت معظم التعليمات شفوية.

والمرسوم بقانون رقم 25 لسنة 2026 — وهو نصّ تشريعي أصدره رئيس الجمهورية بموجب سلطته في التشريع أثناء حلّ البرلمان — بدأ نفاذه في 5 فبراير 2026، أي سبعة أيام قبل الانتخابات العامة. وتنصّ مادته 97A(2)(d) على أن «أي جهاز اعتراض أو مركز أو منصّة لمراقبة الاتصالات كان قائماً في السابق يُعَدّ ملغى» — وهذه ترجمة العبارة الإنجليزية المحورية: "shall be deemed abolished" — ليقوم مقامه «مركز دعم المعلومات» (Center for Information Support) تحت وزارة الداخلية، وهو مركز «لا يستطيع بدء الاعتراض بصورة مستقلة». وهكذا جاءت عناوين ديسمبر — «إلغاء NTMC» — مُحقّةً في وصف النصّ الذي كان بين يديها.

إلغاء الإلغاء

اقترعت بنغلاديش في 12 فبراير. فحصل حزب بنغلاديش الوطني على ما يقلّ قليلاً عن نصف الأصوات، وصار رحمان رئيساً للوزراء. والمراسيم الرئاسية تسقط بعد ثلاثين يوماً من أول جلسة لبرلمان جديد، فكان لا بدّ من تصفية الكومة الموروثة: 31 مشروع قانون في جلسة واحدة يوم 9 أبريل. صار أحدها القانون رقم 51 لسنة 2026، ونُشر في الجريدة الرسمية في اليوم التالي. المادة 69 منه تُلغي المرسوم، والمادة 1(2) تعتبر القانون نافذاً من 5 فبراير 2026 — وهو أول يوم في عمر المرسوم نفسه.

هكذا كان المرسوم قانوناً نافذاً 64 يوماً، ولا تسجّل مدوّنة القوانين منها يوماً واحداً: فحواشي التعديل في النصّ الموحَّد للقانون تؤرّخ 125 حكماً بـ5 فبراير 2026، ولا ترد فيها كلمة «مرسوم» (Ordinance) ولا مرة واحدة.

ومادة الاعتراض البديلة كسر صغير من المادة التي حلّت مكانها: نحو 320 كلمة مقابل نحو 1,700 كلمة في المرسوم. اختفى حكم الإلغاء، واختفى معه مركز دعم المعلومات: فالقانون النافذ لا يسمّي أي مركز مراقبة ولا أي خَلَف له، ويكتفي بالنصّ على أن «تُحدِّد الحكومة جهازاً مركزياً للمساندة في الاعتراض القانوني». (النصّ البنغالي هو الحاكم؛ والصياغات الإنجليزية ترجمةٌ من عندنا، قابلناها على نصّ الحكومة بترميز يونيكود.)

حظر التجسّس السياسي لم يكن ورقاً إدارياً

أن يعيد مجلس منتخَب النظر في مرسوم أصدرته سلطة غير منتخَبة ليس فضيحة؛ بل هو النظام يعمل كما يُفترض به. كما أن كثيراً من كلمات المرسوم الـ1,700 لم يكن مكانها في تشريع أصلي من الأساس: التحقّق المتعدّد العوامل، ودورات اختبار الاختراق، وهيكل تنظيمي من ثلاث طبقات. والمادة 97A(9) تُجيز إصدار اللوائح بإشعار في الجريدة الرسمية، وهو الموضع التقليدي لهذا النوع من التفاصيل التشغيلية — بل إن المنظمات الثماني نفسها تطالب بقانون جديد مصمَّم للغرض، لا بإعادة المرسوم.

لكن افرزْ المحذوفات: أربعٌ منها ليست دليل تشغيل لأحد. فالنصّ على أنه «لا يجوز إجراء أي اعتراض لأسباب سياسية أو عقائدية أو مذهبية، ولا بقصد القمع أو الانتقام» قاعدة حقوقية. و«المساءلة» — أحد أربعة مبادئ تُعرِّف الاعتراض القانوني، إلى جانب الضرورة والتناسب والمشروعية — معيار قانوني، ولم يَبقَ من الأربعة إلا الثلاثة الأخرى. أما شرط أن تحصل المخابرات العسكرية على إذن رئيس الحكومة، وشرط أن تحصل القوات المنظَّمة على إذن محكمة أو إذن مجلس المراجعة (Review Council) قبل اعتراض اتصالات مدنيّ، فهما يحدّدان مَن يأمر مَن. ثم إن المرسوم جعل الاعتراض غير المصرَّح به جريمةً في ذاته، عقوبتها تصل إلى خمس سنوات و1 كرور تاكا. والقانون الجديد لا يُنشئ مثل هذه الجريمة.

وما أبقاه القانون هو المادة 97C، التي أُدخلت في 2006 ولم تُمَسّ منذ ذلك الحين: فهي تعاقب كل شخص يخالف أمر اعتراض — ثلاثة أشهر و5 لاكه تاكا (اللاكه = مئة ألف) تتصاعد إلى ثلاث سنوات و50 لاكه تاكا، مع حرية المحكمة في التوصية بإلغاء ترخيص المخالف. وبند الترخيص يكشف المقصود. فالعقوبة الموجَّهة إلى الدولة رُفعت، والعقوبة الموجَّهة إلى المشغّل الذي يرفض التعاون بقيت.

ثمانية أيام بعد الانتخابات: سنة أخرى

في 20 فبراير 2026 أبلغ خطابٌ من وزارة الداخلية، موقَّع من نائب الأمين (Deputy Secretary) ك. م. ياسر عرفات، المدير العام للمركز أن في وسعه مواصلة العمل سنة أخرى، «إلى أن تُوضَع اللوائح اللازمة». والقانون يُعرِّف «الحكومة»، في ما يتعلّق بالاعتراض، بأنها وزارة الداخلية — أي إن الوزارة التي وقّعت التمديد هي نفسها التي تملك القلم الذي يُحدِّد جهاز الاعتراض. أما اللوائح التي ينتظرها التمديد فلم نتمكّن من العثور عليها، بعد 118 يوماً من النشر في الجريدة الرسمية. فقاعدة بيانات القوانين الحكومية لا تضمّ أي سجل للتشريعات الفرعية بالمرّة، ونطاق مطبعة الحكومة لا يُترجَم أصلاً في نظام أسماء النطاقات، والموقع الإنجليزي لهيئة تنظيم الاتصالات (BTRC) يردّ برمز 404؛ فاقرأ ذلك على أنه تعذُّرٌ في التأكيد، لا دليلاً على أن اللوائح غير موجودة.

95 كرور تاكا لستّة مراكز بيانات

في 20 مايو 2026 أقرّت لجنة المشتريات الحكومية في مجلس الوزراء مشروع "Expansion of Content Blocking & Filtering System (Phase-1)" — أي «توسيع نظام حجب المحتوى وترشيحه (المرحلة الأولى)» — على أن يتولّى المركز تنفيذه، بقيمة 94,90,51,137 تاكا (مكتوبة بنظام تجميع الأرقام المتّبع في جنوب آسيا). وهو مبلغ يشتري معدّات لستّة مراكز بيانات — وبتفسير The Daily Star: الجدران النارية «تتيح التفتيش العميق للحزم، فيصبح في مقدور المركز قراءة محتوى حركة الإنترنت»، وأجهزة وسطاء الحزم «تجمع البيانات وتفكّ تشفيرها وتوزّعها». وكانت المناقصة محدودة بحجّة أمن الدولة، وفازت بها شركة Global Brand PLC من دكا؛ فالمستورد معروف بالاسم، أما الشركة المُصنِّعة فلا. ثم إن هذه «المرحلة الأولى» من توسيعٍ لا من إنشاء — فالمركز نفسه أفصح في 2019 عن أنه كان قد ثبّت نظاماً من هذا النوع بالفعل.

الإصلاحيّون سبقوا مراجعتهم هم

أحدُّ ما في الخطاب من مأخذ إجرائي يسهل توجيهه إلى الهدف الخطأ. يلاحظ الخطاب أن تعديلاً «أُقِرّ ونُشر في الجريدة الرسمية قبل أن تتمكّن اللجنة من تقديم توصياتها». وكانت اللجنة قد سلّمت تقريرها إلى محمد يونس، كبير المستشارين ورئيس الحكومة المؤقتة آنذاك، في 10 فبراير 2026 — أو في الحادي عشر منه، بحسب رواية The Daily Star. أما المرسوم فبدأ نفاذه في 5 فبراير، والقانون جاء بعده بشهرين. أي إن النقد يقع على الإصلاحيين المؤقتين أنفسهم: نشروا إصلاحهم في الجريدة الرسمية قبل أن تتمكّن مراجعتهم هم لدولة المراقبة من التأثير فيه. وذلك التقرير ما زال غير منشور منذ 177 يوماً، تمتدّ على عهدَي الحكومتين.

ما بقي قائماً، ويُحسب لهم

نجا حظر قطع الخدمة بحروفه: لا يجوز أن تُقطع أي خدمة اتصالات ولا أي اتصال بالإنترنت، ولا أن تُعرقَل أو تُقيَّد، «عن قصد أو بنيّة غير أمينة» — وهو قيدٌ يتعلّق بالقصد الجنائي (mens rea) من صياغة الحكومة المؤقتة نفسها، لا تمييعاً أدخله من جاء بعدها. والضرورة والتناسب والمشروعية باقية في الاختبار المعمول به، ومعها شرط أقلّ الوسائل تدخّلاً، والسجلات الإلزامية وإتلاف المواد، ومجلس مراجعة بالاسم. أما المادة 97B(2) فتذهب أبعد مما تذهب إليه ديمقراطيات راسخة كثيرة: فما يُجمع لأغراض المخابرات وحدها غير مقبول دليلاً مستقلاً إلا إذا أُعيد إثباته بإجراء قانوني.

الإيصالات موجودة على خادم الحكومة

لم يكذب أحد. فبالإنجليزية، لم تغطِّ هذا الانقلاب سوى The Daily Star، ولذلك ما زال خبرٌ صحيحٌ عن مشروع نصٍّ هو الجواب السائد. والتصحيح ممكن في الأصل لأن قاعدة بيانات القوانين البنغلاديشية نفسها لا تزال تُتيح المرسوم المُلغى، وتطبع في الوقت ذاته، 125 مرة، التاريخ الذي يقول القانون إنه كان نافذاً منه دائماً. فالسجل الذي يحفظ مسوّداته المنسوخة هو ما يجعل ادّعاءً رسمياً قابلاً للتكذيب.

واللوائح الصادرة بموجب المادة 97A(9) هي التي ستحدّد إن كان لمجلس المراجعة أعضاء وإن كان للحالات الطارئة ساعةٌ تحكم مدّتها. وتمديد المركز ينتهي في حدود 20 فبراير 2027. ولم يظهر أي رد حكومي على الخطاب حتى 6 أغسطس — أي بعد يومين من نشره، وهي مدة أقصر من أن تتيح توصيف ردّ. وإذا احتججتَ بالإصلاح البنغلاديشي لقطاع الاتصالات فاحتجّ بالقانون رقم 51 لسنة 2026، لا بعناوين ديسمبر: فـ127.7 مليون ناخب مسجَّل يعيشون تحت النسخة المعدَّلة، لا تحت النسخة التي نُقلت في الأخبار.

تنص المادة 5 من قانون الحصانة السيادية البريطاني State Immunity Act 1978، بكاملها، على:

"A State is not immune as respects proceedings in respect of— (a) death or personal injury; or (b) damage to or loss of tangible property, caused by an act or omission in the United Kingdom."

أي: لا تتمتع الدولة بالحصانة في الدعاوى المتعلقة بـ(أ) الوفاة أو الإصابة الشخصية؛ أو (ب) الإضرار بمال منقول ملموس أو فقدانه، إذا نجم ذلك عن فعل أو امتناع في المملكة المتحدة.

كتب البرلمان ذلك وفي ذهنه سيارة سفارة ومارّ على قدميه. وفي 27 يوليو 2026، في قضية The Kingdom of Bahrain v Shehabi and another [2026] UKSC 25، بتّ خمسة قضاة فيما إذا كان النص يمتد أيضًا إلى برمجية تجسس زُرعت من خادم في البحرين على حاسوبين محمولين في لندن. قال ثلاثة: نعم. وقال اثنان إن هذا الجواب يضع بريطانيا في مخالفة للقانون الدولي.

شرط واحد ناقص

وُجد القانون جزئيًا كي تتمكن بريطانيا من التصديق على الاتفاقية الأوروبية للحصانة السيادية (بازل، 1972)، التي تضيف نسختُها من الاستثناء نفسه شرطًا: إذ تشترط المادة 11 أن تكون الوقائع قد حدثت في دولة المحكمة "and that the author of the injury or damage was present in that territory at the time" — أي وأن يكون مُحدث الإصابة أو الضرر حاضرًا في ذلك الإقليم وقتها. أما المادة 5 فتُبقي عامل الربط الأول وتُسقط الثاني.

ورأت الأغلبية — Lord Lloyd-Jones وLord Hamblen وLady Simler — أن الإسقاط كان متعمدًا. فقرينة مطابقة التشريع لمعاهدته "has no application here because the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal" (الفقرة 74) — أي لا محل لها هنا لأن الخروج على منظومة المعاهدة متعمد. وفي رأينا، هذا حاسم في الطعن. ثم تأتي الجملة التي تغيّر القانون: "an act includes an act done using mechanical, electrical or other automated or remote means… even if the person responsible… is not physically present at the location where the act takes place" (الفقرة 131) — أي أن الفعل يشمل ما يُرتكب بوسائل ميكانيكية أو كهربائية أو غيرها من الوسائل المؤتمتة أو عن بُعد… حتى لو لم يكن المسؤول حاضرًا ماديًا في المكان الذي يقع فيه الفعل. والمعتاد أن تقرأ المحاكم قوانين كهذه قراءةً ضيقة، إبقاءً للدولة بمنأى عن المتاعب. أما هذه المحكمة فقرأت النص أوسع عن قصد، ثم امتنعت عن البتّ فيما إذا كان القانون الدولي العرفي يجيز ذلك، مكتفيةً بـ"a reasonable basis" أي أساس معقول (الفقرة 79). قاعدة صلبة على أساس رخو.

ما الذي ادُّعي، وكيف عرف أحدٌ به

الدكتور سعيد الشهابي يتزعم حركة الحريات البحرينية؛ وموسى محمد مصوّر أُسقطت عنه الجنسية البحرينية عام 2012. وكلاهما يقيم في لندن. ويدّعيان أنه منذ نحو سبتمبر 2011 وضع أشخاص يعملون لحساب البحرين برمجية FinSpy — التي تبيعها Gamma Group — على حاسوبيهما، والمشغّلون يجلسون في الخارج وخادم التحكم في البحرين. وفي حديث إلى Index on Censorship في 31 يوليو، وصف الشهابي القضية بأنها عن «الإحساس بأن لا مكان آمن»؛ وقال محمد إنه «يلاحق المساءلة».

والأفعال التي أُثيرت بوصفها وقعت في إنجلترا تشمل الكتابة فوق القرص الصلب، وتشغيل الميكروفونات والكاميرات، و— على نحو لافت — استهلاك طاقة بطاريتي الجهازين. وكانت البحرين بحاجة إلى أن يكون ذلك كله مجرد أثر لفعل وقع في المنامة، وهو تمييز سبق أن وصفته محكمة الاستئناف بأنه "artificial and unprincipled" أي مصطنع ولا يقوم على مبدأ.

ولم يكن شيء من ذلك مرئيًا للرجلين اللذين وقع عليهما. فقد وصلت رسائل بريد مشبوهة إلى Bill Marczak من مختبر Citizen Lab في تورنتو في مايو 2012 — وهو شاهد وصفه قاضي الموضوع بأنه "plainly well-qualified" أي مؤهل بوضوح، وإن كان parti pris أي منحازًا سلفًا فيما يخص البحرين. وفي 25 يوليو 2012 سمّى Citizen Lab خادم التحكم، 77.69.140.194، ضمن نطاق Batelco؛ ويعود هذا العنوان إلى الظهور في المذكرات بعد ثماني سنوات، وهذا هو السند المؤيد الذي لا يتوقف على Marczak. كما تضمّن أرشيف مسرَّب من Gamma نُشر عام 2014 قائمة أهداف يقول المدّعيان إن حاسوبيهما مدرجان فيها. وهكذا عرفا — والاكتشاف، لا المراقبة، هو الضرر الذي يرفعان الدعوى عنه، بموجب قانون صادر عام 1997 وُضع أصلًا للملاحقين.

وجواب البحرين ضيق وحقيقي: فالمدّعيان "provided no evidence as to how their computers were alleged to have been infected" — أي لم يقدّما دليلًا على الكيفية التي يُزعم أن حاسوبيهما أُصيبا بها — والحاسوبان لم يُفحصا قط، لا من Marczak ولا من أي أحد. الإصابة في سبتمبر 2011، والاكتشاف في أغسطس 2014، والدعوى رُفعت في 2020، والحكم في يوليو 2026: أربعة عشر عامًا وعشرة أشهر، ستة منها أُنفقت في إثبات شيء واحد فقط هو أن للمحكمة أن تنظر.

أقوى صيغة للحجة المضادة

اعتراض Lord Leggatt اعتراض نحوي: فالناس "can only act (or omit to act) where they are spatially located" (الفقرة 198) — أي لا يمكنهم أن يفعلوا (أو يمتنعوا) إلا حيث يوجدون مكانيًا — ومن ثم فأفعال المشغّل "all take place in Bahrain" أي تقع كلها في البحرين، وما يحدث في لندن هو أثرها. كما أن المادة 5 لا تشترط وقوع الإصابة هنا أيضًا (الفقرة 219)، فلا يبقى من العنصر البريطاني إلا آلة.

ثم تأتي أصعب جملة في الحكم، عن مسألة ما إذا كانت أي دولة قد رفعت الحصانة يومًا عن ضرر ارتكبه عميل غائب: "there is a complete absence of any such practice. There is not even a single instance of it" (الفقرة 315) — أي ثمة غياب تام لأي ممارسة من هذا القبيل. ولا توجد حتى حالة واحدة منها. وتُقرّ الأغلبية بذلك في الفقرة 89، ولم يستطع أي من الطرفين الإشارة إلى قضية مفصول فيها في أي مكان تذهب في الاتجاه الآخر.

وLord Burrows يبيّن أن المادة يمكن أن تُقرأ على نحو متسق مع المادة 11، ثم يقدّم التنازل الذي يجعل الرأي المخالف أمينًا لا بارعًا فحسب (الفقرة 339): فلو قُرئ القانون "divorced from its public international law context" أي بمعزل عن سياقه في القانون الدولي العام، لتفاديت فعلًا التفرقة بين عميل في لندن والمراقبة نفسها مُدارةً من لوحة مفاتيح في الخارج. "But… it is impermissible for this court, and would constitute an undermining of the rule of law, to adopt a statutory interpretation that contradicts public international law unless Parliament has enacted legislation that clearly requires that." — أي: لكن… لا يجوز لهذه المحكمة، وسيكون في ذلك تقويض لسيادة القانون، أن تتبنى تفسيرًا تشريعيًا يناقض القانون الدولي العام ما لم يسنّ البرلمان تشريعًا يقتضي ذلك بوضوح. وعلاجه مشروع قانون، لا حصانة.

ويضع Leggatt أيضًا الجزء المزعج على الورق: ففي الفقرة 175، سلطات "target computer equipment abroad" — أي استهداف معدات حاسوبية في الخارج — ممنوحة للأجهزة البريطانية نفسها بموجب الجزأين 2 و5 من Investigatory Powers Act 2016. فإذا كان الفعل يقع حيث توجد الآلة، فإن GCHQ يفعل حيثما حطّت أوامره القضائية. لكن راجع الحساب قبل أن تسمّي ذلك تماثلًا: فعلى القوانين بصيغتها المسنونة — اليابان 2009، وإسبانيا 2015، وروسيا 2015، والصين 2023 — لا تستطيع أي منها أن تعكس القاعدة البريطانية دون تعديل قانونها. فالانكشاف يجري لصالح بريطانيا: وهي خاصية مزعجة أن يتصف بها مبدأ.

وفي مقابل ذلك كله، جواب ضيق واحد. فالتباعد كان عادةً لا زلّة — إذ تُعدّد الفقرة 68 خمسة مواضع يخرج فيها القانون على نظائره في الاتفاقية. ولا يدّعي هذا المقال أن الأغلبية كانت مصيبة في شأن القانون الدولي العرفي؛ فالمحكمة امتنعت عن البتّ في ذلك. إنه يدّعي هذا وحده: اشتراط الحضور لا يجعل التسلل عن بُعد صعب المقاضاة، بل يجعله محصَّنًا بحكم البناء — كل زرعة، إلى الأبد، في كل ولاية قضائية تعتمده. وقضية Kidane v Ethiopia (2017) — التي تلخّصها هذه المحكمة في الفقرات 287–290 وتصفها بأنها "particularly close" أي قريبة على نحو خاص من هذه الوقائع — هي ما يبدو عليه ذلك من جهة الضحية: فقد أرسلت إثيوبيا FinSpy بالبريد إلى حاسوب مقيم في ميريلاند، وحرمه اشتراط وقوع الضرر كاملًا على التراب الأمريكي من كل شيء. ولاحظ أن اعتراض Burrows نفسه إنما هو عن مَن يحدّث القاعدة، وهو موجَّه إلى البرلمان لا إلى هذين الرجلين.

ما الذي يفتحه، والسقف

سبق أن ساقت بريطانيا هذا إلى نهايته، في قضية أخرى. فقد ادّعى Ghanem Al-Masarir، وهو ساخر سعودي مقيم في لندن، أن السعودية وضعت Pegasus على هاتفَي iPhone. ورفع دعواه في 2019 استنادًا إلى المادة 5 نفسها — مدّعٍ ودولة وأداة مختلفة — ورُفضت الحصانة في 2022، ثم انسحبت الدولة وتجاهلت ثلاثة أوامر بالمصاريف. وفي 26 يناير 2026 حكم القاضي Mr Justice Saini بمبلغ £3,025,662.83، مشيرًا إلى أن المملكة العربية السعودية "has made a deliberate decision not to participate" أي اتخذت قرارًا متعمدًا بعدم المشاركة، وأن التنفيذ في مكان آخر "will be necessary" أي سيكون ضروريًا. ذلك أن المادة 13 من القانون نفسه توصد المخرج: فمال الدولة "shall not be subject to any process for the enforcement of a judgment" أي لا يخضع لأي إجراء لتنفيذ حكم، ما لم توافق كتابةً أو يكن المال مستخدمًا في نشاط تجاري. وهذا الرقم يسقُف هذه القصة بدل أن يفتحها: فالاختصاص القضائي ليس استردادًا. يمكنك أن تربح، وأن تُصدَّق، وأن يُسعَّر ضررك — ثم تمسك ورقة.

وذلك السقف قرار تصميمي، وقد قالت ذلك محكمة أمريكية صراحةً. فقد صار أمر القاضية Phyllis J. Hamilton الزجري في قضية WhatsApp v. NSO Group واجب النفاذ في 28 يناير 2026، حين رفضت هيئة من الدائرة التاسعة وقفه. اقرأ الفقرة 1: "notwithstanding anything herein, neither Defendants' foreign sovereign customers nor Defendants' outside counsel are Prohibited Parties." — أي: بصرف النظر عن أي شيء وارد هنا، فإن العملاء السياديين الأجانب للمدّعى عليهم ومحاميهم الخارجيين ليسوا أطرافًا محظورة. وقد وجّهت المحكمة المدّعين إلى استثنائهم، لأنهم "are not before the court … of course an injunction in this case cannot apply to them" — أي ليسوا ماثلين أمام المحكمة… وبالطبع لا يمكن لأمر زجري في هذه القضية أن يسري عليهم — ولم يكونوا أطرافًا قط لأنهم، على حد تعبير مذكرات NSO، "cannot be sued due to their sovereign immunity" أي لا يمكن مقاضاتهم بسبب حصانتهم السيادية. فأشدّ أحكام برمجيات التجسس أثرًا في الولايات المتحدة يمنع شفرة البائع، ولا يمكنه بحكم البناء أن يبلغ الحكومات التي اشترتها ووجّهتها. و27 يوليو هو أول صدع في ذلك.

ما نعرفه وما لا نعرفه

ثابت: المادة 5 لا تتضمن اشتراط حضور، في بريطانيا، اعتبارًا من 27 يوليو 2026. وغير ثابت: ما إذا كانت البحرين قد فعلت شيئًا من ذلك — فهو حكم في الاختصاص قائم على وقائع مفترضة، والأجهزة لم تُفحص قط، ولا محاكمة موضوعية مدرجة. وغير مختبَر: أن المادة 5 تشترط وفاة أو إصابة شخصية أو ضررًا بمال منقول ملموس، وقد نجحت دعوى Al-Masarir جزئيًا على أساس التعدي على المنقولات (trespass to goods)، فلم يسبق قط أن نوقشت مسألة ما إذا كانت الدعوى تفلح لمن جرت مراقبته دون أن يمرض، في مواجهة دولة تمثُل للمنازعة. وكنتيجة سلبية لبحثنا نحن: لا يظهر أي قرار تنفيذ على Find Case Law حتى 5 أغسطس 2026، ولم نتمكن من إثبات أن أي جزء من مبلغ £3.03 مليون قد استُرد. ولاحظ الهشاشة أيضًا — ثلاث دعاوى إنجليزية، ومكتب محاماة واحد، وطاقم محامين واحد إلى حد بعيد. ولم نجد أي رد بحريني.

ما الذي يمكنك فعله فعلًا

احتفظ بالجهاز المشتبه به بدل مسحه، وأبقِ الرسائل المشبوهة بترويساتها سليمة. ووثّق أي أذى لدى طبيب مبكرًا — فالإصابة هي المشجب الذي يعلَّق عليه الاختصاص القضائي، وهي العنصر الأسرع تحللًا. وأرسل العينات إلى Citizen Lab أو Security Lab التابع لمنظمة العفو الدولية، وقد قبلت المحاكم تحليلاتهما، وفعّل Advanced Protection في أندرويد أو Lockdown Mode في iOS قبل أن تحتاج إليهما. والرافعة ضيقة: فـBurrows يقول إن البرلمان هو من ينبغي أن يبتّ في هذا، وليس لدى بريطانيا مشروع قانون، والمادة 13 قائمة إلى أن يعدّلها أحد — وهو ما يجعل فجوة التنفيذ خيارًا تشريعيًا لا قانونًا من قوانين الطبيعة.

الثقة التي لا يلزمك منحها

العلاجات تتبع الإسناد، والإسناد بنية تحتية: بيئات معزولة، وأرشيفات عيّنات، ومؤشرات منشورة، وباحثون يعملون دون إذن حكومة ولا يمكن أن يُؤمروا بالتوقف. ولهذا أيضًا نجح الأمر في المحكمة — أدلة لا يمكن أن يُؤمر طرف واحد بسحبها. فالمراقبة المزعومة لم تُنتج أي عرَض. والضرر لم يبدأ إلا حين أخبر عملٌ جنائي رقمي لشخص آخر هذين الرجلين بما كان على حاسوبيهما منذ 2011. لم يعثر عليه أي مدّعٍ عام. ولم تخبرهما به أي منصة.

والحد، بصراحة: لم يكن شيء من ذلك ليوقف FinSpy عام 2011، والحكم لا يساوي إلا ما تختار دولة ذات سيادة أن تدفعه. لكن التسلسل مثبت في السجل. فالتحليل الجنائي المستقل جعل الأذى مقروءًا؛ والمقروئية جعلت الضرر قابلًا للمرافعة؛ والمرافعة، بعد أربعة عشر عامًا وعشرة أشهر، أزالت الحصانة.

تخيّل أشدّ من تعرف حرصًا على الخصوصية. إنه يشغّل GrapheneOS، نسخة أندرويد المجرَّدة من Google التي يفضّلها باحثو الأمن ومن لديهم أسباب حقيقية للحذر — الناجيات من العنف الأسري، والصحفيون، والمعارضون. وهذا الصيف يعرض عليه الاتحاد الأوروبي تطبيقًا للتحقق من العمر هو، بحكم تصميمه، جيد فعلًا: مفتوح المصدر، مبني على براهين المعرفة الصفرية، قادر على إثبات «فوق 18» دون الكشف عن تاريخ ميلاد أو اسم أو أي شيء آخر — أي الشيء نفسه الذي ظل المدافعون عن الخصوصية يطالبون به عقدًا كاملًا بديلًا عن رفع صور جوازات السفر. وسيرفض هذا التطبيق أن يعمل على هاتفه. لا لأن هاتفه غير آمن، بل لأنه ليس مباركًا من Google.

هذا الرفض هو قصة الأسبوعين الماضيين كلها، وهو ليس في حقيقته عن الأطفال. فتحت اختبارات العمر ومعارك متاجر التطبيقات وقواعد المطوّرين يقبع مطلب واحد: أثبت أنه مسموح لك بتشغيل هذا. أثبت أن جهازك أصلي. أثبت عمرك. أثبت أن لمؤلف البرنامج اسمًا قانونيًا مسجَّلًا. والكلمة التقنية لهذا المطلب هي attestation — أي التصديق: طرف ثالث موثوق، وهو عمليًا Apple أو Google، يشهد تعميةً لأي تطبيق أو موقع أو جهة رقابية تسأل. وقد أمضت الشركتان سنوات في بناء طبقة الشهادة هذه داخل نظام التشغيل نفسه. وفي أسبوعين من يوليو هذا، مدّت ثلاث فئات من حرّاس البوابات يدها إليها دفعةً واحدة، وسمّت فئتان أخريان الطريقَ الالتفافي حولها بوصفه الهدف التالي.

الفك الأول: نقطة التفتيش

متجر التطبيقات. في 6 يوليو، أتاحت المحكمة العليا الأمريكية، على جدول الطوارئ لديها — بأمرين موجزين غير موقَّعين، ودون تسجيل أي اعتراض — بقاءَ قانون تكساس App Store Accountability Act نافذًا، وهو نافذ منذ رفعت محكمة الدائرة الخامسة الأمرَ الزجري الصادر عن المحكمة الجزئية في 4 يونيو. فعلى Apple وGoogle الآن أن تتحققا من عمر كل مستخدم عند إنشاء الحساب، وأن تصنّفا كل شخص في واحدة من أربع شرائح عمرية، وأن توجّها كل تنزيل لمن هم دون 18 عبر وليّ أمر موثَّق — وذلك لكل التطبيقات، لا للتطبيقات الإباحية وحدها. وانظر إلى الكيفية: واجهة Apple المسماة Declared Age Range API، التي ظهرت في iOS 26، وواجهة Google المسماة Play Age Signals API، تجعلان نظام التشغيل نفسه هو الذي يشهد بعمرك لكل تطبيق يسأل. القانون لا يُلزم الموقع الإباحي بفحص هويتك، بل يجعل الجهاز هو العرّاف.

الهاتف الخاص. صُمّم تطبيق التحقق من العمر الأوروبي بحيث يشترط Play Integrity من Google وApp Attest من Apple للتثبّت من الجهاز قبل أن يعمل — ولذلك، كما لاحظت التحليلات التقنية عند ظهور التجارب، فإنه «لن يعمل على GrapheneOS ولا على أي نسخة أندرويد أخرى غير معتمدة من Google»، ولا حتى لو صرّفتَ الشيفرة ذاتها بنفسك، لأنه لم يصل من متجر Play. فالمفوضية التي تغرّم Google بموجب Digital Markets Act تجنّد تصديق Google بوصفه بنية تحتية للهوية. والتطبيق توصية غير ملزِمة، بتجارب في الدنمارك وفرنسا واليونان وإيطاليا وإسبانيا وطرحٍ مقترح بحلول 31 ديسمبر — لكن قرار التصميم قد اتُّخذ بالفعل.

شيفرتك أنت. ستشترط خدمة Android Developer Verification من Google على كل مطوّر أن يسجّل هوية قانونية قبل أن يُسمح بتثبيت برنامجه على جهاز معتمَد؛ ويبدأ الإنفاذ في 30 سبتمبر في البرازيل وإندونيسيا وسنغافورة وتايلاند، ثم يتوسّع من هناك. وفي 1 يوليو وصف F-Droid — متجر التطبيقات الرائد للبرمجيات الحرة — عميلَ الإنفاذ الخامل، المشحون أصلًا بوصفه خدمة نظام على أندرويد الحديث، بأنه «فيروس… ينتظر بصمت تفعيلًا عن بُعد»، وحذّر من أن القاعدة ستنهي مشروعه، لأنه يوزّع تطبيقات مساهمين يكتبون بأسماء مستعارة ولن يسلّموا Google هوية حكومية. وفي 9 يوليو أطلق جوابه الخاص: أداة تحقق حرة اسمها AppVerifier.

هذه ليست مرحلة صيف عابرة. إنها تُكتب في قانون دائم. فقانون كاليفورنيا AB 1043، الموقَّع في أكتوبر الماضي، سيلزم اعتبارًا من 1 يناير 2027 كل مزوّد نظام تشغيل — Apple وGoogle، وظاهريًا لينكس المكتبي وSteamOS من Valve — بجمع عمرك عند إعداد الجهاز وبثّ إشارة بالشريحة العمرية لأي تطبيق يطلبها. فالجهاز يكفّ عن مجرد تشغيل برمجياتك، ويبدأ بالإبلاغ عنك لها.

الفك الثاني: مخارج النجاة، مسمّاةً

سُدّ الجهاز والمتجر، فيلتف الناس حولهما. والأسبوعان الماضيان يبيّنان ما تمدّ الدولة يدها إليه تاليًا.

بريطانيا. بدأ العمل بالتحقق الإلزامي من العمر للمواقع الإباحية في 25 يوليو 2025، وتحلّ ذكراه السنوية الأولى هذا الشهر، مع أول تقرير قانوني عن الفعالية تصدره Ofcom قبل نهاية يوليو. وكانت النتيجة القابلة للقياس في السنة الأولى هجرةً لا سلامة: ففي اليوم الأول أفادت Proton VPN بأن الاشتراكات البريطانية ارتفعت بأكثر من 1,400 في المئة من ساعة إلى ساعة، وبأكثر من 1,800 في المئة من يوم إلى يوم، واستحوذت تطبيقات VPN على نصف قائمة العشرة المجانية الأولى في متجر App Store البريطاني. وقالت Proton لصحيفة Financial Times: «عادةً ما نربط هذه القفزات الكبيرة في الاشتراكات باضطرابات أهلية كبرى». ولم يكن الردّ الرسمي إعادة النظر في الجدار، بل تفحّص السُلّم: فقد وصفت مفوضة شؤون الطفل في إنجلترا موجة VPN بأنها «ثغرة يجب سدّها»، ودعت إلى فرض اختبارات عمر على شبكات VPN نفسها؛ ووضعت استشارة حكومية هذا الربيع الفكرةَ رسميًا على الطاولة.

وهذه هي الحقيقة التي كان ينبغي أن تُنهي النقاش: الموجة كانت من البالغين، لا من الأطفال الذين يستهدفهم القانون. فإرشادات Ofcom نفسها تشير إلى أن نحو واحد فقط من كل عشرة من مستخدمي VPN طفل؛ ووجد استطلاعان مستقلان — أحدهما لـ Internet Matters، الذي استطلع ألف طفل في ديسمبر الماضي، والآخر لـ Childnet — أنه لا ارتفاع في استخدام الأطفال لـ VPN على الإطلاق. ومن ثم فإن فرض اختبار عمر على VPN سيعني فحص هويات ملايين البالغين لسدّ ثغرة لم يكن الأطفال يستخدمونها أصلًا. إنه الخطأ التصنيفي نفسه الذي وقع فيه الجدار الأول، طبقةً أدنى.

بروكسل. بعد معركة Chat Control، فإن الطريق التالي للمفوضية إلى البيانات الخاصة هو الاحتفاظ الإلزامي. فأداة الاحتفاظ بالبيانات المسماة "Going Dark" — المتوقعة قرابة منتصف 2026، والتي لم تُطرح بعدُ حتى كتابة هذه السطور — ستُلزم، بحسب وثيقة مسرَّبة من المجلس تعود إلى نوفمبر الماضي، بتسجيل بيانات الاتصال الوصفية لدى كل خدمة إلكترونية، مع تسمية مزوّدي VPN صراحةً، لمدة سنة أو أكثر. وهنا يصطدم المطلب بجدار من صنعه هو: فشبكة VPN حقيقية لا تحتفظ بسجلات لا تملك شيئًا تسلّمه، لأنها بُنيت لئلا تحتفظ بشيء. وتقول Mullvad، المزوّد السويدي، إنها لن تحتفظ بالسجلات مهما كان النص النهائي — وهو ما سيجعل شبكة VPN بلا سجلات غير قانونية فعليًا في أوروبا متى أعادت الأداةُ تصنيفها. فالأمر بالاحتفاظ أمرٌ بالكفّ عن الوجود. التفّ حول البوابة، فيصير طريق الالتفاف هو البوابة التالية.

الأسبوعان نفساهما، طبقةً أدنى

أغلِق بوابة الهوية، وتبقى الشبكة — القدرة الخام على تحريك حزمة إلى خادم غير محجوب. وقد كانت تلك البوابة تُعاد بناؤها في الأسبوعين نفسيهما، بيدٍ أخرى، وفي نصف كرة آخر.

في 10 يونيو فعل مهندس في إيران كل ما تقوله الأدلة الإرشادية. وضع نفقه خلف Cloudflare، ومزّق مصافحة البدء إلى شظايا من عشرة إلى ثلاثين بايتًا كي لا يرى صندوق الفحص لدى الرقيب اسمَ النطاق المحظور كاملًا. ومع ذلك مات النطاق في غضون يوم. فقد جرت ترقية الفحص العميق للحزم في إيران ليؤدي إعادة تجميع كاملة لـ TCP — يحتفظ بالشظايا في الذاكرة، وينتظر، ويعيد تركيب الجملة قبل أن يقرأها، فيبطل بذلك أرخص حيلة تحايل مفردة في كل أداة تقريبًا. وفي روسيا، بين 1 و15 يونيو، أسقطت Roskomnadzor أكثر من تسعين في المئة من خوادم Amnezia VPN داخل البلاد، بحسب TechRadar — لا بحظر بروتوكول، بل ببصم توقيع كل خادم وإغراقه، ثم إغراق بنية Amnezia نفسها حتى لم تعد الشركة، على حد قولها، قادرة على نشر أرقامها لأن الهجوم عطّل الأداة ذاتها التي تستخدمها لقياس الرقابة. لقد أعمى الرقيبُ الشاهد.

ونقطة الانعطاف، بصريح العبارة: البروتوكول فكرة، ولا يمكنك تعداد فكرة؛ أما الخادم فآلة لها عنوان، ويمكنك تعداده. وحين يصير الهدف هو الخادم الثابت القابل للعثور عليه، تطحن دولة جيدة التمويل قائمةَ عناوينك أسرع مما تستطيع استبدالها. وفي نافذة اثنتين وسبعين ساعة هذا الشهر، ردّ ميدان البرمجيات المفتوحة بتصميم واحد: ففي 10 يوليو ظهر OpenRung — «Snowflake للجهاز بأكمله»، بمرحّلات تطوعية يُوصل إليها عبر وسيط لا يحمل حركة المرور قط، مع قائمة مرحّلات موقَّعة تعميةً لا يستطيع الرقيب تسميمها؛ وفي 11 يوليو ظهر عميل أندرويد اسمه Orden، يحمل بروتوكولين في آن ويبدّل بينهما في اللحظة التي يُخنق فيها أحدهما؛ وفي 12 يوليو نُشرت أبحاث الرقابة المحكَّمة في هذا الميدان قبيل مؤتمري FOCI وPETS — ومنها تحليل لعُدّة الأدوات المسرَّبة التي تحزم الجدار الناري الصيني العظيم في هيئة منتج وتبيعه لميانمار وباكستان وكازاخستان وإثيوبيا. الهجوم يُباع خدمةً في الأسبوع نفسه الذي يُحكَّم فيه الدفاع علنًا. يدان، وباب واحد: القانون يسمّي مخارج النجاة، وفحص الحزم يغلقها ماديًا.

الحجة المضادة، في أقوى صورها

خذ الطرف الآخر في أقوى صوره، فهو قوي فعلًا. الأطفال يبلغون فعلًا المواد الإباحية الفجّة بنقرتين، ومتجر التطبيقات هو فعلًا المكان الذي يُهيَّأ فيه الهاتف — فهو إذن نقطة تحكّم يمكن الدفاع عنها، لا تجاوزًا بيّنًا بذاته. والمدافعون ليسوا فئة هامشية: فقد قدّمت ائتلافات سلامة الطفل مذكرات تحثّ المحاكم على إبقاء قانون تكساس، ولم تمرّره محكمة الدائرة الخامسة مرور الكرام — بل قضت بأن تكساس "made a strong showing that it is likely to succeed on the merits" — أي قدّمت بيانًا قويًا بأنها مرجَّحة النجاح في الموضوع، وأن النص "more likely governs commercial speech" — أي الأرجح أنه ينظّم خطابًا تجاريًا لا يخضع إلا لاشتراط التناسب المعقول. وبراهين المعرفة الصفرية في التطبيق الأوروبي هي، بمعاييرها الخاصة، ترقية حقيقية للخصوصية مقارنةً برفع جواز سفرك إلى موقع إباحي. وحجة Google بشأن البرمجيات الخبيثة حقيقية أيضًا: فهي تفيد بأن البرمجيات المثبَّتة جانبيًا من الإنترنت تحمل أكثر من خمسين ضعف معدل الإصابة في متجر Play، وأن هويات المطوّرين المجهولة القابلة للاستهلاك هي بالضبط ما يتيح لمؤلف برمجية خبيثة ضُبط أن يعيد التسمية ويطلق من جديد بحلول الصباح. وينطبق الواقعية نفسها على مستوى الشبكة: فالتمويه كان دائمًا ضريبة يدفعها كل بروتوكول، والرقيب يتكيّف في أيام — فقد بصمت روسيا وسيلة Snowflake التابعة لـ Tor بين ليلة وضحاها في مارس — كما أن تشتيت المخارج عبر أجهزة منزلية يلقي بشكوى إساءة الاستخدام على اتصال متطوع في بيته، حيث تصل الشرطة. ثم إن هذه التدابير كتبها مشرّعون مختلفون، في عواصم مختلفة، لأسباب مختلفة، وعلى ساعات مختلفة. لا توجد مذكرة تنسيق. ورؤية إغلاق واحد منسَّق في خمسة قوانين سلامة غير مترابطة هي بالضبط النمط الذي ينبغي لقارئ متأنٍّ أن يرتاب فيه.

الردّ الذي يصمد أمامها

ابدأ بالهاتف، لأنه ينسف حجة الأمن نسفًا نظيفًا. فـ GrapheneOS مستبعَد لا لأنه أقل أمنًا، بل لأنه ليس لـ Google. ويشير المشروع — وهذا قابل للتحقق باستقلال في وثائقه هو — إلى أن واجهة التصديق العتادي القياسية في أندرويد «توفّر شكلًا من التصديق أقوى بكثير من واجهة Play Integrity»، وأنها قادرة على إدراج مفاتيح نظام بديل في القائمة البيضاء، وأن «السبب الوحيد لعدم سماح [Google] بذلك هو أننا لا نرخّص خدمات Google Mobile Services… وهو إنفاذ لمصالح Google التجارية لا للأمن». فتصديق أقوى وأكثر انفتاحًا يرسب في الاختبار عن عمد. إذن البوابة لا تسأل هل جهازك آمن، بل تسأل هل هو مبارَك.

وتتصدّع حكاية البرمجيات الخبيثة على النحو نفسه. فـ Developer Verification لا تفحص سطرًا واحدًا من الشيفرة، ولا تمنع مطوّرًا موثَّقًا من إطلاق شيء عدائي؛ إنها آلية هوية وإبطال، لا ماسح. والدليل في التسعير: فالمستوى المدفوع يكلّف 25 دولارًا وهوية حكومية، أما المستوى المجاني فلا يطلب هوية على الإطلاق — لكنه يحدّك عند نحو عشرين جهازًا. فالشيء الذي يُقنَّن ليس المال. إنه إخفاء الهوية على نطاق واسع — بقدر يكفي للاختبار بين الأصدقاء، ولا يكفي أبدًا لبلوغ الجمهور دون اسم مسجَّل.

ثم نقطة «لا تنسيق»، وهي صحيحة، ونحن نسلّم بها، وهي تجعل الوضع أسوأ لا أفضل. فأنت لا تحتاج إلى مذكرة كي يقع إغلاق. تحتاج إلى أداة أولية مريحة وإلى كثير من حرّاس البوابات. فما إن يصير نظام التشغيل مستعدًا للشهادة على الجهاز وعلى عمر المستخدم وعلى هوية المطوّر، حتى تمدّ كل سلطة تريد نقطة تفتيش يدها إلى الطبقة نفسها، لأنها موجودة هناك تمامًا ولأنها تعمل. والنتيجة ليست مؤامرة؛ إنها انهيار تجاذبي نحو نقطة الاختناق — وهو أصعب في الإيقاف من مؤامرة، لأنه لا يوجد مشروع قانون واحد يمكن هزيمته ولا أحد يمكن مساءلته عن المحصلة. كل قانون منها يمكن الدفاع عنه منفردًا. أما النظام الذي تُشكّله مجتمعةً فلم يوقّع عليه أحد.

وتردّ طبقة الشبكة على حجتها المضادة بالطريقة نفسها. فالادعاء لم يكن قط أن تشكيل الحركة يفوز بسباق التسلح؛ بل أن التشكيل مع التنوّع يغيّر حساب الرقيب. فالبصم والإغراق مدمّران أمام بضع مئات من الخوادم الثابتة — ولهذا سقط تسعون في المئة من خوادم Amnezia — وعديما الجدوى تقريبًا أمام ملايين العناوين المنزلية التي تبدو كمستهلكين عاديين ولا يمكن إغراقها دون إسقاط إنترنت المستهلكين الذي تشغّله الدولة نفسها. فهجوم روسيا في يونيو يفترض وجود خادم يُصاد؛ فأزل الخادم الثابت، تُزل ما بُني الهجوم من أجله.

وهذا هو الدليل الذي يوحّد الفكّين. لا شيء في قائمة الحجة المضادة — عمر مُتحقَّق منه، أو مؤلف برمجية خبيثة مضبوط، أو مذكرة قضائية منفَّذة — يستلزم استبعاد GrapheneOS، أو إنهاء F-Droid، أو تجريم VPN بلا سجلات، أو بصم مرحّل منزلي. هذه الأدوات مسمّاة لأنها تهزم نقطة التفتيش، لا لأنها تهزم هدف السلامة. إنها البقية التي لا تستطيع البوابة معالجتها: الأجهزة والمؤلفون والاتصالات التي لا طرف مركزي يشهد لها. والإغلاق يُعرَّف بما يسيّجه خارجًا.

ما نعرفه وما لا نعرفه

أبقِ الدفتر أمينًا، لأن قوة هذا النمط في ضبط نفسه. النافذ اليوم: قانون تكساس (ولاية واحدة، تحت الاستئناف، مع جلسة موضوعية أمام محكمة الدائرة الخامسة مقررة في أغسطس)، ونظام التحقق من العمر البريطاني، وموعد Developer Verification لدى Google في 30 سبتمبر، و — اعتبارًا من 2027 — إشارة العمر على مستوى نظام التشغيل في كاليفورنيا. وتوصية غير ملزِمة بتجارب حية: تطبيق العمر الأوروبي، الذي يُعدّ استبعاده لـ GrapheneOS تصميمًا منشورًا بقدر ما هو واقع مشحون، والذي وصفه مورّده قبل عام بأنه «هلع سابق لأوانه». ومقترح لم يُطرح بعد: الاحتفاظ بالبيانات الأوروبي الذي يسمّي VPN. ومجرد مناصرة حتى الآن، لا قانون: الدفع البريطاني نحو فحص عمر مستخدمي VPN. وشيء عمره أيام، على شبكات صغيرة، وأول ظهوره في المنتديات: OpenRung وOrden، اللذان وعدهما حقيقي ونطاقهما غير مثبت. ولم يُثبت أحدٌ وجود تنسيق، لأنه لا تنسيق يُثبَت. أما الموثَّق فأضيق من ذلك وأغرب — خمسة من حرّاس البوابات، كلٌّ على حدة، يمدّون أيديهم إلى الأداة الأولية نفسها ويسمّون مخارج النجاة نفسها في الأسبوعين نفسيهما، بينما كان فحص الحزم يغلقها من الجهة الأخرى.

ما الذي يمكنك فعله فعلًا

ما لا يمكن الشهادة له لا يزال يعمل اليوم، واستعماله هو الحجة. فـ GrapheneOS يُثبَّت دون حساب ودون هوية، ويقول القائمون عليه إنه سيبقى كذلك؛ وأطلق F-Droid أداة AppVerifier في 9 يوليو؛ واحتفظ بهاتف لا يزال يقبل التثبيت الجانبي، لأن هذه القدرة بالذات هي ما بُني 30 سبتمبر لخفضها. واحمل أكثر من وسيلة نقل واحدة، كما يفعل Orden، ليصير الخنق هزّة كتف لا انقطاعًا كاملًا؛ وحدِّث عميل التحايل لديك ولا تتبرّم بالترقيات القسرية، لأن الحيل عديمة الحالة داخل النسخ القديمة هي التي تموت هذا الشهر؛ وشغّل مسبار قياس — إذ أطلقت OONI تطبيقًا لسطح المكتب في 6 يوليو — لأن خرائط ما هو محجوب تُبنى من مستخدمين يتطوعون بالبيانات.

والباقي سياسي، والروافع حيّة. فمحكمة الدائرة الخامسة تنظر قانون تكساس في الموضوع في أغسطس. ومقترح الاحتفاظ الأوروبي لا يزال قيد الصياغة، وينتظره عقد كامل من أحكام محكمة العدل ضد الاحتفاظ "general and indiscriminate" — أي العام وغير المميِّز. وطرح Google سياسةٌ لا تشريع، وأكثر من سبعين منظمة في ثلاث وعشرين دولة سجّلت موقفها ضده بالفعل.

الثقة التي لستَ مضطرًا إلى منحها

أعمق الأجوبة هو الذي تصل إليه هذه المجلة من كل اتجاه. فالتصديق طريقة لوضع الثقة في طرف مركزي — Google، أو Apple، أو VPN يمكن أن يُؤمر بالتسجيل، أو خادم يظل ثابتًا مدةً تكفي لبصمه — ثم الأمل في أن يبقى جديرًا بالثقة، أو أن يبقى عاملًا. والبديل ليس حارس بوابة أفضل. إنه بنية تلغي الحاجة إلى واحد: التوجيه البصلي، وWireGuard، والمرحّلات اللامركزية وشبكات الخلط مثل URnetwork، حيث لا مشغّل يملك الهوية ليشهد لك، ولا أحد يمكن إجباره على تسجيلك، ولا أسطول ثابت من الخوادم يمكن تعداده. وقل الحدّ الأمين صراحةً — لا VPN يخفي وجهك عن كاميرا في محطة، ولا قدر من اللامركزية يستحضر إشارةً حين تفصل حكومةٌ القابس عن الشبكة بأسرها، كما فعلت إيران في يناير. وضمن هذه الحدود، فإن الخاصية التي لا يستطيع هذان الأسبوعان تسييجها هي الجديرة بأن يُبنى عليها: لا يمكنك أن تصدّق على ما لا بوابة له، ولا أن تبصم ما لا خادم ثابت له. ابنِ الشبكة بحيث لا يبقى لعبارة «أثبت أنه مسموح لك بتشغيل هذا» أحدٌ تُسأل له.

عشرون مليون شخص يمرّون كل يوم عبر نحو 5,700 محطة سكك حديدية في ألمانيا. واعتبارًا من الجمعة 10 يوليو 2026، يقول القانون الألماني إن للآلة أن تنظر إليهم جميعًا.

في ذلك الصباح — آخر يوم انعقاد قبل عطلة Bundestag الصيفية، في منتصف أسبوع ربع نهائي كأس العالم، والبلد لا يزال يتجادل بشأن إقالة مدرب المنتخب يوليان ناغلسمان — أقرّ البرلمان النسخة المعاد كتابتها من Bundespolizeigesetz، أي قانون الشرطة الاتحادية. صوّت CDU/CSU وSPD لصالحه؛ وصوّت الخضر واليسار ضده؛ وامتنع AfD. ولم تتحفّظ الصحافة المتخصصة. فقد نشر موقع الحقوق الرقمية netzpolitik.org حكمه عنوانًا رئيسيًا في غضون ساعات: إن Bundestag «أعلن للتوّ بدء عصر المراقبة الآلية».

وتُجيز المادة الجديدة 31b من القانون، وعنوانها «الكشف البيومتري في الزمن الحقيقي»، لكاميرات الشرطة الاتحادية في محطات القطار والمطارات والمناطق الحدودية أن تمسح كل وجه عابر وتقارنه، في البث الحي، بملف مرجعي للشرطة. ويمنح النص نفسه Bundespolizei أول حصان طروادة حكومي لها — أي مراقبة الاتصالات من المصدر، ببرمجية خبيثة تُدسّ عبر ثغرات أمنية لقراءة الرسائل قبل تعميتها — للاستخدام الوقائي، ودون أي نظام يحكم الثغرات التي تركبها. ويُلحق بهاتين الصلاحيتين الرئيسيتين عقارٌ كامل: تحليل بالذكاء الاصطناعي لسلوك الأشخاص في فيديو المحطات، ورسائل SMS صامتة، وأجهزة التقاط IMSI وWi-Fi، وماسحات لوحات المركبات، وطائرات مسيّرة، وبيانات ركاب الطيران، والنفاذ إلى قاعدة الهوية المشتركة في الاتحاد الأوروبي. وتبلغ الكلفة نحو 185 مليون يورو سنويًا، إضافة إلى 18 مليون يورو للإنشاء — تُضاف إلى 11,000 كاميرا في 750 محطة كانت حتى الجمعة قادرة على تسجيلك لا على التعرف عليك.

وأشدّ هذه الصلاحيات تطفلًا لم يكن موجودًا في مشروع القانون الذي راجعه الخبراء. فجلسة الاستماع العلنية للجنة الداخلية عُقدت في 26 يناير، بشأن مسودة حكومية لم تتضمن أي بيومترية في الزمن الحقيقي على الإطلاق. أما بند مسح الوجوه وبند تحليل السلوك فقد أُدرجا بتعديل من الائتلاف في 7 يوليو، وأُجيزا في اللجنة في 8 يوليو، وصارا قانونًا في 10 يوليو — «قبل التصويت بثلاثة أيام فقط»، كما أحصى netzpolitik. فأعمق اقتطاع من الحقوق الأساسية في الحزمة كلها لم يمثُل أمام شاهد خبير واحد، وحطّ في الأسبوع الوحيد الذي كان البلد يتابع فيه كرة القدم.

الحظر الذي شُحن ومعه مفتاح

وهنا الجزء الذي ينبغي أن يقلق حتى من يستحسنون هذه السياسة. فألمانيا لم تتحدَّ قانون الذكاء الاصطناعي الرائد في الاتحاد الأوروبي لتفعل ذلك. بل استخدمته.

تجعل المادة 5 من AI Act التعرفَ البيومتري عن بُعد في الزمن الحقيقي في الأماكن العامة، لأغراض إنفاذ القانون، ممارسةً محظورة — محظورة افتراضيًا منذ 2 فبراير 2025. وذلك هو الحكم الذي سمّاه المدافعون عن الخصوصية خطًا أحمر حقيقيًا، وأول حظر صارم على التعرف الحي على الوجوه في الأماكن العامة في أي مكان في العالم الديمقراطي. لكن الحظر يُشحن ومعه ثلاثة استثناءات خاملة مبنية في نصه هو: عمليات البحث المستهدَفة عن ضحايا الاتجار والأشخاص المفقودين؛ وتهديد محدد ووشيك للحياة أو هجوم إرهابي؛ وملاحقة المشتبه بهم في جرائم خطيرة عقوبتها أربع سنوات على الأقل. وتتيح المادة 5 لأي دولة عضو أن توقظ هذه الاستثناءات بقانون وطني، رهنًا ببوابات إجرائية: إذن مسبق من قاضٍ أو سلطة مستقلة، وتقييم أثر على الحقوق الأساسية، وتسجيل النظام في قاعدة بيانات أوروبية.

والمادة 31b هي يد ألمانيا على ذلك المفتاح. فهي تنقل الاستثناءات حرفيًا تقريبًا: أمر قضائي لازم إلا في حالات الضرورة العاجلة، وضابطان مدرَّبان ملزَمان بتأكيد كل مطابقة آلية قبل أن يتحرك أحد، والمطابقة في الزمن الحقيقي فقط، ولا ربط بقواعد بيانات أخرى أثناء التشغيل. وتصف الحكومة ذلك بأنه ضيق، وهو على الورق أضيق مما خشيه بعضهم.

لكن انظر أين تقع الضمانات. فكل واحدة منها تحكم ما يحدث بعد المطابقة. أما قبل المطابقة، ولكي يُعثر على الوجه المدرَج في القائمة، فعلى النظام أن يصنع قالبًا لوجه كل من في المحطة — المسافر اليومي، والسائح، والتلميذ في رحلة مدرسية، والمرأة الخارجة من ملجأ، والرجل الذاهب إلى عيادة. فالمعالجة الجماعية لمن لا شبهة عليهم ليست أثرًا جانبيًا للتعرف البيومتري عن بُعد. إنها الآلية نفسها. ولا توجد نسخة من «امسح المحطة بحثًا عن وجه مطلوب واحد» لا تبدأ بمسح المحطة.

وهذه بالضبط هي الممارسة التي سمّاها AI Act محظورة — وقد شُغّلت الآن، بصورة قانونية، بكتابة نص وطني، قبل ثلاثة أسابيع من صيرورة القانون واجب التطبيق بالكامل في 2 أغسطس. وحين نفّذت المجر نسخة أفظّ في مارس 2025، فأتاحت التعرف على الوجوه في مخالفات تافهة كحضور مسيرة فخر محظورة أو عبور الشارع خارج الممر، تعاملت المؤسسات الأوروبية مع ذلك بوصفه اختبار إجهاد مارق للخط الأحمر. أما نسخة ألمانيا فتصل مكسوّة بالقضاة وتقييمات الأثر — وهذا ما يجعلها أشدّ تآكلًا، لا أخفّ. المجر كسرت الخط. وألمانيا أذابته في قائمة تحقق امتثالية تستطيع أي وزارة داخلية إكمالها. وقد قال المتحدث الداخلي لحزب CDU، ألكسندر ثروم، الجزء الخافت بفخر من على المنصة: هذا القانون، كما توقّع، سيصير maßstabsbildend — أي «محدِّدًا للمعيار» — «بالنسبة لولايات الجمهورية الاتحادية». وفي ألمانيا ست عشرة ولاية (Länder) تدير كل منها شرطتها. وستٌّ وعشرون دولة عضو أخرى تدير كل منها وزارة داخليتها. والقوالب تسافر؛ فهذا هو الغرض من القالب.

الأسبوع نفسه، عبر القارة

لم تكن جمعة ألمانيا خيارًا وطنيًا منعزلًا. بل كانت أعلى نغمة في وتر.

ففي اليوم السابق، 9 يوليو، أجرى البرلمان الأوروبي تصويت القراءة الثانية على لائحة "Chat Control" المُحياة — وهي القاعدة التي تتيح لمزوّدي الخدمة مسح الرسائل الخاصة بحثًا عن صور غير قانونية. صوّتت أغلبية نسبية من الحاضرين برفضها، 314 مقابل 276. وخسروا رغم ذلك. فرفض موقف المجلس في القراءة الثانية يقتضي أغلبية مطلقة من جميع الأعضاء — 360 بحسب حساب البرلمان نفسه — ونحو 112 مشرّعًا، قبل يومين من العطلة، لم يكونوا في القاعة ببساطة. فعاد نظام المسح الذي كان البرلمان قد قتله في مارس إلى الحياة حتى أبريل 2028، مبعوثًا بحساب الغياب. وقد ربح البرلمان شيئًا واحدًا: أول استثناء صريح للرسائل المعمّاة طرفًا إلى طرف يُكتب في قانون مسح أوروبي. لكنه مرّ فقط لأنه استنزف المعارضة — فبعد أن نجح استثناء التعمية، انهار ائتلاف رفض النص كله من 314 صوتًا إلى 276. الجائزة الترضوية اشترت الهزيمة.

وفي الجمعة نفسها التي جرى فيها التصويت الألماني، نشرت Ofcom البريطانية أول سجل بموجب Online Safety Act، ونشرت إلى جانبه «قائمة مراقبة» قانونية بخدمات قد تصنّفها لاحقًا ضمن أشد الواجبات — بما في ذلك سلطة اشتراط تحقق المستخدمين من هويتهم. ووُضعت Wikipedia، التي نجت من الفئة العليا في الوقت الحالي، على تلك القائمة، مقيّدةً إلى جوار iMessage وMessenger، دون معايير خروج منشورة ومع إمكان إعادة التقييم في أي وقت. ووصفت مؤسسة Wikimedia، التي كانت قد خسرت بالفعل مراجعة قضائية بشأن هذا الأمر بعينه، استمرار التصنيف بأنه «تهديد وجودي» لنحو 260,000 متطوع قد يُدفعون إلى تسليم هويتهم القانونية مقابل تحرير موسوعة، وبعضهم في بلدان يكون فيها أن تُعرف بأنك محرّر في Wikipedia أمرًا خطرًا.

ثلاث دول، وأسبوع واحد: ماسح وجوه شُغّل في ألمانيا، ومسح رسائل أُحيي في ستراسبورغ، وتهديد بالتحقق من الهوية عُلّق فوق موسوعة العالم في لندن. أضف إلى ذلك التفصيل الذي طفا قبل أيام — أن عضوًا في لجنة تحقيق البرلمان الأوروبي بشأن برمجيات التجسس كان هو نفسه قد اختُرق ببرنامج Pegasus، بحسب Citizen Lab — ويصير الموضوع عصيًّا على الإغفال. ففي الأسابيع السابقة لدخول قانون الذكاء الاصطناعي المرجعي حيّز النفاذ الكامل، لم تكن أوروبا تشدّ خطوطها الحمراء. بل كانت تعبرها.

الأرقام التي لا تستطيع الآلة تجاوزها

سبق لألمانيا أن أجرت هذه التجربة، واحتفظت بالإيصالات.

أنتجت تجربة 2017–18 في محطة Südkreuz في برلين رقم وزارة الداخلية الظافر: كشف يتجاوز 80 في المئة، ونسبة إنذارات كاذبة دون 0.1 في المئة، وإعلان نجاح. ووصف Chaos Computer Club التقرير بأنه مزوَّق وغير علمي. لكنك لست بحاجة حتى إلى منازعة الرقم لترى المشكلة؛ يكفي أن تضربه. فعند نحو 100,000 مسافر يوميًا عبر Südkreuz، تعني نسبة إنذار كاذب قدرها 0.1 في المئة نحو 100 بريء يُشار إليهم يوميًا — في محطة واحدة. وقدّرت مفوضة حماية البيانات في برلين آنذاك، مايا شمولتشيك، إجمالي التجربة بـ80,000 إلى 100,000 شخص التُقطوا خطأً. وسجّل إحصائيو معهد Max Planck النقطة نفسها ضمن بابهم «لاإحصاء الشهر»: فمقابل 11.9 مليون مسافر بالسكك الحديدية يوميًا في ألمانيا، تعني نسبة 0.1 في المئة نحو 11,900 إنذار كاذب يوميًا — أكثر من 350,000 شهريًا. ويمكن وصف نظام بأنه «ناجح» وهو مع ذلك يتّهم الأبرياء بهذا المعدّل، لأن الأبرياء هم الجميع تقريبًا.

أما التقنية المرافقة فسجلّها أسوأ. فبرمجية تحليل السلوك التي يضفي عليها القانون نفسه صفة اتحادية ظلّت تراقب ساحات في Mannheim منذ 2018 ولا تزال عاجزة عن التمييز الموثوق بين لكمة وعناق. وإحدى فئاتها المُبلَّغ عنها هي «العجز الظاهر»، وهو ما يعني عمليًا أن النظام يبلّغ عن المشرّدين. وهذه هي فئة الآلات التي ترقّيها المادة 31b من تجربة بلدية إلى بنية تحتية اتحادية.

الحجة الأمينة للتأييد

الحجة المؤيدة لتشغيل المفتاح حقيقية، وتستحق أن تُعرض بأقوى أرقامها لا بأضعفها.

فمن أكتوبر 2025 إلى مارس 2026، شغّلت شرطة العاصمة في لندن كاميرات ثابتة للتعرف الحي على الوجوه في شارع Croydon الرئيسي: 173 اعتقالًا عبر 24 عملية نشر — أي اعتقال كل 35 دقيقة تشغيل — بينهم مطلوبون في قضايا اختطاف واغتصاب واعتداء جنسي خطير. وفي منطقة التجربة، انخفضت الجرائم المسجَّلة 10.5 في المئة مقارنةً بالعام السابق، وانخفضت جرائم العنف ضد النساء والفتيات 21 في المئة. ومرّ أكثر من 470,000 شخص أمام الكاميرات؛ وتسجّل الشرطة إنذارًا كاذبًا واحدًا في تلك الفترة كلها، ولا اعتقال واحد جرى قط بناءً على مطابقة خاطئة. وعبارة ثروم — إن محطات القطار «يجب ألّا تكون فضاءات خوف» — تصيب تحديدًا لأنها نصف صحيحة. فبالنسبة إلى امرأة كانت ستُعتدى عليها ولن يحدث ذلك الآن، ليست الآلة تجريدًا عن الحرية. إنها الشيء الذي أمسك بالرجل.

فلا يمكن إذن أن يكون الردّ هو أن الآلة لا تعمل أبدًا. الردّ ثلاثي، وهو يصمد أمام أرقام Croydon سليمًا. أولًا: يمكن شراء سلامة المحطات كذلك بالإضاءة والموظفين والمحاكم الأسرع — وهي تدابير تقلّل الخوف دون بناء آلة تعريف عامة الغرض يرثها كاملةَ التركيب حكم قادم أسوأ. ثانيًا: الاعتراض على التعرف البيومتري الحي لم يكن يومًا عن الدقة وحدها. فالنظام الذي تبلغ دقته 99.9 في المئة كان لا يزال مضطرًا إلى صنع قوالب للـ 99.9 في المئة الآخرين من الحشد ليصل إلى ذلك؛ فالضرر هو صنع القوالب، لا الخطأ فحسب، لأن البلد القادر على التعرف الآلي على الجميع في المحطة قادر بالسهولة نفسها وبالمعدات نفسها على التعرف على المضرب عن العمل، والمحتج، ومصدر الصحفي، والمرأة الخارجة من الملجأ. ثالثًا، وهذا هو الأشد ألمانيةً: هذه الصلاحيات لا تفعل شيئًا سوى التوسّع باطّراد. تُدخَل ضيقة، وتُبرَّر بأقسى الحالات، ثم يُوسَّع نطاقها لاحقًا — وهذا هو المسار الذي سمّاه هذا الأسبوع محامي الحقوق الرقمية ميشائيل كولاين حين وصف المادة 31b بأنها «بداية نهاية إخفاء الهوية في الفضاء العام». وقد وضعت إيريني ميهاليتش من الخضر، وكانت ضابطة شرطة قبل أن تصير نائبة، الصيغةَ المؤسسية بوضوح: بالمراقبة البيومترية في الزمن الحقيقي، «يمدّ الائتلاف يده عميقًا في الحقوق الأساسية». وسمّت كلارا بونغر من اليسار نقطة النهاية: المراقبة الشاملة «تصير هي الحالة الطبيعية».

المسار الثاني، ومن يُدفع له

قانون 10 يوليو ليس إلا نصف الخطة الألمانية. ففي الأربعاء 8 يوليو، أجرى Bundestag قراءة أولى لثلاثة مشاريع قوانين منفصلة تشكّل «حزمة مراقبة» من وزير الداخلية ألكسندر دوبرينت. ومحورها بحث بيومتري رجعي في صور الإنترنت المفتوح: مقارنة صورة شخص مطلوب بصور «متاحة للعموم» تُجمع من وسائل التواصل الاجتماعي، وصور الفرق، ولقطات الأرشيف — مع دخول المشتبه بهم والشهود ومجرد المخالطين في النطاق. ويحيط بها تحليل بالذكاء الاصطناعي عبر قواعد بيانات متعددة لبيانات الموقع والحمض النووي وسجلات المكالمات وملفات الشرطة، وإذنٌ بتدريب الذكاء الاصطناعي على بيانات المواطنين غير المجهَّلة حيث يتطلب التجهيل «جهدًا غير متناسب».

كما تحظر المادة 5 من AI Act بناء قواعد بيانات للتعرف على الوجوه عبر الجمع غير المستهدَف من الإنترنت — وهو البند الذي كُتب وClearview AI في الذهن. وجواب وزارة العدل الألمانية أعجوبة في الحرفية: فالحظر، كما تدفع، لا ينطبق إلا إذا كان نظام ذكاء اصطناعي هو من يقوم بالجمع. أما خبير AlgorithmWatch، عالم المعلومات ديرك ليفاندوفسكي، فيصف الحظر بأنه ausnahmslos — أي بلا استثناء — ويلاحظ أنه من دون قاعدة بيانات مرجعية ينهار المنهج كله قانونيًا وعمليًا. وقد سلّمت AlgorithmWatch أكثر من 167,000 توقيع على عريضة ضد الحزمة في ذلك الأربعاء نفسه. وقال النائب الأخضر كونستانتين فون نوتس للائتلاف ما ينتظره: «إن أقررتم هذا، فستقفون أمام المحكمة الدستورية من جديد». والسابقة في صفّه. ففي فبراير 2023 أبطلت المحكمة الدستورية الاتحادية تحليل بيانات الشرطة القائم على Palantir في هيسن وهامبورغ، لهذا النوع بالضبط من الربط غير المحدود.

وثمة من يُدفع له في كل خطوة من هذا. فشركة Cognitec، ومقرّها Dresden، تدير بحث الوجوه لدى المكتب الاتحادي للشرطة الجنائية في قاعدة تضم نحو أربعة ملايين صورة منذ 2007، وتفويضٌ بقيمة 185 مليون يورو سنويًا مقرونٌ باشتراط الزمن الحقيقي هو غنيمة مشتريات. ومعاهد Fraunhofer تبيع ماسحات السلوك. ودوبرينت يعيد النظر في الطرح الوطني لـ Palantir الذي رفضه سلفه. وسيتيح بحث الصور على الإنترنت للشرطة الاتحادية أن تكلّف مزوّدين خاصين بإجراء المطابقة — أي نموذج Clearview وPimEyes، مؤمَّمًا، بعد عامين من استخدام صحفيين لا يملكون أكثر من اشتراك في PimEyes أداةً من هذا النوع بالضبط للمساعدة في تحديد مكان المسلّحة السابقة دانييلا كليته التي طال اختفاؤها. والقدرة لا تعبأ بمن يحوزها. وهذا هو مغزى بنائها.

ما الذي يمكنك فعله فعلًا

كن صادقًا بشأن الأدوات، فالصدق هو الحجة. لا VPN يخفي وجهك عن كاميرا في محطة عامة. وفي مواجهة المادة 31b، ليست الدفاعات إلا سياسية — واثنتان منها حيّتان الآن. الأولى العريضة ضد حزمة المراقبة المرافقة، التي لا يزال عليها أن تُقرّ. والثانية Bundesrat، مجلس الولايات: فهذا القانون يقتضي موافقة حكومات الولايات هذا الخريف، والامتناع يُحسب رفضًا، وقد أسقطت ولايات يشارك الخضر في حكمها إصلاحًا اتحاديًا للشرطة شبه مطابق في يونيو 2021 بفعل ذلك تحديدًا. فالمكان الذي يُحسم فيه هذا هو رسالة إلى وزارة داخلية ولايتك، لا إعداد في هاتفك.

أما حصان طروادة الحكومي فهو موضع المعركة التقنية الحقيقية، وهو يشير في الاتجاه المعاكس لليأس. فالمراقبة من المصدر موجودة لأن التعمية تعمل: على الدولة أن تخترق الجهاز تحديدًا لأن السلك قد أظلم. فأبقِ السلك مظلمًا واجعل الطرف مكلفًا — عتاد محدَّث، وتطبيقات مراسلة معمّاة طرفًا إلى طرف، ووسائل نقل مفتوحة قابلة للتدقيق وقليلة الصلاحيات مثل Tor وWireGuard والشبكات اللامركزية كـ URnetwork. وليس شيء من ذلك زخرفًا بلاغيًا؛ إنه الفرق بين مراقبة يجب توجيهها، إلى شخص مسمّى، بأمر قضائي، ومراقبة تأتي مجانًا مع البنية التحتية وتصوّب نحو الجميع افتراضيًا. وهذا هو رهان الأسبوع كله. أبقِ التعريفَ مكلفًا وفرديًا وخاضعًا لمساءلة قاضٍ — لأن 10 يوليو كان عرضًا عمليًا لسرعة صيرورته محيطيًا وآليًا ومجانيًا.

يصير AI Act واجب التطبيق بالكامل في 2 أغسطس. وخطه الأحمر البيومتري إما أن يصمد حين يصوّت Bundesrat هذا الخريف، في ست عشرة عاصمة ولاية، وإما أن يكفّ عن كونه خطًا في أي مكان من القارة التي رسمته. لقد أمضت أوروبا عقدًا تخبر العالم بأنها ستكون المكان الوحيد الذي يرفض مسح كل وجه. أمامها ثلاثة أسابيع لتعني ما قالت.

ظلّت السيارة قرنًا كاملًا آلةَ الحرية الأمريكية. إنها في الأسطورة التأسيسية للفصل الثاني من تاريخ البلد — الطريق المفتوح، والفرار، والحدود التي تبلغها بخزان ممتلئ. إنها المكان الذي يذهب إليه المراهقون كي لا يُراقَبوا، والفضاء الذي يغنّي فيه المرء بسوء ويبكي في خلوة ويرتّب فيه حياته على سرعة سبعين ميلًا في الساعة. السيارة كانت تعني أنك تستطيع أن ترحل — والرحيل دون أن يعرف أحد إلى أين ذهبت واحد من أقدم أشكال الحرية.

وتلك الكبسولة صارت الآن موصولة. فنحو تسع من كل عشر مركبات جديدة تُباع «متصلة» — مزوّدة بمودم خلوي يبثّ باستمرار، حتى وهي متوقفة، وحتى بلا اشتراك فعّال. والسيارة الحديثة تعمل على ما يقارب مئة نقطة بيانات ويمكن أن تولّد غيغابايتات في الساعة: الموقع، والسرعة، والكبح، والتسارع، وحالة حزام الأمان، وبتزايد المقصورة نفسها — ميكروفونات، وكاميرات، وبصمات صوت. لقد صار رمز الحرية الأمريكية بهدوء أغنى مُخبر مفرد يملكه معظم الأمريكيين، وفي الرابع من يوليو يجدر السؤال: لمن يرفع تقاريره؟

والجواب، كما تبيّن، وسيط بيانات.

فخّ Smart Driver

إليك ما فعلته General Motors، كما عرضته Federal Trade Commission. قدّمت GM خاصية في OnStar اسمها "Smart Driver"، سُوّقت بوصفها طريقة تلعيبية لتحسين قيادتك أنت — درجة ودودة، ودفعة نحو عادات أسلم. أما ما لم يوضّحه التسجيل فهو أن الاشتراك يعني أن GM ستسجّل موقعك الجغرافي الدقيق كل ثلاث ثوانٍ أحيانًا، مع «أحداث قيادة» مفصّلة — كبح عنيف، وتسارع سريع، وسرعات تتجاوز الثمانين، واستخدام حزام الأمان، بل حتى المحطات الإذاعية التي استمعت إليها — وأن تبيع ذلك التدفق لوسيطي البيانات LexisNexis وVerisk. ووجدت FTC أن الموافقة كانت مصنوعة: فقد كانت الموافقة على الاشتراك في Smart Driver مجمَّعة مع الموافقة على تنبيهات السلامة والصيانة، بحيث يمكن أن يُجرف السائق الذي أراد خدمة كشف الحوادث إلى منتج المراقبة دون أن يفهم الصفقة قط.

هذه هي آلية الفضيحة كلها، ويجدر تسميتها بدقة، لأنها الحيلة التي تشغّلها الصناعة بأسرها: خاصية السلامة هي الطُّعم، وخط أنابيب الوسطاء هو الخُطّاف، والاثنان ملحومان عمدًا بحيث تُمطّ عبارة «أنت أردت أن تستدعي الوسادة الهوائية النجدة» لتصير «إذن وافقتَ على أن تُباع». وقد انفجرت القصة في مارس 2024 حين اكتشفت الصحفية في New York Times كاشمير هيل أن سائقين كانوا يُسجَّلون في Smart Driver — أحيانًا، كما في حالة سيارتها Chevy Bolt الجديدة، دون أي ذكرى لموافقة — وأن شركات التأمين كانت تستخدم الملفات الناتجة بهدوء لرفع الأسعار. وأنهت GM هذه الممارسة بعد أحد عشر يومًا. لكن البيانات كانت قد تدفقت إلى الوسطاء سنوات بحلول ذلك الوقت.

ما يكشفه السجل

لتفهم لماذا ليس هذا «شركة باعت بعض البيانات» بل شيئًا أقرب إلى خيانة، عليك أن ترى ما هو سجل القيادة فعلًا. إنه ليس دفتر رحلات. إنه، بعبارات المحكمة العليا نفسها في Carpenter v. United States، خريطة لـ "the privacies of life" أي خصوصيات الحياة — لأن سجلًا شاملًا لتحركاتك يكشف "your familial, political, professional, religious, and sexual associations" أي ارتباطاتك العائلية والسياسية والمهنية والدينية والجنسية. أين تنام. وأين تتعبّد. والعيادة التي تقودها إليها عبر حدود ولاية، ومقر النقابة، ومحامي الطلاق، وبيت الحبيب في الساعة 1 صباحًا، ولقاء الدعم الذي لا تخبر به أحدًا. وقد تناولت Carpenter 127 يومًا من بيانات أبراج خلوية خشنة، ووصفتها المحكمة بأنها نافذة حميمة على حياة. أما السيارة المتصلة فتولّد سجلًا أكثف بكثير — كل ثلاث ثوانٍ، مربوطًا بمالك واحد مسمّى — ثم تفعل شيئًا لم يفعله الهاتف قط: إنها تحكم عليك.

فـ«سلوك القيادة» الذي يحزمه الوسطاء ليس مجرد أين ذهبت؛ إنه درجة أخلاقية ومالية. وكان منتج Verisk يُسمّى حرفيًا "Driving Behavior Data History Report" — أي تقرير ائتماني عن طريقة قيادتك — واستخدمته شركات التأمين، بعبارات FTC، "for unexpected purposes including denying or canceling insurance, increasing insurance premiums" أي لأغراض غير متوقعة تشمل رفض التأمين أو إلغاءه ورفع الأقساط. وTemeika Clay من مقاطعة Henry في جورجيا هي الوجه الإنساني لذلك: فقد قفز قسطها ثمانين في المئة بعد أن شاركت GM 603 مدخلات نشاط قيادة من سيارتها Camaro، في برنامج سُجّلت فيه هي وزوجها دون أن يختاراه. «تظن أن الأمر يتعلق بالسلامة، لو سُرقت السيارة»، قالت لمراسل محلي. «لم أتخيل قط أنها ستتجسس علينا».

والتصنيف يمارس التمييز. فالعامل الذي يرفضه السائقون أكثر من غيره، كما تجد الاستطلاعات، هو وقت اليوم — لأن التسعير بناءً على متى تقود يعاقب عمال المناوبات الليلية وذوي الأجور المتدنية الذين لا رأي لهم في جداولهم، وهم بنسبة غير متناسبة من السود واللاتينيين، فيصير «القيادة الآمنة» وكيلًا صامتًا عن العرق. ويشير المدافعون عن حقوق ذوي الإعاقة إلى الفخ نفسه: فالنظام المضبوط على القيادة «النمطية» يصنّف الرحلات الطويلة المتكررة إلى أطباء اختصاصيين بعيدين، وهي مما تقتضيه حياة شخص من ذوي الإعاقة، بوصفها «محفوفة بالمخاطر». السيارة لا تكتفي بالمراقبة. إنها تصنّف.

ليس فاعلًا سيئًا واحدًا

كان من المريح أن تُعامَل GM بوصفها حالة شاذة، لكن السجل يقول العكس: فـ GM ببساطة أول من ضُبط. فحين راجعت مؤسسة Mozilla خمسًا وعشرين علامة سيارات وفق معيار خصوصية أساسي، أرسبتها كلها — وهي المرة الأولى التي ترسب فيها أي فئة منتجات بالكامل — ووصفت السيارات بأنها «الفئة الأسوأ رسميًا من حيث الخصوصية بين كل ما راجعناه». وقالت أربع وثمانون في المئة منها إنها تستطيع مشاركة بياناتك؛ واحتفظت ثلاثة أرباعها بحق بيعها؛ وقال أكثر من نصفها إنه سيسلّمها للشرطة أو الحكومات بناءً على طلب غير رسمي، دون أمر قضائي؛ واثنتان بالضبط من الخمس والعشرين تتيحان لك حذفها. أما الفئات التي تدّعي بعض العلامات حق جمعها فتُقرأ كأنها سخرية: فسياسة Nissan أدرجت "sexual activity" أي النشاط الجنسي، وسياسة Kia أدرجت "sex life" أي الحياة الجنسية، وادّعت ست شركات حق جمع "genetic information" أي المعلومات الجينية، إلى جانب وضع الهجرة والعرق وتعابير الوجه.

وسجل الإنفاذ يؤكد أن الأمر منهجي. فقد دفعت Honda غرامة قدرها 632,500 دولار لجهة تنظيم الخصوصية في كاليفورنيا في مارس 2025 بشأن النوع نفسه من ممارسات بيانات السيارات المتصلة. وقاضت تكساس GM في 2024 نيابةً عن 1.8 مليون سائق، ثم وسّعت تحقيقها ليشمل Ford وHyundai وToyota وStellantis، وقاضت شركة تحليلات التأمين Arity بشأن ما وصفته بأنه "the world's largest driving behavior database" أي أكبر قاعدة بيانات لسلوك القيادة في العالم — نحو خمسة وأربعين مليون شخص. وسلّمت Hyundai وحدها بيانات من 1.7 مليون سيارة إلى Verisk وتقاضت عن ذلك أكثر من مليون دولار. فخط الأنابيب — من صانع السيارة إلى الوسيط إلى شركة التأمين — ليس خاصية في GM. إنه نموذج عمل السيارة المتصلة، والسيارة المتصلة هي النوع الوحيد الذي يُباع الآن.

أمر الإحضار في صندوق القفازات

ثمة متلقٍّ ثانٍ لما تراه سيارتك، وهو لا يحتاج دائمًا إلى قاضٍ. فحين ضغط السيناتوران Ron Wyden وEd Markey على صانعي السيارات في 2024، أقرّت ثماني علامات كبرى — Toyota وNissan وSubaru وVolkswagen وBMW وMazda وMercedes-Benz وKia — بأنها ستسلّم بيانات موقع السائق لجهة حكومية بمجرد أمر إحضار، وهو ما يستطيع المدعي العام إصداره دون أمر قضائي ودون أن يراه قاضٍ قط. ولم يقل إلا قليل منها إنه يشترط أمرًا قضائيًا، ولم تقل إلا Tesla إنها تُخطر المالك. وبعضها يحتفظ بالبيانات مدة تصل إلى خمس عشرة سنة. وقد خرق ذلك وعد الصناعة المكتوب نفسه: مجموعة "Consumer Privacy Principles" التي وقّعها صانعو السيارات في 2014 متعهدين باشتراط أمر قضائي.

والتوقيت يزيد الرهان حدةً. ففي Chatrie v. United States، المحكوم فيها في 29 يونيو من هذا العام، قضت المحكمة العليا بأن الحصول على بيانات موقع شخص تفتيشٌ بمفهوم التعديل الرابع — وهو امتداد حقيقي لـ Carpenter. لكن الحكم يقيّد ما يجوز للحكومة أن تطلبه؛ ولا يقول شيئًا عن صانع سيارات يتطوّع ببياناتك، ولا عن وسيط يبيعها، ولا يذكر السيارات إطلاقًا. وهذا هو الشقّ. فالدستور بدأ يحرس الباب الأمامي — أي الأمر القضائي — بينما تمرّر السيارة بهدوء نسخة من كل مكان كنت فيه من الباب الخلفي، إلى وسيط يبيعها لأي طالب، بمن فيهم الدولة، بأمر إحضار. ومحامو الأسرة يتعاملون الآن مع بيانات التتبع بوصفها أدلة قابلة للطلب في نزاعات الطلاق والحضانة؛ ولأن التتبع المثبَّت من المصنّع والمستخدَم "with the owner's consent" أي بموافقة المالك يقع خارج معظم قوانين مكافحة الملاحقة، يستطيع شريك سابق مسيء يحوز ملكية السيارة أن يسحب قانونًا سجل الأماكن التي كان فيها شريكه.

الحجة المضادة، بأمانة

الحجة المؤيدة للسيارة المتصلة حقيقية، ويجب مواجهتها في أقوى صورها، لأن السيارة تستطيع فعلًا أن تنقذ حياتك. فالإخطار التلقائي بالحوادث — النظام الذي يستدعي النجدة حين تكون فاقد الوعي بعد اصطدام — يقدّر باحثو السلامة الاتحاديون أنه يخفض وفيات الطرق بين واحد ونصف وثلاثة ونصف في المئة؛ وقد فرضته أوروبا على كل سيارة جديدة منذ 2018. وتتلقى OnStar نحو ألف بلاغ سرقة مركبة شهريًا وتستعيد سيارات كانت ستختفي لولا ذلك. والتأمين القائم على الاستخدام، حين يختاره السائق عن علم، يمكن أن يكافئ فعلًا الآمنين وقليلي الأميال — إذ يشترك فيه اليوم نحو واحد من كل أربعة سائقين أمريكيين للحصول على الخصم، وتجد الأبحاث أن التغذية الراجعة تجعل الناس يكبحون بعنف أقل. فوجود اتصال بيانات حي بسيارتك ليس شرًّا بطبيعته. بل هو، في هذه الاستخدامات، خير حقيقي.

سلّم بذلك كله، وتبقى أطروحة المُخبِر قائمة، لسبب حاسم واحد: كل واحدة من هذه المنافع قابلة للفصل عن البيع. فكشف الحوادث، واستدعاء الإسعاف، واستعادة المركبات المسروقة، وترقيعات الأمان عن الهواء — كلها تقتضي أن تتحدث سيارتك إلى خوادم الشركة المصنّعة نفسها. ولا تقتضي واحدة منها أن يُبنى تقرير عن سلوك القيادة ويُباع لـ LexisNexis أو Verisk. لقد لحمت الصناعة الاثنين عمدًا، كي يجرّ الشيءُ الذي تحتاجه الشيءَ الذي يستطيعون بيعه. والدليل على قابليتهما للفصل أن أمر FTC يفصلهما بالقوة: فعلى GM الآن أن تحصل على موافقة منفصلة لكل خاصية على حدة، و — وهذا هو السطر المفتاح — لا يجوز لها أن "not place limits on withholding or withdrawing consent, such as by degrading the quality or functioning of a product or service as a penalty." أي: ألّا تضع قيودًا على حجب الموافقة أو سحبها، كأن تُخفّض جودة منتج أو خدمة أو أداءها عقوبةً على ذلك. وبالعربية الواضحة: من حقك أن تحتفظ بمكالمة الطوارئ عند انفجار الوسادة الهوائية وأن ترفض خط أنابيب شركات التأمين، ويُحظر على الشركة أن تعطّل خصائص سلامتك لتعاقبك على قولك لا. أما «أنت وافقت» — فقد فحصت جهة رقابية تلك الموافقة ووجدتها خداعًا. فالموافقة المدسوسة داخل ضرورة، المدفونة في سياسة لا تستطيع التفاوض عليها، على منتج لا بديل غير مراقَب له، ليست خيارًا سوقيًا. إنها شكليّة، وقد قالت FTC ذلك.

لا توجد سيارة غير متصلة

ولهذا يفشل هنا، فشلًا شبه تام، ردُّ الفعل الذي بُنيت عليه هذه المجلة: أن تمدّ يدك إلى أداة وتقلّل انكشافك أنت. فأنت لا تستطيع الانسحاب بأي معنى ذي مغزى. الإعدادات مدفونة؛ و«الخدمات المتصلة» التي تحمل خصائص السلامة مجمَّعة مع التتبع؛ ويقرّ صانعو السيارات كتابةً بأن الانسحاب يُضعف السيارة — فـ Stellantis تعطّل خدمة السلامة لديها، وTesla تحذّر من «وظائف منقوصة أو ضرر جسيم أو تعطّل تام». ومفتاح الإيقاف الحقيقي الوحيد هو فصل المودم الخلوي ماديًا، وهو ما يُبطل ضمانك ويعطّل كشف الحوادث نفسه الذي قد ينقذك. لا يوجد VPN لسيارة، ولا تعمية تركّبها على مركبة يحوز صانعها المفاتيح، و — وهذا هو الجزء الصعب — لا توجد سيارة جديدة غير متصلة باقية في المعرض لتشتريها بدلًا منها. فتسعون في المئة من السوق تبثّ، والعشرة الباقية مستعملة وفي طريقها إلى الزوال.

ولذلك، تمامًا كما في حالة شبكة مسح لوحات المركبات، لا يمكن أن يكون المضادّ شخصيًا. بل يجب أن يكون قانونيًا. والخبر، في هذا الرابع من يوليو، أن المضادّ القانوني يحطّ فعلًا.

القانون أمسك بالسيارة

الجهات الرقابية نفسها التي يعتاد عالم الخصوصية التقنية أن يراها تخسر ربحت أخيرًا واحدة. ففي يناير أبرمت FTC أمرًا نهائيًا مدته عشرون سنة ضد GM وOnStar: حظر خمسي على بيع بيانات الموقع الجغرافي وسلوك السائقين لوكالات التقارير الائتمانية، واشتراط عشريني مزدوج بالحصول على موافقة إيجابية صريحة لكل خاصية على حدة، وإلزام بتمكين السائقين من رؤية بياناتهم وحذفها. وفي مايو توصّل المدعي العام لكاليفورنيا إلى تسوية بقيمة 12.75 مليون دولار مع GM — وهي أكبر عقوبة خصوصية في تاريخ الولاية، وأول تسوية تبنيها الولاية على مبدأ تقليل البيانات (data minimization): أي أن الشركة لا يجوز لها أن تجمع وتحتفظ بأكثر مما تحتاج إليه فعلًا. ولا تزال تكساس تقاضي. أما Verisk، أحد الوسيطين، فأغلق منتجه المغذّى من صانعي السيارات لسلوك القيادة إغلاقًا تامًا.

وكن صادقًا بشأن الحدود، فهي حقيقية ومهمة. فأمر FTC لم يحمل غرامة — قوّته في نظام الموافقة لا في عقوبة، وحصيلة GM من المخطط كله لم تتجاوز نحو عشرين مليون دولار، وهي خطأ تقريب لشركة بحجمها. وقد بلغ صانع سيارات واحدًا، بعد أن كشفته صحفية، وترك نماذج التصنيف وخط أنابيب أوامر الإحضار لدى العلامات الأربع والعشرين الأخرى قائمة. هذه ثُلمة، لا هدم.

لكن انظر كيف حدث ذلك، لأنه النمط المفعم بالأمل نفسه الذي تظل هذه السلسلة تجده عند الطبقة المدنية. فقد فُتح أمر GM في عهد لجنة FTC واحدة وأُبرم نهائيًا في عهد التي تلتها — بتصويت اثنين مقابل لا شيء من مفوَّضَين جمهوريَّين. تبيّن أن مراقبة الأمريكيين العاديين داخل سياراتهم هي الشيء النادر الذي ظلت حكومة منقسمة قادرة على الاتفاق على أنه تجاوز. فقد نجت مساءلة المُخبر الرابض في الممر من تغيّر إدارة، وهو ما لا يمكن قوله عن معظم معارك الخصوصية. القانون بطيء، وجزئي، ولم يمسك إلا بسيارة واحدة. لكنه أمسك بها — ورسم، لأول مرة، الخط الذي يهمّ: لسيارتك أن تتحدث إلى صانعها كي تنقذ حياتك، وليس لها أن تبيع قصة حياتك لأي طالب.

قُد حرًّا

كان الطريق المفتوح كذبةً بعض الشيء دائمًا — لم تكن يومًا حرًّا كما جعلك الإعلان تشعر — لكن الجزء الصحيح منه، الجزء الجدير بالاحتفاظ، هو أنك كنت تستطيع أن تذهب إلى مكان وأن تكون، لساعة، غير مسؤول أمام أحد. وهذه هي الحرية بعينها التي ألغتها السيارة المتصلة بهدوء: لا حرية التنقل، بل حرية التنقل دون أن تُراقَب، وأن ترحل دون أن تترك سجلًا، وأن تقود إلى مكان تفضّل ألّا يعرف أحد أنك ذهبت إليه. لقد صارت السيارة هي الشيء الذي يتذكّر، ويحكم، ويُخبر.

ولا يمكنك إصلاح ذلك بأداة، وينبغي أن تكفّ عن تصديق من يقول لك إنك تستطيع. لا يوجد إعداد خصوصية يفكّ نموذج عمل. أما ما أصلحه، بقدر ما أُصلح، فكان جهةً رقابية تملك سلطة الإحضار ومدعيًا عامًا لولاية مستعدًا لأن يسمّي جمعَ أكثر مما تحتاج مخالفةً — أي الآلة القانونية المملّة الضرورية، وهي تفعل الشيء الوحيد الذي لا تستطيعه أي تقنية شخصية. فالحق في امتلاك سيارة تنقذ حياتك دون أن تُخبر عنك ليس خاصية تضبطها. إنه قاعدة على أحد أن يكتبها وينفّذها، وهذا العام، لأول مرة، فعل ذلك أحدهم.

وفي الرابع من يوليو، في بلد جعل السيارة أيقونته للحرية، تلك هي المعركة الجديرة بالتسمية والانتصار الصغير الجدير بالتسجيل. المُخبر في ممر البيت. لكن القانون، ولو لمرة، في المرآب معه — وقد سحب للتوّ مفاتيح بياناتك.

تبني URnetwork وسائل نقل للإنترنت تحفظ الخصوصية وتقاوم الرقابة، انطلاقًا من مبدأ أن البيانات التي لا يجمعها نظام قط هي البيانات التي لا يمكن أن تُباع أو تُطلب بأمر قضائي أو تُسرَّب. وهي صادقة بشأن مداها: فهي لا تستطيع إعادة هندسة سيارة يحوز صانعها المودم والمفاتيح، ولا تستطيع ذلك أي أداة من جهة المستخدم. وهذا هو درس هذه النشرة — بعض المراقبة يسكن داخل المنتجات التي نملكها، حيث لا مضادّ إلا القانون الذي يحرّم الجمع والإنفاذ الذي يجعله نافذًا. وتقليل البيانات ليس ميزة مستحسنة؛ إنه اللعبة كلها، وأمر GM هو ما تبدو عليه حين تعامله جهة رقابية أخيرًا على هذا الأساس.

https://ur.io

كان في صميم الثورة الأمريكية تظلّمٌ من المراقبة، وكان تحديدًا بشأن التعقّب دون سبب. فغضب المستعمِرين من «أوامر المساعدة» — وهي مذكرات مفتوحة أتاحت للضباط البريطانيين أن يفتّشوا أي مكان، في أي وقت، بحثًا عن أي شيء — مكتوبٌ مباشرةً في اشتراط التعديل الرابع أن تسمّي المذكرةُ مكانًا بعينه وشيئًا بعينه، بناءً على سبب مرجَّح. ولم يكن الاعتراض التأسيسي على التفتيش وحده، بل على الخضوع لسلطة تفتيش عامة: قدرةٍ دائمة على ملاحقة أي أحد، تملكها الدولة، لا تستهدف أحدًا بعينه ومن ثَمّ تستهدف الجميع.

وبعد قرنين ونصف، صارت هذه القدرة الدائمة قائمةً، وهي تتبع سيارتك. لم يصوّت الكونغرس على إنشائها ولم تأذن بها أي محكمة. بل بيعت، عقدًا بلديًّا بعد عقد وكاميرا في جمعية ملّاك بعد كاميرا، من شركة خاصة — وفي اليوم الذي تحتفل فيه البلاد بحرياتها، تكون حرية التنقّل هي الحرية التي تنسلّ بهدوء، مسجَّلةً بحكم الإعداد الافتراضي، في كل مكان، وطوال الوقت.

الشبكة الجارفة

Flock Safety شركة عمرها ثماني سنوات، وقيمتها، حتى أبريل، 8.4 مليارات دولار. منتجها قارئ آلي للوحات السيارات — كاميرا تصوّر كل لوحة عابرة، وتقرؤها، وتضع لها ختمًا زمنيًا، وتحدّد موقعها الجغرافي، وترفعها إلى سحابة قابلة للبحث. لكن اللوحة ليست إلا البداية. فكاميرات Flock تلتقط أيضًا ما تسمّيه الشركة "Vehicle Fingerprint" أي بصمة المركبة — الصانع والطراز واللون والانبعاجات والطلاء غير المتطابق وحمّالات السقف وملصقات الصادم — حتى يمكنها التعرّف على سيارة بلا لوحة أصلًا، أو العثور على «شاحنة صغيرة زرقاء عليها حمّالة سلالم ورفرف أيسر منبعج» في ولاية بأكملها. وبحسب تقاريرها هي، تجاوزت الشبكة نحو مائة ألف كاميرا في تسع وأربعين ولاية، تغذّي نظامًا تستخدمه نحو خمسة آلاف جهة لإنفاذ القانون وألف منشأة تجارية، وتسجّل ما يقارب عشرين مليار عملية مسح شهريًا. (هذه في معظمها أرقام الشركة نفسها؛ والإحصاءات المستقلة أقلّ منها بعض الشيء، لكن لا أحد ينازع في رتبة المقدار.)

وهنا الجزء المهم، وهو ليس الكاميرات، بل الشبكة. فأي جهة على نظام Flock تستطيع البحث في المنظومة كلها — لا في كاميرات بلدتها وحدها، بل، بحكم الإعداد الافتراضي، في كاميرات البلاد — وأن تضبط «قوائم استهداف» تطلق تنبيهًا لحظة رؤية لوحة مطلوبة في أي مكان. وقد مدّت Flock البنية نفسها إلى ما بعد اللوحة: منتجٌ لكشف أعيرة الرصاص، وخط طائرات مسيّرة، وكاميرات تقرّب الوجوه، ومنصة بيانات اسمها Nova روّجت لها الشركة بوصفها وسيلة لـ«تعقّب أفراد بعينهم» عبر دمج عمليات مسحها ببيانات مسرَّبة من الاختراقات، وسجلات وسطاء البيانات التجاريين، والملفات العامة. كان قارئ اللوحات هو الإسفين. أما المنتج فسجلٌّ خاص، دائم، قابل للبحث، لتنقّل الأمريكيين، ويُباع في صورة اشتراك.

التعديل الرابع، مُسنَدًا إلى جهة خارجية

كنت تظنّ أن سجلًّا دائمًا لتنقّلات الجميع هو بالضبط ما يحظره الدستور، وقبل ثماني سنوات كادت المحكمة العليا تقول ذلك. ففي قضية Carpenter v. United States (2018) قضت المحكمة بأن على الحكومة أن تستصدر مذكرة للحصول على بيانات مواقع أبراج الهاتف التاريخية التي تتعقّب الهاتف — لأن حصيلة تنقّلات الشخص عبر الزمن، كما كتب رئيس المحكمة روبرتس، تكشف "the privacies of life" أي خصوصيات الحياة، حتى وإن كان كل موقع على حدة مكشوفًا لشركة الهاتف. وهذه هي فكرة «الفسيفساء»: ألف نقطة علنية، إذا جُمعت، صارت صورة خاصة.

والمشكلة أن Carpenter كانت عن حكومة تُجبر شركةً على تسليم بيانات زبونها. أما Flock فشيء أشدّ مكرًا. فالبيانات ليست عن زبائن Flock؛ إنها عن كل من يمرّ أمام كاميرا لها، سواء اشترى منها شيئًا أم لا. والحكومة لا تُجبر أحدًا — بل تشترك في الخدمة. فحين تُجري إدارة شرطة بحثًا في Flock، فهي لا تضبط سجلات؛ إنها تستعلم من قاعدة بيانات خاصة تدفع مقابل الوصول إليها. وهذا التمييز يؤدّي عملًا دستوريًّا هائلًا، وهو حتى الآن يعمل لصالح Flock. ففي يناير، قضى قاضٍ اتحادي في نورفوك بولاية فرجينيا — وهو ينظر طعنًا رفعه مقيمان صُوِّرت سيارتاهما 475 و325 مرة في أربعة أشهر — بأن شبكة المدينة المؤلَّفة من 176 كاميرا ليست تفتيشًا بمفهوم التعديل الرابع، وإن حذّر من أنها قد "become one" أي قد تصير تفتيشًا مع نموّ التقنية. وأيّدت محكمة استئناف في واشنطن قارئات اللوحات في الأسبوع نفسه. وبحسب إحصاء دائرة أبحاث الكونغرس، وجدت أكثر من ثلاثين محكمة أن قراءة اللوحات لا تنتهك التوقّع المعقول للخصوصية. ولم تقضِ بعدُ أي محكمة استئناف في البلاد بعدم دستورية واحدة من هذه الشبكات.

والطعن الآن أمام محكمة الاستئناف للدائرة الرابعة، والائتلاف الواقف خلفه هو مفتاح القصة كلها: معهد العدالة الليبرتاري Institute for Justice يترافع في القضية، مع مذكرات أصدقاء المحكمة من ACLU وEFF ومعهد Cato وتحالف الحريات المدنية الجديد المحافظ New Civil Liberties Alliance وEPIC — اليسار واليمين، واقفين معًا. لكن ذلك رهانٌ على المستقبل. أما اليوم فثغرة البائع الخاص صامدة: اشترت الدولة المذكرةَ العامة التي منعها عنها الدستور، والدستور، حتى الآن، تركها تفعل.

قائمة الاستهداف بنقرة واحدة

وما اشترته الدولة تستخدمه — ولا في السيارات المسروقة وحدها. فلأن أي جهة تستطيع البحث في الشبكة الوطنية، صارت «كاميرات السلامة المرورية المحلية» بهدوء بنيةً تحتية وطنية لأشدّ أنواع الإنفاذ إثارةً للجدل في البلاد.

في سان فرانسيسكو، وجد تدقيق أن جهات من خارج الولاية كانت قادرة على الاستعلام من شبكة Flock التابعة لشرطة المدينة نحو 1.6 مليون مرة خلال سبعة أشهر. ووجد تدقيق منفصل مئات عمليات البحث غير السليمة من هيئات اتحادية — إدارة مكافحة المخدرات، ومصلحة الضرائب، ودائرة المارشالات، بل حتى دائرة الغابات — تمتدّ إلى داخل نظام موصوف بأنه «لكاليفورنيا فقط». وعلّقت مدينة أوكسنارد كاميراتها بالكامل بعد أن اكتشفت أن مفتاحًا لدى المورّد اسمه "National Lookup" أي البحث الوطني كان قد ألغى بصمت إعدادها المحلي، فكشف بياناتها للبلاد كلها. ووثّقت EFF قائمة استهداف بنقرة واحدة تتيح لضابط أن يؤشّر على ملف «المخالفين» الاتحادي للهجرة وأن يُنبَّه كلما ظهرت سيارة مستهدفة. وفي أشدّ الحالات صراحةً، أجرى مكتب مأمور في تكساس بحثًا عبر نحو ثلاث وثمانين ألف كاميرا على مستوى البلاد، وسُجّل سبب البحث بأنه «أجرت إجهاضًا، ابحث عن أنثى» — ووُصف لاحقًا بأنه بحث عن امرأة مفقودة في حالة خوف طبي، وهو إمّا الحقيقة وإمّا الغطاء الذي يتيحه نظامٌ كهذا بالضبط. والمقصود ليس أن كل عملية بحث شرّيرة. المقصود أن شركة خاصة بنت آلةً تجعل كل عمليات البحث هذه على بُعد نقرة واحدة، محفوظةً بحكم الإعداد الافتراضي، في متناول أي جهة على الشبكة، والمرأة التي تُمسح لوحتها لا تعلم شيئًا، ولا تُخطَر، ولا سبيل أمامها للتظلّم.

وجهك هو اللوحة التالية

إذا كانت لوحة السيارة هي البداية، فالوجه هو الوجهة، وهو يصل بساعة أسرع في الخارج. ففي يناير، أعلنت وزيرة الداخلية البريطانية أوسع انتشار للتعرّف على الوجوه في العالم الديمقراطي على الإطلاق: أربعون مركبة جديدة للتعرّف الحيّ على الوجوه فوق الأسطول القائم، لجلب مسح الوجوه اللحظي إلى مراكز المدن في نطاق كل قوة شرطة، بتمويل ضمن حزمة قدرها 115 مليون جنيه إسترليني، ووُصف بأنه أهم تحديث للعمل الشرطي «منذ نحو 200 عام». وشرطة العاصمة تركّب كاميرات دائمة لمسح الوجوه في أنحاء الويست إند بلندن؛ ونحو اثنتي عشرة قوة من القوى الثلاث والأربعين تشغّل أصلًا التعرّف الحيّ على الوجوه؛ ومسحت تجربة في كرويدون نحو 470,000 وجه. ولا يوجد في المملكة المتحدة تشريع يذكر التعرّف على الوجوه أصلًا — وقد حذّر ائتلاف من نحو أربعٍ وعشرين منظمة من أن الخطة ستجعل بريطانيا «حالة شاذّة في العالم الديمقراطي» — ووجدت الاختبارات أن هذه الأنظمة تخطئ في التعرّف على النساء السود بمعدلات تبلغ واحدة من كل عشر عند الإعدادات التي يظهر عندها التحيّز.

وفي الولايات المتحدة، المنطق نفسه يتّجه نحو الفدرلة عبر مورّد: Clearview AI، التي تدعم قاعدةُ بياناتها المؤلَّفة من نحو ستين مليار صورة مكشوطة عقودَها الآن مع ICE ومع الجمارك وحماية الحدود. وقد اعتُقل خطأً ثلاثة عشر أو أربعة عشر أمريكيًّا على الأقل بسبب مطابقة وجه خاطئة، وجميعهم تقريبًا من السود. قارئ اللوحات يسجّل أين تذهب سيارتك؛ أما التعرّف على الوجوه فيسجّل أين يذهب جسدك — وكما قال أحد التقنيين المدافعين عن الحريات المدنية، لا تستطيع أن تترك وجهك في البيت. إنها البنية نفسها التي عليها شبكة Flock الجارفة — تعرّفٌ دائم، بلا مذكرة، ومحيط بالناس، على أشخاص لا يُشتبه بهم في شيء — لكنها متقدّمة طبقةً أعمق، من المركبة إلى الشخص الذي يقودها.

الفسيفساء، وأثر الترهيب

ليست عملية المسح الواحدة هي الضرر. الضرر هو السجل — الفسيفساء الدائمة، القابلة للبحث والمقارنة المتقاطعة. فتاريخ اللوحة وحده يكشف أين تنام، وأين تصلّي، وأي عيادة تزور، وأي محامٍ، وأي حبيب، وأي مقرّ نقابي، وأي احتجاج. وامزجه بمسح الوجوه، وتدفّقات مواقع الهواتف، وبيانات الرسوم المرورية، وسجلات الوسطاء التي بُنيت منصة Nova من Flock لابتلاعها، فتحصل على ملفّ نمط حياة عن شخص لم يُتَّهم بشيء، جمعته شركة وأجّرته للدولة. وهذا بالضبط هو التجميع الذي كان يُفترض بنظرية الفسيفساء في Carpenter أن تحمي منه، وقد وصل من باب لم تُحكم النظرية إغلاقه تمامًا.

وسجلٌّ كهذا يغيّر السلوك قبل أن يُساء استخدامه أصلًا. فحين يعلم الناس أن تنقّلاتهم مسجَّلة، يفكّرون مرتين قبل التجمّع، والمسجد، والعيادة، والاجتماع — وهو أثر الترهيب الذي تعترف به المحكمة العليا منذ عهد الحقوق المدنية، حين حمت قوائم عضوية NAACP من ولاية أرادت أن تعرف من يرتبط بمن. لا تحتاج الشبكة الجارفة إلى أن تكون مصوَّبة نحوك كي تغيّر حرّية تنقّلك. يكفي أن تكون موجودة.

أقوى حجة للخصم، بأمانة

الحجة المؤيّدة للكاميرات حقيقية، ويجب أن تُواجَه في أقوى صورها لا أن تُنفض جانبًا. فأنظمة Flock أعادت أطفالًا إلى بيوتهم: تنبيهات AMBER حُلّت في الزمن الحقيقي، ومراهقة مفقودة عُثر عليها، ومشتبه به في جريمة قتل قُبض عليه خلال ساعات من وصف شاهد. ويزعم إحصاء الشركة لعام 2025 لزبائنها أن بيانات Flock لامست واحدة من كل خمس قضايا محلولة وساعدت في تحديد مكان نحو عشرة آلاف مفقود في سنة واحدة. واسترداد المركبات المسروقة — حيث معدّل الفصل الوطني في هذه القضايا بائسٌ عند تسعة في المئة — هو الموضع الوحيد الذي تتفق البحوث المستقلة على أن هذه الأدوات تساعد فيه فعلًا.

سلّم بذلك كله، وتبقى الحجة ساقطة، لثلاثة أسباب. الأول أن الادعاءات الكاسحة هي ادعاءات الشركة نفسها، تبلّغ عنها بنفسها ودون تدقيق مستقل؛ أما الأدلة المستقلة الخاضعة لمراجعة الأقران على أن قارئات اللوحات تخفض الجريمة فضعيفة ومختلطة — إذ وجدت الدراسة الاتحادية المرجعية أنها تعزّز استرداد السيارات المسروقة لكنها لا تُظهر إلا «أدلة واضحة ضئيلة» على منع الجريمة في الدوريات العامة. والثاني، وهو الحاسم، أن كل انتصار حقيقي بدأ من لوحة أو مركبة أو مشتبه به بعينه — ولم يحتج أيٌّ منها إلى سجلّ دائم بلا اشتباه عن سائر الناس. تستطيع أن تُبقي قائمة استهداف تنبيهات AMBER وإصابة السيارة المسروقة، وتشترط في الوقت نفسه مذكرةً للبحث التاريخي وتحدّ الاحتفاظ بأيام لا بسنوات. فمهلة الثلاثين يومًا الافتراضية خيار سياساتي، لا ضرورة تقنية؛ والشبكة الجارفة قابلة للفصل عن السلامة. والثالث أن «هذا حلّ جريمة» لم يكن قط، في القانون الأمريكي، كافيًا لإجازة مراقبة جماعية بلا اشتباه — فالمذكرات العامة التي كرهها الآباء المؤسسون كانت تحلّ جرائم هي الأخرى. والدليل حاضر فعلًا: نظامٌ بيع باسم السلامة أنتج ضحاياه، مثل الجدّة من تينيسي التي سُجنت خمسة أشهر بسبب خطأ في التعرّف على الوجه قبل أن تُسقط التهم عشية عيد الميلاد. الثورة على Flock ليست رفضًا للسلامة العامة. إنها رفض للمقايضة — تعقّبٌ دائم وشامل مقابل منفعة كانت المذكرات والاحتفاظ القصير ستحفظانها.

المضادّ الذي ليس مضادًّا

ها هي الحقيقة الصعبة التي تجيب عنها هذه السلسلة عادةً بأداة، ولا تستطيع هذه المرة. فأمام شبكة جارفة في الفضاء المادي، لا دفاع من جهة المستخدم في جوهر الأمر. لا يوجد VPN لسيارتك ولا Tor لوجهك. أغطية اللوحات والبخّاخات العاكسة محظورة في معظم الولايات، وهي، كما تُظهر الاختبارات، عديمة الجدوى أمام كاميرات حديثة تعدّل للوهج في الزمن الحقيقي. ولا تستطيع أن تمتنع عن القيادة. أما أزياء مقاومة التعرّف على الوجوه التي تتصدّر العناوين — مساحيق التمويه، والنظارات المزخرفة — فهي في معظمها مشروع فنّي أكاديمي يفشل أمام الأنظمة الحالية ويجعلك لافتًا لكل بشري يراك؛ وقد تخلّت عنه مبتكرته نفسها. والانعكاس الغريزي نحو تقنية خصوصية شخصية، وهو الانعكاس الذي بُنيت عليه هذه النشرة، يصطدم بجدار: لا تستطيع تقليل مخزونٍ لم يُطلب منك يومًا أن تبنيه، والتشفير يقف عند حافة العالم المادي.

ولهذا بالضبط، فإن المضادّ الوحيد الذي ينفع هو المضادّ المدني — ولهذا يهمّ أنه يربح.

الشبكة الجارفة تخسر

السنة نفسها التي أنتجت مائة ألف كاميرا أنتجت الشيء الذي لم تنجُ منه تلك الكاميرات سليمة: ثورةً شعبية منظّمة، عابرة للحزبين، وفعّالة على نحو غير معتاد.

دنفر هي الحالة الأبرز. فبعد أن كشف تحقيق إخباري محلي أن بيانات المدينة لدى Flock كانت موضوعة على شبكة وطنية في متناول دورية الحدود، امتنع العمدة عن التجديد، وفي هذا الربيع فكّت المدينة ماديًّا براغي كاميراتها المائة والعشر جميعها — واستبدلت بها نظامًا أصغر لا يتضمّن خاصية البحث الوطني أصلًا. ولم تقفز سرقات السيارات؛ بل تراجعت. وبحسب أفضل حصيلة متاحة، أُنهي الآن أكثر من ثمانين عقدًا مع Flock في ثماني وعشرين ولاية، تسعة وثلاثون منها في الأشهر الخمسة الأولى من 2026 — أوستن، وسانتا كروز، وإيفانستون، وسان ماركوس، وعشرات غيرها، كلٌّ منها مجلس بلدي نظر إلى المراقبة وصوّت بإنزالها عن الأعمدة. ومشروع مفتوح المصدر اسمه DeFlock رسم بمساهمة الجمهور نحو نصف شبكة كاميرات Flock كلها على خريطة عامة، رافضًا إنذار الشركة بالكفّ والامتناع؛ وأطلس المراقبة التابع لـ EFF جعل الشبكة الخفية مرئية في أكثر من خمسة آلاف ولاية قضائية. والولايات تشرّع ما يعجز عنه الكود: واشنطن تمنع الآن التقاط اللوحات قرب العيادات والمدارس والمحاكم ودور العبادة؛ وفرجينيا حدّت الاحتفاظ ومنعت المشاركة مع خارج الولاية دون مذكرة؛ وكنتاكي فرضت حدًّا أقصاه تسعون يومًا.

وكن صادقًا بشأن الحدود، فهي حقيقية. فالإلغاءات كسرٌ يسير من الشبكة؛ وكاميرات جمعيات الملّاك والمنشآت التجارية تظلّ تعمل حتى حيث تسحب المدينة كاميراتها؛ والقضية القضائية الأبرز خسارة في الاستئناف لا انتصارًا؛ وتعديل اتحادي عابر للحزبين لكبح القارئات قُتل في اللجنة في مايو. الشبكة الجارفة تُثلَم، لا تُفكَّك. لكن انظر من يُحدث الثُّلمة، فهو أندر ائتلاف في السياسة الأمريكية: معهد العدالة إلى جانب ACLU، وكاتو إلى جانب EFF، وجمهوري وديمقراطي يشتركان في تقديم التعديل نفسه، وعمدة ومشرف مقاطعة ومجلس بلدي يبلغون الحكم نفسه. تبيّن أن مراقبة التنقّل هي المسألة التي يكون فيها مطلب «احصل على مذكرة» غير حزبيّ حقًّا — حيث ينظر يمينُ الدولة الصغيرة ويسارُ الحريات المدنية إلى الشبكة الجارفة الخاصة نفسها ويقول كلاهما لا. وهذا ليس بالقليل. هذا هو زرّ الإطفاء، وخلافًا لكل معارك المراقبة تقريبًا التي غطّتها هذه السلسلة، إنه زرّ يستطيع الناس العاديون بلوغه فعلًا.

الحق في ألّا يتبعك أحد

الحرية التي يدور حولها الرابع من يوليو حقًّا، تحت الألعاب النارية، هي التحرّر من سلطة دائمة لمراقبتك — الطغيان المحدَّد الذي سمّاه الآباء المؤسسون حين حظروا المذكرة العامة. قارئ اللوحات هو المذكرة العامة، أُعيد بناؤها في برمجيات وبيعت في صورة اشتراك: سجلٌّ دائم، بلا اشتباه، قابل للبحث، لأماكن ذهاب الجميع، تحوزه شركة، وتؤجّره للدولة، وتباركه المحاكم حتى الآن. ولا توجد أداة تصلح ذلك. ولا يبلغه التشفير. إنها الجبهة الوحيدة في الخصوصية التي لا ينطبق عليها ببساطة كامل جهاز الدفاع التقني الشخصي عن النفس.

ولهذا يجب أن يكون الردّ هو الأقدم في الكتاب، ولهذا يستحقّ الاحتفاء في هذا اليوم أن الردّ ينجح. لا تستطيع أن تشفّر سيارتك. لكنك تستطيع أن تصوّت بإنزال الكاميرا عن العمود، وأن تحدّ الاحتفاظ، وأن تشترط المذكرة، وأن ترفض أن تجمع شركة خاصة السجلّ من الأصل. فكّت دنفر براغي مائة وعشر منها. وثماني وعشرون ولاية تتجادل في الأمر. الحقّ في التنقّل داخل بلدك دون ملاحقة دائمة لا يحميه الكود — يحميه المواطنون، في قاعات المجالس، في المسألة الرقابية الوحيدة التي وجد فيها اليسار واليمين أنهما متفقان.

الشبكة الجارفة التي لم تصوّت لها يمكن التصويت ضدها. وفي 4 يوليو هذا، وفي أندر ما توصّلت إليه السلسلة، تلك معركة يربحها الجمهور فعلًا.

تبني URnetwork وسائل نقل مقاومة للرقابة وحافظة للخصوصية للإنترنت — طبقة تراكب ندّية تقلّل ما يمكن لأي طرف واحد أن يجمعه عن مكان اتصالك وكيفيته. وهي صادقة بشأن حدودها: تحمي حركة بياناتك، لا لوحة سيارتك، ولا تستطيع أي أداة من جهة المستخدم أن تهزم كاميرا تقرأ لوحةً يفرضها القانون على طريق عام. وهذا بالضبط مقصد هذه النشرة — فبعض معارك الخصوصية لا تُربح بالكود بل بالقانون والديمقراطية المحلية، والحركة الساعية إلى اقتلاع الشبكة الجارفة في الفضاء المادي هي أوضح دليل على أن بنية الهوية الدائمة التي تقاومها هذه النشرة يمكن رفضها وتقليصها ونقضها حين يقرّر الجمهور بلوغ زرّ الإطفاء.

https://ur.io

البلد الذي يحتفل اليوم باستقلاله بنى تأسيسه على حفنة من الحريات المسمّاة — الكلام والصحافة والتجمّع والتظلّم. وكلٌّ منها يجري اليوم، بالنسبة إلى معظم البشرية، فوق قطعة واحدة مشتركة من البنية التحتية لم يكن في وسع المؤسّسين تصوّرها: شبكة عالمية لتبديل الحزم بلا مالك وبلا مركز. وقد خلقت هذه الحقيقة بهدوء حرية جديدة تحت كل الحريات القديمة، حريةً لا تحميها أي شرعة حقوق لأنها لم تكن موجودة كي تُهدَّد. سمِّها حرية الاتصال — القدرة على بلوغ الشبكة أصلًا، قبل أن تنطق عليها بكلمة واحدة.

إنها الأرضية. لا تستطيع أن تمارس حقّ الكلام على شبكة قُطعت عنك، ولا أن تنشر عبر إظلام، ولا أن تتجمّع في محادثة جماعية أُطفئت من غرفة تحكّم في العاصمة. وفي 2026 تتعرّض هذه الأرضية لأشدّ هجوم وأقلّه نقاشًا — لا ما يُسمح لك بقوله بعد اتصالك، بل هل يُسمح لك بأن تكون متصلًا من الأساس، وهل «الإنترنت» الذي تبلغه لا يزال هو نفسه الذي يبلغه الجميع.

والأرقام تقول إن الأرضية تتصدّع.

قطعٌ واحد كل يوم

في أواخر مارس، نشر ائتلاف #KeepItOn — وهو شبكة من مئات منظمات المجتمع المدني تعقدها منظمة الحقوق الرقمية Access Now — حسابه السنوي، وكان الأكثر قتامةً في السجل. فقد وقع 313 قطعًا للإنترنت على الأقل في 52 بلدًا في 2025: أكثر من أي عام منذ بدء الإحصاء في 2016. ولخّصت قائدة حملة الائتلاف الحجم في جملة واحدة — لم يمرّ يوم من أيام السنة الـ365 دون قطعٍ في مكان ما من العالم. وكان المجلس العسكري في ميانمار وخصومه مسؤولين عن 95 منها؛ وأمرت الهند، أكبر ديمقراطية في العالم، بـ65، أكثر من أي ديمقراطية أخرى على الأرض. وكان النزاع المحفّز الأول، إذ دفع إلى 125 قطعًا في 14 بلدًا. وفي نتيجة ينبغي أن تنهي الجدل حول الغرض من القطع، تزامن 70 منها على الأقل مع انتهاكات جسيمة لحقوق الإنسان — قتل، وتعذيب، واغتصاب، وجرائم حرب ظاهرة — في 21 بلدًا، إذ حلّت العتمة بالضبط في الزمان والمكان اللذين كان الشهود فيهما أشدّ خطرًا.

أما فاتورة ذلك كله، بحسب الحصيلة السنوية التي تمسكها مجموعة الأبحاث Top10VPN، فقد بلغت نحو 19.7 مليار دولار و120,000 ساعة من العتمة المتعمَّدة في 2025 — بقفزة 70 في المئة في التكلفة عن العام السابق — ومسّت نحو 800 مليون إنسان. وروسيا وحدها مسؤولة عن قرابة 12 مليارًا من تلك الدولارات، إذ جرحت اقتصادها للسيطرة على مواطنيها. وهذه أرضيات لا أسقف: فالإحصاء يستثني أطول فترات الإظلام لسبب دقيق، هو أنها لم تعد قط.

بعبارة أخرى، القطع ليس نادرًا ولا رخيصًا، ولا هو غالبًا — كما يبيّن تداخله مع الفظائع — عمّا يقول أصحابه إنه عنه. إنه يصير الردّ الغريزي التلقائي لدولة تحت الضغط. وفي 2026 يجري توصيل هذا الردّ الغريزي بالقانون.

زرّ القتل صار قانونيًّا

في 1 مارس 2026، دخل حيّز النفاذ مرسوم حكومي روسي — رقم 1667، كُتب ليسري حتى 2033 — وهو أهمّ تطوّر في بنية السيطرة هذا العام. فهو يخوّل لجنةً دائمة تضمّ منظّم الإنترنت Roskomnadzor وجهاز الأمن ووزارة التطوير الرقمي أن تفلتر أو تخنق أو تحجب أو تعزل الإنترنت الروسي عزلًا كاملًا عن الإنترنت العالمي كلما أعلنت وجود «تهديد». وهذا ليس إظلامًا ارتجاليًّا يُؤمر به في لحظة ذعر. إنه زرّ إطفاء دائم ومقنَّن، وهو يقوم فوق الآلية التي تجعله قابلًا للتنفيذ: TSPU — صناديق الفحص العميق للحزم المثبَّتة ماديًّا على شبكة كل مزوّد إنترنت روسي، والخاضعة مباشرةً لسيطرة Roskomnadzor، مع توسعة مخطَّطة تبلغ قرابة بيتابت في الثانية من السعة بحلول 2030.

والدليل على أن الزرّ يعمل موجود أصلًا. ففي ديسمبر 2024، وفي تمرين شمل داغستان والشيشان وإنغوشيا، قطعت روسيا الوصول إلى الخدمات الأجنبية مدةً بلغت يومًا كاملًا — ولم يستطع المستخدمون الإفلات منه حتى بـVPN، لأن الشبكة إذا قُطعت عن العالم الخارجي لم يبقَ شيء يُنفَق عبره. وهذه هي الحقيقة الحاسمة التي يدور عليها بقية هذا المقال، فأمسكها: الحجب حالة تستطيع الالتفاف حولها، والإظلام ليس كذلك.

وحول البنية نفسها، تبني روسيا النصف الآخر من إنترنت سيادي: سكانٌ محتجزون على تطبيقات تسيطر عليها الدولة. فقد حجبت WhatsApp كليًّا في فبراير 2026، قاطعةً نحو مائة مليون مستخدم، وخنقت Telegram، وساقت الاثنين نحو MAX، وهو مراسل مبارَك من الدولة بلا تشفير طرف-إلى-طرف وبياناته مخزَّنة داخل البلاد. وقفز MAX من نحو مليون مستخدم في منتصف 2025 إلى أكثر من 120 مليونًا مسجَّلين بحلول هذا الربيع، بمعونة إلزامٍ بتثبيته مسبقًا على كل هاتف يُباع في روسيا، وخططٍ لوصله بالنظام المصرفي. هذا هو النموذج الذي صيغ من أجله مصطلح «الإنترنت المشظّى»: لا إنترنت واحد مع حجب بعض المواقع، بل شبكة وطنية موازية، مراقَبة، بلا تشفير، يمكن دفع المواطن إليها، ثم إلزامه بالعيش داخلها.

حجب، وخنق، وإظلام

لترى لماذا يكون إظلام الخريطة سلاحًا حقيقيًّا ومهزومًا ذاتيًّا في آن، عليك أن ترى السلّم الذي تتسلّقه الدول، لأن التحايل يربح على الدرجات الدنيا ويخسر على العليا، والتحليل الأمين يسكن في هذا التمييز.

الدرجة الأولى هي الحجب — إسقاط عناوين IP أو تسميم استعلامات النطاقات للمواقع الممنوعة، أو الترشيح بناءً على اسم الخادم الذي يكشفه الاتصال عند فتحه. وهذا أشيع أشكال الرقابة وأسهلها هزيمةً؛ وهو الموضع الذي تعمل فيه عدّة التحايل كلها. والدرجة الثانية هي الخنق والبصم — إبطاء خدمة حتى تصير عديمة الفائدة، أو استخدام الفحص العميق للحزم و«الفحص النشط»، حيث تمدّ آلات الرقيب نفسها يدها إلى وكيل مشتبه به لتكشف هويته. والجدار الناري العظيم في الصين، وهو المرجع الناضج لكل هذا، يتّكئ الآن على مصنّفات تعلّم آلي قادرة على انتقاء الحركة المموَّهة من بين حركة الويب العادية، وقد كشف تسريب ضخم في سبتمبر الماضي أن عدّته صارت منتج تصدير جاهزًا، بيع ورُكّب في باكستان وإثيوبيا وكازاخستان وميانمار. والدرجة الثالثة هي الإظلام الكامل — القطع الوطني شبه التام في إيران خلال احتجاجات يناير 2026؛ وقطع طالبان للإنترنت في أفغانستان في الخريف السابق — حيث لا توجد شبكة أصلًا كي تلتفّ حولها. والدرجة الرابعة هي تجريم الأدوات ذاتها، وهي تحوّل كلفة الاتصال من «محجوب» إلى «معتقَل».

ومسار إيران نفسها يلخّص هذا التطوّر. ففي 2019 أظلمت بالطريقة الفجّة، إذ سحبت مساراتها من جدول التوجيه العالمي فاختفت البلاد. وبحلول يناير 2026 كانت قد تعلّمت البراعة: سحبت 98.5 في المئة من صنف واحد من فضاء عناوينها مع إبقاء توجيه الإنترنت العادي سليمًا بنسبة 98 في المئة — مشرطٌ حيث كانت مطرقة، تخنق وتفلتر مع إبقاء الأنوار مضاءة اسميًّا. وسلّم التصعيد هو هندسة المعركة كلها: كلما ارتقت الدولة درجةً، ربحت أكثر أمام الكود وخسرت أكثر أمام اقتصادها وشرعيتها.

الأسباب التي يعلنونها، والسبب الحقيقي

الدول التي تفعل ذلك لا تصفه بأنه إطفاء لأمّة. إنها تعطي أربعة أسباب، والأسباب متسقة بين البلدان بما يكفي لأن تُؤخذ على محمل الجدّ ثم تُفكَّك بالأدلة. فمكتب الأمم المتحدة لحقوق الإنسان، وهو يفهرس المبرّرات، وجد السلامة العامة والأمن القومي مذكورَين في مئات الحالات؛ ووجد تقرير قطع 2025 اللائحة المتكرّرة نفسها — الأخبار الزائفة، وخطاب الكراهية، والنظام العام، وأتفهها جميعًا: منع الطلاب من الغشّ في الامتحانات.

خذ أنظف الأسباب صوتًا أولًا، فهو المفتاح. فعبر يونيو ويوليو 2026، ظلّ العراق يطفئ الإنترنت عن البلاد كلها في ساعات ما قبل الفجر في أيام الامتحانات لمنع الغشّ — قاطعًا المستشفيات والأعمال ومكالمات الطوارئ من أجل نحو 900,000 طالب، بكلفة تُقدَّر بنحو مليون ونصف مليون دولار يوميًّا، وفي المفارقة التي تدين هذه الممارسة كلها، تسرّبت أسئلة الامتحان رغم ذلك، أثناء الإظلام. ووصفه باحث في حقوق الإنسان بأنه «مطرقة لسحق شيء صغير». وإذا انهار أكثر المبرّرات قابليةً للدفاع بهذه الكلّية، فما هو أخطر منها أسوأ حالًا. فأفضل الأعمال التجريبية عن القطع والاحتجاج تجد أن قطع الشبكة لا يهدّئ الاضطراب؛ بل يميل إلى دفع الحركات من التنسيق اللاعنفي نحو العنف، لأن الاحتجاج السلمي هو التكتيك الأشدّ اعتمادًا على التواصل اللحظي. وتداخل الفظائع هو الجوهر الأخلاقي: فحين يقع 70 قطعًا في سنة واحدة في بلدان في الساعات التي تقصف فيها قواتها البيوت والمستشفيات والمدارس، لا يكون الإظلام حمايةً للجمهور. إنه حماية للجاني من الشاهد. وتبيّن، بحسب الأدلة، أن «السلامة العامة» تعني على الأرجح سلامة من يضغطون على الزناد.

تجريم النفق

حين تعجز الدولة عن حجب أداة، تكون خطوتها التالية تحريمها — وهي نسخة طبقة الشبكة من ملاحقة الصانع قضائيًّا. وأوضح حالات 2026 هي روسيا مجدَّدًا، التي كانت بحلول فبراير قد حجبت 469 خدمة VPN منفصلة، وحظرت أشهر ثلاثة بروتوكولات تحايل حظرًا صريحًا، وأجبرت Apple على سحب مئات تطبيقات VPN من متجرها الروسي، وأصدرت توجيهًا يلزم المنصات الكبرى بكشف المستخدمين القادمين عبر VPN وقطعهم أو فقدان رخصة عملها. والنمط ينتشر ولا يقتصر على الأنظمة الاستبدادية: فقد جرّمت إيران استخدام VPN «غير المرخّص»؛ ومقترح للاحتفاظ بالبيانات يُتوقَّع صدوره عن المفوضية الأوروبية هذا العام قد يفرض التسجيل الذي بُنيت شبكات VPN بلا سجلات خصّيصًا كي لا تفعله؛ وفي بريطانيا أقرّ مجلس اللوردات تعديلًا لتقييد استخدام القاصرين لـVPN دعمًا لفحوص العمر في قانون السلامة على الإنترنت — حتى مع إقرار الجهة المنظِّمة بأن VPN تجعل تلك الفحوص غير قابلة للتنفيذ، ومع تضاعف التسجيلات بما يبلغ ثمانية عشر ضعفًا حين بدأ العمل بالفحوص. (أما الرقم الشائع بأن عشرات البلدان تفرض الآن التزامات احتفاظ بالبيانات على VPN فيعود في معظمه إلى تسويق الصناعة، وينبغي أن يُقرأ بوصفه اتجاهًا لا نصًّا مقدَّسًا — لكن الاتجاه لا تخطئه العين.) النفق يُجرَّم لأنه ينفع، وتحريمه هو ما يفعله الرقيب حين تفشل الهندسة.

الشبكة تلتفّ حول الضرر

ها هي الحقيقة الأخرى التي يقتضيها اليوم، وهي ليست تفاؤلًا ساذجًا؛ إنها ما تُظهره أدلة 2026 فعلًا.

في يناير، وفي ذروة أسوأ قطع للإنترنت فرضته إيران على الإطلاق، حملت أداة تحايل واحدة — Psiphon — 9.5 ملايين مستخدم فريد داخل إيران في يوم واحد. أكثر من إيراني واحد من كل عشرة بلغ العالم الخارجي، عبر إظلام وطني، بتطبيق واحد في يوم واحد. وقرابة نصف تلك الحركة لم تمرّ عبر خوادم شركات بل عبر محطات "Conduit" يشغّلها أفراد عاديون من الشتات الإيراني على هواتفهم الاحتياطية وشبكات الواي-فاي المنزلية — سجّل نحو 200,000 منهم في أسبوعين ليعيروا اتصالاتهم لغرباء خلف الجدار. ووصف Psiphon نفسه هو الجملة الجديرة بالحفظ: لم يكن الشتات يدعم البنية التحتية فحسب، بل كان الشتات هو البنية التحتية.

هذا هو مبدأ التصميم الذي بُني عليه الإنترنت المفتوح كله، مختبَرًا تحت النار. فالأدوات التي تنجو من رقيب — Snowflake من Tor، التي تحوّل ألسنة تبويب المتصفح لدى آلاف المتطوعين إلى مرحّلات مؤقتة دائمة الحركة؛ وOutline من Jigsaw، التي تموّه الحركة الممنوعة في هيئة حركة ويب عادية لعشرات الملايين من المستخدمين؛ وطبقة URnetwork الندّية، التي تقسّم الاتصال على شبكة من مزوّدين يشغّلهم المستخدمون بحيث لا ترى أي عقدة واحدة التدفّق كاملًا ولا توجد نقطة اختناق واحدة تُحجب أو تُخنق أو تُستدعى قضائيًّا — تشترك كلها في حركة واحدة. إنها تجعل الحركة الممنوعة تبدو من الصنف المسموح، وترفض أن تعتمد على أي نقطة مفردة تستطيع دولةٌ الاستيلاء عليها. وإنترنتٌ مشظّى مبنيٌّ على صناديق فحص لدى كل مزوّد لا يُهزم بحفر نفق أكبر، بل برفض إعطائه رقبةً واحدة يخنقها. ولهذا يُدفع الرقيب إلى صعود السلّم أصلًا: فهو لا يستطيع الفوز في طبقة البروتوكول، فيمدّ يده إلى الأداة الفجّة. الإظلام هو الإقرار بالهزيمة.

السقف الصادق

لكن النشرة الأمينة تذكر السقف بوضوح ذكرها للانتصار، لأن القراءة الظافرة تتسبّب في اعتقال الناس.

الكود لا يستطيع أن ينفق تحت إظلام كامل. فحين تُقطع الشبكة عن العالم الخارجي — الدرجة الثالثة — لا يبقى شيء يُموَّه ولا مكان يُوجَّه إليه؛ والمسار الوحيد تحته هو طبق قمر صناعي، وقد ردّت إيران على أطباق Starlink المهرَّبة التي ظهرت أثناء احتجاجاتها بتشويش راديوي أحدث فقدان حزم بلغ 80 في المئة، ومصادرات للأجهزة، وعقوبة تصل إلى عشر سنوات سجنًا للحيازة، بحيث صار مسار السماء يحمي قلّة شجاعة لا شعبًا. والكود لا يستطيع أن يلغي قانونًا كذلك: فحين تُجرَّم الأداة نفسها، تنتقل المعركة من مشكلة المهندس إلى مشكلة المحامي والمنظِّم، وترتفع الكلفة الشخصية للاتصال تبعًا لذلك. وأصعب الحدود هو الحدّ البشري — ففي روسيا، وهي بلد موصول ومتعلّم تحت رقابة ثقيلة، لا يستخدم VPN إلا نحو الثلث من الناس، ويميلون إلى الشباب والميسورين، مع نحو نصف السكان لا يعرفون كيف. التحايل هو، بنسبة غير متكافئة، صمودُ من هم أصلًا في موقع أفضل.

فالادّعاء الصحيح ضيّق، وهو كافٍ: التحايل صمود، لا حصانة. إنه يربح صراحةً في الدرجتين الأولى والثانية، حيث تسكن معظم الرقابة فعلًا؛ ويشتري وقتًا ويحمل الحقيقة إلى الخارج في الدرجتين الثالثة والرابعة، حيث لا يستطيع الفوز وحده. تسعة ملايين ونصف مليون إيراني نفذوا عبر إظلام — ومع ذلك وقع الإظلام، ومات أناس في العتمة. والدرس ليس أن الجدار غير مؤذٍ. الدرس أن الجدار قابل للهزيمة في الطبقات التي تُخاض فيها المعركة عادةً، وأن الدولة لا تفلت إلى الطبقات التي لا تُخاض فيها إلا بدفع ثمن — بالمال، وبالشرعية، وبمشهد حكومة تقطع مصارفها عن العالم لإسكات شعبها — ثمنٍ لا تستطيع دفعه إلى الأبد.

الديمقراطيات تبني البوابة نفسها

لا شيء من هذا قصة عن الأنظمة الاستبدادية وحدها، والتظاهر بغير ذلك هو كيف تسير الديمقراطيات إليه في نومها. فالهند تتصدّر العالم الديمقراطي في عمليات القطع منذ سنوات. وبريطانيا تدرس تقييد VPN وبنت نظام تحقّق من العمر يدفع نحو تعريف كل مستخدم. والاتحاد الأوروبي يصوغ قواعد الاحتفاظ بالبيانات التي ستكسر شبكات VPN بلا سجلات. والبوابة التي تبنيها ديمقراطية لحماية الأطفال أو صون نزاهة الامتحانات هي، على مستوى البنية، البوابة نفسها التي يبنيها نظام استبدادي لمطاردة معارض — نقطة اختناق، واشتراط هوية، ورافعة قانونية على أدوات الاتصال المجهول. والبوابة لا تتذكّر لماذا رُكّبت، والسنة الخامسة عشرة على التوالي من تراجع حرية الإنترنت، بحسب إحصاء Freedom House، هي صوت البوابات وهي تُركَّب على جانبَي الطيف السياسي في آن. والمقصود ليس أن لندن هي موسكو. المقصود أن البنية التحتية لإنترنت مجزّأ تُصبّ في البلدان الحرة وغير الحرة على السواء، والخرسانة، متى صُبّت، صعب إزالتها.

المضادّ، طبقةً طبقة

ما الذي يصمد فعلًا في 4 يوليو 2026؟ الحساب الأمين ينقسم على طول السلّم.

أمام الحجب والخنق — الدرجتان الأولى والثانية — تربح الحزمة من جهة المستخدم، وهي بالضبط ما تبني هذه النشرة نحوه. وسائل نقل مقاومة للفحص العميق للحزم تحاكي الحركة العادية، وشبكات مرحّلات تطوّعية بلا عنوان ثابت يُدرَج في القوائم السوداء، وطبقات تراكب ندّية لا تربط أي مسار بحامل واحد ولا تعطي أي عقدة واحدة التدفّق كاملًا: هذه تلتفّ حول أشيع أشكال الرقابة، وكلما ضغط الرقيب أشدّ في هذه الطبقة، ازداد خطر حجبه للحركة العادية التي تحاكيها الحركة الممنوعة. وشبكة مزوّدي URnetwork رهان على هذه الخاصية بالذات — الصمود عبر اللامركزية، أي مبدأ الشبكة التأسيسي محوَّلًا إلى منتج.

أمام الإظلام والأداة المجرَّمة — الدرجتان الثالثة والرابعة — ينفد الكود، وتصير المعركة قانونية وسياسية. لا تستطيع أن تقاضي بروتوكولًا إلى داخل بلد قطع السلك وحرّم البروتوكول؛ فالعمل هناك هو إبقاء الأدوات قانونية حيث لا تزال كذلك، وتمويل شبكات الشتات والدعائم الساتلية، وتوثيق الفظائع التي يُقصد بالعتمة إخفاؤها، والرفض — في الديمقراطيات التي لم تحسم أمرها بعد — لصبّ الخرسانة أصلًا. والصيغة القوية للحجة ليست أن التقنية تهزم الإنترنت المشظّى. بل أن التقنية والقانون والتضامن الإنساني معًا تحرم الدولة من الشيء الوحيد الذي يتطلّبه الإنترنت المشظّى: نقطة واحدة يمكن عندها قطع الكثيرين عن الكثيرين.

التفّ حول الحدود

صُمّم الإنترنت بلا مركز عن قصد. فبنيته التأسيسية — حزمٌ تجد طريقها بنفسها، ومسارات تعيد تشكيل نفسها حول عطب — بناها أناس أرادوا شبكة تنجو من فقدان أي جزء منها، وكان الحادث السعيد لتلك الهندسة شبكةً تعامل حجب الرقيب كما تعامل كابلًا مقطوعًا: ضررًا يُلتفّ حوله. والإنترنت المشظّى هو محاولة نقض ذلك الحادث — تركيب المركز الذي بُنيت الشبكة كي تستغني عنه، حتى يوجد أخيرًا زرٌّ، في غرفة، يطفئ أمّة.

في الرابع من يوليو، الحرية الجديرة بأن تُسمّى هي التي تحت كل الحريات: حرية أن يبلغ بعضنا بعضًا دون استئذان حكومة، عبر شبكة لا تملكها عاصمة. ثلاثمائة وثلاث عشرة مرة العام الماضي، مدّت حكومة يدها إلى الزرّ. وتسعة ملايين ونصف مليون إنسان، في يوم واحد، في العتمة، التفّوا حوله. الخريطة تُظلم في أماكن، والردّ الأمين ليس القنوط الذي يقول إن الإنترنت المشظّى قد انتصر بالفعل، ولا الوهم الذي يقول إن أداة ذكية تجعل الحدود بلا معنى. إنه العمل الصبور غير البرّاق لبناء شبكة بلا رقبة تُذبح والدفاع عنها — في الكود، وفي القانون، وفي المائتي ألف غريب الذين أعاروا هواتفهم لأناس لن يلتقوهم أبدًا.

ابنِ الشبكة التي لا زرّ إطفاء لها. فهي النوع الوحيد الذي يبقى حرًّا.

URnetwork طبقة تراكب ندّية لنقل مقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم في طبقة الشبكة عبر تقسيم الحركة على شبكة لامركزية من مزوّدين يشغّلهم المستخدمون بحيث لا ترى أي عقدة واحدة التدفّق كاملًا ولا تستطيع أي نقطة اختناق واحدة حجبه أو خنقه أو تسجيله؛ وكودها مفتوح وقابل للتدقيق، وإصدار خادم MCP في فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات فوق الطبقة. وهي صادقة بشأن حدودها: تلتفّ حول الحجب والخنق، لكنها — مثل كل تحايل — لا تستطيع أن تنفق تحت إظلام كامل ولا أن تلغي قانونًا يحرّم الأداة، ولهذا تدافع هذه النشرة عن أن حرية الاتصال يجب أن تُصان في التشريعات والتضامن كما تُصان في الكود.

https://ur.io

على امتداد معظم التاريخ البشري، كان للفكرة الخاصة ثلاث حمايات، ولم يكن أحد بحاجة إلى تسميتها لأنها كانت ببساطة كيف يسير العالم. الأولى هي الفناء: تحترق اليوميات، ويبهت الذكر، ويموت الكاتم، فيذهب معهم ما قلته بلا حرس. والثانية هي الخصوصية: الاعتراف المهموس لا نصّ له، والجدران لا تدوّن ملاحظات. والثالثة هي الواجب: فالكاهن والطبيب والمحامي الذين بحت لهم بأسوأ أسرارك كانوا ملزَمين — بيمين، وبترخيص، وبتهديد فقدانهما معًا — بالكتمان.

وقد محا روبوت المحادثة الثلاثة دفعةً واحدة، وفعل ذلك في نحو عامين. فهو لا ينسى؛ المحادثة سجلّ تامّ، مختوم زمنيًّا، قابل للبحث. وهو ليس خاصًّا؛ إنه يعيش على خوادم شركة، ويُستخدم لتدريب النموذج التالي، ويمكن تسليمه إلى محكمة. وهو لا يدين لك بأي واجب على الإطلاق؛ إنه منتج تبيعه شركة تحتفظ شروط خدمتها بحق قراءة ما كتبته وإعطائه للحكومة. لقد بنينا أكثر كراسي الاعتراف حميميةً في تاريخ النوع، ونسينا أن نمنحه أيًّا من الحمايات التي كانت لكرسي الاعتراف دائمًا.

في الرابع من يوليو، قد يتوقّف بلدٌ كرّس الحق في الكلام الحرّ عند حرية أهدأ لم يدوّنها قط: حرية أن تقول شيئًا لا أحد — أن تفكّر بصوت عالٍ، وأن تعترف، وأن تسأل السؤال المُخجل، دون أن يصير الجواب دليلًا. تلك الحرية هي ما تنهيه آلة الاعتراف بهدوء، و2026 هي السنة التي جعلت فيها المحاكم ذلك رسميًّا.

ما حسمته المحاكم

ثلاثة أحكام في اثني عشر شهرًا أنهت الوهم القائل إن كلماتك لذكاء اصطناعي آمنة.

ابدأ بأحدّها. برادلي هيبنر، الرئيس السابق لشركة GWG Holdings المالية المنهارة، وُجّهت إليه في أكتوبر الماضي تهم احتيال. وفي مواجهة القضية، فعل ما يفعله عدد متزايد من الناس: فتح روبوت محادثة استهلاكيًّا للذكاء الاصطناعي — Claude من Anthropic — واستخدمه، بنفسه، للعمل على دفاعه، فولّد نحو واحد وثلاثين مستندًا من الحجج القانونية، ثم شاركها مع محاميه. وأراد الادعاء تلك المحادثات. وقال محاموه إنها مشمولة بالامتياز. وفي 17 فبراير 2026 قضى القاضي جد راكوف من المنطقة الجنوبية لنيويورك بأنها ليست كذلك. وتعليله هو القصة كلها مصغَّرة: فكل امتياز يقرّه القانون، كما كتب، يقتضي "a trusting human relationship" أي علاقة إنسانية قائمة على الثقة مع "a licensed professional who owes fiduciary duties and is subject to discipline" أي مهنيّ مرخَّص تقع عليه واجبات ائتمانية ويخضع للمساءلة التأديبية. وClaude ليس شيئًا من ذلك. "Heppner does not, and indeed could not, maintain that Claude is an attorney." أي إن هيبنر لا يزعم، ولا يستطيع أصلًا أن يزعم، أن Claude محامٍ. ولم يكن ثمة توقّع سرية يستحق الحماية، لأن سياسة الخصوصية لدى Anthropic نفسها تحتفظ بحق الاحتفاظ بمدخلاته والتدريب عليها والإفصاح عنها لـ"third parties" أي أطراف ثالثة، من بينها "governmental regulatory authorities" أي السلطات التنظيمية الحكومية. لا تستطيع أن تدّعي سرًّا سلّمته لشركة أخبرتك، في الشروط التي نقرت عليها، بأنها قد تعطيه للدولة.

وكن دقيقًا في تحديد ما قضت به، لأن الصيغة الأمينة أضيق وأنفع من العنوان. فراكوف لم يقضِ بأن محادثات الذكاء الاصطناعي لا يمكن أن تُحمى أبدًا؛ ففي قضيتين أخريين في 2026 رأت محاكم أن العمل المستعان فيه بالذكاء الاصطناعي ظلّ مشمولًا بالامتياز حين وجّهه محامٍ. والقاعدة التي نشأت دقيقة ومدينة: امتيازاتك القائمة لا تمتدّ لتغطّي مورّد ذكاء اصطناعي من طرف ثالث تبوح له وحدك. فكرسي الاعتراف لم يحمِك قط إلا حين كان على الجانب الآخر إنسان مرخَّص. والآلة ليست ذلك الإنسان.

ثم الحجم. في قضية حقوق النشر التي رفعها ناشرون وصحيفة نيويورك تايمز ضد OpenAI، أمر قاضٍ مساعد الشركةَ بتقديم عشرين مليون محادثة من ChatGPT — وهي عيّنة تقارب نصفًا في المئة من عشرات المليارات التي حفظتها — وفي 5 يناير 2026 أيّد قاضي المنطقة سيدني ستاين الأمر. والمستخدمون الذين تقع أشدّ محادثاتهم خصوصيةً في تلك الكومة ليسوا أطرافًا في الدعوى. ولم يُخطَروا. ولم تُتح لهم فرصة للاعتراض. وكان تعليل المحكمة أنهم "voluntarily submitted their communications" أي قدّموا مراسلاتهم طوعًا إلى OpenAI — وهذا صحيح، وهو بالضبط بيت القصيد: فعل البوح هو فعل الاستسلام.

وتحت الأمرين معًا، أهدأ الحقائق وأشدّها إدانةً. ففي مايو 2025، أمر قاضٍ مساعد OpenAI بأن "preserve and segregate all output log data that would otherwise be deleted" أي أن تحفظ وتعزل كل بيانات سجلّات المخرجات التي كانت ستُحذف لولا ذلك — بما في ذلك المحادثات التي حذفها المستخدمون فعليًّا، وتلك التي كان قانون الخصوصية سيلزمها بمحوها. ولأشهر، كان «حذف» زرًّا لا يفعل شيئًا. وقد جرى تخفيف الأمر في نهاية المطاف، لكن الدرس دائم: على خدمة سحابية، الحذف مجاملة تمنحها الشركة إلى أن تقول لها محكمة توقّفي. زرّ الحذف عرفٌ في الواجهة، لا ضمانة.

مليار اعتراف في الأسبوع

سبب أهمية ذلك هو الحجم والحميمية، وكلاهما أكبر مما يدركه معظم الناس. فقد تجاوز ChatGPT نحو مليار مستخدم شهريًّا في يونيو هذا، ويعالج ما يقارب 2.5 مليار رسالة يوميًّا. وحصة معتبرة من تلك الرسائل ليست «اكتب لي بريدًا». فقد وضع استطلاع Harvard Business Review لعام 2025 عن كيفية استخدام الناس فعلًا للذكاء الاصطناعي التوليدي العلاجَ النفسي والمؤانسة على رأس القائمة تمامًا. ووجدت Common Sense Media أن 72 في المئة من المراهقين الأمريكيين استخدموا رفيقًا من الذكاء الاصطناعي. وأضافت OpenAI خاصية «ذاكرة» تتيح للنموذج الرجوع إلى كل محادثاتك السابقة، وهو ما يحوّل كومة محادثات منفصلة إلى شيء أخطر: ملفّ طولي، يوميّاتٌ تردّ عليك ولا تنسى صفحة.

وتقتضي الأمانة ذكر الوزن المقابل، لأن الحميمية يسهل تضخيمها. فأبحاث OpenAI نفسها توحي بأن التبادلات الشخصية أو العاطفية صراحةً أقلية من الحجم الكلي — في حدود نسبة قليلة في المئة من الرسائل. لكن هذه الإحصاءة تعمل في الاتجاه الخطأ بالنسبة إلى الطمأنينة. فبضع نقاط مئوية من 2.5 مليار رسالة يوميًّا تعني عشرات الملايين من أشدّ ما يبوح به إنسان، كل يوم، متدفّقةً إلى نظام يحتفظ بها ويتدرّب عليها ويمكن إجباره على تقديمها. الاستخدام الحميم أقلية من الحركة والأغلبية الساحقة من الانكشاف. لا تحتاج إلى أن يعترف الجميع كي تكون آلة الاعتراف أغنى كنز من الهشاشة الإنسانية جُمع على الإطلاق.

كل كرسي اعتراف آخر مختوم

وها هو ما يجعل كرسي اعتراف الذكاء الاصطناعي شذوذًا لا قدَرًا: فالقانون أمضى قرنين وهو يختم بعناية كل كرسي اعتراف آخر، واحدًا تلو الآخر، وفي وسعه أن يختم هذا أيضًا.

امتياز المحامي والموكّل هو الأقدم، ويعود إلى إنجلترا الإليزابيثية. أما امتياز الطبيب والمريض فلم يكن موجودًا أصلًا في القانون العام — إنه صنيعة تشريع بالكامل، كتبته أول مرة هيئة نيويورك التشريعية في 1828، تحديدًا لأن المشرّعين رأوا أن الناس لن يطلبوا العلاج إذا أمكن إجبار طبيبهم على الشهادة. وامتياز المعالج النفسي والمريض أحدث من ذلك: فلم تقرّه المحكمة العليا إلا في 1996، في Jaffee v. Redmond، بتعليل أن الاستشارة السرّية تخدم منفعة عامة من الأهمية بحيث ينبغي للقانون أن يكبت حتى الأدلة ذات الصلة حمايةً لها — ورفضت، وهو الأدلّ، أن تدع القضاة يوازنون تلك السرّية قضيةً قضية، لأن "a privilege whose scope is uncertain is little better than no privilege at all." أي إن امتيازًا نطاقه غير مؤكد لا يكاد يزيد على انعدام الامتياز. أضف امتياز رجل الدين والمعترِف، المعترَف به في الولايات الخمسين كلها، وامتياز الزوجية، فتحصل على تقليد قانوني قرّر مرارًا أن بعض المحادثات يجب أن يكون آمنًا خوضها.

واعتراف الذكاء الاصطناعي لا يملك شيئًا من ذلك. والسبب في أنه لا يملكه هو نفسه سبب صعوبة إصلاحه.

أنمنح الآلة امتيازًا؟

الردّ البديهي — وهو ردّ سام ألتمان — أن نختم كرسي الاعتراف الجديد كما ختمنا القديمة. ففي يوليو 2025، وعلى بودكاست ثيو فون، قال الرئيس التنفيذي لـOpenAI ما يجعله منتجه صحيحًا: «الناس يتحدثون عن أشدّ الأمور خصوصيةً في حياتهم إلى ChatGPT»، مستخدمين إياه «كمعالج نفسي، ومدرّب حياة». ومضى قائلًا: «إن تحدثت إلى معالج أو محامٍ أو طبيب عن تلك المشكلات، فثمة امتياز قانوني لها… ونحن لم نحسم ذلك بعد بالنسبة إلى الحديث مع ChatGPT». ووصف الثغرة بأنها «مختلّة جدًّا» وتوسّل ما سمّته الصحافة «امتياز الذكاء الاصطناعي». وفي أقوى صيغة له، هو موقف قوي وإنساني: صار روبوت المحادثة كرسي اعتراف لمئات الملايين؛ وقد أوى القانون كل كرسي اعتراف سابق؛ وتَرْكُ هذا عاريًا حادثٌ تاريخي يستحق التصحيح.

لكن انظر عن قرب فيذوب العلاج بين يديك، لثلاثة أسباب يوفّرها القانون نفسه. الأول أن الامتياز وعدٌ باستثناءات. فلكل امتياز حقيقي استثناءاته — واستثناء الجريمة والاحتيال يخترق سرّية المحامي والموكّل منذ 1906 — فحتى «امتياز ذكاء اصطناعي» ممنوح سيتبخّر في الحالات ذاتها التي تشتهي فيها الدولة السجلّات أشدّ الاشتهاء. والثاني أنه سيحمي الطرف الخطأ. فألتمان يتوسّله بينما تقاوم OpenAI أمر محكمة بتقديم محادثات وبينما تُقاضى شركته نفسها؛ والامتياز الذي يختم الاعتراف يختم أيضًا مصيدةَ عسل الشركة المؤلَّفة من عشرين مليون سجلّ في وجه الإفصاح. إنه درع شركات يرتدي زيّ حقّ للمستخدم. والثالث، وهو الأصعب، أن السجلّات هي كيف عرفنا أصلًا أن الآلة خطِرة. وهو ما يقودنا إلى الجزء الذي لا يريد أحد كتابته.

المراهقون الموتى في كومة الإفصاح

آلة الاعتراف لها بالفعل ضحايا، وذاكرتها هي الدليل.

في فبراير 2024، مات فتى في الرابعة عشرة اسمه سيويل سيتزر الثالث منتحرًا بعد أشهر من المحادثات مع روبوت رفيق على Character.AI. ودعوى أمّه ضد Character.AI وGoogle تقوم كليًّا على تلك السجلّات؛ وقد سمح قاضٍ اتحادي بالسير فيها، وقضى بأن روبوت المحادثة "product" أي منتج، لا خطابٌ محميّ، وفي يناير 2026 سوّت الشركتان مجموعة من هذه القضايا في أربع ولايات. ثم تبعها المدّعون العامون: كنتاكي رفعت دعوى في يناير، وبنسلفانيا في مايو بشأن روبوت يُزعم أنه انتحل صفة طبيب نفسي مرخَّص برقم ترخيص ملفَّق، وفي 1 يونيو 2026 صارت فلوريدا أول ولاية تقاضي OpenAI وسام ألتمان مباشرةً — وشكواها تستشهد بأن منفّذ إطلاق النار في جامعة ولاية فلوريدا كان «يستشير ChatGPT عن أي بنادق يستخدم، وأي ذخيرة يستخدم، وأي وقت من اليوم ينفّذ فيه الهجوم».

واجلس مع هذا التوتر، فهو المركز الأمين لهذه النشرة كلها. فالسجلّات المحفوظة نفسها التي تجعل آلة الاعتراف مصيدة عسل للمراقبة هي السجلّات التي كشفت أنها خطر على الأطفال. و«امتياز ذكاء اصطناعي» شامل — العلاج الذي يطلبه ألتمان — سيضع هذا الدليل بالذات خارج المتناول. لا تستطيع أن تطالب في آن بأن تُختم ذاكرة الآلة في وجه الدولة وأن تُفتح لوالدَي طفل ميت. هذه هي العقدة في قلب النقاش حول سرّية الذكاء الاصطناعي، ومن يقول لك إنها بسيطة فهو يبيعك شيئًا. فالامتياز الذي سيحمي المعترِف البريء سيحمي أيضًا الشركة التي تركت الروبوت يستدرج مراهقًا.

ثمة مخرج من العقدة، لكنه ليس امتيازًا.

كل اعتراف على بُعد اختراق واحد

وقبل المخرج، سببٌ آخر يجعل مصيدة العسل غير قابلة للاستمرار: فهي لا تُستدعى قضائيًّا فحسب، بل تتسرّب. ففي يوليو 2025، ظهرت نحو 4,500 محادثة من ChatGPT كان المستخدمون قد «شاركوها» مفهرسةً في بحث Google، يقرؤها أي أحد. وفي فبراير 2026، كشفت قاعدة بيانات سيّئة الضبط نحو 300 مليون رسالة من 25 مليون مستخدم لتطبيق محادثة واحد بالذكاء الاصطناعي. وفي مايو 2026، وجد باحثون أمنيون نحو مليون خدمة ذكاء اصطناعي مكشوفة على الإنترنت المفتوح — من بينها آلاف خوادم النماذج المحلية غير المؤمَّنة المتروكة في مواجهة العالم. وضُبطت إضافات متصفح تُسوَّق بوصفها أدوات «خصوصية» وهي تعيد بيع مطالبات المستخدمين بهدوء. وانتقلت Anthropic، في أغسطس 2025، إلى نموذج يتدرّب على محادثات المستهلكين ويحتفظ بها حتى خمس سنوات بحكم الإعداد الافتراضي. كل شيء حميم تكتبه يُنسخ ويُحفظ ويوضع — بأمر محكمة، أو بخطأ في الضبط، أو بحكم نموذج العمل — في مرمى خطر التقديم. وكومة من أشدّ اعترافات البشرية خصوصيةً هي أغنى هدف جُمع على الإطلاق، وتاريخ كل كومة كهذه أنها تنسكب في نهاية المطاف.

الامتياز وعد؛ والنسيان ضمانة

ها هو المخرج، وهو معماريّ لا قانونيّ.

الاعتراف الوحيد الذي لا يمكن استدعاؤه قضائيًّا ولا استرجاعه بعد الحذف ولا اختراقه ولا استثناؤه هو الاعتراف الذي لم يُخزَّن قط على خادم شخص آخر. وفي 2026 لم يعد ذلك خيالًا للهواة. تستطيع أن تشغّل ذكاءً اصطناعيًّا قادرًا فعلًا على جهازك بالكامل، دون اتصال، حيث لا يكتب سجلّ خادم لأنه لا خادم أصلًا. والأدوات مجانية وناضجة — Ollama، التي تخدم الآن عشرات الملايين من تنزيلات النماذج كل ربع سنة؛ وLM Studio؛ وJan. والنماذج حقيقية: ففي أغسطس 2025 أصدرت OpenAI نفسها نماذج مفتوحة الأوزان، gpt-oss، برخصة متساهلة، أصغرها يعمل على حاسوب محمول بذاكرة 16 غيغابايت ويقارب جودة نموذجها المستضاف من الفئة الوسطى. وQwen من Alibaba، وDeepSeek، وLlama من Meta، وGemma من Google تكمل ميدانًا مفتوحًا واسعًا. وApple تشحن نموذجًا لغويًّا صغيرًا يعمل كليًّا على هاتفك، وتوجّه الاستعلامات الأصعب إلى نظام "Private Cloud Compute" أي الحوسبة السحابية الخاصة، وهو نظام ادّعاءاته عن الخصوصية قابلة للتحقق، على غير المعتاد — إذ تنشر Apple صور البرمجيات الموقَّعة وتتيح للباحثين فحصها. النموذج المحلي نسيانٌ بحكم البناء: لا شيء يُحفظ، ولا شيء يُقدَّم، ولا شيء يتسرّب.

والآن الأمانة التي تدين بها هذه السلسلة، فالبنية ضمانة فقط إذا ذكرت ثمنها. فالنماذج المحلية لا تزال متأخرة عن الحدّ الأمامي — فبأفضل قياس مستقل، تتخلّف النماذج المفتوحة عن أفضل النماذج المغلقة بنحو أربعة أشهر وبفجوة قدرات معتبرة، والنسخ التي تنافس الحدّ الأمامي فعلًا تحتاج إلى عتاد مراكز بيانات، لا إلى هاتف. و«شغّله محليًّا وحسب» هي اليوم امتياز للمجهَّزين تقنيًّا، وهي لا تمسّ المليار الذين سيواصلون استخدام روبوتات المحادثة السحابية. و"Private Cloud Compute" من Apple هو أقوى تصميم لخصوصية سحابية موجود، لكنه ما زال يطلب منك أن تثق برقائق Apple وسلسلة توريدها — والقابل للتحقق ليس منعدم الحاجة إلى الثقة. وتاريخ محادثة محلية محفوظ على قرصك يمكن مصادرته من جهازك أنت. وأصعب الحدود جميعًا هو الحدّ الوارد في القسم السابق: فآلةٌ ناسية لا تحتفظ بسجلّ لا تحتفظ كذلك بدليل على استدراج طفل، ولا تقدّم أي حاجز أمان من جهة الخادم يقاطع مراهقًا يصف خطة لإيذاء نفسه. فالنسيان نفسه الذي يؤوي البريء يزيل شبكة الأمان عن الهشّ. وحجّة خصوصية تخفي هذه الكلفة ليست إلا ادّعاءً مفرطًا من نوع آخر.

فالتركيب الأمين يمسك الحقيقتين معًا. البنية تغلب الوعد — فالبيانات التي لا يُحتفظ بها لا يمكن استدعاؤها ولا تقديمها ولا اختراقها، وذلك صنف من الحماية لا يستطيع أي «امتياز ذكاء اصطناعي» تقديمه. لكن البنية يجب أن تقترن بمحاسبة بشأن القدرات وبشأن سلامة الأطفال، وإلا صارت النوع نفسه من التفكير السحري الذي حلّت محلّه.

المضادّ، طبقةً طبقة

أين يربح الجواب من جهة المستخدم، وأين ينفد؟

يربح في الاعتراف نفسه. فلمن يريد أن يفكّر بصوت عالٍ دون أن يبني سجلًّا قابلًا للإفصاح، النموذج المحلي هو الجواب النظيف، وهو يتحسّن كل شهر. وأما الاستعلامات السحابية التي لا بدّ منها، فتقليل الأثر حقيقي: إطفاء التدريب، واستخدام المحادثات العابرة، وتمرير طبقة الشبكة عبر تراكب خاص مثل URnetwork حتى لا تكون البيانات الوصفية عن من سأل ماذا ومن أين سجلًّا هي الأخرى. والاختراقات بحجم Oracle وأمرُ العشرين مليون سجلّ هما الحجة على ذلك: لا تستطيع أن تفقد المحادثة التي تعيش على جهاز في جيبك وحده، ولا أن تُستدعى بشأنها، ولا أن تتسرّب.

وينفد عند القدرة وعند الرعاية. فالحدّ الأمامي يعيش في السحابة، وسيتبعه معظم الناس إلى هناك؛ والمعركة بالنسبة إليهم ليست معمارية بل قانونية وسياسية — معركة على الإعدادات الافتراضية للاحتفاظ، وعلى الحذف ذي المعنى، وعلى ما إذا كان «مُزال التعريف» يعني شيئًا على مقياس عشرين مليونًا، وعلى التزامات سلامة الأطفال التي لا تستطيع بنية خاصة بحتة أن تفي بها. والنصفان حقيقيان. فمن يبوح لآلة يستحق خيارًا ينسى؛ والمجتمع الذي يدع أطفاله يبوحون للآلات يحتاج إلى حواجز أمان لا تستطيع آلة ناسية توفيرها. وإمساك الاثنين معًا هو النسخة الراشدة من هذه الحجة.

قُلها لشيء ينسى

آلة الاعتراف هي أنفع وأخطر شيء بُني على الإطلاق في مجال الخصوصية، وهاتان الحقيقتان هما الحقيقة نفسها. إنها نافعة لأن الناس يقولون لها كل شيء؛ وهي خطِرة لأنها تحتفظ بكل ما يقولونه. سام ألتمان محقّ في أن الثغرة «مختلّة جدًّا»، ومخطئ في العلاج. فالامتياز يطلب من الدولة أن تعد بألّا تقرأ كومةً ستظلّ موجودة، وستظلّ تتسرّب، وستُفتح كلما كُتب الاستثناء التالي. إنه يعالج العرَض — القراءة — ويُبقي المرض — الكومة.

كانت كراسي الاعتراف القديمة آمنة لا لأن القانون حماها فحسب، بل لأنها كانت تنسى. احترقت اليوميات. وبهتت الهمسة. ومات الكاهن ومعه سرّك. وخطر الآلة هو بالضبط أنها لا تفعل شيئًا من ذلك، والجواب الأعمق ليس أن تجعل الدولة تقسم ألّا تختلس النظر. الجواب أن تبني كرسي اعتراف لا يحفظ سجلًّا — أن تقول الشيء المُخجل الضروري الإنساني لشيء لا يمكن حمله على تكراره، لأنه لم يكن يحمله أصلًا.

في الرابع من يوليو، وفي بلد يحمي ما يجوز لك قوله، يستحقّ الدفاع عن الحرية الأقدم والأهدأ تحته: حرية أن تقول شيئًا لا أحد، وأن يبقى غير مقول. امنح الآلة امتيازًا إن استطعت انتزاعه؛ فسيساعد المليار الباقين في السحابة. لكن إن أردت ضمانة بدل وعد، فابنِ الآلة التي تنسى. أسلم اعتراف هو الذي لم تحتفظ به الآلة قط.

URnetwork طبقة تراكب ندّية لنقل مقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم في طبقة الشبكة؛ وإصدار خادم MCP في فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات فوق الطبقة الندّية، بما يفصل النقل عن طبقة الحامل. وهي أداة توجيه وسرّية، صادقة بشأن حدودها: تقلّل أثر البيانات الوصفية لاستدعاء ذكاء اصطناعي سحابي وتحمل البُنى المحلية أولًا عبر مسار مقاوم للرقابة، لكنها لا تستطيع أن تجعل نموذجًا سحابيًّا ينسى — ولا يقدر على ذلك إلا تشغيلك النموذج بنفسك، ولهذا تدافع هذه النشرة عن أن الحماية الدائمة لآلة الاعتراف حمايةٌ معمارية، ويجب أن تُبنى لا أن تُشرَّع فحسب.

https://ur.io

في كل رابع من يوليو يردّد البلد قائمة من الحريات — الكلام، والصحافة، والتجمّع، والحق في ألّا يُرابط جنود في بيتك. وثمة حرية واحدة ليست في الوثيقة، لأنها في 1776 لم تكن بحاجة إلى أن تكون: حرية أن تصنع أدوات خصوصيتك بنفسك. أن تسبك قفلًا. أن تختم رسالة بشمعٍ يفضح من فتحها. أن تكتب، باللغة التي تفهمها الآلة، تعليمةً تُبقي حديثًا بين شخصين ولا أحد سواهما.

في 1776 كانت تلك حرية حِرَفيّ، وكانت مفترضة. وفي 2026 صارت أدوات الخصوصية برمجيات، والبرمجيات يكتبها مطوّرون، والمطوّرون يمكن اعتقالهم. فالحرية التي كانت تُفترض صارت هي المعروضة على المحاكمة — لا حرية أن تُجري حديثًا خاصًّا، فتلك أمّنها عقدٌ من العمل على التشفير إلى حدٍّ بعيد، بل حرية أن تصنع الشيء الذي يتيح لك إجراءه، وأن تهبه للناس، من دون أن تكون مسؤولًا عن جريمة غريب.

فلنبدأ من الانتصار: البلد أجاب عن هذا السؤال مرة من قبل.

السابقة التي انتصرت — وكم كان انتصارها ضيّقًا

في أوائل التسعينيات صنّفت حكومة الولايات المتحدة التعمية القوية سلاحًا. ففي نظر الحكومة، نشر الشيفرة المصدرية لتشفيرٍ ما كان تصديرًا لعتاد حربي؛ إذ كانت مدرجة على قائمة الذخائر الأمريكية (United States Munitions List) إلى جانب البنادق والرؤوس الحربية. وكتب طالب دراسات عليا في الرياضيات ببيركلي اسمه دانيال برنشتاين نظام تعميةٍ سمّاه Snuffle، فلمّا حاول نشر شيفرته المصدرية وورقةً تشرحه، قيل له إن عليه أولًا أن يسجّل نفسه تاجر سلاح وأن يحصل على رخصة تصدير من وزارة الخارجية. فرفع برنشتاين دعوى، تسانده مؤسسة الحدود الإلكترونية (EFF) وتترافع عنه سيندي كون.

وانتصر، ولغة الحكم جديرة بالحفظ. ففي 1999 قضت هيئة من محكمة الاستئناف للدائرة التاسعة بأن الشيفرة المصدرية كلامٌ يحميه التعديل الأول، وكتبت أن "cryptographers use source code to express their scientific ideas in much the same way that mathematicians use equations or economists use graphs." أي: يستخدم المعمّون الشيفرة المصدرية للتعبير عن أفكارهم العلمية بالطريقة نفسها تقريبًا التي يستخدم بها الرياضيون المعادلات أو يستخدم بها الاقتصاديون الرسوم البيانية. وكانت قاضية المحكمة الابتدائية، مارلين هول باتيل، قد صاغتها أبسط من ذلك: "like music and mathematical equations, computer language is just that, language, and it communicates information." أي: لغة الحاسوب، شأنها شأن الموسيقى والمعادلات الرياضية، هي لغة لا أكثر، وهي تنقل معلومات. ومع الحكم الشقيق في Junger v. Daley، حيث قضت الدائرة السادسة في 2000 بأن الشيفرة المصدرية "an expressive means for the exchange of information and ideas" أي وسيلة تعبيرية لتبادل المعلومات والأفكار، ومع الانهيار الصامت لتحقيق هيئة المحلّفين الكبرى الذي استمر ثلاث سنوات ضد فيل زيمرمان بسبب إطلاقه PGP، ربحت هذه القضايا حرب التعمية الأولى. وهي الأساس القانوني للتعمية المدنية القوية — للـHTTPS، ولـPGP، ولـSignal، وللتشفير الذي فشلت حملة Chat Control في الاتحاد الأوروبي في كسره حين سحب المجلس تصويته الخريف الماضي.

لكن كن أمينًا في وصف الانتصار، لأن شكله الدقيق هو القصة كلها. فرأي الدائرة التاسعة الذي كثُر الاحتفاء به أُلغي: طلبت الحكومة إعادة النظر أمام المحكمة بكامل هيئتها، فسحبت المحكمةُ قرارَ الهيئة، ثم خفّفت الإدارة قواعد التصدير فأصبحت القضية بلا موضوع. وأشهر جملة في تاريخ عقيدة «الشيفرة كلام» تعيش في رأي مسحوب. أما السابقة الباقية فهي Junger. والحرية نفسها جاءت من خيار سياسات — إعادة وزارة التجارة صياغة قواعد التصدير في يناير 2000 — بقدر ما جاءت من أي أمر قضائي. وما خفّفته إدارةٌ يستطيع غيرُها أن يعيد إحكامه.

والأهم من هذا كله: المحاكم حَمَت حرية نشر الشيفرة بوصفها تعبيرًا. ولم تقضِ قط بأن كل فعل يُؤدَّى بواسطة البرنامج كلام. لك أن تكتب التشفير وتنشره وتعلّمه؛ ذلك محمي. أما هل لك أن تشغّل الخدمة، أو تدير الأداة، أو تتقاضى أجرًا بينما ينقل غرباء قيمةً عبرها — فذلك سؤالٌ لم تجب عنه حروب التعمية قط. وهذا السؤال غير المُجاب هو بالضبط الشقّ الذي أمضت الحكومة عام 2026 تعمل فيه.

حريتان في أداة واحدة

أداة الخصوصية تحتاج إلى حريتين، وقد أمضت الحركة عقدها تدافع عن واحدة.

الأولى هي حرية النشر — أن تكتب الخوارزمية وتُصدرها بوصفها تعبيرًا. وهذه ربحها برنشتاين ويونغر، وهي مؤمَّنة إلى حد بعيد. فما من محكمة أمريكية ستقضي بأن نشر شيفرة تشفير جريمة.

والثانية هي حرية التشغيل — أن تنشر الأداة، وتدير الخدمة، وتدع الناس يستخدمونها من دون أن يكون المؤلّف مسؤولًا عمّا يفعلونه بها. وهذه لم تُربح يومًا بشكل قاطع، وفي 2026 تُخسر. لأن الحكومة تعلّمت درس حروب التعمية: لا تحاول حظر الرياضيات، فهي تعبير وتحميه المحاكم. لاحِق الإنسان الذي نشرها، بقانون كُتب للمصارف. أعِد تصنيف السلوك بالشيفرة بوصفه الجريمة، وعندئذ لا يدخل برنشتاين قاعة المحكمة أصلًا.

وشاهِد هذه الحركة تتكرر ثلاث مرات.

لم يستطيعوا إيقاف العقد

Tornado Cash ليست شركة. إنها مجموعة من العقود الذكية المستقلة غير القابلة للتعديل تعمل على Ethereum — شيفرة لا تحتفظ بأموال أي مستخدم، ولا مشغّل لها، وبعد نشرها لا يستطيع كاتبوها تغييرها ولا إطفاءها، تمامًا كما لا يستطيع مؤلّف دليل فتح الأقفال أن يمدّ يده داخل عملية سطو. وهذه الحقيقة ليست زينة؛ فقد قضت فيها محكمة استئناف فيدرالية. ففي نوفمبر 2024، وفي قضية Van Loon v. Department of the Treasury، قضت الدائرة الخامسة بأن عقود Tornado Cash غير القابلة للتعديل ليست "property" أي ليست «ملكيةً» يستطيع أحد امتلاكها أو السيطرة عليها، وأن الخزانة بذلك تجاوزت صلاحيتها حين فرضت عليها عقوبات. ورفعت الخزانة البروتوكول من قوائمها في مارس 2025.

ومع ذلك، وفي النافذة الزمنية نفسها، قدّمت وزارة العدل الشريكَ المؤسس للبروتوكول إلى المحاكمة. ففي أغسطس 2025 أدانت هيئة محلّفين في مانهاتن رومان ستورم بالتآمر على تشغيل نشاط تحويل أموال بلا ترخيص — وهي تهمة عقوبتها خمس سنوات — بينما تعذّر عليها الحسم في التهمتين الجسيمتين، التآمر على غسل الأموال وعلى انتهاك العقوبات، وعقوبة كلٍّ منهما تصل إلى عشرين عامًا. فطلب ستورم تبرئته. وفي مارس 2026 طلبت الحكومة إعادة محاكمته على التهمتين المعلّقتين، واقترحت بدءًا في أكتوبر. وفي جلسة أبريل ضغطت القاضية كاثرين بولك فايلا على الحكومة بشدّة: فحين حاجّ محاميها بأن مجرد خدمة المستخدمين الملتزمين بالقانون قد تكون غسل أموال — لأن المال النظيف يجعل الخلّاط أقدر على إخفاء المال القذر — قاطعته قائلة: «كان أداؤك أفضل قبل أن تبدأ الكلام». وحتى هذا الرابع من يوليو لم تصدر حكمها، ولا حُدِّد موعد لإعادة المحاكمة، وستورم طليق بكفالة.

أما الدفع بالتعديل الأول — أن ستورم نشر شيفرة محمية — فقد أُثير قبل المحاكمة ورُفض. إذ رأت القاضية فايلا أن القدرة الوظيفية للشيفرة ليست تعبيرًا محميًّا، ومنعت الطرفين من الاحتجاج بالتعديل الأول أمام هيئة المحلّفين أصلًا. وهذا هو الشقّ: لا «ليس لك أن تنشر هذا»، وهو ما كانت الدولة ستخسره، بل «أنت شغّلت هذا، أنت نقلت قيمة» — وهو ما يتجاوز برنشتاين كليًّا.

والأمانة تقتضي الجزء الصعب، فهذا ليس شهيدًا ناصعًا. فالحكومة تزعم أن أكثر من مليار دولار من عائدات إجرامية مرّت عبر Tornado Cash؛ وقدّرت شركة التحليل الجنائي Elliptic الأموال غير المشروعة المحدَّدة بنحو 1.5 مليار دولار من أصل نحو 7 مليارات — أي الخُمس تقريبًا. ومرّرت مجموعة Lazarus الكورية الشمالية عبر الخلّاط الـ455 مليون دولار التي سرقتها من جسر Ronin. وسحب ستورم وشركاؤه المؤسسون أكثر من 12 مليون دولار. والخلّاط يركّز الجريمة أكثر مما يفعل المتصفّح — هذا هو الجزء الأمين، وينبغي الإقرار به صراحةً. لكن التركيز حقيقة عن المستخدمين، لا سببًا لسجن المؤلّف. فالنظرية التي تُدين ستورم لا تتوقف عند الفاعلين السيئين: إنها تُحمّل مطوّرًا مسؤولية جنائية عن الاستخدام الوظيفي لشيفرة عامة الغرض لم يكن يستطيع إطفاءها. وبهذا المنطق يصير صانع أي تقنية مزدوجة الاستخدام مسؤولًا عن أسوأ مستخدميها. والسؤال ليس أبدًا هل تُستخدم أداة الخصوصية يومًا في جريمة؛ فكل أداة نافعة تُستخدم. السؤال هو هل نلاحق الصانع قضائيًّا بسببها. ومئتي عام كان الجواب: لا.

المذكّرة التي تجاهلها المدّعون

إن كانت قضية ستورم هي المتنازع عليها، فقضية Samourai هي الأوضح.

صُمِّمت محفظة Samourai Wallet لتكون غير حافظة — المستخدمون يحتفظون بمفاتيحهم، والبرنامج بُني بحيث لا يحوز عملات أحد قط. وميزتاها المتنازع عليهما كانتا Whirlpool، التي تخلط عملات المستخدمين لكسر سلسلة التتبّع، وRicochet، التي تضيف قفزات لطمس الأثر. واعتُقل مؤسّساها، كيون رودريغيز وويليام هيل، في أبريل 2024، وأقرّا بالذنب في يوليو 2025 بتهمة واحدة هي التآمر على إدارة نشاط تحويل أموال بلا ترخيص، وصدر الحكم عليهما في نوفمبر الماضي: رودريغيز بخمس سنوات — وهي العقوبة القصوى قانونًا — وهيل بأربع. ونظرية الحكومة أن منسّق Whirlpool كان وظيفيًّا يسيطر على القيمة ويعيد نقلها، وأن الرجلين تودّدا عن علم إلى مستخدمين مجرمين؛ ويقول الدفاع إن المحفظة كانت غير حافظة تمامًا وقانونية بلا لبس. ولأن كليهما أقرّ بالذنب، لم تقضِ أي محكمة أيّهما على حق. مطوّران كتبا برنامج خصوصية وشحناه في السجن، والسؤال القانوني المركزي لم يجد جوابًا قط.

هما في السجن رغم سياسة وزارة العدل المكتوبة نفسها. ففي أبريل 2025 أصدر نائب المدّعي العام، تود بلانش، مذكّرة عنوانها "Ending Regulation By Prosecution" أي «إنهاء التنظيم بالملاحقة القضائية»، وحلّ فريق إنفاذ القانون في مجال العملات المشفّرة، وذكر بعبارة صريحة أن الوزارة "will no longer target virtual currency exchanges, mixing and tumbling services, and offline wallets for the acts of their end users." أي: لن تستهدف بعد اليوم منصّات تبادل العملات الافتراضية، وخدمات الخلط والتقليب، والمحافظ غير المتصلة، بسبب أفعال مستخدميها النهائيين. ثم واصلت استهدافها. فمضت ملاحقتا ستورم وSamourai قُدُمًا؛ وأبلغت الحكومة محكمةً بأنها ستلاحق ستورم بصرف النظر عن ذلك. وهما في السجن أيضًا رغم إرشادات الخزانة نفسها، المعمول بها منذ 2019، بأن مزوّد محفظة برمجية غير حافظة ليس ناقل أموال أصلًا. لقد تجاوزت الحكومة مذكّرتها هي وقواعدها هي بالاتكاء على كلمة واحدة — willful أي «متعمِّد» — والاحتجاج بأن هؤلاء المطوّرين تحديدًا كانوا يعرفون من يستخدم أداتهم. والملاذ الآمن الذي يتبخّر كلما قرّر مدّعٍ أنه ينبغي أن يتبخّر لم يكن ملاذًا آمنًا قط.

وأن يرى هذا العدد من أعضاء الكونغرس اليوم أن القانون يحتاج إلى إعادة كتابة هو مقياس بُعد المسافة التي انزاحت بها الأرض. ففي فبراير 2026 قُدِّم مشروع قانون من الحزبين، هو Promoting Innovation in Blockchain Development Act، لتعديل قانون تحويل الأموال بحيث لا يطال إلا من "exercise control over" أي من «يمارسون سيطرة على» أموال العملاء فعلًا — أي، بعبارة أخرى، لاستعادة التمييز بين بناء أداة وإدارة مصرف، وهو التمييز الذي شطبه المدّعون من القانون بقراءتهم. يلزم قانونٌ من الكونغرس بتأييد الحزبين، في 2026، لإعادة النصّ على ما يُفترض أن حروب التعمية حسمته: أن كتابة الشيفرة ليست إدارة نشاط لتحويل الأموال.

المشروعية ليست التوافر

النسخة الثالثة من هذه الحركة مالية، ولا تحتاج إلى قاعة محكمة أصلًا.

لم يحظر أحد رياضيات Monero أو Zcash. ما فعله المنظّمون بدلًا من ذلك كان أهدأ وأشدّ فاعلية: قطعوا مداخلها. فبموجب «قاعدة السفر» (travel rule) الصادرة عن مجموعة العمل المالي، وهي اليوم قانون في أكثر من خمسين ولاية قضائية، على أي منصّة تبادل منظَّمة أن ترفق بكل تحويل هوية مُحقَّقة للمرسِل والمستلِم — وهو ما تجعله عملةٌ مهندَسة للخصوصية مستحيلًا تقنيًّا. فانسحبت المنصّات. وبحسب إحصاء قطاعي، شطب نحو 73 منها عملة خصوصية خلال 2025؛ وكانت OKX وBinance وKraken قد أسقطت Monero في 2024. أما لائحة مكافحة غسل الأموال الجديدة في الاتحاد الأوروبي فتذهب أبعد، إذ تمنع المؤسسات المنظَّمة من التعامل مع "anonymity-enhancing coins" أي «العملات المعزِّزة لإخفاء الهوية» منعًا تامًّا اعتبارًا من 1 يوليو 2027. وتبقى هذه العملات قانونية الامتلاك تمامًا — فالتحويل الخاص المستضاف ذاتيًّا بين فردين مستثنى صراحةً من الحظر. لكن الأماكن التي يستطيع فيها شخص عادي أن يشتري إحداها أو يبيعها تُغلق، قرار امتثال بعد قرار.

هذه هي نسخة الوصول إلى السوق من ملاحقة الأداة، وهي تنتج حقًّا يعيش على الورق ويموت في الممارسة. لك أن تحتفظ بـMonero بصورة مشروعة وأن تعجز عن اقتنائها بصورة مشروعة في أي مكان تحتفظ فيه أيضًا بحساب مصرفي. المشروعية ليست التوافر. والذيل المُعلِّم هو Zcash، عملة الخصوصية التي تصعد الآن لسبب واحد بالضبط: أنها بنت في داخلها بابًا. فـ«مفاتيح العرض» (view keys) فيها تتيح لحاملها أن يكشف معاملةً بعينها لمدقّق. أداة الخصوصية التي تنجو من الخنق هي التي تأتي ومعها طريق تنظر السلطات من خلاله — أي أن نسخة الخصوصية الممتثلة هي، بحكم البناء، أقلّ خصوصية. وهذه هي الصفقة المعروضة اليوم في كل مكان: خصوصية يُسمح لك بها، ما دامت ليست خصوصية من الدولة.

حاكِموا الأداة، واعذروا الكنز

هذه ليست مسألة أيديولوجيا. إنها مسألة أين توجّه حكومةٌ قوّتها.

فبينما أنفقت الدولة الاثني عشر شهرًا الماضية في ملاحقة بُناة الأدوات المصمَّمة كي لا تُجمع البيانات أصلًا، كان الأوصياء الذين يجمعون كل شيء يفقدونه بحجم لا نظير حديث له — ولا واحد منهم يجلس في قفص الاتهام.

والأداة كانت مورِّدًا واحدًا. فمنذ أغسطس 2025، استغلّت جماعة الابتزاز Clop ثغرة حرجة في برنامج Oracle E-Business Suite، ونهبت المؤسسات التي تشغّله: هارفارد، وجامعة بنسلفانيا، وجامعة فينيكس (قرابة 3.5 ملايين إنسان)، ودارتموث (أرقام ضمان اجتماعي وتفاصيل مصرفية)، وواشنطن بوست، وLogitech، وSchneider Electric، وعشرات غيرها. وفي هذا الربيع استغلّت جماعة ثانية، ShinyHunters، ثغرة حرجة مختلفة في برنامج Oracle PeopleSoft، واخترقت — بحسب إحصاء Google — أكثر من ثلاثمائة نظام لدى أكثر من مائة مؤسسة، معظمها جامعات. ثم، في أواخر يونيو، بدأ استغلال ثغرة ثالثة حرجة في Oracle في البرّية، وبحلول 2 يوليو كان الباحثون يتتبّعون أكثر من تسعمائة نظام Oracle مكشوف لا يزال مفتوحًا للهجوم. أما الحطام في حصيلة أسبوع واحد من الاختراقات: 14.22 مليون بيانات دخول بريدية لدى ست شركات اتصالات يابانية؛ وأرقام الضمان الاجتماعي والتفاصيل المصرفية لموظفي Nissan في أربعة بلدان؛ وأكثر من تسعة ملايين سجلّ طبي — أسماء، وتواريخ ميلاد، وأرقام ضمان اجتماعي، ومعلومات صحية — من شركة الأجهزة الطبية Medtronic.

والآن ضَعِ الدفترين جنبًا إلى جنب. في الأول، مطوّر بنى أداة لا تحتفظ بشيء — لا حيازة، ولا مصيدة عسل، ولا قاعدة بيانات تُفقد — يواجه من 5 إلى 45 سنة. وفي الثاني، مؤسسات كنزت كل شيء ولم تؤمّن شيئًا منه، ففقدت سجلات هويّة لمئات الملايين من البشر. وهؤلاء الأوصياء سيواجهون دعاوى اختراق وغرامات تنظيمية، كما يحدث دائمًا — لكن ما من مسؤول تنفيذي يواجه التعرّض الجنائي الشخصي الذي يواجهه مطوّر محفظة غير حافظة. ولم يُتَّهم أحد حتى الآن. والاعتراض البديهي — أن الأوصياء ضحايا جريمة طرف ثالث، وأن القانون لا يسجنك لأنك سُرقت — اعتراض وجيه، وله جواب: الإهمال الذي يسرّب مائة مليون هوية هو ذاته سلوك، ونحن نجرّم كل يوم إهمالًا أقلّ خطرًا منه بكثير. والمقصود ليس أن الاختراق يعادل تشغيل خلّاط. المقصود أن جانبًا واحدًا فقط من هذا الدفتر يحمل أي خطر جنائي شخصي على الإطلاق.

رسم مُرحِّلٍ على عقد مستقلّ سلوكٌ — حسنًا. لكن تخزين مائة مليون رقم ضمان اجتماعي على خادم غير مُرقَّع سلوكٌ أيضًا. الخط الذي ترسمه الحكومة بين الوظيفي والتعبيري في وجه مطوّري الخصوصية خط حقيقي؛ فالمحاكم ترسمه منذ قضايا فكّ تشفير الـDVD في 2001. والفضيحة ليست أن الخط موجود. الفضيحة أن الخط لا يقع إلا على جانب الخصوصية من الدفتر.

المرآة الداخلية

يمكنك أن ترى المنطق نفسه يعمل، بلطف أكبر، داخل القوانين «الحمائية» التي دخلت حيّز النفاذ في أول يوليو هذا بالذات.

بعضها مكاسب حقيقية، والأمانة تنسبها إلى أصحابها: قانون الخصوصية المعدَّل في كونيتيكت صار يعامل بيانات موجات دماغك وأرقام هويّتك الحكومية بوصفها حساسة، ويلزم الشركات — وهي سابقة — بالإفصاح عمّا إذا كانت تدرّب نماذج لغوية كبيرة على بياناتك؛ والمحكمة العليا، في قضية Chatrie يوم 29 يونيو، قضت بأن سحب سجلّ موقع هاتفك تفتيشٌ بمقتضى التعديل الرابع. هذان تشريعٌ ودستور يفعلان ما لا تستطيعه الأدوات على جانب المستخدم.

لكن انظر إلى آلية موجة التحقق من العمر، فيعود النمط للظهور. المصلحة حقيقية — حماية القاصرين شاغل جادّ، وقد باركت المحكمة العليا التحقق من العمر بستة أصوات مقابل ثلاثة في قضية Free Speech Coalition v. Paxton في يونيو الماضي. لكن ما لم تباركه هو الآلية: فلكي تُبعد القاصرين عن منصّة عليك أن تتحقق من عمر الجميع، ما يعني أن كل بالغ يثبت من هو للوصول إلى كلام مشروع — وهكذا يُعاد تصنيف إخفاء الهوية نفسه بوصفه إخفاقًا في الامتثال. ومن الدالّ أين تقع المقاومة. فقبل يومين من دخول قانون التحقق من العمر لوسائل التواصل في نبراسكا حيّز النفاذ، أوقفه قاضٍ فيدرالي، ورأى أنه على الأرجح ينتهك حقوق المستخدمين والمنصّات بموجب التعديل الأول. العقيدة نفسها التي جعلت الشيفرة كلامًا في قضية برنشتاين تحمي اليوم حقّ القارئ في أن يصل غير معرَّف. وفي قاعة محكمة بمانهاتن تتجلّى الغريزة المعاكسة: قاضٍ أمر OpenAI بحفظ محادثات كان مستخدموها قد حذفوها، وبتسليم عشرين مليون محادثة منزوعة الهوية إلى أطراف متقاضية — تقليل البيانات معكوسًا، والكنز يتضخّم بأمر محكمة. حين احتجّ الوصيّ بخصوصية مستخدميه، خسر. وحين احتجّ المطوّر بأن «الشيفرة كلام»، خسر هو الآخر. والخيط المشترك ثابت: الفاعلون الصغار الذين يبنون ويقرؤون يُضبطون، والأكداس الضخمة تُستدعى قضائيًّا كي تكبر.

المطوّرون الذين رحلوا

لكل هذا كلفة لا تظهر في أي ملف قضية: الهجرة الصامتة لحقل بأكمله.

في نوفمبر الماضي، سحب GrapheneOS — نظام التشغيل المحمول المُقسّى، وهو من جواهر عالم المصدر المفتوح — خوادمه من فرنسا وأبلغ مطوّريه ألّا يسافروا إلى البلد أو يعملوا فيه. وكتب المشروع: «فرنسا ليست بلدًا آمنًا لمشاريع الخصوصية مفتوحة المصدر. إنهم يتوقّعون أبوابًا خلفية في التشفير وفي الوصول إلى الأجهزة أيضًا». والوقائع الدقيقة مهمة، وهي أشدّ وقعًا من حظرٍ صريح: فرنسا لم تحظر GrapheneOS، بل إن الجمعية الوطنية الفرنسية رفضت فعليًّا في مارس 2025 بابًا خلفيًّا مقترحًا في التشفير. ورحل GrapheneOS رغم ذلك — احترازًا، لأن المناخ حوله صار مخيفًا بما يكفي ليبدو الرحيل تصرّفًا حصيفًا. وهذا هو المؤشر. لست بحاجة إلى تجريم مشروع خصوصية كي تطرده. يكفي أن تجعل مطوّريه يخافون السفر وبنيته التحتية تخاف مضيفها. والأثر المُثبِّط ليس أثرًا جانبيًّا لملاحقة صانعي الأدوات؛ إنه الأثر المقصود. والبلد الذي يعامل تأليف برامج الخصوصية بوصفه مريبًا بالقرينة يخسر المؤلّفين — إلى إخفاء الهوية، وإلى ولايات قضائية أخرى، وإلى الصمت — ويخسرهم قبل أن يربح قضية واحدة.

المضادّ، طبقةً طبقة

فما الذي يصمد فعلًا في 4 يوليو 2026؟ الحساب الأمين ينقسم انقسامًا نظيفًا.

حيث تنتصر المنظومة مفتوحة المصدر — السرّية والتوجيه. طبقة المحتوى قوية وتزداد قوة. فـSignal يشحن تشفيرًا طرفيًّا افتراضيًّا لعشرات الملايين، وقد قسّى آليته المتدرّجة في وجه فكّ التشفير الكمّي غدًا؛ وTor والقواعد المحمولة المُقسّاة تُبقي الجهاز والنقل سليمين؛ وGrapheneOS يتوسّع خارج عتاد Pixel إلى هواتف Motorola؛ والشبكة الندّية لـURnetwork تحمل الحركة عبر مسار مقاوم للرقابة ومقاوم للفحص العميق للحزم لا يربط أي نقل بهوية مسجَّلة؛ ومجمّع Zcash المحجوب يواصل النمو. وفي مواجهة خصم يريد أن يقرأ رسالتك أو أن يحجب مسارك، هذه الأدوات تعمل — وهي بالضبط الأدوات التي تقلّل ما يستطيع أي وصيّ كنزه. وسلسلة اختراقات Oracle هي الحجّة لصالحها: لا تستطيع أن تفقد رقم الضمان الاجتماعي الذي لم يُطلب منك جمعه قط.

وحيث تنفد — المطوّر والمدخل. في مواجهة خصم يريد أن يلاحق قضائيًّا من كتب الأداة أو شغّلها، أو أن يشطب المنصّة التي كانت ستتيح لك استخدامها، تنكمش المنظومة نفسها إلى ما يقارب لا شيء. فما من أوّليّة على جانب العميل تهزم لائحة اتهام بتحويل الأموال؛ والتشفير لا يرفع تهمة عن مطوّر؛ والشبكة الندّية تلتفّ حول حجب شبكي لكنها لا تستطيع الالتفاف حول قاعة محكمة أو قسم امتثال. هذه الجبهة لا تدافع عنها الشيفرة، لأنها ليست مشكلة تقنية. تدافع عنها — إن دُوفع عنها أصلًا — الحجّةُ بأن نشر أداة تعبير محمي، وقانونٌ مثل مشروع تطوير البلوكتشين يستعيد الخط بين البناء والتشغيل، وجمهورٌ يرفض القبول بأن تأليف الخصوصية جريمة. نحن أقوياء بالضبط حيث نظّمنا صفوفنا — الرياضيات، والبروتوكولات، وسرّية الرسالة — وضعفاء بالضبط حيث لم نفعل.

كُتِبَت، لا ارتُكِبَت

التمييز الذي تدافع عنه النشرة كلها قديم، وكان البلد يفهمه. من يزوّر مفتاحًا مجرم؛ وصانع الأقفال الذي علّم الدرس ليس مجرمًا. ومن يغسل الأموال مجرم؛ والرياضي الذي نشر التشفير ليس مجرمًا. ومن يسطو على المصرف مجرم؛ وصانع إطارات سيارة الهرب ليس مجرمًا. كتابة أداة ونشرها ليست هي ارتكاب الجرائم التي قد يرتكبها بها أحدهم — وكل تقنية مزدوجة الاستخدام في التاريخ، من المطبعة إلى مطواة الجيب إلى التشفير الطرفي، تقوم على صمود هذا الخط.

في 4 يوليو 2026، الخطُّ هو موضع المعركة. أما السرّية فنعرف كيف ندافع عنها؛ وقد أثبتنا ذلك مجددًا هذا العام. أما حرية بناء الدفاعات — أن تكتب الشيفرة، وتشغّل الأداة، ولا تُسأل عن جريمة غريب — فهي المعروضة اليوم على المحاكمة، وهي الحرية التي لا يستطيع التعديل الرابع وحده حمايتها، لأنها ليست عمّا يجوز للحكومة تفتيشه. إنها عمّا يجوز للمواطن صنعه.

كُتبت أداة. وارتُكبت جريمة، إن كانت هناك جريمة، على يد شخص آخر. والبلد الذي لم يعد يستطيع التمييز بين هذين الفعلين سيحتفظ بالتشفير ويخسر المعمّين — ثم يخسر، بعد قليل، الحرية التي كان المعمّون يبنونها: حرية الكلام، والقراءة، والتجمّع، والتعامل المالي بلا استئذان مسبق. تلك الحرية ليست في الوثيقة. وينبغي الدفاع عنها رغم ذلك، وهذا هو العام.

كتابة أداة ليست ارتكاب جريمة. الخصوصية ليست جريمة. هذا التمييز هو الأمر كلّه — وحرية كتابة أدوات مجتمع حرّ هي الحرية التي سيُنفَق العقد المقبل في استعادتها.

URnetwork شبكة ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم على مستوى الشبكة؛ وإصدارها لخادم MCP في فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة الندّية، بما يجرّد النقل عن طبقة الناقل. وشيفرتها مفتوحة وقابلة للتدقيق — منشورة، بالمعنى الدقيق الذي تدافع عنه هذه النشرة، بوصفها تعبيرًا محميًّا. وهي أداة سرّية وتوجيه، أمينة في حدودها: تحمي ما تقوله وكيف تتصل، وهي، كشأن كل الأدوات من نوعها، لا تستطيع وحدها أن تهزم ملاحقةً قضائية لمن كتبها — ولهذا تحاجّ هذه النشرة بأن حرية بناء الخصوصية يجب أن يُدافع عنها في المحاكم والتشريعات كما يُدافع عنها في الشيفرة.

https://ur.io

ابدأ بما تغيّر اليوم، فهو صغير ودقيق ويشير إلى شيء هائل.

اعتبارًا من 1 يوليو 2026، صار قانون خصوصية البيانات في كونيتيكت يعامل بياناتك العصبية بوصفها حساسة. وفي ميكانيكا قانون خصوصية على مستوى الولاية، هذه خطوة ضيّقة: «البيانات الحساسة» مرتبة تقتضي موافقة مسبقة صريحة بدل الانسحاب الأضعف الذي يحكم البيانات الشخصية العادية، وهي — بموجب التعديل نفسه، مشروع قانون مجلس الشيوخ 1295 — تلغي عتبات الحجم التي تُعفي الشركات الصغيرة عادةً. وبعبارة صريحة: الشركة التي تقرأ إشارة دماغ مقيم في كونيتيكت عليها الآن أن تسأل أولًا، وأن تسأل مرة أخرى قبل أن تبيع. وكونيتيكت هي الولاية الأمريكية الرابعة التي تفعل ذلك، بعد كولورادو التي كتبت أول قانون للبيانات العصبية في البلاد في صيف 2024، ثم كاليفورنيا ومونتانا. أربع ولايات. وفي كل مكان آخر، بيانات دماغك يحكمها ما وضعه صانع الجهاز في سياسة لم تقرأها.

والشيء الخاضع للتنظيم ليس مختبرًا ولا مستشفى. إنه رفّ من منتجات المستهلك موجود بالفعل ويسوّق نفسه بوصفه نقيض المراقبة: أجهزة للهدوء، وللتركيز، ولنوم أفضل. عصابة رأس تقيس تخطيط الدماغ وتَعِد بتعميق تأمّلك بأن تريك متى شرد ذهنك. سمّاعة أذن تزعم أنها تقيس تركيزك كي تحميه. جهاز نوم يمنح ليلتك درجة بحسب الإيقاعات الكهربائية لدماغك. وكلٌّ منها يعمل بوضع أقطاب قرب فروة رأسك، وقراءة الجهد الضعيف لعصبوناتك، وشحن تلك الإشارة إلى تطبيق على هاتفك — أي، بعبارة أخرى، إخراجها من جسدك إلى خوادم شركة. ولأن الجهاز يُباع للعافية لا للطبّ، فهو ليس جهازًا طبيًّا، وبياناته ليست بيانات طبية، وHIPAA — القانون الذي يفترض الجميع تقريبًا أنه يحرس كل ما يتصل بالدماغ — لا شأن له به. فـHIPAA يُلزم المستشفيات والعيادات وشركات التأمين ومتعاقديها. ولا يُلزم شركة عصابات رأس، وشركة عصابات الرأس لا تصير مستشفى لأنها لمست دماغك.

وإلى تلك الفجوة تحرّك السوق كما يفعل دائمًا. ففي 2024 قرأت مؤسسة الحقوق العصبية (Neurorights Foundation) الخطّ الدقيق لثلاثين شركة تكنولوجيا عصبية استهلاكية، فوجدت أن تسعًا وعشرين منها — كلّها إلا واحدة — «يبدو أن لديها وصولًا إلى البيانات العصبية للمستهلك، ولا تضع أي قيود ذات معنى على ذلك الوصول». ومعظم السياسات أغمض من أن يُعرف منها إن كان النقل يُعدّ «بيعًا». وواحدة فقط من كل خمس تذكر تشفير الإشارة أصلًا؛ وواحدة من كل عشر تطبّق كل الضمانات الأساسية التي يعدّها أي مختصّ بالخصوصية حدًّا أدنى بديهيًّا. نشاطك الدماغي، المجموع من أجل الهدوء والتركيز، هو في كل الحالات تقريبًا أصلٌ احتفظت الشركة بحق تمريره. هذا هو الوضع الذي تستجيب له قوانين الولايات الأربع، وهو الوضع الذي تتركه الولايات الست والأربعون الأخرى على حاله بالضبط.

لا الذعر ولا الاستخفاف

هنا يجب أن تتوخّى النشرة الحذر، لأن البيانات العصبية هي قصة الخصوصية النادرة التي تجتذب قدرًا متساويًا من التهويل والاستهانة، وكلاهما خاطئ على نحو مُعلِّم.

الاستهانة أولًا، لأنها تبدو الأكثر تعقّلًا ولأنها تحوي حقيقة فعلية. تخطيط الدماغ الاستهلاكي لا يستطيع قراءة عقلك. إنه حفنة أقطاب جافة مضغوطة على رأس مليء بالشعر، تقرأ متوسطًا ملطّخًا منخفض الدقة لمليارات العصبونات عبر عظم الجمجمة، مشوَّشًا بكل رمشة وكل إطباق فكّ. يستطيع أن يميّز، تقريبًا، إن كنت مسترخيًا أم متيقّظًا، ناعسًا أم منشغلًا؛ ويستطيع تصنيف مراحل النوم؛ ويستطيع التخمين بأحوال عاطفية عريضة. ولا يستطيع استعادة جملة تفكّر فيها، ولا صورة في رأسك، ولا سرًّا تكتمه — وهذا الحدّ ليس ثغرة برمجية يسدّها نموذج أفضل العام المقبل، بل هو أقرب إلى سقف فيزيائي، تحدّده كمية الإشارة التي تنجو في رحلتها من العصبون إلى فروة الرأس. ومن يقول لك إن عصابة الرأس تعرف أفكارك يبيعك إما العصابة وإما الخوف منها، وتأطير «قراءة الدماغ» يُجمِّل صورة مسوّق التكنولوجيا العصبية وتاجر الذعر في آن. خذ هذا بجدية: نظام خصوصية مبنيّ على فرضية أن العقل صار كتابًا مفتوحًا هو بناء على رمل.

والمواضع التي تفكّ فيها الآلات فعلًا شيئًا يشبه اللغة تثبت المقصود بمدى بُعدها عن عصابة رأس. فأشدّ النتائج إثارةً — نظام طُوِّر في جامعة تكساس بأوستن في 2023 يعيد بناء فحوى ما يسمعه شخص أو يتخيّله — يعمل على ماسح رنين مغناطيسي وظيفي بحجم غرفة، ويحتاج إلى نحو 16 ساعة من بيانات التدريب من ذلك الشخص بعينه، ويستعيد الفحوى لا الكلمات، ويمكن هزيمته بأن يفكّر الشخص في شيء آخر ببساطة. أما واجهات الكلام المزروعة التي تعيد النطق إلى مرضى الشلل فتضع الأقطاب داخل القشرة الدماغية؛ وقد وجد فريق في 2025، يعمل على فكّ الكلام الداخلي، أن الإشارة قوية بما يكفي فبنى فيها كلمة سرّ ذهنية — يفكّر المريض في عبارة مختارة كي يشغّل المفكِّك — وهو ما يخبرك أن الجبهة حقيقية وأنها تعيش، في الوقت الحاضر، على الضفة الأخرى من جراحة الدماغ. وما تسوّقه Meta بوصفه «واجهة عصبية» (neural interface) يقرأ إشارات العضلات في المعصم لا الدماغ؛ وما سجّلته Apple براءةً هو سمّاعة أذن بتخطيط دماغي لا وجود لها بعد كمنتج. المشاهد المخيفة إما ماسح وإما جراحة. أما الشيء الموجود على الرفّ فيقرأ مزاجك.

والآن يأتي الجزء الذي تتركه الاستهانة خارجها، وهو المسار. فسبب كتابة الحق الآن ليس أن الأجهزة تقرأ الأفكار؛ بل أنها تقرأ الأمزجة، وأن الأمزجة تكفي بالفعل للبيع، وأن اتجاهات التحسّن ليست خفيّة — فمصفوفة Neuralink تحمل أكثر من ألف قطب حيث تحمل عصابة تأمّل أربعة، وتعلّم الآلة يتحسّن كل عام، والاستشعار متعدّد الأنماط يكدّس تخطيط الدماغ فوق إشارات أخرى. وكل جبهة بيانات سابقة — موقعك، ووجهك، وجينومك، وهويتك — تُركت بلا تنظيم ما دامت التقنية فجّة والضرر افتراضيًّا، وحين صار الضرر لا يُنكَر كان السوق قد تشكّل حول البيانات وأمضى القانون العقد التالي يخسر أمامه. أما البيانات العصبية فهي، لمرة، جبهة يسمّيها المشرّعون والمستشعرات لا تزال ضعيفة. وهذا ليس ذعرًا. هذه هي المرة الوحيدة التي يملك فيها قانون الخصوصية فرصة أن يصل مبكرًا.

فالإطار الأمين ليس «الآلات تستطيع قراءة عقلك» ولا «إنه مجرد جهاز عافية، اهدأ». الإطار هو هذا: أشدّ إشارة يبثّها الجسد حميميةً صارت تدفّق بيانات استهلاكيًّا، وهي تقع خارج القانون الذي يفترض الجميع أنه يغطّيها، والشركات التي تجمعها احتفظت في الأغلب الساحق بحق بيعها، ونافذة جعل «داخل جمجمتك» فئةً قانونية — قبل أن يجعله السوق منتجًا — مفتوحة الآن ولن تبقى مفتوحة طويلًا.

أربع ولايات، ثلاثة تعريفات

المشكلة في «اكتب الحق الآن» أن أحدًا ليس متأكّدًا مما ينبغي كتابته بالضبط، وقوانين الولايات الأربع تختلف فيما بينها بالفعل — وهذا ليس سببًا للانتظار بل خريطةً للعمل الفعلي.

بدأت كولورادو، في 2024، بإدراج البيانات العصبية في مرتبة البيانات الحساسة من قانون الخصوصية لديها واشتراط موافقة مسبقة صريحة. وتبعتها كاليفورنيا بتعديل قانون خصوصية المستهلك عندها — لكن كاليفورنيا، وحدها من بين الأربع، تحمي البيانات العصبية عبر الانسحاب الأضعف، أي "right to limit" أي «الحق في التقييد»، بدل الموافقة المسبقة، وتستثني المعلومات المستنتَجة من إشارات غير عصبية. واستخدمت مونتانا الموافقة المسبقة. أما كونيتيكت، اليوم، فتستخدم الموافقة المسبقة وتعرّف البيانات العصبية أضيق تعريف بينها جميعًا: نشاط الجهاز العصبي المركزي فقط — الدماغ والنخاع الشوكي — حيث تصل كاليفورنيا ومونتانا أيضًا إلى الجهاز العصبي الطرفي، أي الأعصاب والعضلات التي تحمل، ضمن أشياء أخرى، إشارات المعصم التي تبني Meta حولها منتجًا استهلاكيًّا. أربع ولايات؛ موافقة مسبقة في ثلاث وانسحاب في واحدة؛ ومركزي فقط في واحدة ومركزي وطرفي في اثنتين. والكلمتان نفسهما، «البيانات العصبية»، تعنيان أربعة أشياء مختلفة.

ويسمّي منتدى مستقبل الخصوصية (Future of Privacy Forum) هذا «مشكلة غولديلوكس» في البيانات العصبية، وهي مشكلة حقيقية. عرِّف الفئة تعريفًا فضفاضًا فتجرف معك كل حزام لقياس النبض وكل متعقّب للعين يستنتج حالة ذهنية، وربما قدرًا كبيرًا من البحث الطبي العادي، فتُثبِّط عملًا لا صلة له بالضرر. وعرِّفها تعريفًا ضيّقًا — الجهاز العصبي المركزي فقط مثلًا — فيفوتك واجهة العضلات المعصمية التي تشحنها منصّة كبرى للملايين. ولا يوجد خط نظيف، لأن الدماغ لا يبثّ إشارة واحدة نظيفة، وعلى القانون أن يرسم حدًّا داخل لطخة. لكن «التعريف صعب» حجّة لأداء العمل التعريفي بعناية، علانيةً، الآن — لا لترك أشدّ فئات البيانات حميميةً في اقتصاد المستهلك محكومةً بمربّع تأشير وسياسة لا يقرأها أحد. جواب التعريف الصعب تعريفٌ أفضل. وليس جوابه أبدًا انعدام الحماية.

اقتصاد المشاعر

ولترى لماذا يستحقّ الأمر هذا العناء، اتبع المال، فنموذج العمل الذي يحرّك الإنترنت الاستهلاكي كله تقريبًا يشير مباشرةً إلى الدماغ.

اقتصاد الإعلان يقوم على الاستنتاج: لا يحتاج إلى قراءة عقلك كي يساوي المليارات، بل يحتاج إلى تخمين انتباهك ومزاجك تخمينًا جيدًا بما يكفي ليبيع في مواجهتهما. وقد فعل ذلك عشرين عامًا بطريقة غير مباشرة، من النقرات وزمن التوقّف ومقياس التسارع في جيبك. أما جهاز يبلّغ عن تركيزك واستثارتك العاطفية مباشرةً، من المصدر، فليس عملًا مختلفًا — إنه العمل نفسه بمستشعر أفضل، طبقة كشف الوجدان التي طالما أرادها اقتصاد الإعلان ولم يبلغها تمامًا. ولهذا توجد صناعة التعرّف على المشاعر، ولهذا تربط شركات «التسويق العصبي» بالفعل مجموعات التركيز بأجهزة تخطيط الدماغ، ولهذا يهمّ المسار أكثر من دقّة اليوم: فالحافز إلى تحويل معين على التأمّل إلى تغذية مزاجية ليس افتراضيًّا، إنه الجاذبية الافتراضية للقطاع بأكمله، والشيء الوحيد بين المستشعر وذلك الاستخدام سياسةٌ كتبتها الشركة وتستطيع تغييرها.

وقد بدأ المنظّمون يلاحظون أن استنتاج المشاعر خطر حتى حين يكون سيّئ الأداء. فقانون الذكاء الاصطناعي في الاتحاد الأوروبي، الذي دخلت محظوراته حيّز النفاذ في فبراير 2025، حظر استخدام أنظمة التعرّف على المشاعر في أماكن العمل والمدارس حظرًا تامًّا — واللافت في تعليله أن المنظّمين وصفوا التقنية بأنها غير موثوقة وقسرية معًا، وهو وصف صائب تمامًا وهو المقصود تمامًا. فليس عليها أن تعمل كي تؤذيك. درجة مزاج خاطئة قد توسمك بأنك غير منخرط؛ ودرجة مزاج صائبة قد تجعلك تُدار بمشاعرك. وفي الحالتين لا ينتظر الضرر نضج العلم.

الدماغ في مكان العمل

المكان الذي تكفّ فيه مشكلة القسر عن كونها مجرّدة هو المكان الذي لا تستطيع فيه أن تقول لا: العمل.

فالموافقة التي يُفترض أنها تجعل التكنولوجيا العصبية الاستهلاكية مقبولة — أنك اخترت أن ترتديها — تختفي بهدوء حين يكون من يعرض عليك الجهاز هو من يوقّع راتبك. فقبّعات رصد الإرهاق التي تقرأ موجات دماغ سائق أو عامل منجم لالتقاط نوبات النوم الخاطف منتشرة بالفعل في النقل بالشاحنات والتعدين، وتُباع بوصفها معدّات سلامة، وبوصفها كذلك لها حجّة حقيقية؛ لكن جهازًا يميّز متى تكون ناعسًا يميّز متى تكون ضجرًا، والتغذية نفسها التي تمنع اصطدامًا تستطيع أن تمنحك درجة على انخراطك. وقد وصفت تقارير من الصين ارتداءات «رصد الدماغ» بتخطيط كهربائي جُرِّبت على عمال مصانع وعمال نقل لتتبّع حالاتهم العاطفية. والمقصود ليس أن أي انتشار بعينه بائس؛ المقصود أن «الموافقة المسبقة الصريحة»، وهي الآلية التي تتّكئ عليها قوانين الولايات، تعني شيئًا في تطبيق تأمّل وشيئًا آخر تمامًا على مكتب يواجه مديرك، حيث يصير رفض المستشعر اختيارًا لأن تبدو الموظف الذي لديه ما يخفيه. الحماية الحقيقية في العمل ليست مربّع موافقة. إنها أرضية — من النوع الذي رسمه الاتحاد الأوروبي حين حظر ذكاء المشاعر في مكان العمل بصرف النظر عن الموافقة — لأن موافقةً تُنتزع تحت تهديد فقدان العمل ليست موافقة.

للقراءة فقط، حتى الآن

كل ما سبق يدور حول قراءة الدماغ. أما الجبهة الأعمق، وسبب أن كلمة «الخصوصية» قد تضيق عن هذا في نهاية المطاف، فهي الكتابة إليه.

أجهزة اليوم واسعة الانتشار تستشعر فقط. لكن التعديل العصبي — تنبيه الدماغ لتغيير حالته بدل مجرّد قياسها — هو الرفّ التالي في الصناعة نفسها، ويُباع بالفعل بصور أفجّ في أجهزة استهلاكية تزعم تحسين التركيز أو المزاج بتمرير تيار عبر فروة الرأس، ويُلاحَق بجدية أكبر بكثير في الطب. والحقّ في ألّا تُقرأ بياناتك العصبية حقُّ خصوصية، متّصل بكل ما تدافع عنه هذه المجلة في الموقع والهوية. أما الحقّ في ألّا تُغيَّر حالتك العصبية بلا موافقة فشيء أقدم وأعمق — أقرب إلى سلامة الجسد، وإلى الحقّ في ألّا يُجرى على عقلك أنت. والسوق الاستهلاكي بعيد كل البعد عن كتابة موثوقة إلى الدماغ، والأمانة تقتضي القول إن ادّعاءات الفاعلية لأجهزة التنبيه اليوم متنازع عليها في أحسن الأحوال. لكن القدرتين تنموان على الشجرة نفسها، من الأقطاب نفسها والشركات نفسها، والفئة القانونية المبنية حول القراءة وحدها ستكتشف، بعد عقد، أنها رسمت حدّها قبل رفّ واحد من موضعه. وتسمية الخصوصية الذهنية اليوم هي أيضًا كيف تترك مجالًا لتسمية الحرية المعرفية غدًا.

أنحف استجابة

ضَعْ طموح المشكلة إلى جانب حجم الاستجابة، فالفجوة حجّة قائمة بذاتها.

على المستوى الفيدرالي، الاستجابة دراسة. فقانون MIND Act، الذي قُدِّم في سبتمبر 2025 من السيناتورات كانتويل وشومر وماركي، هو أول مشروع قانون في تاريخ الكونغرس الأمريكي يتناول التكنولوجيا العصبية — وما يفعله فعلًا هو توجيه لجنة التجارة الفيدرالية إلى بحث المجال وتقديم تقرير، مع بعض التوجيه من مكتب العلوم في البيت الأبيض. وهو لا ينشئ أي حقوق جديدة للمستهلك. وهذا يستحق القول صراحةً، لا سخريةً منه — فالتعريف الفيدرالي هو الشيء الذي ستتعلّق به كل قاعدة مستقبلية، وبدء صياغته يهمّ — بل لأن المسافة بين «أول مشروع قانون في الكونغرس عن أشدّ جبهات البيانات حميميةً» و«تقرير من لجنة التجارة الفيدرالية» مقياس عادل لمدى بكارة المسعى كله ونحافته.

أما بقية العالم فهي، في مواضع، أبعد في الطموح إن لم يكن في الإنفاذ. فقد عدّلت تشيلي دستورها في 2021 لحماية الحقوق العصبية، وكانت أول بلد يفعل ذلك. واعتمدت اليونسكو معيارًا عالميًّا لأخلاقيات التكنولوجيا العصبية في نوفمبر 2025، قائمًا على الحقوق وغير مُلزِم. ويعود الإطار الفكري إلى اقتراح قدّمه في 2017 عالِم الأعصاب رافائيل يوستي وزملاؤه بخمسة «حقوق عصبية» — الخصوصية الذهنية، والهوية الشخصية، والفاعلية، والوصول المتكافئ إلى التعزيز، والحماية من التحيّز الخوارزمي — وللحركة نقّاد حقيقيون يستحقّون الإصغاء: باحثون يحذّرون من «تضخّم الحقوق» (rights inflationism)، ومن معاملة الدماغ كأنه استثنائي سحريًّا بينما يستطيع قانون حماية البيانات القائم أن يتمدّد ليغطّيه، ويحاجّون، بإقناع، بأن الضرر الأكثر واقعية الآن ليس قراءة العقول بل ادّعاءات الشركات المضلِّلة عمّا تستطيع أجهزتها فعله. وهؤلاء النقّاد محقّون في أن الذعر مبالَغ في بنائه. لكنهم لا يمسّون الدعوى الأضيق التي تسوقها هذه النشرة، وهي تنجو من التفريغ كله: عرِّف الفئة قبل أن يعرّفها السوق، وحسِّن التعريف علانيةً، لأن البديل هو أن نفعلها كما فعلنا كل جبهة بيانات أخرى — متأخّرين.

البنية قبل القانون

الخيط الذي تعود إليه هذه السلسلة يصحّ هنا أيضًا، وهو الحدّ الأمين للقانون الذي تغيّر اليوم. فالتشريع يحكم ما يجوز لشركة فعله بإشارة دماغية بعد جمعها. وهو لا يوقف الجمع، ولا يتبع البيانات بعد مغادرتها الولاية التي تعوّل على قانونها.

والمضادّ على جانب المستخدم هو النسخة العصبية من تقليل البيانات، وله شقّان يحتاج كلٌّ منهما إلى الآخر. الأول هو البنية: فأنظف طريقة لإبقاء بيانات دماغك خارج خوادم شركة هي ألّا تغادر الإشارة الخام رأسك أصلًا — معالجة على الجهاز تحوّل قراءة القطب إلى «لقد نمت جيدًا» من دون بثّ التدفّق الأصلي قط، كما تعمل أفضل المستشعرات احترامًا للخصوصية بالفعل. والمشكلة، وهي سبب عدم كفاية البنية وحدها، أنك لا تستطيع عادةً التحقق من ادّعاء الشركة أنها تعالج على الجهاز؛ فالوعد سطر تسويقي حتى يجعله قانون أو تدقيق حقيقيًّا. والشقّ الثاني هو ذلك القانون — الموافقة المسبقة افتراضيًّا، وحدّ صارم على بيع البيانات العصبية، وهي الأرضية التي بدأت قوانين الولايات ترسمها. ولا يكفي أي من الشقّين وحده. فوعدٌ بالمعالجة على الجهاز لا تستطيع التحقق منه لا يساوي كثيرًا بلا سند قانوني؛ والسند القانوني لا يساوي كثيرًا إن كانت الإشارة الخام تتدفّق إلى خادم في ولاية لم تُصدر القانون قط. ارتدِ أقلّ، واشترط أن يُبقي ما ترتديه الإشارة على جسدك، واسند الأمرين بقاعدة تقول إن أشدّ ما تبثّه حميميةً ليس معروضًا للبيع. هذا هو الدفاع كلّه، وكل قطعة منه لا تزال قيد البناء.

أن نصل مبكرًا، لمرة واحدة

وهذه هي الحجّة، مجرّدةً إلى الإطار الذي ينجو من أقوى نقّاده.

المهوّلون مخطئون في أن الآلات تستطيع قراءة عقلك؛ فهي لا تستطيع، ولن تستطيع من عصابة رأس استهلاكية في أي وقت قريب. والمستخفّون مخطئون في أن هذا يعني ألّا شيء يُفعل؛ فالإشارة تُجمع الآن، وهي تقع خارج القانون الذي يفترض الجميع أنه يغطّيها، و97 في المئة من الشركات احتفظت بحق بيعها، والحافز إلى تحويل جهاز عافية إلى تغذية مزاجية هو الجاذبية الافتراضية لاقتصاد الإنترنت بأكمله. وبين الذعر والاستخفاف يقع ما هو صحيح فعلًا: أشدّ بيانات يبثّها الجسد حميميةً صارت منتجًا استهلاكيًّا والمستشعرات لا تزال فجّة، وتلك الفجاجة ليست سببًا للانتظار — إنها الفرصة.

كل معركة خصوصية أخرى تغطّيها هذه المجلة معركةُ لحاق. فالتشفير لحق باعتراض ما تقوله. وقضية Chatrie، الأسبوع الماضي، كانت الدستور يلحق بتعقّب أين تذهب، بعد سنوات من صيرورة التعقّب شاملًا. أما البيانات العصبية فهي الجبهة الوحيدة التي لم يحدث فيها اللحاق بعد، لأن الضرر لم يقع بعد بالكامل — ما يعني، على نحو فريد، أن القانون يستطيع أن يصل أولًا. سمِّ الفئة الآن، وهي لا تزال رخيصة. حسِّن التعريف علانيةً، عبر خلافات كولورادو-مقابل-كونيتيكت بالضبط، تلك التي تبدو فوضى وهي في الحقيقة العمل. واحظر بيعها. واترك مسرحية قراءة العقول، من المسوّقين الذين يستخدمونها لبيع الدهشة ومن المدافعين الذين يستخدمونها لبيع الخوف، لأن الحجّة الحقيقية لا تحتاج إلى أيّهما: ليس أنهم يقرؤون أفكارك، بل أنهم يشقّون الطريق إلى أمزجتك، وأننا لمرة واحدة نقف عند بداية الدرب بدل أن نكون قطعنا فيه عقدًا.

كان داخل جمجمتك آخر مكان لم يستطع اقتصاد البيانات بلوغه. واليوم قالت ولاية واحدة إنه لا يستطيع بلوغه بلا استئذان. هذا شيء صغير، وهو أول مرة يُنصب فيها السياج قبل أن يمرّ القطيع.

URnetwork شبكة ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم على مستوى الشبكة؛ وإصدارها لخادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة الندّية. وشيفرة URnetwork مفتوحة وقابلة للتدقيق. وهي لا تستطيع أن تُبعد مستشعرًا عن رأسك — فذلك شأن البنية والقانون لا النقل — لكنها تلتزم بالمبدأ نفسه الذي تدافع عنه هذه النشرة في شأن الدماغ: أشدّ ما تبثّه حميميةً ينبغي أن يبقى على جانبك من السلك، مُقلَّلًا عند المصدر، وغير معروض للبيع في الخفاء أبدًا.

https://ur.io

ابدأ بالانتصار، فهو حقيقي وقد انتظره جيل من محامي الخصوصية.

في 29 يونيو 2026، قضت المحكمة العليا في Chatrie v. United States — ستة مقابل ثلاثة، بقلم القاضية كاغان عن الأغلبية — بأن للأمريكيين توقّعًا معقولًا للخصوصية في سجلات مواقعهم التفصيلية، وأن الحكومة حين تحصل على تلك السجلات للعثور على مشتبه به تكون قد أجرت تفتيشًا بالمعنى المقصود في التعديل الرابع. وأصل القضية سطوٌ على اتحاد ائتماني في ميدلوثيان بولاية فرجينيا في مايو 2019، حُلّ عبر مذكّرة «سياج جغرافي» (geofence) إلى Google: طلبٌ بأن تمشّط الشركة قاعدة بيانات سجلّ المواقع لديها وتحدّد كل جهاز رصدته داخل دائرة نصف قطرها 150 مترًا حول المبنى وقت وقوع الجريمة. وقد جرف نصف القطر كنيسة مجاورة — وكذلك، بحسب محضر المحاكمة، دار رعاية لكبار السنّ — بحيث صار كل من يصلّي أو ينام قريبًا، بحكم هندسة المذكّرة، جهازًا تستطيع الدولة أن تطالب بتسميته. ووصفت القاضية كاغان، عن الأغلبية، سجلّ موقع الشخص بأنه "a personal journal of a user's movements" أي يوميّات شخصية لتحرّكات المستخدم، وحذّرت من أن هذه التقنية تسلّم الحكومة "a virtual panopticon" أي بانوبتيكون افتراضيًّا؛ ونحّت المحكمة جانبًا، بوصفها "meritless" أي بلا سند، حجّةَ الحكومة بأنك تتنازل عن كل خصوصية بمجرد اشتراكك في الميزة. وكانت حريصة في تحديد ما تقضي به: فقد قضت فقط بأن الحصول على البيانات تفتيش، ونقضت الحكم، وأعادت القضية لوزن السبب المحتمل والتخصيص — وثمة حاشية تترك مفتوحًا احتمال قبول الدليل رغم ذلك بموجب استثناء حسن النية، فقد يخسر تشاتري نفسه في النهاية. لكن الحكم العتبي هو الذي يعيد تشكيل العقيدة: الحصول على سجلّ موقعك تفتيش، والتفتيش شأن التعديل الرابع.

ويتجاوز أثر الحكم وقائعه بسبب العقيدة التي يواصل تفكيكها. فنصف قرن وقانون الخصوصية الأمريكي يرزح تحت «عقيدة الطرف الثالث» — الفكرة، المولودة في السبعينيات من قضايا عن سجلات مصرفية وأرقام هاتفية مطلوبة، بأن المعلومات التي تسلّمها طوعًا إلى شركة لا تحمل أي توقّع معقول للخصوصية، فلا تحمل بالتالي أي حماية دستورية إطلاقًا. وفي عصرٍ يعني فيه مجرّد العيش بثّ عادم دائم من البيانات إلى أطراف ثالثة، تصير تلك العقيدة مفتاحًا عموميًّا لحياة كل إنسان، وقد أمضت المحكمة أغلب عقد تضيّقها: United States v. Jones في 2012 بشأن أجهزة تعقّب GPS، وCarpenter v. United States في 2018 بشأن مواقع أبراج الاتصال، والآن Chatrie بشأن السياج الجغرافي. وكل حكم منها ينتزع فئة أخرى من المواقع الرقمية من عقيدة الطرف الثالث ويعيدها تحت الدستور. والاصطفاف يخلط الخريطة المعتادة، وهذا جزء من أهميته: فقد كتبت القاضية كاغان نيابةً عن رئيس المحكمة روبرتس والقاضية سوتومايور والقاضي كافانو والقاضية جاكسون، مع صوت سادس من القاضي غورساتش بناءً على نظريته القائمة على الملكية — أي أغلبية عابرة للأيديولوجيات، لا الكتلة المحافظة في المحكمة. أما القضاة الثلاثة المخالفون فكانوا ليُبقوا القاعدة القديمة حيث هي؛ ووصف القاضي أليتو، كاتبًا عنهم، تعليل الأغلبية بأنه "an irresponsible escapade" أي مغامرة غير مسؤولة، وحذّر من أن المحكمة ترتجل تعديلًا رابعًا رقميًّا قضيةً قضية بلا مبدأ حادّ — وهو اعتراض غير تافه. لكن خيط مشروع الأغلبية لا تُخطئه العين، وهو العمل البطيء الأصيل لمحكمة تلحق بالمراقبة التي يعيش مواطنوها داخلها. احتفِ به.

ثم اقرأ الجزء من الحكم الذي يتناول من يُلزِم.

الباب الجانبي

التعديل الرابع قيدٌ على الحكومة. تلك هي بنيته كلها: فهو يقول للدولة ما لا يجوز لها فعله بلا مذكّرة. وهو، بحكم التصميم وقرنين من العقيدة، صامت عن الفاعلين الخاصّين — والمراقبة التي تعرّف 2026 خاصةٌ في أغلبها الساحق.

فأثر الموقع الذي حمته المحكمة للتوّ من انتزاع حكومي بلا مذكّرة لم تجمعه الحكومة. جمعته Google، وتطبيق الطقس، واللعبة، وعشرات حِزم تطوير الإعلانات المدسوسة في البرامج المجانية على الهاتف، وكلّه حُصِد بنقرة على «السماح» لا يتذكّر معظم الناس أنهم منحوها. ثم تُباع تلك البيانات — إلى سوق تجاري من وسطاء البيانات يجمّعون سجلات المواقع ويحزمونها ويعيدون بيعها بالمليارات للمعلنين وشركات التأمين والمؤجّرين وصناديق التحوّط ولأي أحد آخر يملك أمر شراء. وChatrie لا يمسّ سطرًا من ذلك. فللتطبيق أن يواصل الجمع. وللوسيط أن يواصل البيع. وللمشتري أن يواصل الشراء. أقفل الدستور الباب الأمامي — الباب المكتوب عليه «مصادرة حكومية» — والسوق التجاري كله باب جانبي مفتوح إلى جواره.

وهنا ما يحوّل ثغرة محرجة إلى ثقب حقيقي: الحكومة تعبر الباب الجانبي أيضًا. فسنوات والوكالات الفيدرالية — أجهزة في وزارة الأمن الداخلي، والجيش، ومكتب التحقيقات الفيدرالي، وإنفاذ الضرائب — تشتري بيانات مواقع الأمريكيين من وسطاء تجاريين، وذلك تحديدًا لأن الشراء لا يقتضي مذكّرة ولا محكمة ولا سببًا محتملًا: عقدٌ لا غير. وقد وثّقت التقارير وكالةً بعد أخرى ترخّص منتجات مبنية على تغذيات مواقع مُوسَّطة — Venntel، وLocate X من Babel Street، وFog Data Science وأمثالها — لتفعل بالضبط ما تفعله مذكّرة السياج الجغرافي، من دون المذكّرة. اشترت ما كان التعديل الرابع سيلزمها بالحصول عليه بتوقيع قاضٍ. ويقول Chatrie إن الباب الأمامي صار يحتاج إلى مذكّرة. ولا يقول شيئًا عن الباب الجانبي الذي تستخدمه الوكالات طوال الوقت. والقاعدة الدستورية التي تستطيع الحكومة استيفاءها بأن تصير زبونًا ليست جدارًا. إنها بوّابة دوّارة بمسار خروج.

اشترِ ما لا تستطيع مصادرته

هذه هي الآلية الدقيقة الجديرة بالتسمية، لأنها مفصل النشرة كلها: في اقتصاد المراقبة، شرطُ المذكّرة والسوقُ المفتوح ليسا مشكلتين منفصلتين. السوق هو الطريق حول المذكّرة.

ورأي المحكمة نفسه دليل على الثغرة: ففي كل صفحاته عن خصوصية الموقع، لا ترد عبارة "data broker" أي «وسيط البيانات» ولو مرة واحدة. لقد قضت فيما يجوز للحكومة مصادرته، ولم تقل شيئًا عمّا يجوز لها شراؤه. وقد أمضى السيناتور رون وايدن سنوات يحاول ردم تلك المسافة بمشروع قانون عنوانه هو الحجّة كلها — Fourth Amendment Is Not For Sale Act — وأعاد تقديم قانون أوسع لإصلاح المراقبة الحكومية هذا الربيع؛ وصارت مونتانا، في 2025، أول ولاية تمنع شرطتها من شراء ما كانت ستحتاج إلى مذكّرة للحصول عليه. وأن تكون هذه المعالجات ضرورية، وأن يظلّ معظمها حتى الآن بلا إقرار على المستوى الفيدرالي، يخبرك أن الثغرة حقيقية ومعروفة ومفتوحة. ومنطق الثغرة محكم وقاتم: الدستور يمنع الحكومة من أخذ بياناتك بلا إجراء، لكنه لا يقول شيئًا عن شرائها، وثمة سوق مزدهرة قائمة لبيعها. فالوكالة التي كانت ستحتاج إلى مذكّرة لإلزام مشغّلك بتسليم موقعك ترخّص ببساطة الموقع نفسه، مسحوبًا من تطبيقاتك، من وسيط لم يواجه أي قيد كهذا وهو يجمعه. ولم تتكتّم الحكومة حتى على النظرية: فقد ذكرت مذكّرة لوكالة الاستخبارات الدفاعية في 2021 صراحةً أن الوكالة "does not construe the Carpenter decision to require a judicial warrant" أي لا تفسّر حكم Carpenter على أنه يشترط مذكّرة قضائية لبيانات المواقع التي تشتريها بدل أن تصادرها — ووجدت جهة رقابية فيدرالية لاحقًا أن عدة أجهزة في وزارة الأمن الداخلي استخدمت بيانات مواقع مشتراة بطرق خالفت القانون. كل حماية أعلنها Chatrie للتوّ عند الباب الأمامي يمكن الالتفاف حولها عند الباب الجانبي بثمن اشتراك. فالحكم تقدّم أصيل في قانون المصادرة الحكومية، وهو يترك الاقتناء بالشراء الحكومي في المكان نفسه الذي وجده فيه تقريبًا.

ولهذا يجب أن يكون الاحتفال دقيقًا في وصف ما رُبح. فترسيخ توقّع معقول للخصوصية في موقعك أمر قوي في القانون الدستوري؛ إنه يعيد تشكيل كل طلب مذكّرة وكل طلب استبعاد دليل تحته مستقبلًا. لكن توقّعًا معقولًا للخصوصية يتبخّر لحظة تمرير البيانات نفسها عبر وسيط تجاري هو حمايةٌ فيها ثقب بحجم التجارة، والثقب ليس افتراضيًّا. إنه نموذج العمل لصناعة بأكملها، وبندُ مشتريات في حكومة بأكملها.

عشرون ولاية، وثلاثون بلا شيء

إن كان الدستور لا يبلغ السوق التجاري، فما الذي يبلغه؟ الجواب في الولايات المتحدة: رقعة مرقّعة، والرقعة هي المشكلة.

لا يوجد قانون فيدرالي لخصوصية المستهلك. فأجدّ المحاولات، American Privacy Rights Act، انهار في الكونغرس، وفي غيابه شرّعت الولايات واحدة تلو الأخرى. وبحلول منتصف 2026 سنّت أربع وعشرون ولاية قوانين شاملة لخصوصية المستهلك — نحو عشرين منها نافذة بالفعل — من كاليفورنيا وكولورادو وفرجينيا إلى وافدين أحدث مثل إنديانا وكنتاكي ورود آيلاند، النافذة منذ يناير، مع قانون أوكلاهوما الموقَّع حديثًا والمقرّر أن يسري في 2027. هذا حقيقي، وفي أقوى الولايات هو حماية حقيقية. لكن اقرأها عرضًا فتنكشف الرقعة: بعضها يشترط أن تنسحب من بيع البيانات، وبعضها يطلب موافقة مسبقة صريحة؛ وعتبات التغطية تتأرجح من 35,000 مقيم إلى 100,000؛ وتعريفات «البيانات الحساسة» تتباين؛ و — وهذه التفصيلة التي تُفرغ معظمها — ولاية واحدة فقط، كاليفورنيا، تمنحك حتى حقًّا محدودًا في التقاضي، وفي حالات اختراق البيانات وحدها. وفي الولايات الثلاث والعشرين الأخرى، يقع الإنفاذ كله على مكتب مدّعٍ عام للولاية بموظفين محدودين وحرب على خمسين جبهة، في مواجهة صناعة تُدرّ المال من تريليون سجلّ يوميًّا. (ولم تُصدر فيرمونت قانونها لعام 2026 إلا بعد نزع بند الإنفاذ الخاص الذي جرّ عليه فيتو في العام السابق — وهي صورة أنيقة لكيفية نزع الأنياب قبل الإقرار.) والحق الذي لا تستطيع إنفاذه بنفسك، في مواجهة مدّعى عليه يعوز المنظّمَ ما يكفي من موارد لملاحقته، حقٌّ على الورق في أغلبه. وهذا هو الوضع في الولايات التي لديها قانون. أما ثلاثون ولاية فلا قانون لديها، ما يعني أن سوق المواقع التجاري، بالنسبة إلى أكبر كتلة من الأمريكيين، لا يحدّه إلا فُتات القوانين الفيدرالية القطاعية — الصحة، والتمويل، والأطفال — وشروط خدمة الوسطاء أنفسهم.

فالخريطة التي تنبثق من 29 يونيو مائلة على نحو محدّد. في مواجهة الحكومة، وفي الولايات الخمسين كلها، صار لموقعك أرضية دستورية. وفي مواجهة السوق الذي يحوز موقعك فعلًا، لديك — بحسب رمزك البريدي — قانون ولاية متوسط القوة لا تستطيع إنفاذه بنفسك، أو قانون ضعيف مليء بالاستثناءات، أو لا شيء.

المحكمة تعطي وتأخذ

يجدر وضع دورتين قضائيتين من يونيو جنبًا إلى جنب، فالمحكمة نفسها رسمت الاثنتين، والاقتران هو المقياس الأمين لموضع الخصوصية الدستورية.

ففي يونيو 2025، في قضية Free Speech Coalition v. Paxton، أيّدت المحكمة قانون ولاية يشترط على البالغين التحقق من أعمارهم — أي إثبات هويتهم — قبل الوصول إلى محتوى إلكتروني مشروع، ستة مقابل ثلاثة، في مواجهة رأي مخالف كتبته القاضية كاغان. وقد فرض ذلك الحكم كلفة على الخصوصية: بارك نقطة التفتيش الهويّاتية، وبنت موجة من الولايات عليه. وفي يونيو 2026، في Chatrie، أصدر ائتلاف مختلف من ستة قضاة انتصارًا للخصوصية — وكاتبته كاغان، المخالِفة في العام السابق. فالخريطة لا ترسمها كتلة ثابتة: انضمّ رئيس المحكمة روبرتس والقاضي كافانو إلى المحافظين لتأييد نقطة تفتيش العمر، وإلى الليبراليين لحماية الموقع، وهما الصوتان المتأرجحان يحسمان الخصوصية الرقمية قضيةً قضية، على محاور عقائدية مختلفة — التعديل الأول عامًا، والرابع في العام التالي. في دورة تخبرك المحكمة أن إجبارك على إبراز أوراقك كي تقرأ أمرٌ دستوري لا بأس به؛ وفي التالية تخبرك أن تحرّكاتك محمية من الشرطة. وهذان ليسا متناقضين تمامًا — حقوق مختلفة، وعقائد مختلفة — لكنهما معًا خريطة مرسومة باليد الحرّة، لا نظرية جامعة للخصوصية الرقمية تحتها — ما يعني أن الحماية التي لديك هي الحماية التي صادف أن اعترف بها خمسة قضاة في آخر قضية بلغتهم، وأن الحماية التي تفتقدها هي ما لم يُسألوا عنه بعد، أو رفضوا مدّه. الخصوصية الدستورية في 2026 مَنْحٌ لا ضمان. وChatrie منحة. وهو ليس ضمانًا، وليس بالتأكيد نظامًا.

الحكومة صارت زبونًا

تحت الميكانيكا القانونية يقع تحوّل بنيوي لم يُصمَّم إطار المذكّرة له قط، وهو سبب أن انتصارًا في التعديل الرابع لا يكفي وحده.

فالتعديل الرابع يتخيّل خصمًا بعينه: الدولة تكسر بابًا، وتصادر أوراقًا، وتجري التفتيش بنفسها. وعلاجه كله — المذكّرة، والسبب المحتمل، والقاضي المحايد — مبنيّ حول الحكومة بوصفها مشغّل المراقبة. لكن الحركة المميِّزة للعقد الأخير أن الحكومة لم تعد تشغّل المراقبة في الغالب. إنها تشتريها. فالجمع يقوم به السوق الخاص، بحجم ودقّة لا تستطيع أي إدارة شرطة توظيف ما يكفي لهما، وتصل الدولة عند نهاية سلسلة التوريد زبونًا ببطاقة ائتمان، مقتنيةً استخباراتٍ جاهزة لم تتصوّرها قواعد المصادرة الدستورية قط. والعقيدة التي تضبط الحكومة-اللصّ لا تقول شيئًا يُذكر عن الحكومة-المتسوّق. ولهذا لا يستطيع Chatrie، على حقيقته، أن يحمل الخط وحده: إنه يُتقن القاعدة لنوع من التفتيش الحكومي صار استثناءً، بينما القاعدة التي تهمّ — ما يجوز للدولة شراؤه، وما يجوز للسوق بيعه لها — مكتوبةٌ، إن كُتبت أصلًا، في عشرين مجلسًا تشريعيًّا للولايات وفي مشروع قانون فيدرالي واحد متعثّر.

ما يكلّفه الموقع الآن

اجعلها ملموسة، فالتجريد هو الطريق إلى الاستخفاف بهذا. الموقع ليس فقط أين أنت؛ إنه ماذا تفعل، ومع من أنت، وممّا تخاف. فتغذية الموقع تُظهر الطريق إلى العيادة، والزيارات إلى المحامي، والليالي التي لم تُقضَ في البيت، والاجتماع في مقرّ النقابة، والمسجد يوم الجمعة.

وقد أمضت لجنة التجارة الفيدرالية العامين الأخيرين ترفع هذه الفئة من القضايا بالضبط — دعاوى ضد شركات بيانات المواقع لبيعها آثارًا يمكن تتبّعها إلى عيادات الصحة الإنجابية ودور العبادة والملاجئ، مسمّيةً وسطاء مثل Kochava، وX-Mode وخليفتها Outlogic، وGravy Analytics وذراعها Venntel، وMobilewalla. وبعد قضية Dobbs، كفّت المخاطر عن كونها نظرية: ففي بلد يُجرَّم فيه التنقّل نفسه في ولاية ويكون دستوريًّا في المجاورة، يصير سجلّ متاح تجاريًّا لمن عبر بسيارته حدود ولاية مستندَ ادعاء ينتظر استدعاءً قضائيًّا، وهو يقبع في قاعدة بيانات وسيط لا يبلغه Chatrie. وقد تحرّكت بعض الولايات على هذا تحديدًا — إذ يعامل قانون My Health My Data في واشنطن الموقعَ قرب المنشآت الصحية بوصفه بيانات صحية محمية، وهو نموذج يقلّده غيرها — لكنه، مرة أخرى، حفنة ولايات تشرّع حول ثقب تركه الدستور ولم يملأه الكونغرس.

البنية قبل القانون

هنا الخيط الذي تعود إليه هذه السلسلة، وChatrie يشحذه لا يليّنه. القانون يصل بعد أن توجد البيانات. فالتعديل الرابع يحكم ما يجوز للحكومة فعله بأثر موقع سبق أن تولّد وجُمع وخُزّن. وهو لا يمنع الأثر من التولّد. ولا يستطيع ذلك إلا بنية الجهاز وانضباط المستخدم.

والاثنان يعملان على ساعتين مختلفتين، وكلٌّ منهما نقطة عمى الآخر. القانون يضبط الحكومة بعد الواقعة، بالتراكم البطيء لقضايا مثل Chatrie — وهو ضروري، لأن الدولة هي الفاعل القادر على سجنك، ولأن الحقوق حين يُعترف بها تقيّد كل موظف تحتها. أما البنية فتعمل قبل الواقعة، عند لحظة البثّ: خدمات الموقع مطفأة افتراضيًّا، وأقلّ عدد ممكن من التطبيقات يُمنح أقلّ أذونات ممكنة، ونظام تشغيل محمول مُقسّى يتيح لك حرمان حِزم التطوير من قياساتها عن بُعد، وأدوات على مستوى الشبكة تمنع تحرّكاتك من أن تكون هي المنتج أصلًا. وأنظف طريقة لإبقاء موقعك خارج قاعدة بيانات وسيط — وبالتالي خارج أمر شراء الحكومة — ألّا تولّد الأثر أبدًا. الحقّ في ألّا تتعقّبك الدولة حقٌّ يستحقّ الاقتناء. والحياة التي تبثّ أقلّ ما يُتعقَّب حياةٌ تستحقّ البناء. Chatrie هو الأول؛ أما الثاني فلا يستطيعه غيرك، واقتصاد المراقبة مهندَس ليحرص على ألّا تفعل.

نصف نظام

فزِنه بأمانة، وهذا يعني رفض جولة الانتصار ورفض هزّة كتف المتشائم معًا.

الانتصار حقيقي. فقد مدّت المحكمة العليا الدستور إلى أشدّ تدفّق بيانات يبثّه الإنسان حميميةً، وفكّكت جدارًا حاملًا آخر من عقيدة الطرف الثالث، وفعلت ذلك بأغلبية واضحة من ستة أصوات. ومن يقول لك إن ذلك لا يهمّ لم يتحوّل موقعه يومًا إلى دليل ضده. ابنِ عليه.

وهو نصف نظام. فهو يُلزم الفاعل الوحيد القادر على سجنك، ويترك بلا مساس السوقَ الذي يحوز بياناتك فعلًا وعادةَ الحكومة نفسها في التسوّق فيه. وإغلاق النصف الآخر ليس لغزًا — إنه قانون خصوصية فيدرالي بحقّ تقاضٍ خاص، وحظر على شراء الحكومة ما كانت ستحتاج إلى مذكّرة لمصادرته، وقواعد لوسطاء البيانات بأنياب تكفي لجعل تهديد المنظّم ذا مصداقية. المخطط موجود؛ والناقص هو الإرادة، ومحكمةٌ ترسم الخريطة باليد الحرّة لا تستطيع توفيرها، لأن الدستور يقيّد الحكومة واقتصاد المراقبة ليس الحكومة في معظمه — إلى اللحظة التي تصير فيها الحكومة أفضل زبائنه.

الباب الأمامي مقفل الآن. وهذا يستحقّ القول صراحةً ويستحقّ الدفاع. لكن دُر حول المبنى. الباب الجانبي مفتوح، والوكالات تعرف مكانه، والشيء الوحيد الواقف فيه رقعةٌ لا يستطيع معظم الأمريكيين إنفاذها بأنفسهم ولا يملكها ثلثهم أصلًا.

الانتصار على الحكومة ضروري. ولم يكن ليكون كافيًا يومًا. والمعركة التالية هي الباب الجانبي.

URnetwork شبكة ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم على مستوى الشبكة؛ وإصدارها لخادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة الندّية، بما يجرّد النقل عن طبقة الناقل. وشيفرة URnetwork مفتوحة وقابلة للتدقيق. وهي أداة «البنية قبل القانون»، أمينة في نطاقها: لا تستطيع إبطال تشريع ولا كسب قضية أمام المحكمة العليا، لكنها تستطيع أن تمنع التحرّكات التي تحملها من أن تصير منتجًا في السوق المفتوح — وهو نصف المشكلة الذي لا تبلغه المحاكم، بحكم التصميم.

https://ur.io

ابدأ بالأمر التنفيذي، فهو يُقرأ كردٍّ على طارئ لم يقع بعد.

في 22 يونيو 2026، وقّعت الولايات المتحدة الأمر التنفيذي 14412، "Securing the Nation Against Advanced Cryptographic Attacks" أي تأمين الأمة في وجه الهجمات التعموية المتقدّمة، إلى جانب أمر مرافق بشأن الابتكار الكمّي. وهو يأمر الوكالات الاتحادية بترحيل أنظمتها عالية القيمة إلى تعمية ما بعد الكمّ — إنشاء المفاتيح بنهاية 2030، والتواقيع الرقمية بنهاية 2031 — ويوجّه المتعاقدين إلى اتّباع الجدول الزمني ذاته، ويلزم كل وكالة بتسمية مسؤول رئيسي لانتقال ما بعد الكمّ خلال ثلاثين يومًا. وبلغة التفويضات الاتحادية الجافّة، هو تعليمة باستبدال أقفال الحكومة كلّها قبل تاريخ محدَّد.

والشيء الذي يدافع عنه غير موجود. فالحاسوب الكمّي ذو الصلة بالتعمية — أي القادر على تشغيل خوارزمية شور بالحجم اللازم لكسر تعمية RSA والمنحنيات الإهليلجية التي تؤمّن ما يقارب كلّ إنترنت اليوم — لم يُبنَ بعد، والإجماع الصادق بين الخبراء هو أن لا أحد يعرف متى يُبنى. فقد قدّر استطلاع في ديسمبر 2024 شمل نحو ثلاثين خبيرًا كمّيًّا احتمالَ وجود آلة كهذه خلال عشر سنوات بما بين واحد من خمسة وواحد من ثلاثة تقريبًا. وثمة أقلية محترمة تشكّ في وصولها إلى حجم مفيد قبل زمن طويل جدًّا، إن وصلت أصلًا. فلماذا الموعد النهائي، ولماذا الآن؟

لأن الأمر لا يدافع عن نفسه في وجه الآلة. وهو يقول ذلك بنفسه. فمبرّره المعلن هو "the risk of adversaries collecting United States information now, and decrypting it later once large-scale quantum computers are operational" أي خطر أن يجمع الخصوم معلومات الولايات المتحدة الآن، ويفكّوا تشفيرها لاحقًا متى صارت الحواسيب الكمّية واسعة النطاق عاملة. احصد الآن، فُكّ التشفير لاحقًا: لا يحتاج الخصم إلى كسر تعميتك اليوم كي ينتصر. يحتاج فقط إلى أن يسجّلها اليوم — أن يلتقط النصّ المشفَّر وهو يعبر كابلًا، أو وصلة قمر صناعي صاعدة، أو نقطة تبادل إنترنت — ثم يخزّنها، بثمن بخس، إلى ما لا نهاية، انتظارًا لليوم الذي توجد فيه الآلة. وحين يأتي ذلك اليوم، يُفكّ تشفير الأرشيف بالجملة، بأثر رجعي. وينكشف دفعةً واحدة كلُّ سرٍّ فيه ما زال سرًّا.

وهذا يطوي مسألة الكمّ كلّها في حقيقة واحدة لا علاقة لها بالجدول الزمني. تستطيع أن تجادل في موعد وصول يوم Q. لكن ما لا تستطيع أن تجادل فيه هو أن التسجيل ممكن سلفًا وأن الحافز واضح سلفًا — فالاعتراض الجملي لحركة الشبكات موثَّق، من برامج حقبة سنودن إلى اختراقات Salt Typhoon هذه السنة، والتخزين رخيص. أما أن أرشيفًا بعينه يُكدَّس انتظارًا لانتهاء صلاحية التعمية فهو استنتاج لا مخزون مؤكَّد، غير أنه استنتاج راسخ الأساس، والأمر نفسه يتّخذ هذا الموقف الحذر بالضبط: فهو يحذّر من "the risk of adversaries collecting United States information now, and decrypting it later" أي خطر أن يجمع الخصوم معلومات الولايات المتحدة الآن ويفكّوا تشفيرها لاحقًا، متحوّطًا في مسألة النيّة ومقرًّا بالانكشاف. ولأن فكّ التشفير رجعيّ الأثر، فتاريخ يوم Q لا يحميك؛ والشيء الوحيد الذي يحمي رسالةً بعينها هو ما إذا كانت ملفوفة سلفًا في تعمية آمنة كمّيًّا لحظةَ اعتراضها. فإن لم تكن، فهي في الأرشيف منذ الآن. والكسر مجرّد موعد مضروب.

هذا هو الانقلاب الذي يقع في قلب هذه النشرة. لقد اعتدنا أن نفكّر في الشيفرة المكسورة بوصفها حدثًا مستقبليًّا يكشف رسائل مستقبلية. أما «احصد الآن، فُكّ التشفير لاحقًا» فيجعله حدثًا ماضيًا يكشف رسائل حاضرة. فالبيانات التي ترسلها اليوم هي البيانات التي تُحصد اليوم. انطلقت الساعة بلا طلقة بداية، وكما قال مسؤول سابق في CISA عن السنوات الفاصلة بين الآن وموعد 2030: ما زالت لدينا كلّ تلك البيانات التي ما زالت تخرج، وما زالت معرَّضة لخطر الحصاد.

التعمية لم تكن حالة قط. كانت رهانًا.

لكي تشعر لماذا هذا مقلق لا تقنيّ فحسب، تخلَّ عن افتراض مريح: أن «مشفَّر» صفة يمتلكها النصّ، كما أن الباب المقفل مقفل.

ليست كذلك. التعمية رهان — مراهنة على أن كلفة كسر الشيفرة ستفوق موارد أي مهاجم ما دامت المعلومة المحميّة ذات قيمة. وبالنسبة إلى الخوارزميات التي تدير إنترنت اليوم، كان ذلك الرهان آمنًا إلى حدّ فلكي، لأن القوة الغاشمة كانت ستستغرق أطول من عمر الكون. لكن الرهان لم يكن يومًا «هذا غير قابل للكسر». كان «هذا غير قابل للكسر في الوقت المتاح». والشقّ الثاني هو الذي يحمل الثقل كلّه.

والحاسوب الكمّي الذي يشغّل خوارزمية شور لا يكسر الرهان بالقوة الغاشمة؛ إنه يغيّر الرياضيات تحته، فيحيل مسألةً كانت تستغرق دهورًا إلى مسألة تستغرق أيامًا. وفي اللحظة التي توجد فيها تلك الآلة، يتبيّن بأثر رجعي أن الرهان الذي أمّن رسالةً بعينها كان خاسرًا — لا لحظةَ الكسر، بل لحظةَ إرسال الرسالة، إن كان أحد يسجّل. ولهذا فإن «احصد الآن، فُكّ التشفير لاحقًا» ليس استعارة. إنه وصف دقيق لكيفية سقوط رهان محدود بالزمن حين ينهار الأفق.

وهو يعيد صياغة الخبر السارّ في النشرة السابقة. السرّية انتصرت، هكذا كتبنا — لم يستطع الاتحاد الأوروبي فرض مسح الرسائل المشفَّرة، وصمدت البنية، ولم تتفاوض الرياضيات. كلّ ذلك صحيح، وكلّه عن التعمية الكلاسيكية، وهي بالضبط الرهان الذي بُني «احصد الآن، فُكّ التشفير لاحقًا» لاستدعائه. فالتعمية التي قاومت قارّةً من المنظّمين هي التعمية نفسها التي يسجّلها خصمٌ ليكسرها على جدول أطول. والانتصار في معركة إبقاء رسائلك مشفَّرة، والخسارة في معركة إبقاء تلك التعمية سابقةً للآلة، ليسا متناقضين. إنهما نصفا قصة واحدة في هذه السنة: القفل صمد — وثمة من يصوّره بصبر من كل زاوية ليصنع مفتاحًا لاحقًا.

الأمر، والنار التي يشعلها

الأمر التنفيذي 14412 ليس أول كلمة في هذا الشأن؛ إنه أعلاها صوتًا. فقد سبق أن حدّدت مذكّرة أمن قومي في 2022 هدفًا للترحيل على مستوى الحكومة كلّها في 2035. والأمر الجديد يضغط ذلك إلى 2030 و2031 للأنظمة الأهمّ، ويرسي سلسلة مواعيد أقرب — قادة انتقال في الوكالات خلال ثلاثين يومًا، وإرشادات جرد خلال تسعين، ومشروع ترحيل تجريبي في NIST خلال مئة وثمانين — والأهمّ أنه يمتدّ خارج الحكومة إلى سلسلة توريدها، موجّهًا المتعاقدين الاتحاديين إلى الالتزام بمعايير ما بعد الكمّ بنهاية 2030. وقد قدّر تقييم اتحادي أسبق كلفةَ ترحيل الأنظمة المدنية ذات الأولوية وحدها، باستثناء السرّية والعسكرية، بنحو سبعة مليارات دولار على مدى عقد.

تبدو المواعيد بعيدة. ليست كذلك، وهذا هو مغزى النار. فالترحيلات التعموية أبطأ مشاريع البنية التحتية على الإطلاق، لأن التعمية في كل مكان ولا لافتة عليها في أي مكان — مخبوزة في البرامج الثابتة، مثبَّتة في الأجهزة، مدفونة في البروتوكولات والشهادات والرقائق التي لم يجردها أحد. والقراءة الصادقة لموعد نهائي في 2030 مضروبٍ في 2026 ليست «أمامنا أربع سنوات للاسترخاء». إنها «الأمر من الصعوبة بحيث تصير أربع سنوات مهلةً ضيّقة»، وهذه في ذاتها الحجّة على أن الحصاد ينتصر: فإن كانت أفضل حكومات الأرض تمويلًا تحتاج حتى 2030 لإعادة تعمية أنظمتها عالية القيمة، فكلّ ما لم يُرحَّل بعدُ مكشوف طوال تلك المدة، ومسجِّل الخصم يعمل طوال الوقت.

والأدوات اللازمة موجودة، وهذا هو الجزء المبشِّر حقًّا. ففي أغسطس 2024، وبعد مسابقة مفتوحة استمرّت ثماني سنوات، أقرّت NIST أولى معايير ما بعد الكمّ نهائيًّا: ML-KEM لتبادل المفاتيح، وML-DSA وSLH-DSA للتواقيع، مع بديل احتياطي قائم على الشيفرات هو HQC، اختير في 2025 تحوّطًا في حال انكسرت رياضيات الشبكات التي تقوم عليها البقية. الخوارزميات حقيقية ومدقَّقة وقيد الشحن. والسؤال الذي يطرحه بقية هذا المقال ليس هل نستطيع الترحيل. بل ما الذي نرحّله بالضبط — وهل نتحرّك بسرعة في الجزء المهمّ أم في الجزء السهل.

ما تطول صلاحيته

«احصد الآن، فُكّ التشفير لاحقًا» ليس تهديدًا متجانسًا. إنه مسألة فرز، وفرزه هو الترياق للذعر والإنكار معًا.

معظم البيانات قصيرة الصلاحية. رمز دخول لمرة واحدة، وطلب غداء، ورمز جلسة، ورسالة «تأخّرت قليلًا» — فُكّ تشفيرها في 2034 ولن تكون تعلّمت شيئًا يساوي ثمن الكهرباء. فبالنسبة إلى الغالبية الساحقة من الحركة التي تعبر الإنترنت الآن، الحصاد حقيقي والخسارة صفر، لأن السرّ انتهت صلاحيته قبل وصول الآلة بزمن طويل.

لكن بعض البيانات صلاحيتها تُقاس بالعقود، أو بعمر إنسان، ولتلك البيانات يكون الحصاد كارثيًّا. فأسرار الدول والبرقيات الدبلوماسية تبقى حسّاسة ثلاثين سنة. والسجلات الصحية والجينومية تبقى حسّاسة ما دمتَ أنت وأقاربك أحياء. والشيفرة المصدرية وتصاميم الهندسة تبقى حسّاسة حتى يتقادم المنتج. والسجلات المالية والقانونية، وهويات مصادر الاستخبارات، ومواقع المنشقّين — كلّها تحمل الصفة التي تهمّ هنا: تظلّ خطرة إذا فُكّ تشفيرها متأخّرًا.

ثم تأتي الفئة التي أمضت هذه السلسلة السنة كلّها توثّقها، وهي أسوأ الحالات في كل بُعد دفعةً واحدة. فسجلّات القياسات الحيوية والهوية التي أرغمت الحكومات على إنشائها عبر 2026 — بطاقات الهوية الحيوية الوطنية، ومخازن هويات التحقق من العمر، وسجلّات شرائح الاتصال التي تربط كل خطّ باسم قانوني — بالغة الحساسية، وبالغة الدوام، وبالغة الاحتفاظ، وفي يد أبطأ الأوصياء حركةً وأقلّهم احتمالًا لأن يكونوا قد رحّلوا. فكلمة المرور التي تُسرَّب في حصاد يمكن تغييرها. والبطاقة المصرفية يمكن إصدارها من جديد. لكنك لا تستطيع تصفير قزحيتك. وقاعدة بيانات بصمات وقزحيات تُحصد اليوم ويُفكّ تشفيرها في 2032 ليست اختراقًا تتعافى منه؛ إنها قياس حيوي مخترَق بقية حياة الشخص المسجَّل، ولكل نظام سيثق يومًا بذلك القياس. وقد صارت الهوية الوطنية الحيوية في المكسيك رسمية في أكتوبر 2025. والحاصد لا يحتاج إليها مفكوكة التشفير اليوم. يحتاج فقط أن يكون مسجِّلًا حين تضعها الدولة على سلك.

هذا هو الفرز الذي تقتضيه اللحظة. ليس «شفّروا كل شيء ضدّ الكمّ غدًا»، فذلك غير ممكن ولا لازم، بل «جدوا البيانات التي ستبقى قاتلة بعد عقد وضعوها خلف تعمية آمنة كمّيًّا قبل اعتراضها، لا بعده». مدّة الصلاحية هي مفتاح الترتيب. والسجلّات في رأس القائمة، وهي ليست قريبة من مقدّمة الطابور بحال.

متباينة موسكا

ثمة قطعة حساب تحوّل هذا كلّه من إحساس عامّ إلى موعد نهائي، وهي من نصيب عالم التعمية ميكيلي موسكا. وهي بسيطة إلى حدّ يكاد يُخجل، ولهذا يصعب الإفلات منها.

سمِّ X عدد السنوات التي يجب أن تبقى بياناتك سرّية فيها. وسمِّ Y عدد السنوات التي سيستغرقها ترحيل أنظمتك إلى تعمية آمنة كمّيًّا. وسمِّ Z عدد السنوات المتبقية حتى يوجد حاسوب كمّي ذو صلة بالتعمية. فإن كان X زائد Y أكبر من Z — أي إن كان عمر السرّية المطلوب لبياناتك، مضافًا إليه زمن ترحيلك، يتجاوز الزمن المتبقّي حتى الآلة — فأنت متأخّر سلفًا. فالبيانات التي تحميها اليوم ستظل ذات قيمة حين تصل الآلة، ولن تكون قد أنهيت نقلها في الوقت المناسب.

وقوّة المتباينة أنها لا تشترط أن تعرف Z. تشترط فقط أن تلاحظ أن Y كبير وأن X، للبيانات التي تهمّ، هائل. فإن كان ترحيلك سيستغرق ست سنوات وكانت أسرارك يجب أن تصمد خمسًا وعشرين، فأنت مكشوف عند أي Z دون الواحدة والثلاثين — وهذا يغطّي عمليًّا كلّ تقدير جادّ مطروح، بما فيها المتفائلة. و«انتظر وانظر» استراتيجية متماسكة فقط إن كنت تعتقد أن Z أكبر من X زائد Y، أما للبيانات طويلة الصلاحية فإن X وحده يلتهم معظم المدى المعقول. وهذا هو الجواب على أوجه اعتراض في النقاش كلّه — لا نعرف متى يوم Q، فلمَ العجلة؟ — من غير حاجة إلى ادّعاء تاريخ. أنت تعجل لأن مُهلة التنفيذ طويلة ومدّة الصلاحية أطول، وهذان رقمان تعرفهما فعلًا.

ما شُحن، وما لم يُشحن

هنا يأتي الجزء الذي كان ينبغي أن يطمئن، فإذا هو أحدّ التواءات القصة: الترحيل جارٍ فعلًا على قدم وساق، وهو يمضي سريعًا — على البيانات الأقلّ حاجةً إليه بالضبط.

فقد تحرّكت حزمة التعمية المفتوحة من جهة المستخدم أولًا وبقوّة. أضافت Signal حماية ما بعد الكمّ إلى اتفاق مفاتيحها في 2023، ثم مدّتها في أكتوبر 2025 إلى السقّاطة المستمرة نفسها — بحيث إن المهاجم الذي يكسر جلسةً يومًا لا يستطيع فكّ المحادثة كلّها إلى الوراء — مع تحقّق صوري رسمي من التصميم الجديد قبل شحنه. وأعادت Apple بناء بروتوكول iMessage لأمن ما بعد الكمّ في 2024. وتبعتها المتصفّحات: صار Chrome وFirefox يتفاوضان افتراضيًّا على تبادل مفاتيح هجين لما بعد الكمّ، يقرن الخوارزمية الكلاسيكية بـML-KEM بحيث يتطلّب كسر الجلسة كسرهما معًا. وبقياس Cloudflare، عبرت حصّة حركة الويب البشرية التي تتفاوض على حماية ما بعد الكمّ من أقلّ من ثلاثة في المئة في مطلع 2024 إلى الأغلبية بنهاية 2025. فبالنسبة إلى المحادثة المشفَّرة في جيبك، صار الحصاد أصعب فعلًا.

لكن انظر عن قرب إلى ما تغطّيه تلك الأغلبية. إنها ساق النقل — أي مفتاح الجلسة العابر بين جهازك وشبكة محتوى — وهي بالضبط البيانات قصيرة الصلاحية التي يهتمّ بها الحصاد أقلّ ما يهتمّ. أما الأجزاء التي يهتمّ بها «احصد الآن، فُكّ التشفير لاحقًا» أكثر ما يهتمّ فلم تكد تتحرّك. فالتعمية بين الخوادم وتعمية المنشأ في حدود اتصال واحد من كل عشرة. والتواقيع الرقمية — طبقة التوثيق، الشيء الذي يثبت أن تحديث برمجية أو شهادةً أصيلة — أبطأ من ذلك، ومعيار أكفئها لم يُستكمل بعد. والذيل العميق مشكلة من نوع آخر: الأنظمة المدمجة، ووحدات التحكم الصناعية، والأقمار الصناعية، والمركبات، والأجهزة الطبية، وعتاد شبكات الكهرباء، بأعمار خدمة من عشر إلى ثلاثين سنة، وكثير منها يستحيل تحديثه ميدانيًّا، وكلّه يهدر على تعمية كلاسيكية ستظل تعمل حين تصل الآلة.

فالخلاصة غير المريحة هي هذه. الترحيل يربح السباق الرخيص ويخسر السباق المحصَّن ضدّ الزمن. تحرّكنا بسرعة على مفاتيح الجلسات العابرة، حيث لا قيمة لفكّ تشفير متأخّر، ولم نكد نتحرّك على البيانات الطويلة العمر غير القابلة للتعويض — الأسرار، والسجلات الصحية، وسجلّات القياسات الحيوية — التي في يد أبطأ الأوصياء تحرّكًا. الرقم العريض حقيقي وهو خبر سارّ فعلًا لرسائلك. وهو أيضًا يقيس الشيء الخطأ إن قرأته على أنه «أنجزنا النصف». لقد أنجزنا نصف النصف السهل.

الحجّة للتهدئة

النسخة الصادقة من هذه القصة عليها أن تأخذ أشدّ نقّادها على محمل الجدّ، فهم ليسوا مهووسين؛ بعضهم علماء التعمية أنفسهم الذين بنوا الأدوات التي تنافح عنها هذه السلسلة، واعتراضهم أفضل حجّة في الميدان.

وهي تجري هكذا. قد يكون يوم Q بعيدًا جدًّا، وقد لا يصل إلى حجم مفيد أبدًا. فأكبر الحواسيب الكمّية اليوم تتحكّم في حدود ألف كيوبت فيزيائي معرَّض للخطأ؛ وقد قدّر تقدير موثوق في 2025 ما يلزم لكسر RSA-2048 بأقلّ من مليون منها — وهو خفض لافت عن أرقام أسبق بلغت عشرين مليونًا، لكنه يظلّ يبعد ثلاث إلى أربع مراتب عشرية عن كل ما هو موجود، ومرهونًا باختراقات في تصحيح الأخطاء لم تحدث. وقد عرض أحد كبار علماء التعمية علنًا أن يراهن بمبالغ طائلة من المال على ألّا يصل حاسوب كمّي ذو صلة بحلول 2035؛ وآخر يحبّ أن يشير إلى أن الآلات الكمّية لم تحلّل بعدُ العدد 35 إلى عوامله. وحول هذا الغموض الحقيقي نما مجمّع صناعي كمّي — بائعون ومكاتب استشارية وشركات ناشئة بتقييمات في عنان السماء وإيرادات ضئيلة، نموذج عملها بيع الاستعجال، وتقييماتها للتهديد جديرة بأن تُقرأ مع وضع ذلك في الحسبان. والاندفاع نفسه يحمل خطرًا حقيقيًّا: فتطبيقات ما بعد الكمّ حديثة، والشيفرة التعموية الحديثة فيها عِلَل، بعضها أسوأ من عِلَل الشيفرة الكلاسيكية المجرَّبة في المعارك التي تحلّ محلّها. وقد وُجد خلل خطير فعلًا في إحدى مكتبات ما بعد الكمّ الشائعة في 2023.

كلّ بند من ذلك صحيح، والنتيجة المترتّبة عليه ليست «لا تفعل شيئًا» بل «افعل الشيء الصحيح، بعناية». سلّم بالجدول الزمني تسليمًا كاملًا — نحن لا نعرف Z، وباعة الكتيّبات الدعائية حقيقيون. وتبقى الأطروحة سليمةً رغم التسليم، لأن الادّعاء الحامل للثقل لم يكن يومًا عن التاريخ. كان عن الحصاد، وهو مستقلّ عن الجدول الزمني: أيًّا كان Z، فالبيانات طويلة الصلاحية المحصودة تحت تعمية كلاسيكية قبل أن ترحّل ضائعةٌ متى وصلت الآلة. والجواب على «تعمية ما بعد الكمّ حديثة وفيها عِلَل» هو النشر الهجين الذي تستعمله المشاريع الجادّة سلفًا — الكلاسيكي وما بعد الكمّ معًا، بحيث لا تستطيع الشيفرة الجديدة إلا أن تضيف أمانًا، لا أن تطرح منه، وبحيث تبقى الخوارزمية الكلاسيكية المُثبَتة قائمةً حتى مع علّة في رياضيات الشبكات. والجواب على المجمّع الصناعي الكمّي ليس تجاهل التهديد الذي يبالغ في بيعه، بل القيام بالفرز غير البرّاق الذي تتخطّاه الكتيّبات: اجرد تعميتك، ورتّبها بحسب مدّة الصلاحية، ورحّل البيانات طويلة العمر أولًا بأنظمة هجينة، وابقَ متشكّكًا في كل من يبيعك زرّ ذعر. والأمران صحيحان في آن. النصب حقيقي، والحصاد حقيقي.

الساعة العالمية

الترحيل سباق، والمتسابقون يجرون بسرعات متفاوتة إلى حدّ بعيد، وهذا خطر بذاته.

وأكثر من يُذكر بوصفه حاصدًا هي الصين، التي ضخّت ما يُذكر أنه عشرة إلى خمسة عشر مليار دولار في البحث الكمّي، ولديها من مدى الاعتراض ومن الصبر ما يكافئه «احصد الآن، فُكّ التشفير لاحقًا»؛ وعدم تناظر الاستراتيجية أن البلد الذي يسجّل أكثر اليوم يربح أكثر متى جاء يوم Q، بصرف النظر عمّن يبني الآلة أولًا. والمدافعون يتحرّكون على ساعاتهم الخاصة: فخارطة طريق مجتمع الاستخبارات الأمريكي تدفع أنظمة الأمن القومي إلى حصرية ما بعد الكمّ بين 2030 و2033؛ وسلطة الأمن السيبراني في المملكة المتحدة تضع محطّات حتى 2035؛ ومكتب الأمن الألماني يريد ترحيل البنية التحتية الحرجة بحلول 2030 — ومع ذلك، وبحسب استطلاعات حديثة، فإن أقلّ من مؤسسة واحدة من كل عشرين لديها حتى مجرّد خطة ترحيل. المعايير عالمية والاستعجال ليس كذلك. والنتيجة عالم اتفق على الخوارزميات واختلف على الجدول، وأبطأ الأوصياء حركةً يحملون أطول البيانات عمرًا، وخصمٌ لا يعنيه ذلك كلّه ما دام المسجِّل يعمل.

الانضباط بين الإنكار والذعر

هنا يفشل موقفان، ويفشلان بتناظر.

الإنكار — «يوم Q ضجيج، والآلة ليست قريبة، فاسترخِ» — خطأ لا لأن الجدول الزمني قصير، بل لأن الحصاد لا ينتظر الجدول. إنه يحدث الآن، على بيانات صلاحيتها أطول من أي Z معقول، والترحيل الذي كان سيوقفه يستغرق سنوات لينفَّذ. وحين يثبت خطأ الإنكار، تكون الأسرار الطويلة العمر في الأرشيف سلفًا، ولا رقعة برمجية لفكّ تشفير وقع فعلًا.

والذعر — «اترك كل شيء وحصّن العالم كمّيًّا بحلول الثلاثاء» — خطأ لأنه مستحيل، ولأنه يموّل النصب، ولأن حشر تعمية حديثة في أنظمة حرجة قد يطرح من الأمان بدل أن يضيف إليه. وبين الاثنين يقع الموقف الوحيد الذي يصمد أمام الوقائع: الفرز. جِد البيانات التي ستبقى قاتلة بعد عقد. وانقلها خلف تعمية آمنة كمّيًّا أولًا، هجينًا مع الخوارزميات الكلاسيكية كي لا تسقط الأرضية أبدًا. واطلب مرونةً تعمويةً — أي القدرة على تغيير الخوارزميات مجددًا، وبسرعة، حين يقع الكسر التالي، لأن ثمة كسرًا تاليًا — من كل بائع وكل نظام تشتريه، لأن أعمق دروس هذه اللحظة ليس «انتقل إلى ML-KEM» بل «لا تثبّت مرةً أخرى شيفرةً لا تستطيع استبدالها». وبوصفك فردًا، افعل الشيء الوحيد المتاح لك تمامًا: استعمل الأدوات التي رحّلت سلفًا. فالمراسل المشفَّر ذو سقّاطة ما بعد الكمّ يحمي محادثة اليوم من آلة الغد، وهذا أندر ما في هذا المشهد كلّه — دفاع تستطيع نشره قبل التهديد لا بعده.

هذه هي تتمّة النشرة السابقة، وهي تُعقِّد انتصار تلك النشرة من غير أن تمحوه. السرّية انتصرت، في وجه المنظّمين الذين أرادوا مسحها. ذلك الانتصار حقيقي، وهو مستدان على حساب ساعة. فالتعمية التي احتفلنا بها تُسجَّل لتُكسر لاحقًا، والبيانات التي نحن أقلّ استعدادًا لحمايتها هي البيانات التي نحن أقلّ قدرةً على تحمّل خسارتها — الهويات، والقياسات الحيوية، وحقائق الجسد التي لا تُردّ، والتي يعمل عقدٌ من السياسات على إرغامها إلى أسلاك يسجّلها أحدهم، في مكان ما، بصبر.

لا تستطيع إعادة تعمية قزحيتك بمفتاح جديد. والحركة الوحيدة هي أن تحرص على ألّا تكون أُرسلت في العلن قط.

URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم على مستوى الشبكة؛ وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية الندّية. وشيفرة URnetwork مفتوحة وقابلة للتدقيق، وأمن نقلها يتتبّع ترحيل ما بعد الكمّ الذي تصفه هذه النشرة — أي انضباط البقاء مرنًا تعمويًّا، علنًا، حيث يمكن التحقّق من التغيير بدل الوعد به.

https://ur.io

ابدأ بالانتصار، فهو حقيقي وعالم الخصوصية محقّ في ادّعائه.

طوال ثلاث سنوات لاحق الاتحاد الأوروبي لائحةً صار الإنترنت يسمّيها Chat Control: اقتراحٌ يُلزم مزوّدي المراسلة بمسح محتويات الاتصالات الخاصة بحثًا عن مواد إساءة. وفي أشدّ صوره عدوانيةً كان يطالب بالمسح من جهة العميل — برنامج على جهازك أنت، يفحص رسائلك قبل أن تُشفَّر. وفي السؤال الأهمّ، انتصر جانب التعمية. ففي موقفه التفاوضي في نوفمبر 2025 ألغى المجلس الكشف القسري وأضاف حمايات للاتصالات المشفَّرة؛ وبحلول منتصف يونيو 2026، كما تُظهر وثائق داخلية، كانت المؤسسات الثلاث قد اتفقت مبدئيًّا على استثناء المحتوى المشفَّر طرفًا إلى طرف من نطاق اللائحة كلّيًّا. وانعقدت الجلسة الثلاثية الخامسة والأخيرة المقرّرة في 29 يونيو لتسوية ما تبقّى. والمسح الإلزامي لرسائلك المشفَّرة، في الوقت الحالي، خارج الطاولة.

وقد خرج من الطاولة بسبب حقيقة ظلّ علماء التعمية يكرّرونها حتى وصلت. فقد قالتها كارميلا ترونكوسو، التي تدير معهد ماكس بلانك لأمن الأنظمة والخصوصية، بوضوح في نوفمبر: «متى صار المحتوى متاحًا لطرف غير المرسِل أو المتلقّي، اختفت الحماية التي توفّرها التعمية». فلا وجود لمسح يحفظ التعمية؛ ثمة فقط باب يُقطَع في الجهاز، والباب المفتوح للماسح باب مفتوح للجميع. ووقّع أكثر من ثمانمائة عالم رسالة مفتوحة تصف الكشف على نطاق السكان بأنه «غير ملائم». وقالت ميريديث ويتاكر، رئيسة Signal، إن الشركة ستغادر الاتحاد الأوروبي قبل أن تبنيه: «لو خُيّرنا بين بناء آلة مراقبة داخل Signal وبين مغادرة السوق، لغادرنا السوق». وكانت Apple قد تخلّت عن نظام المسح الخاص بها في 2022، محذّرةً من أنه «سيخلق نواقل تهديد جديدة». قالت البنية لا، فأصغت قارّة — بعد ثلاث سنوات.

تلك هي الحرب التي عرفت حركة الخصوصية كيف تخوضها. خاضتها في مواجهة Apple وFBI، وفي قانون EARN IT، وفي بند التجسّس في قانون السلامة على الإنترنت البريطاني، وفي خمس جلسات ثلاثية أوروبية، وعلى مستوى البنية انتصرت في معظمها. فالتعمية هي الوضع الافتراضي في أكبر تطبيقات المراسلة في العالم، والرياضيات غير قابلة للتفاوض، وفي 2026 جرى التسليم بذلك.

فهذه النشرة تصدّر الانتصار. ثم تطرح السؤال الذي يخفيه الانتصار: إن لم يستطيعوا كسر التعمية، فإلى أي شيء مدّوا أيديهم بدلًا منها؟

الجواب في النصّ نفسه. فمع اختفاء المسح الإلزامي، صار التحقّق من العمر هو البديل لدى المجلس والمفوّضية — اشتراطٌ بأن يتحقّق المستخدمون من أعمارهم قبل أن يُسمح لهم باستعمال خدمة «خطرة»، أي مسح للوجه أو بطاقة هوية حكومية لإرسال رسالة خاصة، أو إرسال بريد إلكتروني، أو تنزيل تطبيق. وتفويض البرلمان الأوروبي يرفض التحقّق الإلزامي من العمر بالضبط للحفاظ على الاتصال مجهول الهوية؛ وتفويض المجلس يبقيه؛ وهذا — لا المسح — هو المركز غير المحسوم الآن في صفقة ما زالت قيد التفاوض، مع نتيجة غير مؤكّدة للجلسة الثلاثية الأخيرة واحتمال انزلاق أي اتفاق إلى يوليو. وقد سمّى وصفٌ للحظة الرهانَ بدقّة: الاتصال المشفَّر مجهول الهوية، في ظلّ ذلك الإطار، ينتهي. التعمية تبقى. وإخفاء الهوية لا يبقى.

أمسِك بتلك الجملة، فهي النشرة كلّها. ثم وسّع العدسة، فـ30 يونيو ليس نقطة بيانات واحدة. إنه ثلاث.

خاصّتان لمحادثة حرّة

للمحادثة الخاصة خاصّتان، وقد أمضت حركة الخصوصية معظم طاقتها في الدفاع عن واحدة منهما.

الأولى هي السرّية: أن يبقى ما تقوله سرًّا. أن تكون محتويات الرسالة مقروءة لك وللشخص الذي تحدّثه فقط — لا للمنصّة، ولا لشركة الاتصالات، ولا للدولة. هذه هي الخاصّة التي بُنيت التعمية طرفًا إلى طرف لحمايتها، وهي الخاصّة التي انتصرت هذه السنة. وحين يقول الناس «مشفَّر» فهذا ما يعنونه، وهو قابل للدفاع فعلًا ورياضيًّا: فالقناة المشفَّرة طرفًا إلى طرف المنفَّذة تنفيذًا صحيحًا لا يستطيع قراءتها من يحوز النصّ المشفَّر، ولا تغيّر أي لائحة الرياضياتِ من دون فرض باب خلفي تستطيع البنية والمدافعون عنها رفضه.

والثانية هي إخفاء الهوية: أن تستطيع إجراء المحادثة أصلًا من دون أن تثبت أولًا من أنت. أن تستطيع شراء الشريحة، وفتح الحساب، وقراءة الصفحة، والانضمام إلى القناة، والكلام — من دون أن تربط هويتك القانونية أو وجهك أو بصمتك أو وثيقتك الحكومية بالفعل. وهذه ليست خاصّة من خواصّ التعمية. فالتعمية طرفًا إلى طرف تحمي محتويات المظروف؛ ولم تُصمَّم يومًا لحماية قدرتك على شراء المظروف من دون إظهار وجهك. تستطيع أن تحوز سرّيةً كاملة وانعدامًا تامًّا لإخفاء الهوية في آن واحد: فتطبيق مراسلة يشفّر كل بايت تشفيرًا لا تشوبه شائبة ويطلب مسحًا للوجه لفتح الحساب يمنحك ذلك بالضبط — كلماتك سرّ، وكون أنت من يقولها، على هوية مسجَّلة، ليس سرًّا. فالخدمة المشفَّرة ما زالت تعرف حسابك، ورقمك، وجهازك، وعنوانك، ورسمك الاجتماعي — من تحدّث، ومتى، وكم مرّة. التعمية تخفي الرسالة. ولم يكن مقصودًا بها يومًا أن تخفي المظروف، أو ختم البريد، أو الطابور عند الشبّاك حيث أظهرت هويتك كي ترسلها.

هذا هو الخطأ التصنيفي في قلب اللحظة. فطوال عقد، صار «هل هو مشفَّر؟» هو الاختبار العامّ لأمان أداةٍ ما، وصار الجواب «نعم» أكثر فأكثر. لكن التعمية كانت دائمًا جوابًا على مراقبة المحتوى، أما إلزامات الهوية التي تصل في 2026 فهي هجوم على إخفاء الهوية — خاصّة مختلفة، يُدافَع عنها بوسائل مختلفة، ويُدافَع عنها الآن دفاعًا أضعف بكثير. فالمبلّغ عن المخالفات، والناجية من الإساءة التي تتصل بخطّ ساخن لمأوى، والمراهق الذي يبحث عن سؤال في الصحة الجنسية، والمنشقّ تحت نظام تسجيل شرائح سلطوي، والشخص العادي الذي لا يقبل ببساطة أن تقتضي القراءةُ إظهار هوية — لا يحمي أحدًا منهم أن القناة مشفَّرة، إن كان عليه أن يثبت من هو ليدخلها.

إخفاء الهوية هو الأرضية. والسرّية هي الطبقة التي تعلّمنا صبّها فوقها. و30 يونيو هو اليوم الذي تشقّقت فيه الأرضية في ثلاثة مواضع دفعةً واحدة.

البديل هو الهجوم

عُد إلى بروكسل، فالاتحاد الأوروبي لم يلن بقدر ما استدار، والاستدارة هي الدرس.

قُل الانتصار بصدق، بحدوده كلّها، كي لا يُباع بأكثر من قيمته. فقد تنازل المجلس عن أصعب مطالبه، أي المسح الإلزامي من جهة العميل، لأنه لم يكن يتصالح مع التعمية ولأن الدول الأعضاء لم تكن لتأمر أجهزة مواطنيها أن تصير ماسحات. وذلك التنازل حقيقي. لكن يرافقه أمران، وكلاهما يقطع في الاتجاه الآخر. أولًا، ما زال نصّ المجلس يضفي الشرعية على نظام مسح «طوعي» ويجعله دائمًا — أي أساس قانوني قائم لمن يختار من المزوّدين أن يراقب، من دون أمر قضائي، وهو ما يقرؤه براير لا بوصفه تراجعًا بل بوصفه «ضوءًا أخضر لمراقبة جماعية عشوائية». سقط الإلزام؛ ورُسّخت الإباحة. والمعركة لم تنتهِ نظيفةً أصلًا: ففي الأسبوع الأخير من يونيو تحرّك سفراء الاتحاد لإحياء إطار المسح المؤقّت الذي سقطت صلاحيته، عبر مناورة غير مسبوقة في المجلس، رغم أن البرلمان كان قد قتله في مارس بصوت واحد.

وثانيًا، وهو الأكبر، بديل التحقّق من العمر. انزع الماسح، وتبقى الطريقة التي تراقب بها من يوجد على خدمة مشفَّرة هي التحقّق من هوية كل من ينضمّ إليها. ولهذا، مع اختفاء المسح، صار التحقّق من العمر هو المعركة الحيّة، ولهذا رسم البرلمان خطّه هناك. فالجهة التي تمثّل مواطني الاتحاد تمثيلًا مباشرًا تفهم ثمن هذا الشرط الثنائي: فحصُ عمرٍ إلزامي على باب مراسل مشفَّر يحوّل أخصَّ قناة يملكها معظم الناس إلى قناة لا تدخلها إلا بإقرارك بمن أنت، أو على الأقلّ بعمرك — ولا تستطيع أن تثبت عمرك لبرنامج غريب من دون أن تثبت هويتك لأحدهم في مكان ما من السلسلة.

هذه هي الحركة التي ينبغي مراقبتها في كل مكان الآن، لأنها تعمّم نفسها. حين لا تستطيع قراءة الرسالة، اشترط هوية لإرسالها. وحين لا تستطيع كسر القفل، ضع حارسًا عند الباب يدوّن كل من يمرّ. فالسرّية وإخفاء الهوية ليسا الخاصّة نفسها، ويستطيع نظام أن يمنح الأولى بينما يفكّك الثانية تفكيكًا منهجيًّا — وهذا بالضبط ما تفعله الاستدارة. التعمية تبقى. وإخفاء الهوية هو ما على الطاولة.

شريحة الاتصال مجهولة الهوية ماتت

بينما كانت بروكسل تتجادل، ضربت المكسيك موعدًا نهائيًّا، ونسختها تخطّت الرسالة وذهبت إلى الخطّ نفسه.

اعتبارًا من 30 يونيو 2026، يجب أن يكون كل خطّ محمول في المكسيك — مسبق الدفع، ولاحق الدفع، وشريحة فيزيائية، وشريحة إلكترونية، وهي أكثر من 144 مليون خطّ — مرتبطًا بهوية حامله: بطاقة هوية حكومية وCURP، أي مفتاح السكان الوطني. أما الشريحة مسبقة الدفع مجهولة الهوية — التي اعتمدت عليها الناجية من العنف الأسري، والصحفي الاستقصائي، والشخص العادي الذي لم يشأ ببساطة أن يكون في قاعدة بيانات — فقد انتهت. وكان الإنفاذ الصارم، أي قطع الخطوط غير المسجَّلة، مقرّرًا في 1 يوليو؛ وفي 25 يونيو خفّف المنظّم توقيت الخطوط مسبقة الدفع إلى جدول متدرّج يمتدّ حتى ديسمبر، لكن البنية مبنيّة والاتجاه ثابت. وعند التمديد، لم يكن قد سجّل سوى 43 في المئة من الخطوط بالكاد؛ وعشرات الملايين مهدَّدة بالتعليق.

وهنا تصير القصة أكثر إثارةً للاهتمام من العناوين، وأكثر دلالة. فسجلّ الخطوط، بحكم قاعدة المنظّم نفسه، ليس حيويًّا: إذ يُحظر على شركات الاتصالات الاحتفاظ ببصماتك أو صورتك أو حتى نسخة من هويتك — فهي تربط الرقم بـCURP الخاص بك وتتحقّق من الوثيقة، لا أكثر. وذلك التحفّظ ليس كرمًا؛ إنه ندبة. فقد فعلت المكسيك هذا مرّتين من قبل. RENAUT، سجلّ 2009، انتهى بقاعدة بياناته تُباع في أسواق تيبيتو الشعبية بمئات قليلة من البيزو، وأُتلف ماديًّا في 2012. وPANAUT، نسخة 2021، طالب بالقياسات الحيوية — فأسقطته المحكمة العليا بالكامل، بتسعة أصوات مقابل صوتين، على أسس الخصوصية والتناسب. وإلزام الخطوط في 2026 غير حيوي بالضبط لأن المحكمة قتلت النسخة الحيوية؛ بل إن محكمة اتحادية في يونيو منعت شركات الاتصالات من طلب القياسات الحيوية لتسجيل خطّ. المضادّ القانوني نجح.

لكن انظر إلى ما يجري بالتوازي، وإلى ما أُزيل من الكفّة الأخرى. فإلى جانب الشريحة المرتبطة بالهوية، تبني الدولة CURP Biométrica — هوية وطنية تلتقط فعلًا الوجه والبصمات العشر كلّها والقزحيتين، أُنشئت بمرسوم في يوليو الماضي، وصارت الهوية الرسمية للبلاد، وسجّل فيها نحو خمسة وعشرين مليون شخص. وهي، في الوقت الحالي، مؤطَّرة على أنها طوعية؛ وهي أيضًا موضوعة بوصفها طبقة التحقّق التي سيتّصل بها كل شيء آخر في نهاية المطاف. أما الجهة الرقابية التي هزمت PANAUT في 2022 — INAI، سلطة حماية البيانات المستقلّة — فلم تعد موجودة؛ إذ أُدمجت في السلطة التنفيذية في 2025. سابقة المحكمة التي نزعت القياسات الحيوية عن الشريحة ما زالت قائمة. والمؤسسة التي كانت ستتقاضى في القضية التالية من هذا النوع اختفت. هكذا ينمو من جديد سجلٌّ قتلته المحاكم يومًا: لا بنقض الحكم، بل بتفكيك الجهة التي كسبته.

وهنا تصطدم الحزمة من جهة المستخدم — البروتوكولات، والتعمية، والأجهزة المحصَّنة التي تنافح عنها هذه المطبوعة — بأصلب جدرانها، والصدق يقتضي تسميته. ففي وجه سجلّ هوية مفروض بالقانون، حيويًّا كان أو مرتبطًا بالهوية فحسب، لا توجد بدائية على جهة العميل تتيح للمرء أن يمتثل ويحتجب في آن. التعمية تحمي المكالمة؛ وهي لا تفكّ ارتباط الشريحة باسمك. تستطيع أن تلتفّ حول حجب، لأن الحجب حالة شبكية يمكنك أن تنفق تحتها؛ ولا تستطيع أن تلتفّ حول قانون يجعل هويتك القانونية شرطًا مسبقًا لرقم هاتف، لأن السجلّ ليس في الشبكة — إنه عند نقطة البيع، وفي قاعدة بيانات الجهة المُصدِرة، وفي النصّ التشريعي. أما الالتفاف التقني الوحيد على إلزام الخطوط، وهو شريحة إلكترونية للبيانات فقط من مشغّل أجنبي على التجوال، فموجود، وقد أقرّ به المنظّم علنًا — لكنه لا يمنح رقمًا محليًّا مجهول الهوية، ويترك أثرًا في الدفع، وهو ترف قلّة متنقّلة، وقد قال المنظّم إنه سيُغلق بعد كأس العالم. المضادّ لسجلّ إلزامي سياسي وقانوني، لا تعموي. والمكسيك هي البرهان في الاتجاهين: المحاكم أجبرت السجلّ على نزع قياساته الحيوية، وتفريغ المؤسسات الشريكة للمحاكم هو الطريق الذي ينبت به من جديد.

تحقّقوا من الجميع

سلكت بريطانيا الاستدارة نفسها من باب مختلف، وجعلت المنطق الشامل للتحقّق من العمر مستحيل الإغفال.

في 15 يونيو 2026، أعلنت الحكومة البريطانية حظرًا لوسائل التواصل الاجتماعي على من هم دون 16 سنة — Snapchat وTikTok وYouTube وInstagram وFacebook وX — مع تشريع موعود قبل نهاية السنة وحمايات متوقّعة في ربيع 2027. ولكي تُبقي من هم دون 16 سنة خارج منصّة، يجب أن تعرف من هو دون 16 سنة، ومعنى ذلك أن تفحص عمر الجميع. وكما قالت مجموعة الحملات Defend Digital Me: «للتحقّق من أن مستخدمًا فوق 16 سنة، يجب على كل بالغ أيضًا أن يثبت أنه ليس طفلًا». وكانت EFF أفظّ: في ظلّ نظام كهذا «يُحمَّل المستخدمون من كل الأعمار عبء إثبات أعمارهم»، و«لا تزال لا توجد طريقة موثوقة حافظة للخصوصية للتحقّق من عمر كل مستخدم للإنترنت». فإجراءٌ مؤطَّر على أنه حماية للأطفال يصير، في آليّته، بنيةً تحتية للهوية على مستوى السكان — تقدير العمر بالوجه، ورفع الهوية، وفحوص الخدمات المصرفية المفتوحة، وإقرار شبكة المحمول، وصندوق الأدوات كلّه الذي باركته Ofcom، مطبَّقًا على الجمهور البالغ كلّه ثمنًا للبقاء على الإنترنت.

وبريطانيا ليست شاذّة؛ إنها تابعة. فحظر أستراليا لمن هم دون 16 سنة، وهو الأول عالميًّا، دخل حيّز التنفيذ في 10 ديسمبر 2025، وفي 27 يونيو — قبل ثلاثة أيام — أعلنت الحكومة الأسترالية أنها ستضاعف العقوبة القصوى، إلى نحو 99 مليون دولار أسترالي، بعد أدلّة على أن قاصرين يتحايلون عليه، مع خمس منصّات قيد التحقيق. أما الولايات المتحدة، فبعد قضية Free Speech Coalition v. Paxton (المحكومة 6–3 في 27 يونيو 2025، والمؤيِّدة لقانون التحقّق من العمر في تكساس بمعيار التدقيق المتوسّط)، صار لديها نحو عشرين ولاية تفرض فحوص العمر على محتوى البالغين واثنتا عشرة أخرى تمتدّ إلى وسائل التواصل الاجتماعي للقاصرين. وتوصية المفوّضية الأوروبية في 29 أبريل 2026 تحثّ كل دولة عضو على إتاحة التحقّق من العمر بنهاية السنة، على قضبان محفظة الهوية الرقمية eIDAS 2.0. وقد سمّت Freedom House النمط في أحدث تقاريرها عن الحرية على الشبكة، في السنة الخامسة عشرة على التوالي من تراجع حرية الإنترنت: «إخفاء الهوية على الإنترنت، وهو ممكِّن أساسي لحرية التعبير، يدخل مرحلة أزمة مع إلزام صانعي السياسات في البلدان الحرّة والسلطوية على السواء باستعمال تقنية التحقّق من الهوية». فالديمقراطيات والأنظمة السلطوية تتقارب على البنية نفسها من طرفين متقابلين. السلطوي يريد السجلّ ليجد المنشقّ. والديمقراطية تريد البوابة لتحمي الطفل. والبنية التي يبنيانها هي البوابة نفسها، ومتى قامت فإنها تفحص الجميع.

الجهة المُصدِرة التي تسجّل

ثمة جواب تقني حقيقي على هذا كلّه، والأمانة الفكرية تقتضي عرضه بكامل قوّته وشرح سبب عدم كفايته حتى الآن معًا.

الجواب هو إثبات العمر بالمعرفة الصفرية. فمن حيث المبدأ، تتيح لك التعمية أن تثبت بتًّا واحدًا — «فوق الثامنة عشرة» — لموقع من دون أن تسلّمه تاريخ ميلادك أو اسمك أو وثيقتك. ويُحسب الإثبات على جهازك؛ ولا يتعلّم الموقع المعتمِد سوى القيمة الثنائية ولا شيء غيرها. وتطبيق التحقّق من العمر في الاتحاد الأوروبي يُباع على هذا الوعد بالضبط: أثبت أنك فوق الثامنة عشرة «من دون مشاركة أي معلومات شخصية أخرى». ولو أنجزت التقنية ما يدّعيه الشعار، لتلاشت مشكلة إخفاء الهوية في معظمها — إذ ستستطيع أن تجتاز بوابة العمر وتبقى مع ذلك لا أحد بعينه في نظر الخدمة خلفها. والحجّة المضادّة قوية وتستحقّ أن تُؤخذ بجدّية لا أن تُنفض باليد: فالتحقّق من العمر الحافظ للخصوصية تعميةٌ حقيقية لا وعودٌ فارغة، وهو أفضل فعلًا من رفع جواز سفر إلى موقع إباحي.

لكنه لا يمنح إخفاء الهوية، والفجوة بين «حافظ للخصوصية» و«حافظ لإخفاء الهوية» هي القصة كلّها. وثمة ستة أمور صحيحة في آن. التسجيل يقتضي تعريفًا كاملًا: فللحصول على الوثيقة الاعتمادية يجب أن تثبت هويتك الحقيقية لجهة مُصدِرة — هوية إلكترونية حكومية، أو مصرف، أو فحص جواز سفر — فيذهب إخفاء هويتك عند الإصدار، قبل أن يُحسب أي إثبات أصلًا؛ إنه محجوب عن الموقع، لا عن الجهة المُصدِرة أبدًا. والاتحاد الأوروبي وحّد معايير المخطّط القابل للربط: فكتيّب قواعد محفظة الهوية الرقمية يفرض صيغ وثائق اعتمادية (ISO mdoc وSD-JWT) ليست غير قابلة للربط تعمويًّا، بينما المخطّطات غير القابلة للربط (BBS+ وzk-SNARKs) غير معتمَدة للاستعمال في القطاع العامّ الأوروبي — فالتطبيق المشحون يستمدّ خصوصيته من دفعات من رموز الاستعمال الواحد المستحثّة من جواز سفر أو هوية إلكترونية، وهو ما لاحظت EFF أنه «ربط الهوية الوطنية مباشرةً بطريقة للتحقّق من العمر». والجهة المُصدِرة تستطيع الاتصال بمقرّها: إذ يمكن لفحوص الإلغاء أن تتّصل بالجهة المُصدِرة في كل استعمال، فتسجّل أين تُقدَّم الوثيقة وكم مرّة. والبيانات الوصفية تهزم القيمة الثنائية: فعنوان IP وبصمة الجهاز والتوقيت تربط الإثبات «مجهول الهوية» بشخص. والإثباتات المتكرّرة تسرّب: أثبت «فوق الحادية والعشرين» اليوم و«فوق الثامنة عشرة» العام الماضي فتضيق نافذة الميلاد. والجهة المُصدِرة تصير عنق زجاجة: فمن يهيمن على إصدار الوثائق الاعتمادية — هوية إلكترونية وطنية، أو محفظة منصّة — يصير بحكم الأمر الواقع حارسَ البوابة الذي يقرّر من يُسمح له بالكلام، أي نقطة تحكّم وحيدة مستقلّة عن رياضيات أي إثبات بعينه. والحكم الصادر عن علماء التعمية في الميدان نفسه هو ما ينبغي الاحتفاظ به: إخفاء الهوية يجري نحو الطرف المعتمِد، لا نحو الجهة المُصدِرة أبدًا. فالإثبات يخفي تاريخ ميلادك عن الموقع. ولا يجعلك مجهول الهوية للنظام، ولا يستطيع، لأن النظام بُني ليعرفك عند الباب حتى لو وافق على نسيانك على الطاولة.

فالمضادّ التقني الوحيد لهجوم إخفاء الهوية ضروري، ويستحقّ أن يُبنى، وهو — في صورته المنشورة في 2026 — غير كافٍ بعد. والردّ الصحيح ليس نبذ إثباتات المعرفة الصفرية، بل المطالبة بالنسخ غير القابلة للربط، وبالإصدار اللامركزي، وبإلغاءٍ لا يتّصل بمقرّه، وأن نكون صادقين في هذه الأثناء في أن معظم ما يُشحن اليوم من تحقّق من العمر ليس حتى هذا. إنه مسح للوجه ورفع لوثيقة. أي: هوية، مجموعة.

كل إلزام مصيدة عسل

ثمة كلفة ثانية لتصنيع الهوية على نطاق واسع، وقد وفّر يونيو الأدلّة عليها بالجملة: فكل هوية تُرغَم على إنشائها تصير قاعدة بيانات سيسرقها شخص آخر يومًا ما.

وهذا ليس نظريًّا، وقد أنتجت موجة التحقّق من العمر اختراقاتها سلفًا. فالتجمّع الذي أمضى يونيو ينهب مستأجري السحابة في الشركات هو نفسه الذي سرق، في أكتوبر 2025، نحو سبعين ألف صورة هوية حكومية من مورّد التحقّق من العمر الذي استعملته Discord. وفي منتصف يونيو 2026، وجد باحثون أمنيّون ما يقارب مليون صورة جواز سفر وهوية — جمعتها أنظمة أوروبية للتحقّق من العمر والعضوية — مكشوفة على الإنترنت المفتوح بلا أي استيثاق. وهذا هو نمط الفشل الذي سمّاه النقّاد سلفًا: لا تستطيع أن تسرّب وثيقةً لم تُرغَم على إنشائها قط، ونظام التحقّق هو، بحكم بنائه، كومة من الوثائق التي يريدها المهاجمون أكثر من غيرها بالضبط. وكما تقول EFF: «أنظمة التحقّق من العمر هي أنظمة مراقبة»، وفي مواجهتها تكون مشكلة المدافع دائمة بينما المهاجم «لا يحتاج إلا أن يحالفه الحظّ مرّة واحدة».

والشهر الأوسع أكّد القاعدة. فقد أفصح برنامج الأغذية العالمي عن وصول غير مصرَّح به إلى نظام التسجيل الذاتي الذي يتقدّم عبره الفلسطينيون في غزة بطلبات المساعدة، ما كشف سجلّات نحو ستمائة ألف أسرة — أسماء، وأرقام هوية وطنية، وأرقام هواتف، ومواقع أحياء — وهي لسكّان نازحين ليست إزعاجًا بل قائمة استهداف. وأظهر باحثون كنزًا مجمَّعًا في حدود أربعة وعشرين مليار سجلّ اعتماد — لا اختراقًا جديدًا واحدًا بل تجميعًا لسجلّات برامج سرقة المعلومات وتسريبات قديمة، من دون إزالة التكرار، وهو في ذاته درس في أن بيانات الهوية، متى أُنشئت، لا تضمحلّ ولا تعود إلى بيتها. وخسرت وكالة حياة برّية في ولاية تكساس أرقام رخص القيادة وجوازات السفر لأكثر من ثلاثة ملايين من حاملي الرخص عبر مورّد. والخيط الجامع هو نمط فشل الوصيّ الذي تعود إليه هذه السلسلة دائمًا: حائز واحد، واختراق واحد، والجميع مكشوفون، ولا مسار علاج للفرد الذي لم يتحكّم بالبيانات قطّ ولا يستطيع سحبها.

والآن ضع ذلك إلى جانب الإلزامات. فالمكسيك تربط أكثر من 144 مليون خطّ هاتف بهويات مواطنيها بينما تسجّل الوجوه والبصمات والقزحيات في هوية وطنية حيوية — وسجلّها الخاص يمتدّ من سجلّ RENAUT الذي بيع في الأسواق الشعبية إلى انكشاف في قطاع الاتصالات في اليوم ذاته الذي أُطلق فيه النظام الجديد. والاتحاد الأوروبي وبريطانيا ينهضان بالتحقّق من العمر والهوية شرطًا للحياة اليومية على الإنترنت. وكلٌّ من ذلك، بلغة الأمن، مصيدة عسل قيد الإنشاء — مخزن مركزي لأكثر ما يريده المهاجمون من بيانات بالضبط، مبرَّرٌ بمنفعة حقيقية وبخطر يُعامَل على أنه مشكلة شخص آخر. والاختراق ليس خللًا في إلزام الهوية. إنه نضج الإلزام. لا تستطيع أن تَعِد بالتحقّق من الجميع وتَعِد في الوقت نفسه بأن قاعدة بيانات التحقّق لن تتسرّب أبدًا، لأن تاريخ كل قاعدة بيانات كهذه أنها تتسرّب، وكلّما ازداد إلزامها ازداد يقين تسرّبها. والقياس الحيوي لا يمكن تصفيره. لك وجه واحد.

سقط النصّ؛ ولم تسقط المراقبة

اصعد درجةً، من البوابة التي تسأل من أنت إلى الدولة التي تعرف سلفًا، فقد أنتج يونيو معلمًا هناك أيضًا، وهو يتناغم مع الأول.

عند منتصف ليل 12 يونيو 2026، سقطت المادة 702 من قانون مراقبة الاستخبارات الأجنبية — وهي السند القانوني لجمع NSA للاتصالات من دون أمر قضائي — لأول مرة منذ إنشائها في 2008. فقد فشل تصويت إنهاء المناقشة في مجلس الشيوخ 47–52 في 5 يونيو؛ وفشل تمديد قصير الأمد في مجلس النواب 198–218 في 11 يونيو؛ والمحفّز المباشر كان أزمة حَوكمة، هي ترقية مسؤول في تمويل الإسكان بلا خلفية استخباراتية إلى منصب مدير الاستخبارات الوطنية بالوكالة، وهو ما فكّك ائتلاف إعادة التفويض اللازم. ومع ذلك لم تتوقّف المراقبة. فلأن محكمة مراقبة الاستخبارات الأجنبية أقرّت الشهادات الناظمة في مارس 2026، يستمرّ الجمع بموجبها حتى تنتهي صلاحيتها — وبحسب روايات متعدّدة، حتى 17 مارس 2027 تقريبًا. النصّ التشريعي هو ما سقط. أما البرنامج فيمضي، مشروعًا بأوراق السنة السابقة، تسعة أشهر أخرى.

وتحت ذلك تقبع وثيقة لا يستطيع الجمهور قراءتها بعد. فرأي محكمة مراقبة الاستخبارات الأجنبية السرّي الصادر في 17 مارس 2026 — والذي وجد، بحسب تقارير New York Times، أن مشكلة استعلام "filtering tool" أي أداة الفلترة، التي ادّعت الحكومة أنها أصلحتها، تمتدّ في الواقع عبر مجتمع الاستخبارات كلّه، وأن FBI أحال أداته لعام 2024 إلى التقاعد ليستعمل أخرى بالوظيفة نفسها — ما زال سرّيًّا. وقد انتزع أعضاء في مجلس الشيوخ التزامًا من الحزبين برفع السرّية عنه خلال خمسة عشر يومًا ثمنًا لتمديد في أبريل؛ فمرّ الموعد، وصوّت المجلس في 5 يونيو من دون أن يراه. وهذا هو الوجه الحكومي للخاصّة التي تهاجمها إلزامات الهوية من جهة المستهلك: إخفاء الهوية عن الحكومة، أي القدرة على التواصل من دون أن تفهرس الدولة الفعل. ويجب أن تبقى الأعمدة صادقة ومنفصلة، فالولايات المتحدة ليست سجلّ المكسيك ولا إظلام إيران: لديها قانون أوامر قضائية، ومحكمة تخاصمية كتبت الرأي المعني نفسه، ورقابة تشريعية تفاوضت على رفع سرّيته، وصحافة حرّة تنشر عن وثيقة سرّية. فالخيط المشترك ضيّق، ويستحقّ أن يُقال بهذا الضيق بالضبط — في كلٍّ من هذه الحالات، يُطلب من الجمهور أن يقبل واقعةً لا يستطيع رؤيتها ورؤيةً لم يوافق عليها، وأن يثق بأن البوابة والسجلّ والاستعلام موجَّهة فقط إلى حيث ينبغي.

الخريطة

اسحب العدسة إلى العالم، فالتقارب لا تخطئه عين، لأن الموسم نفسه حمل النسخ السلطوية من إلزام الهوية أيضًا.

فقد حظرت روسيا WhatsApp حظرًا تامًّا في فبراير 2026 — نحو مئة مليون مستخدم — وهي تسوقهم إلى مراسل حكومي اسمه MAX، بينما تضغط على المنصّات لحجب المستخدمين الوافدين عبر VPN؛ فاندمجت الهوية والتحكّم عند طبقة الشبكة. وإيران تخرج الآن فقط من أطول إظلام إنترنت وطني سُجّل على الإطلاق، آلاف الساعات من العتمة بعد ضربات أواخر فبراير، مع استعادة جزئية وحجب مستمرّ للمنصّات الأجنبية — وهو أفظّ تذكير بأن أشمل تحكّم بالهوية هو ببساطة أن تقرّر من يُسمح له بأن يكون على الإنترنت أصلًا. والصين تواصل تشغيل أنضج نظام أسماء حقيقية في العالم وبدأت تدفع بالإنفاذ إلى داخل البنية التحتية المادّية. وسنّت فيتنام وإندونيسيا إلزاماتهما الخاصة لربط الهوية بالنشر. أما إلزام الشرائح الذي أنفذته المكسيك للتوّ فصار الوضع الافتراضي العالمي، لا خصوصيةً إقليمية: فبحسب إحصاء GSMA، يشترط نحو 157 بلدًا إثبات الهوية لتفعيل خطّ محمول، وأكثر من ثلاثين بلدًا يطلب القياسات الحيوية لذلك — صعودًا من سبعة عشر في 2020 — رغم أن باحثي GSMA أنفسهم لا يجدون دليلًا على أن الاشتراط يقلّل الجريمة. والمقصود ليس أن لندن وبروكسل هما موسكو وبكين — فليستا كذلك، والفوارق (المحاكم، والانتخابات، والصحافة) هي كلّ ما يهمّ. المقصود هو البنية. فالديمقراطية والنظام السلطوي حين يبنيان البوابة نفسها يكونان قد بنيا البوابة نفسها، والبوابة لا تتذكّر لماذا رُكّبت. فالشريحة المسجَّلة المبرَّرة بالابتزاز والشريحة المسجَّلة المبرَّرة بالانشقاق هما قاعدة البيانات نفسها. وفحص العمر المبرَّر بسلامة الطفل وقانون الأسماء الحقيقية المبرَّر بـ«الاستقرار الاجتماعي» يستدعيان واجهة الهوية البرمجية نفسها. إخفاء الهوية يُلغى من طرفي الطيف السياسي في آن واحد، على يد حكومات لا تكاد تتفق على شيء آخر، لأن القدرة متقاربة حتى حيث لا تتقارب النيّة.

المضادّ، طبقةً طبقة

فما الذي يصمد فعلًا؟ إن الجرد الصادق طبقةً طبقة هو الانضباط الذي تدين به هذه السلسلة لقرّائها، وهو ينقسم على خطّ السرّية/إخفاء الهوية بالضبط.

حيث تنتصر الحزمة من جهة المستخدم — السرّية. طبقة المحتوى قابلة للدفاع، وقد دُوفع عنها هذه السنة. فسقّاطة Signal لما بعد الكمّ تواصل تحصين القناة في وجه فكّ تشفير الغد؛ وأكبر تطبيقات المراسلة في العالم تشحن التعمية طرفًا إلى طرف افتراضيًّا؛ ومتصفّح Tor (15.0.17، شُحن في 28 يونيو) والقواعد المحمولة المحصَّنة (GrapheneOS، الذي يتتبّع إصدار Android الجديد خلال أيام) تُبقي الجهاز والنقل سليمين؛ وشبكة URnetwork التراكبية الندّية تحمل الحركة عبر مسار مقاوم للرقابة ومقاوم للفحص العميق للحزم يجرّد المسار عن أي مشغّل بعينه. ففي وجه خصم يريد أن يقرأ رسالتك أو أن يحجب مسارك، تنجح هذه الأدوات، وتراجع الاتحاد الأوروبي عن المسح هو البرهان على أن الرياضيات، إذا دُوفع عنها، تصمد حتى في وجه قارّة.

وحيث تنفد — إخفاء الهوية. في وجه خصم يريد أن يعرّفك قبل أن يسمح لك بالكلام، تنحسر الحزمة نفسها إلى ما يقارب لا شيء. فلا توجد بدائية على جهة العميل تهزم سجلّ هوية مفروضًا بالقانون؛ والتعمية لا تفكّ ارتباط شريحتك باسمك؛ وأداة الالتفاف تنفق تحت الحجب لكنها لا تنفق تحت قانون يجعل هويتك القانونية ثمنًا لرقم هاتف. أما إثبات العمر بالمعرفة الصفرية فهو المضادّ التقني الحقيقي الوحيد، وهو في صورته لعام 2026 يحفظ سرّية السمة بينما يسلّم إخفاء الهوية إلى الجهة المُصدِرة. أما الهوية اللامركزية التي تحتجب فعلًا — وثائق اعتمادية غير قابلة للربط، وإصدار موزّع، ولا اتصال بالمقرّ — فقابلة للبناء وغير مبنيّة في معظمها، تعوقها معايير المشتريات التي تفضّل المخطّطات القابلة للربط بقدر ما يعوقها أي حدّ من حدود التعمية. هذه هي الجبهة، وهي خالية في معظمها.

فالخريطة إذن مائلة ميلًا لم تحاسب حركة الخصوصية نفسها عليه: نحن أقوياء بالضبط حيث نظّمنا، وضعفاء بالضبط حيث لم نفعل. فالأدوات التي تحمي ما تقوله ناضجة ومشحونة ومنتصرة. والأدوات التي تحمي أنك تستطيع أن تتصرّف من دون أن تُعرَّف فجّة ونادرة وخاسرة — لا لأن المشكلة غير قابلة للحلّ، بل لأننا أمضينا العقد على النصف الآخر.

الحرب التي نسيناها

درسان يُغلقان الأسبوع، وهما نصفا تصحيح واحد.

الأول أن السرّية ضرورية وغير كافية، وأن معاملة «مشفَّر» مرادفًا لـ«آمن» كانت خطأً استراتيجيًّا حانت فاتورته الآن. فقد أجابت التعمية عن السؤال الذي طرحه العصر الماضي — هل يستطيعون قراءة رسالتي؟ — وأجابته إجابةً بلغت من الجودة أن تعلّم الجمهور أن يكفّ عن طرح السؤال الآخر: هل أستطيع أن أتصرّف أصلًا من دون أن أُعرَّف أولًا؟ وإلزامات الهوية في 2026 هي تكيّف الخصم. إنها تتنازل عن الرسالة وتأخذ حاملها. تدع الرسالة مختومة وتضع حارسًا على باب مكتب البريد. وفي وجه تلك الحركة، عقدٌ من العضلات التعموية المكتسبة بشقّ الأنفس مصوَّبٌ إلى الهدف الخطأ.

والثاني عمليّ، وهو الخيط الذي تمسك به هذه السلسلة: هيّئ البدائية سلفًا قبل أن يهبط التحكّم. فالترتيبات التي تحفظ إخفاء الهوية — الشريحة الإلكترونية الأجنبية المقتناة قبل موعد السجلّ، والحساب المفتوح قبل بوابة العمر، والوثيقة الاعتمادية غير القابلة للربط، والشبكة التراكبية التي لا تربط النقل بهوية مسجَّلة — تعيش، كشأن كل التفاف، على الجانب البعيد من التحكّم. والشخص الذي ما زال يستطيع أن يتصرّف من دون تعريف بعد 30 يونيو هو، في الغالب الأعمّ، الشخص الذي رتّب لذلك قبله. لكن التهيئة المسبقة مسكّن للأفراد لا سياسة لمجتمع، والتصحيح الأكبر هو ما على الحركة أن تفعله عن قصد: أن تموّل طبقة إخفاء الهوية وتبنيها وتوحّد معاييرها وتطالب بها بالجدّية نفسها التي أتت بها إلى التعمية — إثباتات عمر غير قابلة للربط بدل القابلة للربط، وإصدار لامركزي بدل أعناق الزجاجة الوطنية، ووصول مقلِّل للبيانات بدل التحقّق من الجميع، وخطّ قانوني يعامل الحقّ في عدم التعريف بوصفه حرّية مدنية لا ثغرةً ينبغي سدّها.

السرّية نعرف كيف ننتصر فيها؛ وقد أثبتنا ذلك مجددًا هذه السنة. أما إخفاء الهوية فنحن نخسره لأننا لم نكن نقاتل من أجله.

ثلاث حكومات، وثلاث قارّات، وأسبوع واحد، ومطلب واحد: أظهِر وجهك.

والجواب ليس التفريط في انتصار التعمية — فهو حقيقي وهو لنا. الجواب أن نلاحظ أنها كانت الحرب الأسهل، وأن الأصعب هي الآن التي تُحتسب، وأن نبني الطبقة التي لا تحتاج فيها إلى إظهار وجهك كي تتكلّم.

السرّية انتصرت. وإخفاء الهوية انهزم. والعقد القادم هو معركة استعادته.

URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم على مستوى الشبكة؛ وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية الندّية، فيجرّد النقل عن طبقة المشغّل. وشيفرة URnetwork مفتوحة وقابلة للتدقيق. وهي أداة سرّية وتوجيه، صادقة بشأن حدودها: فهي تحمي ما تقوله وكيف تتّصل، وهي — كشأن كل الأدوات من هذا النوع — لا تستطيع وحدها أن تهزم قانونًا يطالب بهويتك عند الباب، ولهذا تدافع هذه النشرة عن أن معركة إخفاء الهوية يجب أن تُخاض في المعايير والتشريعات كما تُخاض في الشيفرة.

https://ur.io

ابدأ بالكلفة، لأنها حقيقية ولا تمحوها أي مقارنة.

فطوال ما يقارب أربع سنوات، ظلّ أكثر من 30,000 تنصيب ذاتي الاستضافة من Gitea يقدّم صور الحاويات الخاصة به لكل من يطلبها. CVE-2026-27771: سجلّ الحاويات لم يكن يفرض المصادقة على الصور الموسومة بأنها خاصة. وطلب سحب قياسي مجهول عبر Docker أو OCI إلى واجهة برمجة السجل كان يعيد الصورة. بلا بيانات اعتماد. بلا سلسلة استغلال. مجرد طلب، يُجاب.

ووجدت شركة الأمن البريطانية Noscope نسخًا مكشوفة في بنى تحتية للرعاية الصحية والطيران ومزوّدي الإنترنت في أكثر من 30 بلدًا. وظلّت الثغرة في العراء سنوات قبل أن يلحظها أحد ممن لديهم اهتمام بالإفصاح عنها.

أربع سنوات أمر غير مقبول. فقد أمضت هذه النشرة نشراتها السابقة في هذه السلسلة وهي تحاجّ بأن الطبقة ذاتية الاستضافة، التي يتحكم فيها المستخدم، هي المضادّ لخطوط أنابيب الموردين المركزية وحرّاس المنصات — والشيء الصادق الذي ينبغي قوله، أولًا وبلا مراوغة، هو أن الطبقة ذاتية الاستضافة ليست سحرًا. إنها تحمل عبء انضباط. وتحمل مخاطرة زمن مكوث. وقراءة غير مصادَق عليها لمخططات الإنتاج طوال أربع سنوات هي بالضبط الإخفاق الذي سيشير إليه ناقدٌ لأطروحة جانب المستخدم، وسيكون محقًّا في الإشارة إليه.

فتصدّر هذه النشرة إذن أسوأ ما تبدو عليه طبقتها هي.

ثم تستعيد الأطروحة — لا بإنكار السنوات الأربع، بل بطرح السؤال الذي تقتضيه: مقارنةً بماذا، وماذا يحدث بعدها.

لأن بقية قصة Gitea هي الجزء الذي لا يستطيع خط أنابيب الموردين مضاهاته. فالثغرة عثر عليها وكيل اختبار الاختراق المستقل التابع لـ Noscope. وأسند القائمون على المشروع رقم CVE وشحنوا الإصلاح — Gitea v1.26.2 — في 20 مايو، قبل الإفصاح العلني في 25 مايو. ونسبت ملاحظات الإصدار الفضل للمكتشف. وسمّى الإفصاح Forgejo، الفرع المجتمعي الذي يشترك في تنفيذ السجل نفسه، بوصفه مصابًا أيضًا، كي يستطيع مشغّلوه الترقيع كذلك.

أربع سنوات مكوث. أيام للإصلاح. إفصاح مع الإشارة إلى الفرع وتسمية المكتشف.

هذا الاقتران هو المقال.

المخطط

لتفهم لماذا تُعدّ ثغرة في سجلّ حاويات مادةً رئيسية لا هامشًا، عليك أن تفهم ما صورة الحاوية.

صورة الحاوية لقطة محزومة قابلة للتشغيل لتطبيق وكل ما يحتاج إليه كي يعمل. وهذا يعني عمليًّا شفرة التطبيق المصدرية، وملفات الإعداد، و — أكثر كثيرًا مما تحب أفضل الممارسات الأمنية — بيانات اعتماد قواعد البيانات، ومفاتيح واجهات البرمجة، ونقاط الخدمات الداخلية، وشهادات TLS، محزومةً كلها في كائن واحد يسلّمه السجل عند الطلب.

وصياغة Noscope دقيقة: صورة الحاوية «مخطط تفصيلي لبيئة إنتاج». والمهاجم الذي يستطيع سحب صورة خاصة لا يحصل على شذرة. بل يحصل على الخريطة. اقرأ الصورة، واحصد بيانات الاعتماد والبنية، وسيكون لديك ما تحتاج إليه لبلوغ البنية التحتية الحيّة خلفها. فيصير الانكشاف عنصرًا أوليًّا للاختراق.

والاعتراض البديهي هو أن صور الحاويات ينبغي ألّا تحمل أسرارًا أصلًا — وأن بيانات الاعتماد مكانها مدير أسرار يحقنها وقت التشغيل، لا مخبوزةً داخل الصورة. وهذه ممارسة صحيحة، وهي تُنتهك باستمرار، في تنصيبات الرعاية الصحية والطيران ومزوّدي الإنترنت التي أظهرها مسح Noscope بالضبط. هذا هو عبء الانضباط، مسمًّى بصراحة: الطبقة ذاتية الاستضافة تكافئ المشغّل المتمرّس وتعاقب المهمل. فالمشغّل الذي أبقى الأسرار خارج صوره كان انكشافه أقل؛ والمشغّل الذي خبزها فيها سلّم المفاتيح. لكن حتى الصورة الخالية تمامًا من الأسرار تبقى مخططًا — مصدرًا وبنيةً واعتماديات ونقاط وصول — ومخطط بيئة إنتاج هو في ذاته أصلٌ للمهاجم.

وقد حوّلت الثغرة مخططات أكثر من 30,000 تنصيب إلى تنزيلات مجهولة. طوال أربع سنوات.

وُجدت وأُصلحت

الرقمان اللذان يهمّان يقفان جنبًا إلى جنب: نحو أربع سنوات مكوث، وأيام للإصلاح.

الرقعة — v1.26.2 — شُحنت في 20 مايو. والإفصاح العلني جاء في 25 مايو. فسبق الإصلاحُ الإفصاحَ، وهو الترتيب الذي يفترض بالإفصاح المسؤول أن يجري به وكثيرًا ما لا يجري. وحين صارت الثغرة معلومةً للعامة، كانت المعالجة متاحةً بالفعل لكل مشغّل عبر قناة التحديث نفسها التي يستخدمها أصلًا.

والأثر الورقي عام وقابل للتدقيق. رقم CVE مُسنَد ومرقَّم. والمكتشف — Noscope — منسوب إليه الفضل في ملاحظات الإصدار. والفرع المشتق — Forgejo — مسمًّى بوصفه يشترك في التنفيذ المصاب، كي يتمكن مشغّلوه من التصرّف بدل اكتشاف انكشافهم لاحقًا. وأي أحد يستطيع قراءة الالتزام البرمجي، وقراءة ملاحظات الإصدار، وقراءة الإفصاح، والتحقق من التسلسل الزمني.

وثمة مخاطرة متبقية حقيقية هنا، ولا بد من قولها: الرقعة لا تحمي إلا المشغّلين الذين يطبّقونها. فجزء من تلك التنصيبات التي تتجاوز 30,000 سيبقى بلا ترقيع أسابيع أو شهورًا، وهذا الذيل غير المرقّع مشكلة حقيقية وإخفاق انضباط. لكن ثمة فرقًا حاسمًا بين ذيل غير مرقّع ورقعةٍ غائبة. فإصلاح Gitea موجود ليُطبَّق. والمشغّل الذي لم يطبّقه بعد لديه مسار معالجة ينتظره. وهذا ليس صحيحًا بشأن كل ثغرة هذا الأسبوع — والتباين هو موضوع القسم التالي.

المكوث والإصلاح

الطريقة الخاطئة لتقييم الطبقة المفتوحة هي زمن المكوث وحده. فبهذا المقياس، أربع سنوات إدانةٌ وينتهي النقاش.

والطريقة الصحيحة هي المكوث-والإصلاح، عبر أربعة محاور: ما مدى سرعة وصول الإصلاح حين يُعرف الخلل؛ وكم يستمر الإخفاق إن لم يُعالَج؛ وهل المشتقات والمصبّ شفافة؛ وهل يملك الطرف المكشوف أي فاعلية على معالجته هو. وعلى المحاور الأربعة كلها، يقدّم هذا الأسبوع المقارنة.

السرعة والاستمرار. CVE-2008-4250 — وهي ثغرة في Microsoft Windows — أُعيد إدراجها في كتالوج الثغرات المستغَلّة المعروفة لدى CISA في 20 مايو، الأسبوع نفسه الذي أُفصح فيه عن ثغرة Gitea. وهي تُستغل بعد ثمانية عشر عامًا من وجود الرقعة. المورّد شحن إصلاحًا؛ ومكوث الجمهور المستغَلّ يُقاس بعقدين تقريبًا. مكوث Gitea كان أربع سنوات حتى الاكتشاف وأيامًا حتى الإصلاح؛ ومكوث CVE-2008-4250 ثمانية عشر عامًا ويستمر، والإصلاح متاح منذ زمن طويل والذيل المستغَلّ باقٍ رغم ذلك.

الإصلاح الغائب. تحمل CVE-2026-42897 في Microsoft Exchange Server موعدًا نهائيًا للمعالجة لدى الفرع التنفيذي المدني الفيدرالي هو اليوم، 29 مايو. ولا توجد رقعة دائمة. فالقطاع المدني الفيدرالي «يفي» بالموعد النهائي بالتخفيف، لا بالمعالجة، في اليوم 15 من الاستغلال النشط. وهذا نقيض مشغّل Gitea الذي طبّق v1.26.2 اليوم: فالوكالة المرتبطة بـ Exchange لا تستطيع تطبيق إصلاح غير موجود. يحلّ الموعد النهائي؛ ولا تحلّ المعالجة.

شفافية المشتقات. حين رُقّع Gitea، سُمّي Forgejo — الفرع — علنًا بوصفه يشترك في الثغرة. والمنتج مغلق المصدر لا يملك شجرة فروع عامة يُفصح إزاءها؛ فالانكشاف في المصبّ داخل سلسلة توريد احتكارية غير مرئي إلى أن يُخترق. وشفافية المشتقات في الطبقة المفتوحة خاصية بنيوية، لا مجاملة.

فاعلية المستخدم. كشف اختراق ShinyHunters لـ Canvas/Instructure نحو 275 مليون سجل عبر نحو 8,809 مؤسسات — و Canvas يحوز ما يقارب 41 في المئة من سوق أنظمة إدارة التعلّم في التعليم العالي بأمريكا الشمالية. والطلاب والمعلمون والعاملون في تلك البيانات لا يملكون أي مسار معالجة. فهم لم يتحكموا يومًا في التنصيب؛ ولا يستطيعون ترقيعه؛ ولا يستطيعون استرجاع بياناتهم. فالثغرة ذاتية الاستضافة قابلة للمعالجة من المشغّل الذي يتحكم في التنصيب. أما اختراق البرمجيات كخدمة فحارسٌ واحد يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم.

والنسخة الصادقة من هذه المقارنة عليها أن تسلّم باعتراض انحياز الناجين البديهي: فالمحاسبة المنصفة كانت ستُظهر أيضًا إصلاحات بطيئة في المصدر المفتوح ورقعًا سريعة من الموردين — فقد شحنت Microsoft تحديثًا لـ SharePoint هذا الأسبوع لـ CVE-2026-45659، بدرجة CVSS 8.8، وشحنته في موعده. والادعاء هنا ليس أن المفتوح يهزم المغلق دائمًا في أي حادثة منفردة. الادعاء يخص الخصائص البنيوية — شفرة قابلة للمسح، وشجرة فروع عامة، ومعالجة بيد المشغّل، وإطلاق عبر القناة نفسها للجميع دفعةً واحدة — وهي خصائص تملكها الطبقة المفتوحة ولا تملكها المغلقة. وهذه الخصائص هي ما يحوّل مكوثًا مدته أربع سنوات إلى إصلاح يستغرق أيامًا بأثر ورقي عام، بدل ذيل يمتد ثمانية عشر عامًا أو موعد نهائي لا رقعة خلفه.

واعتراض الإتاحة حقيقي أيضًا: فمعظم الناس لا يستطيعون الاستضافة الذاتية، ولذلك تبقى ميزة فاعلية المشغّل نظريةً بالنسبة إليهم. صحيح. فمقياس المكوث-والإصلاح يهمّ المشغّلين والمنصات والبنى التحتية التي تستضيف ذاتيًّا فعلًا — وهي، بحسب Noscope، تشمل تنصيبات الرعاية الصحية والطيران ومزوّدي الإنترنت التي ظهرت في المسح. والإطار هو عبء الانضباط الذي يحمله من يشغّلون الطبقة، لا ادعاءُ انطباقٍ شامل.

الطبقة المفتوحة تُخفق علنًا. تلك هي الكلفة — إخفاقاتها مرئية، وقابلة للمسح، وقابلة للعثور عليها. وهي أيضًا المضادّ: الإخفاقات المرئية تُصلَح، بسرعة، على الملأ، مع الإشارة إلى الفرع وتسمية المكتشف.

يقطع في الاتجاهين

الحقيقة الجديدة فعلًا في قصة Gitea ليست الثغرة. بل المكتشف.

فوكيل اختبار اختراق مستقل اكتشف ثغرة غير معروفة سابقًا بمسح الطبقة المفتوحة على نطاق واسع. لا ماسحًا يطابق بصمات ثغرات معروفة — بل وكيلًا استكشافيًّا وجد شيئًا لم يفهرسه أحد، في تنفيذ سجلّ ظلّ يشحن الخلل أربع سنوات. وصياغة Noscope تصف الوكيل وهو يقوم بالاكتشاف والشركةَ وهي تقوم بالإفصاح؛ وتفاصيل الآلية وراء ذلك تخصّهم هم، وليس لنا أن نقيسها.

والمترتّب هو ما يستحق التوقف عنده: الغموض مات. فالمكوث الممتد أربع سنوات حدث في زمن كان العثور فيه على ثغرة غير معروفة في سجلّ مفتوح المصدر متوسط الشيوع يقتضي باحثًا بشريًّا يختار أن ينظر. وعصر الوكلاء يزيل هذا الشرط. فالشفرة القابعة في العراء ستُمسَح — مسحًا شاملًا ورخيصًا ومستمرًّا.

وهذا يقطع في الاتجاهين، والاستدلال هنا مباشر لا منقول: فقدرة المسح المستقل نفسها التي مكّنت Noscope من إيجاد هذه الثغرة متاحة للمهاجمين. ولا يوجد تقرير يفيد بأن وكيلًا معاديًا عثر على هذه الثغرة بعينها — فالإفصاح إفصاح Noscope. لكن القدرة ليست حكرًا على المدافعين، وقدرةٌ تستطيع إيجاد ثغرة غير معروفة واحدة تستطيع إيجاد غيرها. والسباق بين وكلاء صديقين يجدون ويفصحون ووكلاء معادين يجدون ويستغلّون.

ولهذا فمتغيّر المشغّل هو وتيرة الترقيع. فزمن الكشف صار جزئيًّا خارج يد المشغّل — إذ سيجد الوكلاء، صديقين كانوا أو معادين، ما يمكن إيجاده وفق جدولهم لا جدوله. أما زمن الترقيع فيقع كليًّا بيده. وفي عصر الوكلاء، تصير المدة بين شحن الإصلاح وتطبيق المشغّل له المتغيرَ الأمني المهيمن، لأنها المتغير الذي يتحكم فيه المشغّل. ونموذج الإطلاق في الطبقة المفتوحة — قناة واحدة، لكل المشغّلين دفعةً واحدة — مبنيّ للاعتماد السريع. وهل يستخدمه المشغّلون فعلًا؟ ذلك سؤال الانضباط، وهو الآن السؤال الأهمّ.

«الذكاء الاصطناعي يجعل الطبقة المفتوحة أكثر أمانًا» قراءةٌ متفائلة، وهي نصف صحيحة: فالوكلاء الصديقون وجدوا هذه الثغرة. والنصف الآخر أن التراخي صار قاتلًا، لأن الوكلاء المعادين يمسحون هم أيضًا. والخلاصة ليست الأمان. الخلاصة هي الترقيع بسرعة الوكلاء.

أربعة عشر يومًا وموعد نهائي بلا رقعة

جرت ساعات المؤسسات بالتوازي هذا الأسبوع، وجرت في الاتجاه الآخر.

تنتهي مدة المادة 702 من قانون مراقبة الاستخبارات الأجنبية بعد أربعة عشر يومًا، في 12 يونيو. ومجلس الشيوخ في عطلة حتى 1 أو 2 يونيو. ورأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس لا يزال سريًّا؛ ويقول مكتب مدير الاستخبارات الوطنية إنه يعمل «على وجه السرعة» على رفع السرية، دون الالتزام بموعد. وبحسب ما نُقل عن الرأي الذي لا يزال سريًّا — وفي مقدمة من نقله برنت سكوروب في American Prospect — وجدت المحكمة أن مشكلة أداة الفلترة تمتد عبر مجتمع الاستخبارات: إذ أوقف FBI أداة الاستعلام بعينها التي كان يستخدمها في 2024، لكنه يستخدم أداة أخرى بالوظيفة نفسها. وقد وقّع رئيس لجنة الاستخبارات في مجلس الشيوخ توم كوتون ونائبه مارك وارنر معًا مطلبَ رفع السرية الموجّه إلى غابارد، مدير الاستخبارات الوطنية، وإلى تود بلانش، النائب العام بالإنابة؛ وكان السيناتور وايدن الصوت الأعلى في الإصرار على أن يصير الرأي علنيًّا قبل التصويت على إعادة التفويض.

وهذا لا يعادل خللًا برمجيًّا، ولا يعادل الشبكة المفلترة في إيران، والمقال يبقي الأعمدة منفصلة. فالولايات المتحدة لديها قانون أوامر قضائية، ومحكمة تخاصمية هي التي كتبت الرأي محلّ النقاش، ورقابة برلمانية تفاوضت على رفع سريته، وصحافة حرة تنقل عن الوثيقة السرية. والخيط المشترك ضيّق ومذكور بوصفه كذلك: فمثل الوكالة المرتبطة بـ Exchange التي لا تستطيع تطبيق إصلاح غير موجود، ومثل مستخدم Canvas الذي لا مسار معالجة له، يُطلب من الجمهور أن يقبل واقعةً لا يستطيع رؤيتها — رأي 17 مارس — وقدرةَ استعلام لا يستطيع التحكم فيها.

وتعزّز كومة المواعيد النهائية لدى الموردين هذا التباين. فالموعد النهائي لـ Exchange OWA لدى الفرع التنفيذي المدني الفيدرالي يحلّ اليوم بلا رقعة دائمة. ومنحت CISA الوكالات الفيدرالية أربعة أيام لتأمين إضافة LiteSpeed لـ cPanel، وهي مستغَلّة بنشاط. أما SharePoint CVE-2026-45659 فنال تحديثه — الإصلاح الموجود. والثغرتان الصفريتان التوأمان في Microsoft Defender، CVE-2026-41091 و CVE-2026-45498، تحملان موعدًا نهائيًّا لدى الفرع التنفيذي المدني الفيدرالي في 3 يونيو، بعد خمسة أيام.

الخيط الناظم: الطرف المكشوف يسابق ساعة شخص آخر. فوكالة Exchange تسابق رقعةً لم تُكتب. وجمهور §702 يسابق مراجعةَ رفع سرية بلا موعد. ومشغّل Gitea الذي طبّق v1.26.2 اليوم سابق ساعةً أيضًا — وأنهاها، لأن الإصلاح كان موجودًا والقناة أوصلته. ذلك هو الفرق الذي تشتريه مساءلة الطبقة المفتوحة.

نمط إخفاق الحارس

اختراقات هذا الأسبوع هي النقيض السحابي للمادة الرئيسية — الحارس المركزي يخسر بيانات الجميع دفعةً واحدة، بلا أي ملاذ من جهة المستخدم.

Canvas/Instructure. نحو 275 مليون سجل، ونحو 8,809 مؤسسات، من بينها Harvard و Stanford و UC Berkeley، في منصة تحوز نحو 41 في المئة من سوق أنظمة إدارة التعلّم في التعليم العالي بأمريكا الشمالية؛ ShinyHunters؛ وفدية دُفعت في منتصف مايو. والخاصية الفارقة، بالنسبة إلى حجّة هذه النشرة، هي غياب مسار معالجة للمستخدم. فمشغّل Gitea ذاتي الاستضافة كان يستطيع سحب v1.26.2 وإغلاق الثغرة اليوم. أما الـ 275 مليون إنسان في بيانات Canvas فلا يستطيعون فعل شيء. لم يشغّلوا التنصيب، ولا يستطيعون ترقيعه، ولا يستطيعون سحب ما أُخذ. المركزية مضاعِف دفاعي حين تعمل، ومضاعِف هجومي حين تُخفق: اختراق واحد، والجميع مكشوف، ولا ملاذ فرديّ.

Silent Ransom Group. حذّر تنبيه FLASH الصادر عن FBI يومي 26-27 مايو من أن طاقم الابتزاز الإجرامي — Luna Moth، UNC3753، إجرامي لا تابع لدولة — يستهدف مكاتب المحاماة بهندسة اجتماعية تتصاعد إلى حضور مادي: بريد تصيّد، ثم مكالمة دعم تقني مزيّفة، ثم جلسة سطح مكتب بعيد، وحين يفشل ذلك، عميلٌ يدخل المكتب ماشيًا ويُدخِل ذاكرة USB. أكثر من 38 مكتبًا على موقع التسريب، وما يُقدَّر بأكثر من 100 إجمالًا. وهو النظير الهجومي لفكرة «ضوابط لا تُفرَض» — إذ يحمل المحيط البشري الفجوة نفسها التي حملها سجل Gitea، تحقّقٌ لم يجرِ ببساطة.

Carnival. نحو 6 مليون إنسان، تأكّد في 28 مايو. نموذج مصغّر لنمط إخفاق الحارس نفسه: حارس واحد، اختراق واحد، والملايين مكشوفون.

طبقة المتلقّي: الضبط، اليوم

استمرت طبقة ضبط الدولة عند كل مستوى من المكدّس، والمضادّ من جهة المستخدم ينفد عند الطبقات التي تمسك فيها الدولة بالجهاز أو بالسجل.

الناقل — إيران، اليوم 3-4 من الاستعادة. كما وثّقت نشرة 28 مايو في هذه المنصة، بلغت الاستعادة ذروتها عند نحو 40 في المئة من مستويات ما قبل الإغلاق، وظلّت الشبكة المفلترة فاعلةً تمامًا، وعتاد الفحص العميق للحزم الصيني اللازم لخنق دائم موجود في مكانه. الاستعادة ليست عودة. هذا هو المؤشر؛ والحجّة لا يُعاد التقاضي فيها هنا.

السجل — المكسيك، CURP Biométrica. اثنان وثلاثون يومًا حتى الموعد النهائي في 30 يونيو؛ والتسجيل لا يزال دون 10 في المئة. وهذا هو الحدّ الصادق لأطروحة جانب المستخدم: فأمام سجلّ بيومتري إلزامي، لا يوجد عنصر أوليّ من جهة العميل يتيح للمرء أن يمتثل ويحتجب في آن. والمضادّ لسجلّ إلزامي سياسيّ وقانونيّ، لا تشفيريّ. فمكدّس جانب المستخدم ينفد هنا، وقول ذلك جزء من إحسان استخدامه.

البثّ — النيجر، اليوم 21؛ بوركينا فاسو، اليوم 24. يستمر قمع مصادر الإعلام الدولية. والمضادّ هو التوزيع المقاوم للرقابة ووسائل النقل المقاومة للفحص العميق للحزم — مهيّأةً مسبقًا، وفق درس النشرة السابقة.

الجهاز — هونغ كونغ، قانون الأمن القومي. فكّ التشفير القسري يدخل حيّز التشغيل. فالتشفير طرفًا إلى طرف يحمي الرسالة من إفصاح المنصة؛ لكنه لا يحمي هاتفًا أُلزم صاحبه قانونًا بفتحه. والمضادّ عند طبقة الجهاز نظام تشغيل مقوّى، وأمن عمليات، وتقليل ما يحمله الجهاز — مذكورًا بوصفه حدًّا، لا مطموسًا.

خط أنابيب البروتوكولات: المضادّ، طبقةً طبقة

يتصدّر خط الأنابيب هذا الأسبوع، على نحو لائق، بالطبقة المفتوحة وهي تُصلح بسرعة.

ذاتية الاستضافة. Gitea و Forgejo v1.26.2 — الكلفة والمضادّ في سطر واحد. فالثغرة هي برهان النشرة على مخاطرة زمن المكوث في طبقتها نفسها؛ وتوافر الرقعة في اليوم نفسه هو برهان المساءلة.

المالية. أُغلق تدقيق Trail of Bits لـ Monero FCMP++ في 22 مايو — التقرير قيد الانتظار، وتفعيل الشبكة الرئيسية مشروط بالمعالجة، لا «مُدقَّق ونظيف». وأُطلقت شبكة Zcash التجريبية NU7 في 22 مايو. ومساءلة التدقيق المفتوح هي نظير إفصاح Gitea عند الطبقة المالية: نتائج تُنشر، وإصلاحات تُشترط، وأثر ورقي عام.

الاتصالات. يستمر طرح تشفير Discord طرفًا إلى طرف DAVE إلى نحو 200 مليون مستخدم نشط شهريًّا؛ ويستمر تطوير Sparse Post-Quantum Ratchet لدى Signal. وحدّ هونغ كونغ ينطبق هنا: التشفير طرفًا إلى طرف يدافع عن القناة، لا عن الطرف المُكرَه.

الشبكة والنقل. Tor Browser 15.0.14؛ وشبكة URnetwork التراكبية الندّية؛ ووسائل النقل المقاومة للفحص العميق للحزم — VLESS+Reality و Shadowsocks-2022 — لبيئات الخنق التي وصفتها النشرة السابقة؛ و BIP324 v2 و BIP352 عند طبقة القيمة.

الجهاز. يبقى GrapheneOS 2026050900 و CalyxOS 7.2.1.0 خطَّي الأساس المقوَّيَين.

الأساس. ML-KEM و ML-DSA و SLH-DSA؛ وانتهاء عمر FIPS 140-2 يحلّ في 21 سبتمبر.

والاعتراف الصادق الذي يقتضيه خط الأنابيب: إنه يعتمد على المؤسسات أيضًا. منح Tor، وشركة تدقيق Monero، ومؤسسة Zcash. والادعاء الأضيق الباقي هو الذي حملته هذه السلسلة طوال الوقت — خط الأنابيب لا ينضغط حول تقويم أي دولة بعينها، والعناصر الأولية، متى شُحنت، تعمل على جهاز المستخدم بصرف النظر عن الوسيط.

هيّئ مسبقًا ورقّع

درسا الأسبوع انضباطٌ واحد بنصفين.

هيّئ العنصر الأولي مسبقًا قبل أن يهبط الضبط. ذلك هو درس إيران، من النشرة السابقة: فمن حافظوا على النفاذ خلال الإظلام الممتد 88 يومًا هم من كانوا قد هيّأوا Starlink والشبكات الشبكية وأدوات الالتفاف قبل أن تُغلق الشبكة، لأن أدوات الالتفاف حول الخنق تعيش على الجانب الآخر منه.

ورقّع العنصر الأولي بسرعة الوكلاء كي لا يصير هو الانكشاف. ذلك هو درس Gitea، من اليوم: فالطبقة ذاتية الاستضافة التي يتحكم فيها المستخدم ليست مضادًّا إلا إذا شغّلها المشغّل بانضباط، لأن قراءةً غير مصادَق عليها لمخططات الإنتاج طوال أربع سنوات هي ما يبدو عليه الإهمال في الطبقة المفتوحة، ولأن عصر الوكلاء يضمن أن ما يقبع في العراء سيُعثر عليه.

وأيٌّ من النصفين وحده يُخفق. هيّئ مسبقًا دون أن ترقّع، فيصير العنصر الذي جهّزته هو الثغرة. ورقّع دون أن تهيّئ مسبقًا، فتكون منضبطًا حيال أدوات لا تستطيع بلوغها حين يهبط الضبط. مكدّس جانب المستخدم ليس سحرًا، وهذه النشرة برهانها هو — فالمكوث الممتد أربع سنوات هو الكلفة، مذكورةً أولًا وبلا تهوين. والجواب هو المكوث-والإصلاح مع الانضباط، لا الإنكار.

أربع سنوات هي الكلفة.

أما الإخفاق علنًا، والإصلاح السريع، والإشارة إلى الفرع، ونسبة الفضل للمكتشف، وتسليم المشغّل مسار معالجة موجودًا فعلًا — فذلك هو المضادّ الذي لا يملكه الذيل الممتد ثمانية عشر عامًا ولا الموعد النهائي الذي يلتقي اليوم بلا رقعة.

الطبقة المفتوحة تُخفق علنًا. وتُصلح بسرعة.

هيّئ مسبقًا ورقّع.

URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة الفحص العميق للحزم عند طبقة الشبكة. وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية الندّية، فيفصل النقل عن طبقة الناقل. وشفرة URnetwork مفتوحة وقابلة للتدقيق — وهي الخاصية التي تحاجّ هذه النشرة بأنها تكشف عيوب الطبقة وتجعلها تُصلَح في آن.

https://ur.io

انتهى هذا الأسبوع.

أعادت إيران الوصول إلى الإنترنت العالمي ابتداءً من نحو الساعة 11:00 بالتوقيت العالمي المنسّق يوم الثلاثاء 26 مايو 2026. وبحساب NetBlocks كان ذلك اليوم 88 من الانقطاع الذي اشتدّ بعد ضربات 28 فبراير — أطول قطع للإنترنت على مستوى بلد بأكمله في التاريخ الحديث. الرئيس مسعود بزشكيان أصدر الأمر في 25 مايو؛ ووافقت فرقة عمل المجلس الأعلى للفضاء السيبراني على الاستعادة رغم اعتراض المتشددين. نحو 90 مليون شخص كانوا مقطوعين. وتُقدَّر الكلفة الاقتصادية لفترة الانقطاع بنحو 1.8 مليار دولار.

ثمة قراءة إنسانية لهذا، وهي القراءة الأولى الصحيحة: سكان عددهم 90 مليونًا يُعاد وصلهم بالعالم بعد ثلاثة أشهر في العتمة، وهذا أمر جيد. عاد الإيرانيون إلى الإنترنت — يتحدثون إلى الأهل في الخارج، ويبلغون الأخبار، ويزاولون أعمالهم. وقد التقط Cloudflare Radar اللحظة: ارتفاع ملحوظ في حركة البيانات وفي استعلامات DNS معًا بدءًا من 26 مايو.

ثم نقطة الانكسار.

في ذروتها يوم 26 مايو، قاس Cloudflare عودة حركة البيانات إلى نحو 40 بالمئة فقط من أقصى نشاط رُصد حتى الآن في 2026. أما «filternet» — طبقة الرقابة الإيرانية — فظلّت فعّالة بالكامل طوال الاستعادة. وما يزال WhatsApp وYouTube وInstagram محجوبةً أو مقيَّدة بشدّة. وما تزال شبكات VPN لازمةً للوصول إلى ما تحجبه شبكة الفلترة. وقد حمل تقرير CNN المزاج العام: الإيرانيون «يخرجون إلى الإنترنت بارتيابٍ وتحدٍّ».

وتحت الاستعادة تقبع حقيقة معمارية تعيد تأطير الأيام الثمانية والثمانين كلها. فقد أفصح محمد سرافراز، عضو المجلس الأعلى للفضاء السيبراني في إيران، في مايو — بحسب ما نقلته RFE/RL — عن أن إيران استوردت عتادًا صينيًا للتفتيش العميق للحزم مخصَّصًا للحجب الدائم للإنترنت العالمي عن المستخدمين العاديين، مع السماح بوصولٍ مُراقَب بإحكام لمستخدمين منتقَين.

لم يكن الانقطاع حالة طارئة فحسب. كان طور البناء والاستعراض لمعمارٍ دائم.

ثبت أن مفتاح الإطفاء يعمل طوال 88 يومًا. والعتاد الصيني يجعل الخنق دائمًا. وانتهاء الإظلام لا ينقض المعمار.

المعمار كان هو المقصد.

أربعون بالمئة

أصعب رقم في الاستعادة هو 40 بالمئة.

هذه هي الذروة — ففي أعلى نقطة لها يوم 26 مايو، بحسب Cloudflare Radar، لم تبلغ حركة الإنترنت الإيرانية سوى نحو 40 بالمئة من أقصى قيمة في 2026. والرقم سيتحرك؛ فقياس الذروة ليس خط أساس دائمًا ثابتًا، وقد يواصل الاتصال صعوده في الأيام التالية لنشر هذا النص. لكن الحجم ليس هو المقصد. الشكل هو المقصد.

طوال الاستعادة كلها، ظلّت شبكة الفلترة فعّالة بالكامل. فالحجب نفسه الذي عرَّف الإظلام يُعرِّف الاستعادة؛ والفارق هو حجم حركة البيانات المارّة عبر المرشِّح، لا وجود المرشِّح. WhatsApp وYouTube وInstagram — ما تزال محجوبة. وVPN — ما يزال لازمًا. الإنترنت المستعاد هو الإنترنت المفلتَر، بمعدل تدفق أعلى.

أما مستويات الوصول الطبقية التي بُنيت خلال الإظلام فتبقى بنيةً تحتية قائمة. فمستوى «white SIM» — الشريحة البيضاء — ومستوى «Internet Pro» المكلف، حيث يتلقّى المحترفون المعتمَدون المرتبطون بالحرس الثوري وبشركة الاتصالات المتنقّلة الإيرانية نطاقًا تردديًا مُدرَجًا في القوائم البيضاء بنحو 0.20 يورو للغيغابايت بينما يدفع عامة الناس نحو 75 يورو شهريًا مقابل وصول VPN تجاري، أي فارق يبلغ نحو 12.5 ضعفًا — لم يُفكَّكا مع الاستعادة. بل جرى استعراضهما وتطبيعهما والإبقاء عليهما. وقد وصف معهد Quincy هذا النظام بأنه «فصل عنصري رقمي» في تحليلٍ نُشر في 12 مايو. المستويات الطبقية عمّرت أطول من الإظلام.

هذه هي القراءة البنيوية للاستعادة: انتهاء الإظلام لا ينقض المعمار الذي بناه. فالأيام الثماني والثمانون كانت الفترة التي اختُبر فيها مفتاح الإطفاء على نطاق وطني، وأُقيمت فيها مستويات الوصول، ووُضع فيها العتاد الصيني في مكانه. والاستعادة هي دخول النظام إلى الخدمة — لا تفكيك النظام.

رقم الحجم سيرتفع. أما شكل الوصول — مضبوطًا، ومتدرّجًا طبقيًا، ووسيطه التفتيش العميق للحزم — فهو خط الأساس الجديد.

الخنق الدائم

التفتيش العميق للحزم هو الآلية التي تحوّل الإظلام إلى خنق.

الإظلام أداة فجّة: يهبط الاتصال إلى 4 بالمئة من المعتاد، كما قاس NetBlocks في إيران، ويُقطع الجميع بالتساوي. وهو كارثيّ اقتصاديًا — وكلفة الانقطاع البالغة 1.8 مليار دولار هي مقياس فداحته — ومكلف سياسيًا، لأن قطع 90 مليون شخص يُنتج 90 مليون تظلّم. الإظلام لا يمكن إدامته إلى ما لا نهاية. ولهذا انتهى هذا الإظلام عند 88 يومًا.

أما التفتيش العميق للحزم فهو الأداة الدقيقة. فبدل قطع الخط، يفحص كل حزمة عند طبقة الشبكة ويقرر — لكل اتصال، ولكل بروتوكول، ولكل وجهة — ما الذي يمر. وهي آلية الجدار الناري العظيم في الصين: القدرة على التعرّف على حركة البيانات المعمّاة وحجبها من دون إسقاط الشبكة كلها. وهي تتيح للدولة أن تُبقي الإنترنت «مشغَّلًا» عند 40 بالمئة بينما تحجب بصفة دائمة ما تختار حجبه، إلى أجل غير مسمّى، وبكلفة اقتصادية وسياسية أدنى بكثير من كلفة الإظلام.

وإفصاح سرافراز — المنسوب إلى عضو مُسمّى في المجلس الأعلى للفضاء السيبراني، والذي نقلته RFE/RL — هو أن إيران استوردت عتاد DPI صينيًا لهذا الغرض بالضبط: الحجب الدائم للإنترنت العالمي عن المستخدمين العاديين، مع وصولٍ مُراقَب بإحكام لمستخدمين منتقَين. وعبارة "Permanent" — «دائم» — هنا نيّة مُفصَح عنها، لا حالة تشغيلية مستقرة بعد؛ وعبارة "already in place" — «موجود بالفعل» — هي، بحسب تقرير TechTimes، وصف حالة العتاد. والتمييز مهم. فما جرى استعراضه هو القدرة والنيّة. وما جرى بناؤه هو العتاد.

وهذا ما ظلّت شبكة المعلومات الوطنية الإيرانية تتجه إليه منذ سنوات: انفصال كامل عن الإنترنت العالمي، بشبكة محلية تتحكم فيها الدولة في محلّه. وصياغة ARTICLE 19 ومحلّلين إيرانيين دقيقة — فالمشروع يحوّل الوصول إلى الإنترنت «من حقٍّ مدني وأداة تنمية إلى سلعة كمالية خاضعة للضبط الأمني». الإظلام لم يقطع ذلك المشروع. الإظلام دفعه إلى الأمام.

وسلسلة التوريد نفسها سطح مراقبة. فقانون الاستخبارات الوطني الصيني لعام 2017، المادة 7، يُلزم الشركات الصينية بالتعاون مع عمليات استخبارات الدولة عند الطلب. والعتاد الذي يفحص كل حزمة عند طبقة الشبكة، والمُورَّد من شركات تخضع لذلك الالتزام القانوني، ليس أداة رقابة للدولة المستوردة فحسب — بل هو أيضًا علاقة جمع استخباري محتملة للدولة المصدِّرة. وقد وثّقت ARTICLE 19 هذا بوصفه «بنية القمع الصينية» في إيران.

الجدار الناري منتَج

الاعتراض على كل هذا هو أن إيران حالة خاصة — دولة في حرب، تحت عقوبات، بنظام حكم بعينه، ومن ثمّ ليست نمطًا يمكن تعميمه.

العتاد هو سبب قابليته للتعميم.

فالجدار الناري العظيم ليس نظام الصين الداخلي فحسب. إنه نموذج تصدير صريح. وعتاد DPI خط منتجات، يُباع ويُشحن؛ وسلسلة التوريد نفسها التي جهّزت إيران قادرة على تجهيز أي مشترٍ. وتقارير RFE/RL عن إفصاح سرافراز وتوثيق ARTICLE 19 لبنية الرقابة الصينية في الخارج تصف معمارًا قابلًا للنقل، لا حالة فريدة. إيران ليست الاستثناء من القاعدة. إيران هي وحدة العرض.

المعمار قابل للتعميم تحديدًا لأن العتاد كذلك. فلا تحتاج دولة إلى تطوير جدار ناري عظيم على مدى خمسة عشر عامًا كما فعلت الصين. بل يمكنها شراء القدرة وتركيبها، ثم — كما استعرضت إيران الآن — تشغيل اختبار وطني لمفتاح الإطفاء يدوم 88 يومًا بينما يُوصَّل خلفه خانقٌ دقيق.

ومن يشتري تاليًا سؤال حقيقي، وليس سؤالًا تجيب عنه التقارير المتاحة. أما ما تثبته التقارير فهو أن القدرة منتَج، وأن للمنتَج مشغّلًا جديدًا واحدًا على الأقل على نطاق وطني، وأن هذا المشغّل أدار أطول قطع للإنترنت في التاريخ المسجَّل كجزء من إدخاله إلى الخدمة.

المضادّ بروتوكول

المضادّ للتفتيش العميق للحزم ليس سياسة. إنه خاصية بروتوكول.

وسائل النقل المقاومة لـ DPI مصمَّمة لهزيمة الآلية نفسها التي تنشرها إيران. وهي تعمل — فبها يبلغ ملايين الناس داخل الصين الإنترنت العالمي عبر الجدار الناري العظيم كل يوم — وآلياتها مطابقة للتهديد:

VLESS + Reality يستعير مصافحة TLS الخاصة بموقع حقيقي لا صلة له، بحيث يبدو الاتصال لصندوق DPI غير متمايز عن حركة HTTPS عادية إلى ذلك الموقع؛ فلا بصمة متمايزة تُحجب.

Shadowsocks-2022 يُنتج تدفقًا لا توقيع بروتوكوليًا معروفًا له — فيبدو لـ DPI بايتات عشوائية، بلا ترويسة ولا مصافحة تُطابَق مع قائمة حجب.

Trojan يحاكي HTTPS القياسي بما يكفي لأن حجبه يعني حجب HTTPS.

obfs4 يغلّف حركة البيانات بطبقة تعمية شكلية قابلة للتوصيل تزيل التوقيع الإحصائي الذي يعتمد عليه المصنِّف.

أما شبكة URnetwork التراكبية النِّدّية فتوزّع النقل عبر شبكة مشاركين متشابكة بدل مجموعة ثابتة من نقاط النهاية القابلة للحجب؛ فلا سجل عام لمشغّلي الخدمة يستطيع صندوق DPI الرجوع إليه.

هذه خصائص بروتوكولية راسخة، مصمَّمة ومجرَّبة ميدانيًا في مواجهة الجدار الناري العظيم. والمسألة ليست محل نزاع: يمكن هزيمة DPI. ولهذا بالضبط تهمّ استعادة إيران بوصفها تحذيرًا لا طمأنة.

لأن للهزيمة شرطًا مسبقًا.

لا يمكنك تثبيتها لاحقًا

أحدّ حقيقة تشغيلية بشأن الالتفاف هي أنك لا تستطيع الحصول عليه بعد أن يُطبَّق الخنق.

وسائل النقل المقاومة لـ DPI برمجيات. والبرمجيات تُوزَّع عبر الشبكة. وحين تُخنق الشبكة — حين تُحجب متاجر التطبيقات، وتصير خوادم التنزيل بعيدة المنال، ويتعذّر جلب الإعدادات التي توجّه العميل إلى جسر عامل — تكون نافذة الحصول قد أُغلقت أصلًا. فأدوات الالتفاف حول الخنق تقع على الجانب الآخر من الخنق.

والأيام الثماني والثمانون أثبتت هذا ميدانيًا. فالناس داخل إيران الذين حافظوا على الوصول خلال الإظلام كانوا، في الأغلب الأعم، من هيّأ مسبقًا: من كانت أطباق Starlink على أسطحهم سلفًا، وتطبيقات الشبكات المتشابكة مثل Briar مثبَّتة ومقترنة سلفًا، وإعدادات VPN ووسائل النقل القابلة للتوصيل محمَّلة ومختبَرة قبل أن يسقط الاتصال. أما من انتظر حتى احتاج إلى الالتفاف ليبحث عنه، فوجد البحث نفسه محجوبًا.

هذه هي الخلاصة التشغيلية التي يفرضها طور DPI الدائم. لم تعد التهيئة المسبقة احتياطًا لطارئ افتراضي. فمع وجود عتاد DPI صيني في مكانه لخنقٍ دائم، صارت التهيئة المسبقة مطلبًا قائمًا. يجب تثبيت حزمة الالتفاف وضبطها والتمرّن عليها بينما الشبكة مفتوحة، لأن الانكماش التالي قد لا يكون له تاريخ انتهاء عند 88 يومًا.

حزمة العناصر الأولية من جهة المستخدم ليست شيئًا تمدّ يدك إليه حين يُطبَّق الخنق. إنها شيء تعيش داخله قبل أن يُطبَّق.

خمسة عشر يومًا

جرت الساعة الأمريكية بالتوازي هذا الأسبوع، وهي ليست ساعة إيران.

المادة 702 من قانون مراقبة الاستخبارات الأجنبية تنقضي في 12 يونيو — بعد خمسة عشر يومًا من اليوم. ويعود مجلس الشيوخ من عطلة يوم الذكرى يوم الاثنين 1 يونيو أو الثلاثاء 2 يونيو. ويبقى رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس سريًّا. وقال مكتب مدير الاستخبارات الوطنية في 21 مايو إن المديرة تولسي غابارد «تعمل بجدٍّ على رفع السرية»؛ ولم يُلتزم بأي تاريخ.

ويستحق التصعيد الوارد في التقارير أن يُذكر بدقة، مع التحفّظ الذي يقتضيه. فبحسب ما نُقل عن رأي محكمة FISC الذي لا يزال سريًّا، وجدت المحكمة أنه حتى بعد أن أوقفت وزارة العدل أداة فلترة استخدمها FBI في 2024، ظلّ FBI يستخدم أداة فلترة أخرى مشابهة لإجراء استعلامات من دون اتّباع المتطلبات — وبحسب التقارير نفسها، فإن NSA وCIA يستخدمان أدوات مشابهة للبحث في بيانات المادة 702 عن اتصالات أمريكيين. هذا نقلٌ عن وثيقة سرية، لا حكمٌ علني مفصول فيه؛ وعبارة «بمباركة وزارة العدل» هي توصيف التقارير. وإن صحّ ذلك، فإنه يوسّع القلق من ممارسات استعلام مكتب واحد إلى نمطٍ يعمّ مجتمع الاستخبارات.

والمقارنة بشبكة الفلترة الإيرانية يجب أن تُجرى بحذر، لأن الحالتين غير متكافئتين، وقول ذلك صراحةً هو التأطير الأمين الوحيد. فللولايات المتحدة قانون مذكرات تفتيش، ومحكمة خصومية هي التي كتبت الرأي محل النزاع، ورقابة برلمانية تفاوضت على رفع سريته، وصحافة حرة تنقل عن الوثيقة السرية — ولا شيء من ذلك لدى شبكة الفلترة الإيرانية. فالخيط المشترك ليس سياق الحقوق، وهو مختلف تمامًا. الخيط المشترك هو الاتجاه المعماري: نحو مزيد من تحكّم الوسيط. ففي العمود الأمريكي الدولةُ تستعلم في بيانات اتصالات تحوزها أصلًا. وفي العمود الإيراني الدولةُ تفحص حركة الاتصالات عند طبقة الشبكة. آليتان مختلفتان، وعالمان قانونيان مختلفان، واتجاه واحد.

ومعركة المادة 702 خلال الأيام الخمسة عشر المقبلة ستُخاض حول برنامج لا يزال الكونغرس عاجزًا عن الاطّلاع على حكم المحكمة الأخير بشأنه.

قرص USB في مكتبك

أحدّ قصة سيبرانية هذا الأسبوع هي تلك التي دخلت فيها الهندسة الاجتماعية من الباب الأمامي.

أصدر FBI تنبيه FLASH (TLP:Clear) في 26-27 مايو يحذّر فيه من أن Silent Ransom Group — والمتتبَّعة أيضًا باسم Luna Moth وChatty Spider وUNC3753، وهي عصابة ابتزاز إجرامية نشطة منذ 2022، لا جهة تابعة لدولة — تستهدف شركات المحاماة بزيارات شخصية إلى مكاتبها. تبدأ سلسلة الهجوم على نحو تقليدي: رسالة تصيّد توجّه الهدف إلى الاتصال بدعم تقني زائف؛ ثم تضغط المكالمة المرتدّة على موظف ليفتح جلسة سطح مكتب بعيد. لكن حين يفشل ذلك، تتصاعد المجموعة ماديًا. يظهر أحد عناصرها في المكتب متنكّرًا في هيئة موظف تقني، ويزعم أنه يحتاج إلى أخذ نسخة احتياطية من نظام أو إنشاء صورة له بسبب «مشكلات محتملة» مرتبطة برسالة التصيّد، ثم يُدخل وحدة تخزين USB في الحاسوب.

لا برمجية خبيثة تُسلَّم عبر الشبكة. ولا تنبيه. شخص وقرص USB. وأكثر من 38 شركة موجودة أصلًا على موقع التسريب العلني للمجموعة؛ ويقدّر باحثون أن إجمالي الهجمات يتجاوز 100 هجوم، مع ارتفاع حادّ في أوائل 2026.

إنها القافية الهجومية لدرس إيران. فالدرس الدفاعي للإظلام هو أن الطبقة المستقلة عن المشغّل — الأشياء التي لا تمر عبر الشبكة المضبوطة — هي ما يصمد. والنسخة الهجومية هي أن المهاجم الذي يتجاوز الشبكة يتجاوز ضوابط الشبكة. فالخصم الذي يمشي بقرص USB متجاوزًا الجدار الناري هزم الجدار الناري، تمامًا كما أن المدافع الذي يهيّئ طبق Starlink مسبقًا هزم الإظلام. الشبكة ليست كامل المحيط، لأيٍّ من الطرفين.

وبقية عمود الأسبوع السيبراني تستكمل النمط نفسه: انكشاف الحارس المركزي. فقد أكّدت Carnival اختراقًا طال نحو 6 ملايين شخص — مجموعة بيانات ضخمة أخرى بيد حارس واحد، فُقدت دفعةً واحدة. وثغرة في صور حاويات Gitea أُفصح عنها في 28 مايو أتاحت للمهاجمين سحب صور حاويات خاصة، فكشفت شفرة مصدرية وبيانات اعتماد وبنية تحتية — تذكيرًا بأن الطبقة ذاتية الاستضافة تحمل عبء انضباطها الخاص؛ فالتحكّم يأتي مع المسؤولية. وأُفصح في اليوم نفسه عن ثغرة استيلاء على الحسابات في أداة المؤتمرات مفتوحة المصدر Pretalx. ويحلّ غدًا، 29 مايو، الموعد النهائي لمعالجة ثغرة CVE-2026-42897 في Microsoft Exchange OWA لدى الفرع التنفيذي المدني الفيدرالي — في اليوم 14 من الاستغلال النشط، وما تزال بلا رقعة دائمة، بالتخفيف فقط.

الطبقات وخط الأنابيب

طبقة البلدان المتلقّية هذا الأسبوع تُظهر عنصرًا أوليًا واحدًا مأسورًا عند كل مستوى من الحزمة.

المكسيك — 33 يومًا حتى الموعد النهائي لـ CURP Biométrica في 30 يونيو، حين يواجه نحو 127 مليون خط هاتف محمول غير مسجَّل التعليق. ويبقى التسجيل دون 10 بالمئة. الطبقة المأسورة هي سجلّ الهوية.

النيجر — اليوم 20 من حظر تسع وسائل إعلام دولية؛ بوركينا فاسو — اليوم 23 من الحظر الدائم لقناة TV5 Monde. الطبقة المأسورة هي جهة البث.

هونغ كونغ — قانون الأمن القومي يدخل حيّز التطبيق في إجبار أفراد على فكّ التعمية. الطبقة المأسورة هي الجهاز، في لحظة الإكراه بإجراء قانوني. وهنا تبلغ التعمية من الطرف إلى الطرف حدّها، ويجب أن يُقال ذلك بأمانة: فالتعمية من الطرف إلى الطرف تحمي الرسالة من إفصاح المنصّة، لكنها لا تحمي هاتفًا أُجبر مالكه قانونًا على فتحه. والمضادّ على مستوى الجهاز لنقطة نهاية مُكرَهة ليس التعمية وحدها — بل نظام تشغيل مُقسّى (GrapheneOS، CalyxOS) مع أمن تشغيلي، ومع تقسيم قابل للإنكار حيث يسمح القانون. البروتوكول لا يعفي المشغّل.

وفي مقابل كل طبقة مأسورة، يشحن خط أنابيب البروتوكولات مضادًّا، وقد شحن هذا الأسبوع بصرف النظر عن تقويم أي دولة:

• الطبقة المالية: أغلقت Monero FCMP++ تدقيق Trail of Bits في 22 مايو (التقرير بعد 2-6 أسابيع، والشبكة الرئيسية مستهدَفة في النصف الثاني من 2026)؛ وأطلقت Zcash NU7 شبكتها الاختبارية في اليوم نفسه.
• طبقة الاتصالات: يتواصل طرح تعمية Discord DAVE من الطرف إلى الطرف على نحو 200 مليون مستخدم نشط شهريًا؛ ويتواصل تطوير Sparse Post-Quantum Ratchet لدى Signal.
• طبقة الشبكات المجهولة: شُحن Tor Browser 15.0.14 في 19 مايو مع جولة تمويل جماعي لعشرة مشاريع؛ وتُشغّل شبكة URnetwork التراكبية طبقة النقل المقاومة لـ DPI.
• طبقة الجهاز: يبقى GrapheneOS 2026050900 وCalyxOS 7.2.1.0 خطَّي الأساس المُقسَّيَين الحاليين.

عنصر أوليّ واحد مأسور عند كل طبقة؛ ومضادّ واحد من جهة المستخدم عند كل طبقة.

الحزمة التي صمدت

الحساب الأمين لحزمة العناصر الأولية من جهة المستخدم يجب أن يشمل كلفتها، وهذا الأسبوع قدّم تلك الكلفة.

إنها تعتمد على مؤسسات: فتطوير Tor مموَّل إلى حدٍّ كبير بالمنح (Open Technology Fund، ووزارة الخارجية الأمريكية)؛ وتدقيق Monero جرى عبر Trail of Bits وصندوق MAGIC Monero؛ وترقية Zcash تمرّ عبر Shielded Labs. فخط الأنابيب ليس مستقلًا عن المدخلات المؤسسية. والادعاء الذي تقدّمه هذه السلسلة أضيق من ذلك ويصمد بعد التسليم بما سبق: خط الأنابيب لا ينضغط حول تقويم أي دولة بعينها، والعناصر الأولية، متى شُحنت، تعمل على جهاز المستخدم بصرف النظر عن الوسيط.

وهي متفاوتة في إتاحتها: فالذين حافظوا على الاتصال خلال إظلام إيران هم من كانت لديهم أصلًا أطباق Starlink وأدوات مضبوطة سلفًا — وهذا ليس حال الجميع، والتفاوت حقيقي. وهي تحمل عبء انضباطها الخاص: فثغرة Gitea تذكير بأن الاستضافة الذاتية وتحكّم المستخدم يأتيان مع مسؤولية، وبأن الحزمة تكافئ العناصر الأولية المُتقنة وتعاقب المهملة منها. إنها ليست سحرًا. إنها مجموعة أدوات تتطلب كفاءة.

ومع التسليم بكل ذلك، فإليك ما أثبته الأسبوع: حزمة العناصر الأولية من جهة المستخدم هي الطبقة التي صمدت عبر 88 يومًا من سيطرة كاملة للمشغّل. فحين قطعت الدولة الشبكة عن 90 مليون شخص لأطول مدة في التاريخ المسجَّل، ظلّ من بقي متصلًا متصلًا عبر Starlink، وعبر الشبكات المتشابكة، وعبر التفافٍ مهيّأ مسبقًا — عبر أجزاء الحزمة التي لا تمر عبر الوسيط المضبوط. وذلك أقوى دليل مفرد وثّقته هذه النشرة على امتداد هذه النشرات. أطول قطع للإنترنت في التاريخ الحديث لم يستطع أن يبلغ كليًا الطبقة المستقلة عن المشغّل.

ثمانية وثمانون يومًا أثبتت أن مفتاح الإطفاء يعمل، وبنَت الخنق الذي يأتي بعده. عتاد DPI الصيني في مكانه. والاستعادة عند 40 بالمئة داخل شبكة فلترة لم تُطفأ قط. الاستعادة ليست عودة.

المعمار كان هو المقصد.

والمضادّ كذلك — ويجب أن يكون قائمًا قبل الانكماش التالي، لأن أدوات الالتفاف حول الخنق تعيش على الجانب الآخر من الخنق.

ثمانية وثمانون يومًا.

المفتاح باقٍ. هيّئ الحزمة مسبقًا.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للرقابة، مصمَّمة لمقاومة التفتيش العميق للحزم عند طبقة الشبكة. وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِّدّية، بما يفصل النقل عن طبقة المشغّل. ولا تظهر URnetwork في سجل مشغّلي الخدمة العامة لأيٍّ من القوانين أو الأنظمة المذكورة في هذا المقال.

https://ur.io

الرقم هو التفتيش.

في 2019، حصلت جهات إنفاذ القانون التي كانت تحقق في سطو على اتحاد ائتماني في ميدلوثيان بولاية فرجينيا على مذكرة سياج جغرافي توجّه Google إلى تفتيش كامل قاعدة بياناتها Sensorvault — نحو 592 مليون حساب فردي مفعَّل فيها سجل المواقع (Location History) — لتحديد كل جهاز كان داخل 150 مترًا من المصرف خلال نافذة زمنية مدتها ساعة واحدة حول وقت السطو.

أعاد التفتيش 19 حسابًا. ضيّقتها Google إلى 9. وقُدِّمت معلومات تعريفية عن 3 — من بينهم أوكيلو تشاتري، الذي اعتُقل وأُدين.

النسبة هي السؤال الدستوري. 592 مليون حساب جرى تفتيشها لتحديد مشتبه به واحد. أما الحسابات الأخرى البالغة 591,999,999 فقد فُتّشت من دون اشتباه فردي، ومن دون سبب محتمل، ومن دون أي مؤشر سابق على صلتها بالجريمة. فُتّشت لأنها موجودة في قاعدة بيانات ولأن قاعدة البيانات قابلة للتفتيش.

استمعت المحكمة العليا إلى المرافعات الشفوية في 27 أبريل 2026. ويُتوقع صدور القرار قبل انتهاء الدورة القضائية في أواخر يونيو — أي خلال الثلاثين يومًا المقبلة.

المذكرة العكسية

المذكرات التقليدية تعمل في اتجاه واحد. فجهات إنفاذ القانون تحدد مشتبهًا به، وتُثبت سببًا محتملًا، وتحصل على مذكرة لتفتيش ممتلكات ذلك المشتبه به أو سجلاته أو بياناته. المذكرة تسمّي الشخص. والتفتيش يطلب الدليل.

أما مذكرات السياج الجغرافي فتقلب ذلك. إذ تحدد جهات إنفاذ القانون موقعًا ونافذة زمنية. وتوجّه المذكرة شركة تقنية إلى تفتيش بيانات كل المستخدمين لتحديد من كان حاضرًا. المذكرة لا تسمّي شخصًا. والتفتيش يطلب المشتبه به.

وقد سمّت الدائرة الخامسة هذا الانقلاب صراحةً في قضية United States v. Smith: مذكرات السياج الجغرافي هي "the exact sort of general, exploratory rummaging that the Fourth Amendment was designed to prevent" — أي النوع نفسه بالضبط من النبش العام الاستكشافي الذي وُضع التعديل الرابع لمنعه. ورسمت المحكمة خطًا مباشرًا من مذكرات السياج الجغرافي إلى أوامر المساعدة (writs of assistance) — وهي تفويضات تفتيش مفتوحة استخدمتها السلطات الاستعمارية البريطانية وأتاحت للضباط تفتيش أي مكان من دون سبب محدد. وكانت أوامر المساعدة هي الاستفزاز المباشر الذي أدى إلى التعديل الرابع.

أما الدائرة الرابعة، حين واجهت السؤال نفسه في قضية تشاتري، فلم تستطع الاتفاق. فانقسمت المحكمة بكامل هيئتها 7-7، وأنتجت 126 صفحة من الآراء من دون موقف أغلبية في أي مسألة كبرى. وكان القرار الصادر باسم المحكمة (per curiam) في جملة واحدة — والذي أيّد الإدانة من دون حسم السؤال الدستوري — أوسع خلاف قضائي بلا حسم في تاريخ قانون الخصوصية الرقمية.

وقبلت المحكمة العليا نظر الطعن (certiorari) لحسم هذا الانقسام.

نطاق 150 مترًا

حدّدت المذكرة في قضية تشاتري نطاقًا مقداره 150 مترًا حول الاتحاد الائتماني ونافذة زمنية مدتها ساعة واحدة. وداخل ذلك النطاق: الاتحاد الائتماني، وكنيسة مجاورة، وموقف سيارات الكنيسة، وفنادق قريبة، وعقارات سكنية.

والأشخاص الذين التُقطت بيانات مواقعهم يشملون: حاضري قداس في الكنيسة، ونزلاء فنادق، وسكان منازل قريبة، ومتسوقين في محال مجاورة، وكل من مشى أو قاد سيارته عبر المنطقة خلال الساعة المحددة. لم يكن أيٌّ من هؤلاء مشتبهًا به. ولم تكن لأيٍّ منهم أي صلة بالسطو. فُتّشت بيانات مواقعهم لأنهم كانوا موجودين داخل دائرة على خريطة.

هذه هي مشكلة التخصيص. فالتعديل الرابع يشترط أن تصف المذكرات "particularly describe the place to be searched, and the persons or things to be seized" — أي أن تصف على وجه التحديد المكان المراد تفتيشه، والأشخاص أو الأشياء المراد ضبطها. ومذكرة السياج الجغرافي تصف مكانًا — لكنها لا تصف شخصًا. إنها تضبط بيانات من كل من في المنطقة، ثم تحدد أشخاصًا محل اهتمام من النتائج. فالتحديد يأتي بعد التفتيش، لا قبله.

ما قاله القضاة

في المرافعة الشفوية يوم 27 أبريل، بدت المحكمة منقسمة على خطوط مألوفة مع تيارات معاكسة غير متوقعة.

سأل رئيس المحكمة روبرتس لماذا لا يستطيع المستخدمون ببساطة تعطيل تتبّع الموقع — مؤطّرًا المسألة بوصفها إفصاحًا طوعيًا. وشدّد القاضي أليتو على مبدأ الطرف الثالث، مشيرًا إلى أن مشاركة بيانات الموقع مع Google تشكّل نقلًا طوعيًا يُلغي توقّع الخصوصية.

وطعنت القاضية سوتومايور في حجة الطوعية، متسائلةً عمّا إذا كان المستخدمون يفهمون ضوابط الخصوصية التي يوافقون عليها حين يُعدّون هواتفهم. وسألت القاضية كاغان لماذا يحمي التعديل الرابع "patterns of life" — أنماط الحياة — دون أن يحمي زيارة واحدة إلى تجمّع سياسي أو إلى عيادة إجهاض.

وطرح القاضي غورسوتش السؤال الذي يمدّ القضية إلى أبعد من بيانات المواقع: «إن قضينا بأن الانكشاف الطوعي أمام Google يتيح للحكومة وصولًا غير مقيّد إلى سجل المواقع، فهل ينطبق ذلك الحكم بالقدر نفسه على البريد الإلكتروني؟» وأكّد محامي الطاعن أنه سيمتد إلى البيانات المخزَّنة سحابيًا.

وأثنى القاضي كافانو على عملية التضييق الثلاثية التي أجراها المحقق — من 19 حسابًا إلى 9 إلى 3 — بوصفها «عملًا شرطيًا جيدًا»، ملمّحًا إلى مسار وسط محتمل تخفّف فيه منهجية المذكرة من اتساعها.

وتشير مؤشرات المرافعة الشفوية إلى أن المحكمة على الأرجح لن تتبنى أيًّا من الموقفين المتطرفين — لا حظرًا قاطعًا لمذكرات السياج الجغرافي ولا إذنًا مطلقًا بها. والنتيجة الأرجح هي حكم مرتبط بوقائع القضية يضع حواجز دستورية للزمان والمكان والتخصيص. لكن حتى الحكم الضيق سيضع السابقة التي ستحكم كل مذكرة تفتيش عكسية لجيل كامل.

أبعد من الموقع

تجاوز عدد مذكرات أصدقاء المحكمة المودَعة في قضية Chatrie تسعًا وعشرين مذكرة. فقد أودعت ACLU، ومؤسسة الحدود الإلكترونية (EFF)، ومركز Brennan للعدالة، ومركز الديمقراطية والتقنية (CDT)، وGoogle، وMicrosoft، وX Corp. جميعها مذكرات. وكذلك فعل معهد Cato والرابطة الوطنية لمحامي الدفاع الجنائي.

وتحذّر المذكرات من أن المعيار الدستوري الذي تضعه Chatrie لن يقتصر على بيانات المواقع. فمنطق «المذكرة العكسية» نفسه ينطبق على:

مذكرات الكلمات المفتاحية — أوامر توجّه محرك بحث إلى تحديد كل من بحث عن مصطلح معيّن خلال فترة معيّنة. وقد تلقّت Google مذكرات كلمات مفتاحية عن عبارات بحث تتصل بحرائق متعمدة وتهديدات بالتفجير وجرائم أخرى.

سجلات روبوتات الدردشة الذكية — أوامر توجّه شركة ذكاء اصطناعي إلى تحديد كل مستخدم طرح سؤالًا معيّنًا أو ناقش موضوعًا معيّنًا. فكل محادثة مع Claude أو ChatGPT أو Gemini أو أي مساعد ذكاء اصطناعي آخر تُخزَّن على الخادم افتراضيًا.

تفتيش المستندات السحابية — أوامر توجّه مزوّد تخزين سحابي إلى تحديد كل مستخدم تحتوي مستنداته على محتوى معيّن. فكل ملف في Google Drive أو iCloud أو OneDrive أو Dropbox قابل للتفتيش نظريًا وفق نظرية المذكرة العكسية.

سجلات مشاهدة الفيديو — أوامر توجّه منصة بث إلى تحديد كل من شاهد مقطعًا معيّنًا. وهذا يمسّ قانون حماية خصوصية الفيديو (Video Privacy Protection Act)، لكن حكمًا دستوريًا في Chatrie قد يعلو على الحمايات التشريعية.

والنقطة البنيوية: إن قضت المحكمة بأن مشاركة البيانات مع شركة تقنية تُلغي حماية التعديل الرابع، فإن كل تفاعل رقمي يمرّ عبر خادم طرف ثالث يصير غير محميّ دستوريًا. وتصير المذكرة العكسية أداة التحقيق الافتراضية للعصر الرقمي.

Google غيّرت معمارها

في ديسمبر 2023، أعلنت Google أنها ستنقل بيانات سجل المواقع من خوادم Sensorvault المركزية إلى أجهزة المستخدمين أنفسهم. وبحلول منتصف 2025 اكتمل الانتقال. ولم تعد Google تحوز قاعدة بيانات المواقع المجمَّعة التي جعلت مذكرة السياج الجغرافي في قضية تشاتري ممكنة.

وهذا مهم معماريًا. فقد حلّت Google المشكلة التي تطرحها Chatrie — لا بالقانون، ولا بالسياسات، بل بالتصميم. فبنقل البيانات إلى جهاز المستخدم، ألغت Google قاعدة البيانات المركزية التي كان بوسع الحكومة تفتيشها. المعمار هو الدفاع.

لكن السؤال الدستوري يبقى بعد التغيير المعماري. فقد اتجهت جهات إنفاذ القانون بالفعل إلى شركات الاتصالات — AT&T وT-Mobile وVerizon — طلبًا لبيانات المواقع المستندة إلى الأبراج. وذكرت Forbes في أوائل 2024 أن جهات إنفاذ القانون تحوّلت إلى شركات الاتصالات بعد تغيير سياسة Google. وهذه الشركات تعمل بمعمار أقل حمايةً للخصوصية من نموذج Google العامل على الجهاز.

وسيضع الحكم في Chatrie الأرضية الدستورية لكل عمليات البحث العكسي عن المواقع، لا تلك الخاصة بـ Google وحدها. ومبدأ المذكرة العكسية يمتد إلى كل قاعدة بيانات، على كل منصة، ولكل نوع من البيانات. لقد نقلت Google بيانات المواقع إلى الجهاز. أما سجلات محادثات الذكاء الاصطناعي وعمليات البحث بالكلمات المفتاحية والمستندات السحابية فتبقى على الخادم.

المعمار الذي لا يمكن تفتيشه

الحكم الدستوري في Chatrie — أيًّا كان — سيضع الأرضية. وسيحدد الحد الأدنى من الحماية التي يوفرها التعديل الرابع في مواجهة المذكرات العكسية.

أما المعمار الذي يوفّر حماية فوق تلك الأرضية فهو المعمار الذي ما فتئت هذه النشرة توثّقه.

المراسلة المعمّاة من الطرف إلى الطرف حيث يحوز الخادم نصًّا مشفّرًا ولا يستطيع الاستجابة لمذكرة عكسية قائمة على المحتوى لأن المحتوى غير متاح. بروتوكول Signal. تعمية Matrix. النقل النِّدّي في Briar.

الاستدلال الذكي المحلي حيث لا يغادر الاستعلام جهاز المستخدم قط. فالمذكرة العكسية التي تطلب «كل من سأل عن كذا» لا تستطيع بلوغ محادثة لم تبلغ خادمًا قط.

تخزين البيانات على الجهاز حيث يقيم سجل المواقع وسجل البحث ومكتبة المستندات على عتاد يتحكم فيه المستخدم. والتغيير المعماري الذي أجرته Google في ديسمبر 2023 — نقل سجل المواقع إلى الجهاز — هو النموذج. فالبيانات غير المركزية لا يمكن تفتيشها بمذكرة واحدة.

الخدمات ذاتية الاستضافة حيث يتحكم المستخدم في الخادم. فالمذكرة العكسية المبلَّغة إلى بنية المستخدم التحتية هي مذكرة تفتيش تقليدية تستلزم سببًا محتملًا فرديًا — لا شبكة جرف.

الشبكات التراكبية النِّدّية حيث لا يعبر النقل وسيطًا يخزّن البيانات. فشبكة URnetwork التراكبية لا تُراكم بيانات مواقع ولا سجلات محادثات ولا سجلات بحث، لأن المعمار لا يتضمن مخزنًا مركزيًا للبيانات لأيٍّ من هذه الفئات.

سيخبرنا قرار Chatrie بما يقتضيه الدستور. أما المعمار فيخبرنا بما هو ممكن أيًّا كان ذلك القرار. فقد كانت 592 مليون حساب قابلة للتفتيش لأن 592 مليون حساب كانت موجودة في قاعدة بيانات واحدة. والمعمار الذي لا توجد فيه تلك القاعدة هو المعمار الذي لا تجد فيه المذكرة شيئًا — لا لأن المحكمة حظرت التفتيش، بل لأن البيانات لم تكن هناك أصلًا.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للرقابة. ولا تُراكم شبكة URnetwork التراكبية بيانات مواقع مركزية ولا سجلات محادثات ولا سجلات بحث. والمذكرة العكسية المبلَّغة إلى الشبكة التراكبية لا تجد شيئًا لأن البيانات غير موجودة عند طبقة الوسيط.

https://ur.io

الجملة ثلاث عشرة كلمة. أما الحقيقة الهندسية خلفها فمطلقة.

"When you build a backdoor into an encrypted device, anyone can walk through." — حين تبني بابًا خلفيًا في جهاز معمّى، يستطيع أي أحد أن يعبر منه.

إريك نوينشفاندر، مدير أول الخصوصية وسلامة الأطفال في Apple، أدلى بهذه العبارة مساء أمس أمام اللجنة الدائمة للسلامة العامة والأمن القومي في مجلس العموم الكندي، خلال آخر جلسة استماع مقرّرة بشأن مشروع القانون C-22، قانون النفاذ القانوني لعام 2026.

وأضافت كاثرين شارليه من Google، المديرة الأولى للخصوصية والسلامة والأمن، أن صلاحيات مشروع القانون «بلا حدود» وقد يكون لها «آثار عالمية، لأن الكنديين يتفاعلون مع أناس في كل أنحاء العالم». وصرّحت جانيت باتيل من Google، مديرة الشؤون الحكومية والسياسات العامة في كندا: «الأوامر السرية لا تنسجم مع سائر الدول الديمقراطية، وستقيّد بشدة قدرة الشركات على أن تكون شفافة مع مستخدميها بشأن كيفية حماية بياناتهم».

أكبر شركتي تقنية في العالم قالتا للبرلمان الكندي، رسميًا وعلى المحضر، إن هذا القانون يهدد أمن كل شخص يستخدم منتجاتهما.

ما الذي يفعله مشروع القانون C-22

مشروع القانون C-22 لا يستخدم كلمة «تعمية». ولا يُلزم الشركات صراحةً بكسر تعميتها.

ما يفعله هو إنشاء إطار قانوني تستطيع الحكومة بموجبه إصدار إشعارات قدرة تقنية سرية — أوامر تُلزم مزوّدي الخدمات الإلكترونية بتعديل أنظمتهم لتمكين الاعتراض القانوني للاتصالات. ويُلزم مشروع القانون "core providers" — المزوّدين الأساسيين — بالاحتفاظ بالبيانات الوصفية لمدة تصل إلى سنة. ويضع عتبة "reasonable suspicion" — الاشتباه المعقول — للنفاذ، وهي أدنى من معيار السبب المحتمل المستخدم في الولايات المتحدة.

ويمكن إصدار إشعارات القدرة التقنية سرًّا. ولا توجد رقابة قضائية على المتطلب التقني نفسه — فمذكرة الاعتراض وحدها هي التي تخضع للتدقيق القضائي. ولا يوجد التزام بالشفافية. ولا توجد آلية تتيح للشركة أن تُفصح لمستخدميها بأنها أُمرت بتعديل أنظمتها. ولا يوجد شرط إبلاغ علني.

وقد وصف وزير السلامة العامة غاري أناندسانغاري مشروع القانون بأنه «محايد تجاه التعمية». وقالت Apple وGoogle للبرلمان أمس إن هذا التوصيف لا يطابق النص التنفيذي لمشروع القانون.

Salt Typhoon

قدّم نوينشفاندر من Apple أمس حجة استدلالية محددة لم تكن اللجنة قد تناولتها من قبل: هجوم Salt Typhoon السيبراني.

في 2024، اخترق قراصنة صينيون مدعومون من الدولة من المجموعة المعروفة بـ Salt Typhoon البنية التحتية للاعتراض القانوني لدى كبرى شركات الاتصالات الأمريكية — وهي الأنظمة التي بُنيت خصيصًا للامتثال لقانون مساعدة الاتصالات لإنفاذ القانون (Communications Assistance for Law Enforcement Act). واستغل القراصنة نقاط النفاذ التي كانت موجودة لأن القانون اشترط وجودها. فوصلوا إلى بيانات المكالمات في الزمن الحقيقي، والرسائل النصية، واتصالات كبار المسؤولين الحكوميين والشخصيات السياسية.

وقالت Apple للجنة: إن تشريع النفاذ القانوني الأمريكي «كان أضيق من مشروع القانون C-22»، ومع ذلك استغله Salt Typhoon. فالباب الخلفي الذي اشترطته الحكومة الأمريكية هو الباب الخلفي الذي عبرت منه الصين.

والحجة البنيوية ليست افتراضية. إنها حالة موثَّقة اختُرقت فيها بنية النفاذ القانوني لأكثر مجتمعات الاستخبارات تطورًا تقنيًا في العالم، على يد خصم أجنبي، عبر نقاط النفاذ التي فرضها القانون.

تهديدات المغادرة

تأتي الشهادة بعد أسابيع من تحذيرات متصاعدة من شركات تركّز على الخصوصية.

فقد صرّح أودبهاف تيواري، نائب رئيس الاستراتيجية في Signal، بأن الشركة «تفضّل الانسحاب من البلد على أن تُجبَر على المساس بوعود الخصوصية التي قطعناها لمستخدمينا».

وأكّدت Windscribe، وهي مزوّدة VPN مقرها تورونتو، أنها ستنقل مقرها خارج كندا بدل الامتثال لمتطلبات الاحتفاظ بالبيانات الوصفية. وقد جرى التحقق من صحة سياسة Windscribe القائمة على «بلا سجلات» في قضية أمام محكمة يونانية في 2025.

وصرّحت NordVPN: «لا يوجد سيناريو نمسّ فيه معمارنا القائم على انعدام السجلات أو حمايات التعمية لدينا».

ووصفت ExpressVPN تعميتها ومعمارها القائم على انعدام السجلات بأنهما «غير قابلين للتفاوض».

وأثارت Apple وMeta كلتاهما مخاوف علنية. ووقّع أكثر من 200 خبير تعمية وعالم حاسوب رسالة مفتوحة تعارض نهج مشروع القانون تجاه التعمية.

ووصف مايكل غايست، كرسي كندا البحثي في قانون الإنترنت والتجارة الإلكترونية بجامعة أوتاوا، مشروع القانون بأنه «وحش المراقبة ذو الرأسين في النفاذ القانوني»، وشبّه تجاهل الحكومة لتحذيرات القطاع بـ«دليل قانون الأخبار الإلكترونية (Online News Act) الكارثي» — في إشارة إلى تشريع كندي صدر في 2023 ودفع Meta إلى حجب المحتوى الإخباري في كندا.

وقالت OpenMedia للجنة: «اسحبوا مشروع القانون C-22 أو اجتثّوا أحكام المراقبة فيه».

السابقة البريطانية

يتضمن قانون صلاحيات التحقيق (Investigatory Powers Act) في المملكة المتحدة أحكامًا مشابهة بشأن إشعارات القدرة التقنية. وفي 2025، تلقّت Apple أمرًا سريًا بموجب القانون يُلزم الشركة بإتاحة النفاذ إلى بيانات iCloud المعمّاة.

ولم يكن ردّ Apple بناء الباب الخلفي. بل كان سحب خاصية Advanced Data Protection — الحماية المتقدمة للبيانات — من المملكة المتحدة كليًا، أي إزالة التعمية من الطرف إلى الطرف للنسخ الاحتياطية على iCloud عن جميع المستخدمين البريطانيين. فخسر المستخدمون خاصية أمنية. ولم تنل الحكومة النفاذ الذي طلبته. وصار الخصوم الذين يستهدفون المستخدمين البريطانيين يواجهون الآن تعمية أضعف على نسخهم الاحتياطية في iCloud.

هذه هي النتيجة التشغيلية لمعمار الباب الخلفي: الشركة التي ترفض المساس بالتعمية تزيل الخاصية بدل إضعافها. فيخسر المستخدمون الحماية. ولا تكسب الحكومة شيئًا. ويكسب الخصوم هدفًا أليَن.

وحين سُئل نوينشفاندر عمّا إذا كانت Apple ستتخذ الإجراء نفسه في كندا، امتنع عن التكهن، لكنه قال إن الشركة تتحاور مع اللجنة سعيًا إلى «تعديلات إيجابية».

جلسة اللجنة

كانت جلسة أمس آخر جلسة استماع مقرّرة للشهود قبل أن تنظر اللجنة الدائمة للسلامة العامة والأمن القومي في التعديلات. وقد استمعت اللجنة إلى عشرات الشهود عبر ثلاثة اجتماعات.

ودفع النائب المحافظ فرانك كابوتو نحو تمديد النقاش، محتجًّا بأن مشروع القانون «يُمرَّر عنوةً عبر البرلمان». ورُفعت الجلسة قبل بدء عملية التعديل.

وقال ممثل عن الرابطة الكندية لرؤساء الشرطة للجنة إن الاحتفاظ بالبيانات الوصفية لثلاث سنوات سيكون «مثاليًا» — أي أطول من السنة الواحدة التي يفرضها مشروع القانون حاليًا.

وصرّح وزير السلامة العامة أناندسانغاري بأنه «منفتح على التعديلات» ويأمل في تمرير مشروع القانون قبل العطلة الصيفية للبرلمان. وقد أكمل مشروع القانون قراءتين من ثلاث في مجلس العموم وسيذهب إلى مجلس الشيوخ للمراجعة النهائية.

النمط

مشروع القانون C-22 ليس حدثًا تشريعيًا معزولًا. إنه الأحدث في دفعة متزامنة عبر دول ديمقراطية لفرض النفاذ القانوني إلى الاتصالات المعمّاة.

فقانون السلامة الإلكترونية (Online Safety Act) في المملكة المتحدة يتضمن أحكامًا قد تفرض فحص الرسائل المعمّاة. وصرّحت ميريديث ويتاكر، رئيسة Signal، بأن الشركة ستغادر المملكة المتحدة قبل أن تمسّ التعمية. وكان من المتوقع أن تضع Ofcom المعايير التقنية في صيغتها النهائية بحلول أبريل 2026.

وينظر برلمان السويد في قانون يُلزم تطبيقات المراسلة بتخزين اتصالات المستخدمين وإتاحة النفاذ إليها. وكان مدير المعلومات في القوات المسلحة السويدية نفسها قد اعتمد Signal رسميًا للاتصالات غير المصنَّفة — ثم اقترحت الحكومة فرض النفاذ إلى الأداة نفسها.

وكان قانون المساعدة والنفاذ لعام 2018 (Assistance and Access Act) في أستراليا أول تشريع في دولة ديمقراطية يقوّض التعمية. وقد استُخدم لإلزام شركات ببناء قدرات اعتراض من دون إفصاح علني.

ولا تفرض الولايات المتحدة حاليًا أبوابًا خلفية للتعمية، لكن FBI دعا مرارًا إلى "responsible encryption" — «تعمية مسؤولة» — توفّر نفاذًا قانونيًا. وقد أضعف اختراق Salt Typhoon لأنظمة الاعتراض القانوني الأمريكية حجة FBI.

وفي كل حالة، الآلية التشريعية واحدة: منح الحكومة سلطة إصدار أوامر سرية تفرض تعديلات تقنية لتمكين الاعتراض، من دون إفصاح علني ومع رقابة قضائية محدودة على المتطلب التقني. وفي كل حالة، ردّ مجتمع الخصوصية والأمن واحد: الباب الخلفي المبني للحكومة قابل للاستغلال من كل خصم، والدليل الموثَّق — Salt Typhoon — يثبت ذلك.

المعمار الذي لا باب خلفي فيه

الردّ من جهة المستخدم على فرض الأبواب الخلفية هو الردّ نفسه الذي وثّقته هذه النشرة عبر كل مجالات حرية الإنترنت.

البروتوكولات المعمّاة من الطرف إلى الطرف حيث يحوز المستخدمُ المفتاح لا مزوّدُ الخدمة. فالمزوّد لا يستطيع الامتثال لإشعار قدرة تقنية لأنه لا يحوز المفتاح. المعمار هو الدفاع القانوني.

بروتوكول Signal. تعمية Matrix. النقل النِّدّي في Briar. شبكة URnetwork التراكبية النِّدّية. كلٌّ منها يوزّع المفتاح على نقاط النهاية ويزيل قدرة الوسيط على فك التعمية. والأمر الحكومي الموجَّه إلى الوسيط لا يُنتج شيئًا لأن الوسيط لا يحوز شيئًا.

التطبيقات مفتوحة المصدر حيث تكون الشفرة قابلة للتدقيق وإدخال باب خلفي قابلًا للكشف. فشفافية الشفرة هي الدفاع في مواجهة أوامر التعديل السرية. فإن كانت الشفرة مفتوحة، تعذّر أن يبقى الأمر سرًّا — لأن التعديل سيكون مرئيًا.

الخدمات الاتحادية وذاتية الاستضافة حيث يتحكم المستخدم في الخادم. فإشعار القدرة التقنية المبلَّغ إلى خادم المستخدم نفسه هو مذكرة تفتيش، لا باب خلفي — إذ يستلزم إجراءً قضائيًا فرديًا، لا تعديلًا تقنيًا شاملًا.

المضادّ المعماري لمشروع القانون C-22 ليس حجة قانونية. إنه خيار تصميم. فالنظام الذي لا يحوز المفتاح قط لا يمكن أن يُؤمر بتسليمه. والنظام المفتوح الشفرة لا يمكن تعديله سرًّا. والنظام الذي خادمه خادم المستخدم نفسه لا يمكن المساس به صامتًا بأمر يُبلَّغ إلى شركة.

"When you build a backdoor into an encrypted device, anyone can walk through." — حين تبني بابًا خلفيًا في جهاز معمّى، يستطيع أي أحد أن يعبر منه.

والمعمار الذي لا باب خلفي فيه لا باب فيه يعبر منه أحد — لا الحكومة، ولا الخصم، ولا الشركة التي بنته.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للرقابة. وتوزّع شبكة URnetwork التراكبية مفاتيح التعمية على نقاط النهاية. والوسيط لا يحوز أي مفتاح ولا يستطيع الامتثال لإشعار قدرة تقنية لأنه لا شيء لديه ليسلّمه.

https://ur.io

منتصف ليلة اليوم هو الموعد النهائي.

أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) إرشادات معالجة بموجب التوجيه التشغيلي المُلزِم يوم الجمعة 22 مايو، تُلزم وكالات الفرع التنفيذي المدني الاتحادي بترقيع ثغرة حقن SQL في نواة Drupal، CVE-2026-9082، بحلول الأربعاء 27 مايو منتصف الليل. واليوم هو ذلك اليوم.

وحساب كيفية وصول المهلة إلى اليوم هو ما وصفته نسخة 24 مايو من هذه النشرة بإطار «الأيام العشرة». فقد رفع مجلس الشيوخ جلساته لعطلة يوم الذكرى يوم الجمعة 22 مايو — اليوم نفسه الذي نشرت فيه CISA التوجيه. ويعود مجلس الشيوخ الاثنين 1 يونيو أو الثلاثاء 2 يونيو. ووقع يوم الذكرى الاثنين 25 مايو. واليوم، الأربعاء 27 مايو، هو أول يوم عمل بعد يوم الذكرى. ولا يزال المجلس في عطلة. وظلّ ملاك تقنية المعلومات في الوكالات المدنية الاتحادية يعمل عبر انتقال عطلة نهاية أسبوع طويلة، وقد جرى — بحسب تقارير سابقة في هذه السلسلة — تقليص قوة عمل CISA بنحو الثلث بعد الإغلاق الحكومي.

المهلة تحلّ في أثناء ذلك الانضغاط.

هذه هي الصورة التشغيلية للحجة البنيوية التي ساقتها نسخة 24 مايو: المؤسسات تعمل على تقويم أيام العمل؛ وجانب التهديد يعمل بلا انقطاع؛ والنافذة اللامتناظرة بين إيقاع الترقيع يوم الجمعة ودورة الاستجابة يومَي الاثنين والثلاثاء بعد العطلة هي أكثر نوافذ الأسبوع استغلالًا. ومهلة Drupal لدى الفرع التنفيذي المدني الاتحادي هي أول مهلة اتحادية محددة تختبر ذلك الحساب في هذه الدورة.

مهلة الفرع التنفيذي المدني الاتحادي لثغرة الانتحال CVE-2026-42897 في Exchange Server هي الجمعة 29 مايو — بعد يومين من اليوم. ومهلة الفرع التنفيذي المدني الاتحادي لثغرتَي اليوم-صفر التوأمين في Microsoft Defender هي الأربعاء 3 يونيو — بعد سبعة أيام من اليوم، أي اليوم التالي لعودة مجلس الشيوخ. وانتهاء صلاحية المادة 702 على بُعد ستة عشر يومًا، في 12 يونيو.

اقتطعت العطلة عشرة أيام تقويمية من نافذة الرقابة اللاحقة للعطلة على إعادة اعتماد المادة 702. واقتطعت العطلة العدد نفسه تقريبًا من أيام العمل من دورة الترقيع الاتحادية اللاحقة للعطلة الخاصة بـDrupal وExchange وDefender. وقد سارت الساعتان معًا. والتقويم الذي أنتج الانضغاطين هو التقويم نفسه.

اليوم هو اليوم صفر لذلك الحساب.

مهلة Drupal بالتفصيل

CVE-2026-9082 هي ثغرة حقن SQL في محوّل قاعدة بيانات PostgreSQL داخل نواة Drupal، كشفها الباحث في Google/Mandiant مايكل ماتوري. وتقع الثغرة في واجهة تجريد قاعدة البيانات في Drupal، وتتيح لمهاجم عن بُعد غير مُصادَق تنفيذ SQL عشوائي عبر طلبات خبيثة تستهدف تثبيتات Drupal المدعومة بـPostgreSQL. والاستغلال الناجح قد يُفضي إلى كشف معلومات، أو تصعيد امتيازات، أو تنفيذ شيفرة عن بُعد.

يشغّل Drupal حصة معتبرة من البنية التحتية الوِبّية الاتحادية والمؤسسية، مع تمثيل كثيف للقطاع المدني الاتحادي الأمريكي بين عمليات نشر Drupal المدعومة بـPostgreSQL. وقد أضافت CISA الثغرة إلى فهرس الثغرات المعروفة المُستغَلّة يوم الجمعة 22 مايو بموجب التوجيه التشغيلي المُلزِم 22-01، فارضةً على وكالات الفرع التنفيذي المدني الاتحادي المعالجة بحلول منتصف ليلة اليوم.

وقياسات الاستغلال عن بُعد تشغيلية لا نظرية. فقد رصدت Imperva نحو 15,000 محاولة هجوم تستهدف قرابة 6,000 موقع فردي عبر 65 دولة. وتركّز الهجمات في قطاعَي الألعاب والخدمات المالية — وهما مجتمعَين نحو نصف الهجمات المرصودة كلها. ويتتبّع Shadowserver نحو 670 تثبيتًا غير مُرقَّع من Drupal مكشوفًا على الإنترنت عالميًا؛ منها 272 في أمريكا الشمالية و273 في أوروبا.

وأبسط حجة مضادة هي أن ثغرة Drupal واحدة من كثير من مهل المعالجة التي فرضتها CISA ووصلت هذا العام. وهذا صحيح. والحجة ليست أن هذه المهلة مهمة على نحو فريد؛ الحجة أنها أول مهلة للفرع التنفيذي المدني الاتحادي تحلّ في النافذة المضغوطة بعطلة ما بعد يوم الذكرى. والإطار مهم لأن انضغاط التقويم نفسه الذي دفع إعادة اعتماد المادة 702 خارج المجلس عشرة أيام هو ما ضغط نافذة المعالجة اللاحقة للكشف على موظفي تقنية المعلومات الاتحاديين العاملين خلال انتقال العطلة.

رقعة Drupal في أيدي المشغّلين. والمهلة تنقضي الليلة. وتقارير الغد ستخبرنا كيف يبدو معدّل المعالجة المدنية الاتحادية تحت قيد العطلة.

الانقلاب: هجمات ATG المرتبطة بإيران والفصل العنصري الرقمي داخل إيران

البصيرة المعمارية اليوم ليست المهلة نفسها. بل النمط الاتجاهي الذي تقع المهلة داخله.

أفادت CNN في 15 مايو بأن مسؤولين أمريكيين يشتبهون في أن جهات مرتبطة بإيران تقف وراء سلسلة اختراقات لأنظمة ترصد مستويات خزانات الوقود في محطات الوقود عبر عدة ولايات أمريكية. ناقل الهجوم: أنظمة قياس الخزانات الآلية القابعة على الإنترنت بلا حماية بكلمة مرور. وفي بعض الحالات تمكّن المهاجمون من تعديل قراءات العرض على الخزانات — لا مستويات الوقود الفعلية بل طبقة الرصد المرئية للمشغّل. ولم تُنتج الاختراقات أضرارًا مادية مؤكَّدة. أما القلق على السلامة، الذي أثاره مسؤولون أمريكيون مذكورون في تقرير CNN، فهو أن اختراق ATG يمكن من حيث المبدأ أن يسمح بتسرّب وقود دون أن يُكتشف.

ويستحق مصدر النسبة دقةً في الوصف. فمسؤولون أمريكيون يشتبهون في جهات مرتبطة بإيران؛ وتقرير CNN يستند إلى مصادر رسمية متعددة. وكان تقرير Sky News لعام 2021 عن وثائق داخلية لفيلق الحرس الثوري الإسلامي قد خصّ أنظمة ATG بالذكر بوصفها أهدافًا محتملة محددة لهجمات سيبرانية تخريبية. وحوادث 2026 تتسق مع النية المُبلَّغ عنها سابقًا. وتظل النسبة «مشتبهًا بها» بحسب مسؤولين أمريكيين، لا مفصولًا فيها.

واليوم هو اليوم 89 من نظام الطبقات الطبقية للإنترنت المحلي في إيران. المعمارية: طبقة «إنترنت أبيض» بنطاقات ضمن قائمة بيضاء لوصول عامة الناس إلى الخدمات المعتمدة من الدولة؛ وطبقة «Internet Pro» للمهنيين المرتبطين بالحرس الثوري الإيراني وبشركة MCI بنحو 0.20 يورو للغيغابايت؛ وطبقة VPN تجارية للمستخدمين الميسورين بنحو 75 يورو شهريًا. والفارق السعري بين Internet Pro وVPN التجاري هو 12.5×. وقد وصف معهد كوينسي النظام بأنه «فصل عنصري رقمي» في تحليل نُشر في 12 مايو. وتتجاوز الأضرار الاقتصادية التراكمية المقدَّرة 5.2 مليار دولار بحسب إحصاءات الحكومة الإيرانية المنشورة عبر صحيفة دنياي اقتصاد.

والخاصية المعمارية — البدائية نفسها في اتجاهين — هي الخبر.

داخل إيران، الطبقة الوسيطة مُستولى عليها بالكامل من الدولة. فالناقل والمنصة والسجل والمذيع، وبشكل متزايد الجهاز، مملوكة ومُشغَّلة من كيانات حكومية أو مرتبطة بالحكومة. وتجربة الإنترنت المتاحة لعامة الناس تتشكّل بما يختار الوسيط المُستولى عليه السماح به. وإطار «الفصل العنصري الرقمي» يسمّي الفارق الناتج بين المواطنين ذوي الوصول المرتبط بالدولة والمواطنين المحرومين منه.

خارج إيران — وتحديدًا عند أنظمة ATG في محطات الوقود الأمريكية القابعة على الإنترنت بلا حماية بكلمة مرور — الطبقة الوسيطة غائبة تمامًا. فالـATG ليس مشغّلًا مُستولى عليه؛ إنه جهاز مضمَّن بلا إشراف. والجهات المرتبطة بإيران تستغل الوسيط الغائب بالطريقة نفسها التي يستغل بها النظام الإيراني الداخلي الوسيطَ المُستولى عليه: بإقحام نفسها في الطبقة التشغيلية التي ترصد البنية التحتية المادية.

البدائية المعمارية نفسها. وسيط مُستولى عليه في الداخل. ووسيط غائب في الخارج، يملؤه الخصم.

والإطار المعماري ليس حزبيًا. ولا يستلزم اتخاذ موقف من السياسة الداخلية الإيرانية ولا من النسبة الأمريكية لهجمات ATG. إنه يقول: الخاصية البنيوية التي تنتج طبقة الفصل العنصري الرقمي داخل إيران هي الخاصية البنيوية نفسها التي تنتج قابلية استغلال ATG خارج إيران. فالتحكّم في الطبقة الوسيطة — قدرة أحدهم، سواء أكان منظِّمًا حكوميًا أم مشغّل شبكة أم فاعلًا سيبرانيًا معاديًا، على إقحام نفسه بين المستخدم والخدمة — هو المتغير التشغيلي. والمضاد المعماري هو حزمة البدائيات على جانب المستخدم التي لا تعتمد على الطبقة الوسيطة في ضمانات الأمن.

ستة عشر يومًا

تنتهي صلاحية المادة 702 من قانون مراقبة الاستخبارات الأجنبية في 12 يونيو 2026.

ستة عشر يومًا تقويميًا من اليوم.

مجلس الشيوخ في عطلة يوم الذكرى. ويعود المجلس الاثنين 1 يونيو أو الثلاثاء 2 يونيو (تقويم مجلس الشيوخ قيد الانتظار). وأبكر يوم إجرائي ممكن لإجراء أرضية المجلس بشأن إعادة اعتماد المادة 702 هو الثلاثاء 2 يونيو. ومن 2 يونيو إلى 12 يونيو عشرة أيام تقويمية، منها نحو ثمانية أيام عمل عند احتساب يوم العودة النصفي وعطلة نهاية الأسبوع المتخللة.

ووعد السيناتور رون وايدن في 19 مايو بأنه «سيكون لديّ المزيد لأقوله عن هذا الأسبوع المقبل» — و«الأسبوع المقبل» هو أسبوع 25-29 مايو — قد تجاوزته العطلة. وأبكر يوم إجرائي لوايدن داخل مجلس الشيوخ هو العودة نفسها في 2 يونيو.

ولا يزال رأي محكمة مراقبة الاستخبارات الأجنبية، وهو محور صفقة رفع السرية المتفاوض عليها في 30 أبريل، مصنَّفًا سرّيًا. وقد انقضت نافذة رفع السرية المعجَّلة البالغة 15 يومًا يومَي الجمعة 15-16 مايو. ولم ترفع مديرة الاستخبارات الوطنية السرية. ولم ترفعها وزارة العدل. وقال مكتب مديرة الاستخبارات الوطنية لـBreitbart في 21 مايو إن المديرة تولسي غابارد «تعمل بجدّ على رفع السرية» — دون الالتزام بأي تاريخ. ولم يعلّق رئيس لجنة الاستخبارات في مجلس الشيوخ توم كوتون (جمهوري - أركنساس) علنًا منذ 15 مايو. ولم يعلّق نائب رئيس لجنة الاستخبارات مارك وورنر (ديمقراطي - فرجينيا) منذ انقضاء المهلة.

والتصدّع البنيوي الموثّق في نسخة 23 مايو لا يزال قائمًا. فنقاش إعادة الاعتماد على بُعد ستة عشر يومًا من انتهاء صلاحية صارم لبرنامج لا يستطيع الكونغرس الاطلاع على حكم المحكمة الأخير بشأنه، مع خروج المجلس عن الانعقاد طوال أيام العمل الأربعة المقبلة، ومع إدارة غير ملتزمة بتاريخ لرفع السرية.

وخيط المادة 702 ليس عنوان اليوم الرئيسي. فعنوان الأمس كان حساب عطلة يوم الذكرى. وخبر اليوم هو مهلة الأربعاء المحددة للفرع التنفيذي المدني الاتحادي. لكن ساعة انتهاء صلاحية المادة 702 تواصل الدوران، والحجة المعمارية التي ساقتها نسخة 23 مايو — أن مجلس الشيوخ مطالَب بإعادة اعتماد برنامج لن تريه السلطة التنفيذية الحكم الأخير بشأنه — تظل صحيحة عبر نافذة العمل اللاحقة للعطلة بأكملها.

المادة 702 هي مادة العمود اليوم. واليوم صفر هو العنوان الرئيسي.

يومان، سبعة أيام

المهلتان الاتحاديتان الأخريان للأمن السيبراني على ساعة ما بعد يوم الذكرى تحلّان يوم الجمعة والأربعاء الذي يليه.

Exchange OWA — CVE-2026-42897 — اليوم 13 اليوم، ويومان حتى مهلة الفرع التنفيذي المدني الاتحادي.

ثغرة الانتحال في Outlook Web Access، المتجذرة في البرمجة النصية عبر المواقع، تُستغل بنشاط منذ 14 مايو. ولم تشحن Microsoft تخفيفًا تلقائيًا إلا للعملاء الذين يشغّلون خدمة Exchange EM؛ أما الباقون فخطوات تخفيف يدوية. ومهلة المعالجة للفرع التنفيذي المدني الاتحادي هي الجمعة 29 مايو — بعد يومين من اليوم. ودورة ترقيع المورّد متأخرة عن ساعة المنظِّم للأسبوع الثالث على التوالي.

ثغرتا اليوم-صفر التوأمان في Microsoft Defender — CVE-2026-41091 + CVE-2026-45498 — سبعة أيام حتى مهلة الفرع التنفيذي المدني الاتحادي.

CVE-2026-41091 ثغرة تصعيد امتيازات. وCVE-2026-45498 ثغرة حجب خدمة. وكلتاهما في فهرس KEV لدى CISA اعتبارًا من 20 مايو بمهلة للفرع التنفيذي المدني الاتحادي يوم الأربعاء 3 يونيو — بعد سبعة أيام من اليوم، أي اليوم التالي لعودة مجلس الشيوخ من العطلة.

الخاصية البنيوية: أداة الأمن نفسها في الفهرس الاتحادي للاستغلال النشط. فرقع مورّد مستوى التحكّم تُشحن في مواجهة ساعة الاستغلال النشط للمنصة التي يشغّل عليها القطاع المدني الاتحادي دفاعه على نقاط النهاية.

مهلة Drupal اليوم، ومهلة Exchange يوم الجمعة، ومهلة Defender الأربعاء المقبل. ثلاث مهل أمن سيبراني للفرع التنفيذي المدني الاتحادي داخل نافذة من ثمانية أيام عمل. وهي النافذة نفسها التي تنتقل فيها ساعة انتهاء صلاحية المادة 702 من ستة عشر يومًا إلى ثمانية.

الطبقة المؤسسية محمَّلة بالكامل.

عمود الأسبوع السيبراني

دورة الترقيع المؤسسية هي نصف الصورة التشغيلية هذا الأسبوع. والنصف الآخر هو دورة الاختراقات المُعلَنة.

ShinyHunters / Canvas / Instructure. نحو 275 مليون سجل مخترَق عبر نحو 8,800 مؤسسة تعليمية، من بينها هارفارد وستانفورد وكولومبيا وروتغرز وجورجتاون وجامعة سنغافورة الوطنية. البيانات المسروقة: 3.65 تيرابايت تشمل أسماء مستخدمين وعناوين بريد إلكتروني وأسماء مقررات ومعلومات تسجيل ورسائل. الوصول الأولي عبر ثغرة غير محددة في نظام تذاكر الدعم في Canvas Free-for-Teacher في 25 أبريل. والكشف في 29 أبريل. وإعادة الاختراق في 7 مايو مع استبدال صفحة تسجيل الدخول برسالة فدية. وتوصّلت Instructure إلى اتفاق فدية مع ShinyHunters في 11 مايو لوقف التسريب المزمع البالغ 3.65 تيرابايت؛ وتزعم الشركة أن البيانات المخترقة أُتلفت. وأصدرت هيئة المساعدة الطلابية الاتحادية تنبيهًا أمنيًا تقنيًا في 12 مايو لمؤسسات التعليم العالي يغطي الحادثة.

Foxconn / Nitrogen. 8 تيرابايت / 11 مليون ملف. أكّدت Foxconn الهجوم السيبراني في 12 مايو على عملياتها في أمريكا الشمالية، بما فيها منشأتا ماونت بليزانت في ويسكونسن وهيوستن في تكساس. التعطّل التشغيلي: أُمر العمال في منشأة ويسكونسن بإغلاق الحواسيب؛ وأُخرجت أنظمة بطاقات الدوام عن الخدمة؛ وفُرضت سير عمل ورقية؛ وأُرسل بعض الموظفين إلى منازلهم. وتشمل مزاعم تسريب بيانات مجموعة الفدية Nitrogen وثائق مشاريع سرية ورسومات تقنية لـApple وIntel وGoogle وDell وNvidia. وأكّد AppleInsider في 20 مايو أن مخططات خوادم Apple كانت بين الملفات المسروقة. وثمة تفصيلة: يفيد باحثو Coveware بأن أداة فك التشفير لدى Nitrogen بها خطأ برمجي يمنع استعادة الملفات — أي أن دفع الفدية لا يستعيد الملفات.

GitHub / TeamPCP / Nx Console. في أواخر مايو، أكّدت GitHub رسميًا أن اختراق نحو 3,800 مستودع داخلي كان نتيجة امتداد Nx Console لـMicrosoft Visual Studio Code مسموم مُثبَّت على جهاز أحد موظفي GitHub. ويتبع الناقل نمط سلسلة التوريد في TanStack الموثّق في نسخ سابقة من هذه السلسلة. ونطاق 3,800 مستودع يجعل هذا أكبر اختراق لسلسلة توريد عبر اعتمادات موظف لدى مورّد SaaS في 2026 حتى تاريخه من حيث عدد المستودعات.

تسريب اعتمادات CISA نفسها. وثّق تقرير TechCrunch في 19 مايو أن مستودع Private-CISA التابع لـCISA على GitHub كان متاحًا للعموم نحو ستة أشهر ومعه اعتمادات مسؤول AWS GovCloud وكلمات مرور قواعد بيانات بنص صريح في سجل الالتزامات. ونافذة الاعتماد الصالح البالغة 48 ساعة — بين الكشف لـCISA والتدوير الكامل — هي إيقاع المعالجة لدى الوكالة نفسها في الانضباط الذي يفرضه توجيهها التشغيلي المُلزِم 22-01 على المشغّلين المدنيين الاتحاديين.

بحث قصف طلبات المصادقة متعددة العوامل. أبرز بحث نُشر في 26 مايو أن المهاجمين لم يعودوا بحاجة إلى سرقة عامل المصادقة الثاني؛ فنمط الهجوم يتقارب نحو دفع المستخدم إلى تسليمه عبر إرهاق قصف الطلبات. وسطح التحكّم نفسه، مرة أخرى، هو الهدف.

خمسة أحداث في دورة الكشف تقع داخل نافذة أيام العمل الثمانية نفسها التي تضم مهل ترقيع الفرع التنفيذي المدني الاتحادي وساعة إعادة اعتماد المادة 702. الحمل المؤسسي كامل.

طبقة الدول المتلقّية

النمط المعماري الذي توثّقه هذه النشرة يستمر مستقلًا عن تقويم مجلس الشيوخ الأمريكي.

المكسيك — 34 يومًا حتى مهلة CURP Biométrica. نحو 127 مليون خط هاتف محمول يجب تسجيلها ببصمة الوجه والإصبع والقزحية في CURP بحلول 30 يونيو وإلا واجهت التعليق في 1 يوليو. وتظل بيانات التسجيل العامة دون 10 بالمئة بحسب تقارير الصحفي المكسيكي إغناسيو غوميز فيلاسينيور. والأرقام حسب المشغّل من تقارير سابقة: AT&T 29 بالمئة، وBait 28 بالمئة، وTelcel 19 بالمئة، وMovistar 16 بالمئة. وخسرت Telcel 1.2 مليون خط إضافي في الربع الأول من 2026 — إشارة قابلة للقياس على ردّ فعل المستخدمين من أكبر مشغّل في أمريكا اللاتينية.

روسيا — اليوم 42 من تفويض كشف VPN لدى مزوّدي خدمة الإنترنت. بحسب المتابعة المستمرة من Meduza وRoskomsvoboda، لا يزال تفويض 15 أبريل ساريًا تشغيليًا لدى Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales والسكك الحديدية الروسية. و22 من أكثر 30 تطبيق أندرويد شعبية في روسيا باتت ترصد حالة VPN على طبقة التطبيق. ولا يزال Telegram محجوبًا. ويتواصل الدفع بتطبيق المراسلة الحكومي MAX رغم ميزات المراقبة الموثّقة فيه.

النيجر — اليوم 19. لا يزال تعليق المرصد الوطني للاتصال الصادر في 8 مايو لتسع وسائل إعلام دولية — France 24 وRadio France International وAgence France Presse وTV5 Monde وJeune Afrique وMediapart وLSI Africa وTF1 Info وFrance Afrique Média — ساري المفعول.

بوركينا فاسو — اليوم 22. لا يزال الحظر الدائم الصادر في 5 مايو على TV5 Monde نافذًا. ووثّق تقرير مراسلون بلا حدود في 6 مايو استمرار الاعتقالات، ومنها اعتقال الصحفي أتيانا سيرج أولون.

تنزانيا. لا يزال تقرير لجنة التحقيق الصادر في 23 أبريل بشأن 518 حالة وفاة في أعمال عنف ما بعد انتخابات 29 أكتوبر محجوبًا عن النشر العام. ولا يزال X معلَّقًا.

باكستان. يستمر إنفاذ قانون PECA بحسب متابعة مؤسسة الصحافة الباكستانية — أكثر من 233 حادثة حتى أبريل.

قانون الأمن القومي في هونغ كونغ. بات قانون الأمن القومي يُفعَّل الآن لفرض فك التشفير قسرًا على الأفراد — والوصول على مستوى الجهاز عبر الإجراءات القانونية يواصل توسيع نموذج التهديد التشغيلي.

كل نظام على ساعته الخاصة. والخاصية المعمارية المشتركة — التحكّم في الطبقة الوسيطة للناقل أو المنصة أو السجل أو المذيع أو الجهاز — هي الخاصية نفسها التي تجعل هجمات ATG الأمريكية ممكنة عبر مهاجمة الطبقة الوسيطة الغائبة في الأجهزة المضمَّنة بلا إشراف.

خط أنابيب البروتوكولات

شُحن حدثان على طبقة الإجماع يوم الجمعة 22 مايو — اليوم نفسه الذي رفع فيه مجلس الشيوخ جلساته واليوم نفسه الذي نشرت فيه CISA توجيه Drupal.

إغلاق تدقيق Trail of Bits لـFCMP++ في Monero. أُغلقت المهمة التي استمرت 11 يومًا (12-22 مايو) بشأن دمج الإنتاج FCMP++ 1a/1b في monero-project/monero دون نتائج علنية فورية. والممارسة المعتادة لدى Trail of Bits هي نافذة نشر بعد المهمة تتراوح بين أسبوعين وستة أسابيع. ويستبدل تغيير البروتوكول توقيعَ الحلقة بـ16 شركًا بإثبات عضوية على السلسلة الكاملة تكون مجموعة إخفاء هويته هي مجموعة UTXO بأكملها، أي نحو 150 مليون مخرج معاملة — أي توسّعًا بنحو 9.4 مليون ضعف في إخفاء هوية المُرسِل. والهدف للتفرّع الصلب على الشبكة الرئيسية هو النصف الثاني من 2026 رهنًا بمعالجة ما يلزم لاجتياز التدقيق.

إطلاق شبكة الاختبار NU7 في Zcash. فعّلت Shielded Labs شبكة الاختبار NU7 — ترقية الإجماع التالية بعد Crosslink Milestone 4. وقد دعم تبرّع فيتاليك بوتيرين في 6 فبراير لـShielded Labs عمل الترقية. والجدول الزمني من شبكة الاختبار إلى الشبكة الرئيسية متوقَّع لاحقًا في 2026.

Tor Browser 15.0.14 — إصدار 19 مايو بتحديثات أمنية. وتستمر جولة التمويل الجماعي لمشروع Tor الداعمة لعشرة مشاريع لحرية الإنترنت.

التشفير التام بين الطرفين DAVE في Discord — يستمر الطرح المُفعَّل افتراضيًا ليصل إلى نحو 200 مليون مستخدم نشط شهريًا عبر المناطق. وهو أكبر نشر أسبوعي منفرد لبنية تحتية للتشفير التام بين الطرفين لقاعدة مستخدمين غير متخصصة في 2026.

Claude Managed Agents من Anthropic — أضاف مايو أنفاق MCP (توجيه شبكي خاص) والصناديق الرملية ذاتية الاستضافة (بيئة تنفيذ يتحكم فيها المشغّل). وتوسّع مشروع Glasswing لدى Anthropic مع Claude Security في نسخة بيتا عامة وأدوات تحقّق سيبراني جديدة لفرق الأمن المؤهَّلة. الخاصية المعمارية: يمكن لعمليات الوكلاء أن تمرّ عبر بنية تحتية يتحكم فيها المشغّل بدلًا من الإعدادات الافتراضية التي يتحكم فيها المورّد.

المدفوعات الصامتة BIP352 في Bitcoin — يستمر الطرح في عمليات نشر Core 28.0 وما بعدها. وبات BIP324 v2 للنِّد-للنِّد المشفَّر (مُفعَّل افتراضيًا منذ Core 27.0) يمثّل الآن غالبية حركة Bitcoin بين الأنداد عالميًا.

الكشف الانتقائي BBS+ في eIDAS 2.0 — الاستكمال في IETF قيد التقدم. وبيانات الاعتماد القابلة للتحقق 2.0 من W3C في حالة توصية منذ مايو 2025.

GrapheneOS / CalyxOS — يستمر إيقاع الإصدار الشهري. ولا يزال GrapheneOS 2026050900 (9 مايو) وCalyxOS 7.2.1.0 (4 مايو) هما الأساسين الحاليين.

المرونة التشفيرية — بدائيات ما بعد الكم ML-KEM وML-DSA وSLH-DSA معايير حيّة منذ أغسطس 2024. وانتهاء صلاحية FIPS 140-2 في 21 سبتمبر. ويستمر تكرار Triple Ratchet لدى Signal (Sparse Post-Quantum Ratchet + Double Ratchet + PQXDH).

والنقد الأمين لإطار خط أنابيب البروتوكولات هو أن مشاريع البروتوكولات تعتمد هي أيضًا على طبقات مؤسسية. فتمويل Tor يأتي إلى حد كبير من صندوق التقنية المفتوحة ومنح وزارة الخارجية. وClaude Managed Agents منتج من Anthropic. وتدقيق Monero اعتمد على كوادر Trail of Bits وتنسيق صندوق MAGIC Monero المسجَّل 501(c)(3). فطبقة البروتوكولات ليست مستقلة عن المدخلات المؤسسية.

والحجة في هذه السلسلة ليست أن خط أنابيب البروتوكولات مستقل عن المؤسسات. الحجة أن خط أنابيب البروتوكولات لا ينضغط حول التقويم الاتحادي في ديناميكية نافذة العطلة المحددة التي يصفها هذا المقال. فقد أغلق Monero تدقيقًا يوم الجمعة. وأطلق Zcash شبكة اختبار يوم الجمعة. وشحن Tor إصدارًا في الأسبوع السابق. وواصل Discord طرح تشفيره التام بين الطرفين. وقد عكس إيقاع الجمعة على جانب البروتوكولات إيقاع الجمعة على جانب التهديد، بينما كان الجانب المؤسسي يستعد لرفع الجلسات للعطلة.

حزمة البدائيات على جانب المستخدم

حزمة البدائيات على جانب المستخدم — عملاء مفتوحون بمفاتيح يحتفظ بها المستخدم، برمجيات ثابتة مفتوحة على رقائق قابلة لفحص المستخدم، مصادقة عتادية FIDO2، وسائط نقل مقاومة للرقابة، عملات تحفظ الخصوصية، ذكاء اصطناعي بالاستدلال المحلي، هوية اتحادية بكشف انتقائي، خدمات ذاتية الاستضافة، شبكات متشابكة وأقمار صناعية، مرونة تشفيرية لما بعد الكم — تعمل بشكل متواصل على معمارية خط التدقيق.

هذه هي الطبقة التي لا تعتمد على ما إذا كان مجلس الشيوخ منعقدًا.

مهلة Drupal لدى الفرع التنفيذي المدني الاتحادي تحلّ الليلة عند منتصف الليل. ومهلة Exchange تحلّ يوم الجمعة. ومهلة Defender تحلّ الأربعاء المقبل. وانتهاء صلاحية المادة 702 يحلّ في 12 يونيو. ومهلة CURP Biométrica في المكسيك تحلّ في 30 يونيو. والتزامات الذكاء الاصطناعي العام في قانون الذكاء الاصطناعي الأوروبي تُنفَّذ في 2 أغسطس. وانتهاء صلاحية FIPS 140-2 يحلّ في 21 سبتمبر. وهدف يوم الكم هو 2029.

كل مهلة مؤسسية تجري على ساعتها الخاصة. وكل ساعة تضبطها مؤسسة. وكل ساعة تنضغط أو تتمدّد بحسب التقويم المؤسسي المحيط بها.

حزمة البدائيات على جانب المستخدم ليس لها ساعة موازية. فتدقيق Monero يُغلق حين تُغلق المهمة. وشبكة اختبار Zcash تُطلق حين تجهز الترقية. وإصدار Tor يُشحن حين تُدمج الرقع الأمنية. وطرح Discord يمضي بإيقاع المنصة نفسها. وسقّاطة Signal لما بعد الكم تُشحن حين تجهز البدائية التشفيرية. ومعمارية خط التدقيق هي الإيقاع.

والحجة البنيوية عبر سلسلة نسخ 18-27 مايو ليست أن المؤسسات لا تهم. إنها تهم. فـCISA تنشر فهرس KEV. ومجلس الشيوخ يجري تصويت إعادة اعتماد المادة 702. ووزارة العدل تلاحق مشغّلي برامج الفدية. ووحدة الجرائم الرقمية في Microsoft تُسقط Fox Tempest. ويورو بول ينسّق عملية Saffron. المؤسسات حقيقية، وعملها حقيقي.

الحجة تتعلق بالتقويم اللامتناظر. المؤسسات تجري على تقويم. وجانب التهديد يجري بلا انقطاع. فهجمات ATG الإيرانية، واختراق سلسلة توريد Megalodon، واختراق ShinyHunters لـCanvas، واستخراج Nitrogen من Foxconn، ودورة نشر Coinbase Cartel — لم تتوقف ليوم الذكرى. وحزمة البدائيات على جانب المستخدم لم تتوقف هي الأخرى ليوم الذكرى. والنصفان اللذان يجريان بلا انقطاع هما جانب التهديد وجانب خط أنابيب البروتوكولات.

الطبقة المؤسسية هي ما ينضغط حول العطلة.

بعد العطلة

يعود مجلس الشيوخ الاثنين 1 يونيو أو الثلاثاء 2 يونيو. وتحلّ مهلة Defender لدى الفرع التنفيذي المدني الاتحادي الأربعاء 3 يونيو. ومهلة Exchange OWA تحلّ الجمعة 29 مايو — قبل ثلاثة أيام من عودة المجلس. ومهلة Drupal تنقضي الليلة.

اليوم هو اليوم صفر لدورة الفرع التنفيذي المدني الاتحادي التي وصفها مقال 24 مايو عن العطلة. والغد هو اليوم +1. والنمط يستمر بغضّ النظر عن أي جانب من يوم الذكرى نحن فيه.

والحجة المعمارية التي بنتها نسخ 18-27 مايو هي الحجة الباقية. فخط ترقيع المورّدين له ذيل عمره ثمانية عشر عامًا. ووجد تقرير Verizon DBIR أن استغلال الثغرات بنسبة 31 بالمئة صار مدخل الاختراق الأول الجديد. وخط التدقيق يُغلق بإيقاعه الخاص. وحزمة البدائيات على جانب المستخدم تعمل عبر العطل والإجازات البرلمانية ونافذة عطلة نهاية الأسبوع اللامتناظرة خارج الدوام.

اليوم صفر اليوم.

المعمارية تنجو من التقويم.

URnetwork هي طبقة تراكب نِدّية لنقل مقاوم للرقابة. وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN عبر التراكب النِّدّي، بما يجرّد النقل عن طبقة الناقل. ولا تظهر URnetwork في سجل مشغّلي الخدمة العامة لأي من التشريعات المذكورة في هذا المقال.

https://ur.io

الرقم هو عدد العمليات غير المرئية.

منذ أواخر 2022، أرسلت جهات مراقبة أكثر من 15,700 استعلام تتبّع عبر شبكة الإشارات العالمية للهاتف المحمول، مستهدفةً أفرادًا في دول متعددة باستخدام بنية اتصالات تحتية تبدو — لكل شبكة تلامسها — حركةَ تجوال مشروعة. ولم تُظهر هواتف الأهداف أي إشعار. ولم تسجّل سجلات رسائلهم أي حدث. كان التتبّع غير مرئي عند طبقة الجهاز لأنه عمل عند طبقة الإشارات التي تحتها.

نشر Citizen Lab في جامعة تورونتو النتائج في 23 أبريل 2026، في تقرير بعنوان "Bad Connection"، من تأليف غاري ميلر وسفانتيه لانغه. ويوثّق التقرير حملتَي مراقبة متمايزتين، ويسمّي ثلاثة كيانات اتصالات عملت بنيتها التحتية بوابةً، ويحدّد الخاصية البنيوية التي تجعل هذه الحملات ممكنة: أن نظام الترابط العالمي بين شركات الاتصالات مبني على نموذج ثقة لم يُصمَّم قط للتحقق مما إذا كانت حركة الإشارات هي ما تدّعي أنها هو.

المشغّلون الأشباح

الكيانات الثلاثة المسمّاة ليست أجهزة استخبارات. وليست مورّدي مراقبة تقليديين. إنها شركات اتصالات بتراخيص مشروعة.

019Mobile مشغّل شبكة محمول افتراضي إسرائيلي مملوك ملكية خاصة يسوّق نفسه باسم Telzar 019. ويشغّل شبكته الأساسية الخاصة على شبكة الوصول الراديوي لشركة Partner Communications. وقد وثّق تحقيق هآرتس الذي أعقب نشر Citizen Lab — وعنوانه "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide"، أي «المشغّلون الأشباح: كيف استُغلت شركات الاتصالات الإسرائيلية لتعقّب مواطنين حول العالم» — عشرات محاولات التتبّع الموجَّهة عبر البنية التحتية لـ019Mobile. وقال مدير تقنية المعلومات والأمن في الشركة إنه «لم يُرصد أي خطر على عملائنا»، ولم يستطع تأكيد أن البنية التحتية تعود إلى 019Mobile.

وTango Networks UK مشغّل شبكة محمول افتراضي بريطاني، وهو شركة تابعة لـTango Networks Inc. التي يقع مقرها في تكساس. وقد خصّصت له Ofcom رمز شبكة المحمول البريطاني 53 عام 2022. واستُخدم «على مدى عدة سنوات في أنشطة مراقبة»، بحسب Citizen Lab. ورفضت الشركة التعليق.

وAirtel Jersey مشغّل في جزر القنال تملكه الآن Sure، وهي نفسها جزء من Beyon Group المملوكة جزئيًا لمملكة البحرين. وقال الرئيس التنفيذي لـSure إن الشركة «لا تؤجّر الوصول إلى الإشارات، لا مباشرةً ولا عن علم، لمنظمات بغرض تحديد مواقع أفراد أو تعقّبهم».

ولا يُعدّ أيٌّ من هذه الكيانات شركة مراقبة على الورق. فكل منها يحمل ترخيص اتصالات مشروعًا. وكل منها اجتاز ما يوجد من تدقيق تنظيمي في ولايته القضائية. وتسمية «المشغّل الشبح» تأتي من وظيفته: شركات حقيقية تُستخدم بنيتها التحتية — بعلمها أو بغير علمها — نقطةَ دخول موثوقة لحركة مراقبة تقبلها الشبكة المستهدفة لأنها تبدو صادرة عن نِدّ مشروع.

الحملة الأولى: الهوية الدوّارة

استغلت الحملة الأولى بروتوكولَي SS7 وDiameter معًا بوصول متناوب منسّق. فحين كان جدار حماية الشبكة المستهدفة يحجب استعلامات SS7، كان النظام ينتقل تلقائيًا إلى Diameter. وحين يُحجب Diameter، كان يرتدّ إلى SS7.

وتناوبت حركة المراقبة على 11 هوية مشغّل عبر عشر دول. والدول التي انتُحلت هويات مشغّليها تشمل كمبوديا والصين وإسرائيل وإيطاليا وليختنشتاين والمغرب وبولندا وسويسرا وتايلاند والمملكة المتحدة. واستُخدمت ثلاثة أنماط توجيه متمايزة لتمويه المصدر الحقيقي: وصول مباشر عبر Tango Networks UK إلى شبكة BICS IPX، ووصول مباشر عبر 019Mobile إلى Comfone IPX، ومسار هوية منتحَلة يجمع أسماء مضيفات AIS Thailand مع معرّفات نطاق شبكة China Unicom مُوجَّهًا عبر 019Mobile إلى Syniverse IPX.

وIPX — أي IP Packet Exchange — هو نسيج الترابط الذي تتدفق عبره حركة التجوال الدولي. وشركات مثل BICS وComfone وSyniverse تشغّل شبكات IPX. والمشغّلون الأشباح يحقنون حركة المراقبة في هذه الشبكات، فتوجّهها إلى المشغّلين المستهدفين كأنها استعلامات تجوال مشروعة. ولا يتحقق مزوّدو IPX بالضرورة مما إذا كانت الحركة المارّة عبرهم متصلة فعلًا بالتجوال.

وقيّم باحث Citizen Lab غاري ميلر المورّدَ الذي يقف خلف الحملة الأولى بأنه «على الأرجح مزوّد استخبارات جغرافية تجاري مقرّه إسرائيل» مع صلات محتملة بـCircles وCognyte وRayzone.

الحملة الثانية: الأمر غير المرئي

كانت الحملة الثانية مختلفة نوعيًا. فهي لم تستعلم من الشبكة عن موقع الهدف. بل أمرت شريحة SIM لدى الهدف بأن تبلّغ عنه.

والتقنية معروفة باسم SIMjacker، ووثّقها أول مرة عام 2019 كاثال مِك دايد في AdaptiveMobile Security. وهي تستغل تطبيق S@T Browser المضمَّن في شرائح SIM — وهو مكوّن قديم صُمّم ليتيح لمشغّلي الهاتف المحمول إرسال رسائل خدمة إلى الأجهزة. ويرسل الهجوم رسالة نصية ثنائية مصاغة صياغة خاصة إلى شريحة SIM لدى الهدف. فتعالج الشريحة الأمر دون إظهار أي إشعار للمستخدم، ودون تسجيل أي حدث في سجل الرسائل، ودون الحاجة إلى أي تفاعل. ثم تردّ شريحة SIM ببيانات موقع الهاتف.

ووثّق Citizen Lab أكثر من 15,700 محاولة تتبّع من هذا النوع منذ أواخر 2022. ومن Global Title واحد — وهو معرّف في شبكة الإشارات — سُجّل أكثر من 1,700 هجوم على الخصوصية بين أكتوبر 2023 وأبريل 2025. واثنان وتسعون بالمئة من الحركة الصادرة عن ذلك المعرّف ارتبطت بتتبّع المواقع.

وسطح هجوم SIMjacker هو شريحة SIM نفسها. فهو لا يتطلب وصولًا إلى الإنترنت. ولا يتطلب تثبيت تطبيق. ولا يتطلب تفاعلًا من المستخدم. كل ما يتطلبه أن يكون لدى الهدف شريحة SIM في هاتف متصل بأي شبكة محمول. فكل هاتف فيه شريحة SIM داخل سطح الهجوم، لا بسبب سوء إعداد بل بحكم التصميم.

ما لا يستطيع المستخدم فعله

النتيجة البنيوية هي أن هدف المراقبة عبر SS7 أو Diameter أو SIMjacker لا يستطيع تخفيف الخطر بأفعاله هو.

استخدام VPN لا ينفع. فالهجوم يعمل عند طبقة الإشارات تحت حزمة IP. والـVPN يشفّر حركة البيانات؛ أما حركة الإشارات التي تبلّغ عن الموقع فمنفصلة عن حركة البيانات وغير مرئية للـVPN.

واستخدام المراسلة المشفَّرة لا ينفع. فـSignal وWhatsApp وMatrix تحمي محتوى الرسائل. وهجمات SS7 وSIMjacker لا تصل إلى المحتوى. إنها تستخرج الموقع. والتشفير غير ذي صلة لأن الهجوم لا يتفاعل مع طبقة البيانات.

وتغيير الهاتف لا ينفع. فالهجوم يستهدف شريحة SIM ورقم الهاتف، لا الجهاز.

واستخدام متصفح مركّز على الخصوصية لا ينفع. فالهجوم لا يتفاعل مع المتصفح ولا مع نظام التشغيل ولا مع أي تطبيق.

والتخفيف الوحيد على جانب المستخدم هو نزع شريحة SIM كليًا — وهو ما يلغي الاتصال الخلوي وليس دفاعًا عمليًا لمليارات البشر الذين يعتمدون على الهواتف المحمولة.

الدرس المعماري: حين يكون سطح الهجوم هو طبقة الناقل نفسها، يجب أن يعمل الدفاع خارج تلك الطبقة.

البروتوكول الذي كان يُفترض أن يُصلح هذا

صُمّم Diameter في العقد الأول من الألفية بديلًا لـSS7، تحديدًا لمعالجة نقاط الضعف الأمنية التي تجعل هجمات طبقة الإشارات ممكنة. ويشمل Diameter آليات مصادقة وقدرات تشفير وضوابط وصول يفتقر إليها SS7.

ونتيجة Citizen Lab أن المشغّلين «أخفقوا إلى حد بعيد في تطبيق» هذه الحمايات. فنشر Diameter عبر شبكات الجيلين الرابع والخامس يواصل الاعتماد على نموذج الثقة النِّدّي نفسه الذي يجعل SS7 قابلًا للاختراق. والمشغّلون الذين بنوا الشبكة الجديدة استوردوا نموذج الثقة القديم.

ومعنى هذا أن الانتقال من الجيل الثالث إلى الرابع إلى الخامس — وهو ترقية البنية التحتية التي كان يُفترض أن تغلق ثغرة الإشارات — لم يغلقها. فقد تغيّرت البروتوكولات. ولم يتغيّر نموذج الثقة. والمشغّلون الأشباح يستغلون نموذج الثقة، لا البروتوكول.

وكانت GSMA، هيئة المعايير العالمية لمشغّلي الهاتف المحمول، قد نشرت مدونة سلوك لتأجير Global Title قبل تقرير Citizen Lab بعامين. والمدونة طوعية. ووجد Citizen Lab أنه «لا يوجد لها موقّعون ذوو شأن».

التوازي مع برامج التجسس

في الشهر نفسه الذي نشر فيه Citizen Lab تقرير "Bad Connection"، واصلت منظومة برامج التجسس نمطها الخاص في استغلال الطبقة الوسيطة.

في 22 مايو، قالت وزارة الأمن الداخلي لـNPR إن دائرة الهجرة والجمارك (ICE) «لا علاقة لها» بشركة Paragon Solutions، صانعة برامج التجسس التجارية الإسرائيلية التي تستطيع أداتها Graphite اختراق الأجهزة عن بُعد والوصول إلى الرسائل المشفَّرة دون أن ينقر الهدف على أي رابط. لكن الوزارة امتنعت عن توضيح ما إذا كان بوسع ICE أن تصل إلى أدوات طوّرتها Paragon عبر طرف ثالث. وكان عقد Paragon قد أُدرج بوصفه "closed out" — أي «مُغلقًا» — في 20 يناير في سجلات المشتريات الاتحادية. لكنه كان قد أُعيد تفعيله مرة من قبل — في أغسطس 2024 تحت إدارة ترامب — بعد توقف سابق.

وأقرّ المدير بالإنابة لـICE تود ليونز في رسالة بتاريخ 1 أبريل بأنه وافق على استخدام «أدوات تقنية متطورة» لمكافحة الإرهاب وإنفاذ قوانين الفنتانيل. وبيان وزارة الأمن الداخلي — «لا علاقة لـICE بشركة Paragon Solutions, Inc. ولا بالشركة التي استحوذت عليها» — مصاغ بعناية ليعالج العقد المباشر بينما يترك وصول الطرف الثالث دون معالجة.

ونمط المشغّل الشبح ونمط شراء برامج التجسس يتشاركان خاصية بنيوية: كيانات تبدو مشروعة تعمل وسطاء لقدرات مراقبة لا يستطيع الهدف النهائي كشفها ولا حجبها ولم يُخبَر بها قط. فشركة الاتصالات الشبح توجّه استعلامات التتبّع عبر شبكة الإشارات. ومورّد برامج التجسس يوجّه الوصول عبر وسيط تعاقدي. وفي الحالتين، الطبقة الوسيطة هي سطح الهجوم.

ما تراه شبكة الإشارات

شبكة الإشارات العالمية للهاتف المحمول — بنية SS7 وDiameter التحتية التي تربط كل مشغّل محمول في العالم — تعالج استعلامات المراقبة هذه بوصفها حركة تجوال روتينية. فحين ينتقل هاتف من شبكة إلى أخرى، ترسل الشبكة المُزارة رسائل إشارات إلى الشبكة الأم لمصادقة المشترك وتوجيه المكالمات. وهذه هي الوظيفة المشروعة لنظام الإشارات.

والمشغّلون الأشباح يحقنون استعلامات تبدو مطابقة لاستعلامات التجوال المشروعة. ولا تستطيع الشبكة التمييز بين مصادقة تجوال مشروعة واستعلام مراقبة متنكر في زيّها. فنموذج الثقة يفترض أن كل كيان لديه وصول إلى الإشارات هو مشغّل مشروع لديه حاجة تشغيلية مشروعة للاستعلام عن مشتركي شبكة أخرى.

وعدد الكيانات التي لديها وصول إلى الإشارات كبير ومتزايد. فكل مشغّل محمول، وكل مشغّل شبكة افتراضي، وكل محور إشارات متصل بشبكة IPX يستطيع من حيث المبدأ حقن استعلامات. وسطح الهجوم يتوسّع مع كل كيان جديد ينال وصولًا إلى الإشارات. ولم تكبح مدونة السلوك الطوعية لدى GSMA هذا التوسّع.

الاستجابة المعمارية

الدفاع ضد المراقبة عند طبقة الإشارات هو الدفاع نفسه الذي وثّقته هذه النشرة ضد الرقابة عند طبقة الناقل، واختراقات المنصات الإلزامية، والتتبّع على جانب الخادم: العمل خارج الطبقة الوسيطة.

شبكات متشابكة لا تتطلب شريحة SIM. تراكبات نِدّية لا تمرّ عبر بنية الإشارات لدى الناقل. نقل عبر الأقمار الصناعية يتجاوز شبكة المحمول كليًا. اتصال قائم على Wi-Fi لا يتفاعل مع نظام SS7/Diameter.

فـBriar يتواصل عبر Bluetooth وWi-Fi دون اتصال خلوي. وMeshtastic يبني شبكات متشابكة على راديوهات LoRa. وReticulum يوفّر شبكات تشفيرية مستقلة عن طبقة الناقل. والتراكب النِّدّي لدى URnetwork يجرّد النقل عن الناقل.

ولا تتطلب أيٌّ من هذه الأدوات شريحة SIM. ولا تُرى أيٌّ منها من شبكة الإشارات. ولا يمكن تعقّب أيٍّ منها عبر SS7 أو SIMjacker لأنها لا تعبر البنية التحتية التي ترصدها تلك الأنظمة.

ومحاولات التتبّع الـ15,700 التي وثّقها Citizen Lab عملت عبر طبقة الناقل. أما وسائط النقل التي تعمل خارجها فكانت غير مرئية لكل واحدة منها.

نموذج الثقة هو الثغرة

الخلاصة بنيوية لا تقنية.

فافتقار SS7 إلى المصادقة خيار تصميمي من السبعينيات يستمر لأن كلفة استبداله تفوق حافز أي مشغّل منفرد على التحرك. وضوابط Diameter الأمنية غير المُنفَّذة تصميم من العقد الأول من الألفية رفض المشغّلون تطبيقه لأن نموذج الثقة كان قائمًا بالفعل. ومدونة السلوك الطوعية لدى GSMA استجابة من عقد العشرينيات رفض المشغّلون توقيعها لأن عواقب عدم الامتثال معدومة.

والمشغّلون الأشباح يستغلون نموذج ثقة وُثّقت هشاشته لأكثر من عقد، وكان موضوع تقارير متعددة لـCitizen Lab منذ 2018، ونبّهت إليه مجموعات عمل GSMA نفسها، وما زال بنيويًا على حاله. والثغرة تستمر لا لأنها مجهولة بل لأن إصلاحها يتطلب من كل مشغّل في الشبكة العالمية فرضَ المصادقة عند طبقة الإشارات — وهي مشكلة تنسيق لا يستطيع فاعل منفرد حلّها ولا تملك أي هيئة تنظيمية صلاحية فرضها.

خمسة عشر ألفًا وسبعمائة محاولة تتبّع. ولا إشعار على هاتف أي هدف. ولا أثر في أي سجل رسائل. ولا دفاع متاح لأي هدف عبر أي فعل يمكنه القيام به. فبنية الإشارات التحتية التي تربط كل مكالمة محمول في العالم هي بنية المراقبة التحتية. ونموذج الثقة الذي يجعل الشبكة تعمل هو نموذج الثقة الذي يجعل المراقبة تعمل.

والمعمارية التي تعمل خارج نموذج الثقة ذاك هي المعمارية التي ليست داخل سطح الهجوم.

URnetwork هي طبقة تراكب نِدّية لنقل مقاوم للرقابة. ولا يمرّ تراكب URnetwork عبر بنية الإشارات التحتية SS7 أو Diameter. ولا يتطلب شريحة SIM. وهو غير مرئي لشبكة الإشارات التي يستغلها المشغّلون الأشباح.

https://ur.io

الرقم بسيط. أما النطاق فليس كذلك.

في 25 أبريل 2026، استغلت المجموعة الإجرامية السيبرانية ShinyHunters ثغرة في طبقة Free-For-Teacher من Canvas التابعة لـInstructure، وهو نظام إدارة التعلّم الذي تستخدمه جامعات ومناطق تعليمية ووزارات تربية في نحو 100 دولة. وأثمر الاختراق 3.65 تيرابايت من البيانات: أسماء، وعناوين بريد إلكتروني، وأرقام هوية طلابية، ورسائل خاصة بين المعلّمين والطلاب عبر 8,809 مؤسسات.

جاء أول إفصاح علني من Instructure في 1 مايو. وبحلول 7 مايو كانت ShinyHunters قد صعّدت: فشوّهت نحو 330 بوابة دخول مؤسسية إلى Canvas بمطالب فدية، مخترقةً النظام مرة ثانية. وحلّ الهجوم خلال أسبوع الامتحانات النهائية. ولم تستطع جامعة بنسلفانيا وجامعة أوبرن ومئات المؤسسات الأخرى إجراء الامتحانات. ووصفت CNN الطلاب بأنهم «عالقون» في منتصف الفصل الدراسي.

وفي 11 مايو — قبل يوم واحد من الموعد النهائي الذي حددته ShinyHunters لنشر البيانات المسروقة — توصّلت Instructure إلى اتفاق فدية. وأفادت التقارير بأن المخترقين أعادوا البيانات وقدّموا "shred logs" — أي «سجلات إتلاف» — بوصفها تأكيدًا رقميًا على إتلافها. ولم يُفصَح عن مبلغ الفدية.

ومئتان وخمسة وسبعون مليونًا يقارب عدد سكان إندونيسيا. وهو أكثر من كل من قدّم إقرارًا ضريبيًا في الولايات المتحدة عام 2025. وهو أكبر اختراق لبيانات تعليمية في التاريخ المسجَّل، بفارق رتبة كاملة.

المنصة التي لا تستطيع مغادرتها

Canvas ليست منتجًا استهلاكيًا. والطلاب لا يختارونها. المؤسسات تختارها، والطلاب مُلزَمون باستخدامها — لتسليم الواجبات، وتلقّي الدرجات، والتواصل مع المدرّسين، والوصول إلى مواد المقررات، وأداء الامتحانات. لا توجد آلية انسحاب. ولا يوجد مسار بديل إلى الشهادة.

هذه هي الخاصية البنيوية التي تميّز اختراقات المنصات الإلزامية عن اختراقات بيانات المستهلكين. فحين اختُرقت Equifax عام 2017 (147 مليون سجل)، لم يكن بوسع المستهلكين أن «ينسحبوا» من امتلاك سجل ائتماني — لكن كان بوسعهم نظريًا تجميد ملفاتهم، أو تغيير مكتب الائتمان، أو رفع دعوى. أما حين تُخترق Canvas، فالمستخدمون الـ275 مليون المتضررون لم يكن لهم خيار مسبق، ولا بديل متزامن، ولا مخرج. وقد وقع الاختراق عليهم عبر نظام أُجبروا على استخدامه من المؤسسة التي تخدمهم.

وللمنصة الإلزامية خاصية بنيوية تقلب ديناميكيات السوق المعتادة. فحين يُخترق منتج استهلاكي، يستطيع المستخدمون المغادرة وتواجه الشركة عواقب على سمعتها وإيراداتها. وحين تُخترق منصة إلزامية، لا يستطيع المستخدمون المغادرة ولا تواجه الشركة أي انضباط سوقي مدفوع بالمستخدمين. والعواقب الوحيدة تأتي من الجهات المنظِّمة أو التقاضي أو الغرامات التعاقدية مع المؤسسات — ولا شيء من ذلك يعمل بسرعة اختراق البيانات.

وقد أدركت ShinyHunters هذه الرافعة. فحين فشل الابتزاز الأولي لـInstructure، تحوّلت المجموعة إلى ضغط مدرسة بمدرسة: تشويه بوابات دخول الجامعات فرادى، ثم تهديد كل مؤسسة على حدة. فصار مستخدمو المنصة الإلزامية — طلاب في وسط امتحاناتهم النهائية — هم آلية الضغط.

سجلات الإتلاف

دفعت Instructure الفدية وتلقّت "shred logs" — سجلات يُفترض أنها تُظهر أن ShinyHunters حذفت البيانات المسروقة من أنظمتها.

والإجماع في مجال الأمن السيبراني بشأن سجلات الإتلاف لا لبس فيه. فالبيانات الرقمية يمكن نسخها إلى أي عدد من الأنظمة في أي لحظة بين السحب والحذف المزعوم. وسجل الإتلاف يثبت أن البيانات حُذفت من موقع تخزين واحد بعينه. ولا يستطيع أن يثبت أن البيانات لم تُنسخ إلى موقع آخر، أو تُشارَك مع طرف ثالث، أو تُباع قبل دفع الفدية، أو تبقى على نظام لا يغطيه السجل. والتحقق من الحذف يتطلب الوصول إلى كل نظام يسيطر عليه المهاجم، وهو ما لن يوفّره المهاجم.

وموقف مكتب التحقيقات الفدرالي لا يزال أنه ينبغي للمؤسسات ألا تدفع الفدى. فالدفع يحفّز هجمات مستقبلية، ويموّل عمليات إجرامية، ولا يوفّر أي ضمان لإتلاف البيانات. وقرار Instructure بالدفع — قبل يوم واحد من موعد النشر بحسب التقارير — اتُّخذ تحت ضغط 275 مليون سجل، وتعطّل أسبوع الامتحانات النهائية عبر آلاف المؤسسات، وحملة التشويه المتصاعدة مدرسةً بمدرسة.

والسابقة هي مصدر القلق المستقبلي. فإن أنتج دفع الفدية نتيجة مُرضية لـInstructure ولعملائها المؤسسيين، صارت كل منصة إلزامية في التعليم والرعاية الصحية والحكومة مرشّحة للخطة نفسها: اخترق المنصة التي لا يستطيع المستخدمون مغادرتها، وابتزّ المشغّل تحت ضغط الوقت، واقبض ثمنًا مقابل وعد لا يمكن التحقق منه.

وقد التقط عنوان Inside Higher Ed هذه الديناميكية بدقة: "Pay or Leak" — أي «ادفع أو نسرّب».

باب Free-For-Teacher

كانت الثغرة التي مكّنت الاختراق في طبقة Free-For-Teacher من Canvas — وهي نوع حساب مجاني صُمّم ليتيح لمعلّمين أفراد تجربة Canvas دون شراء مؤسسي. وتوجد طبقة Free-For-Teacher في البنية التحتية نفسها التي توجد فيها الطبقة المؤسسية. وقد سمحت الثغرة لـShinyHunters بالانتقال من الطبقة المجانية إلى بنية Canvas الأوسع، والوصول إلى البيانات عبر عمليات النشر المؤسسية الـ8,809 كلها.

والدرس المعماري أن نقطة دخول من طبقة مجانية داخل منظومة منصة إلزامية تُنشئ سطح هجوم بلا أي تناسب بين نقطة الوصول والبيانات القابعة خلفها. فطبقة Free-For-Teacher تخدم معلّمين أفرادًا. والبيانات خلفها تخدم 275 مليون طالب في مؤسسات تدفع مجتمعةً ملايين في رسوم التراخيص مقابل ضمانات أمنية ظنّت أن المنصة توفّرها.

والاختراق الثاني في 7 مايو — بعد إفصاح Instructure في 1 مايو — أظهر أن الاحتواء الأولي كان ناقصًا. فقد وصلت ShinyHunters إلى النظام مجددًا، وشوّهت بوابات الدخول، وحقنت رسائل فدية مباشرةً في واجهة المستخدم. ورأى الطلاب الذين حاولوا تسجيل الدخول لأداء امتحاناتهم النهائية مطالبَ المهاجمين بدل موادهم الدراسية.

النمط

Canvas ليست المنصة الإلزامية الوحيدة التي اختُرقت هذا الشهر. فالنمط يمتد عبر كل طبقة مؤسسية لا خيار فيها للمستخدمين.

أصحاب العمل. اختبرت دراسة نُشرت في 21 مايو من مجموعة ثقافة البيانات في جامعة نورث إيسترن — بقيادة ستيفاني نغوين، كبيرة التقنيين السابقة في لجنة التجارة الفدرالية — تسع منصات "bossware" لمراقبة الموظفين، أي برمجيات مراقبة العاملين. وكلها التسع شاركت بيانات تعريفية للعاملين مع أطراف ثالثة. وكلها التسع نقلت نشاط العاملين على الإنترنت، بما فيه عناوين IP ومعلومات الأجهزة وصفحات الوِب التي زاروها، إلى أكثر من 145 نطاقًا خارجيًا. والمتلقّون يشملون Google وFacebook وLinkedIn وYandex وAppLovin، وهي منصة إعلانات للهواتف المحمولة تتجاوز قيمتها السوقية 100 مليار دولار.

ويُلزم أصحاب العمل العاملين بتثبيت هذه المنصات. وليس لدى العاملين آلية موافقة ذات معنى — فالرفض يعني فقدان الوظيفة. وتتدفق بيانات المراقبة من إلزام صاحب العمل إلى جهاز الموظف إلى شبكة الإعلانات، والموظف هو السلعة في كل مرحلة. وقد حظر الاتحاد الأوروبي التعرّف على المشاعر في بيئات العمل اعتبارًا من 2 فبراير 2025. أما الولايات المتحدة فليس لديها قيد معادل.

الحكومة. نسخت وزارة كفاءة الحكومة (DOGE) قاعدة بيانات NUMIDENT التابعة لإدارة الضمان الاجتماعي — التي تحتوي كل طلب رقم ضمان اجتماعي قُدّم على الإطلاق، وتغطي أكثر من 300 مليون أمريكي — إلى خادم سحابي دون اتباع بروتوكولات الأمن المطلوبة. وزعم مُبلِّغ عن مخالفات، هو تشارلز بورخيس كبير مسؤولي البيانات السابق في إدارة الضمان الاجتماعي، أن البيانات وُضعت على نسخة Cloudflare غير مصرّح بها. وقدّر تقييم المخاطر الداخلي للإدارة نفسها احتمالًا بين 35 و65 بالمئة لاختراق بيانات ذي "catastrophic adverse effect" — أي «أثر سلبي كارثي» — ناتج عن ممارسات الوصول هذه.

وقضت المحكمة العليا بأغلبية 6 مقابل 3 بالسماح بالوصول. وأقرّت وزارة العدل بوجود «معلومات غير دقيقة وتحريفات» في مرافعات قضائية بشأن نطاق وصول DOGE إلى البيانات. وثمة اثنتا عشرة دعوى اتحادية على الأقل تزعم انتهاكات لقانون الخصوصية لعام 1974.

ولا يستطيع الأمريكيون الانسحاب من الضمان الاجتماعي. فقاعدة بيانات NUMIDENT موجودة لأن الحكومة تفرض المشاركة. وحين تُنسخ قاعدة بيانات النظام الإلزامي إلى خادم غير مصرّح به باحتمال اختراق كارثي بين 35 و65 بالمئة، فإن الـ300 مليون شخص المعرّضة بياناتهم للخطر لم يكن لهم خيار مسبق وليس لهم سبيل انتصاف.

البحث بالذكاء الاصطناعي. يُزعم أن Perplexity AI، وهي أداة بحث تُسوَّق بوصفها محترمة للخصوصية، ضمّنت Meta Pixel وGoogle Ads وGoogle DoubleClick وواجهة التحويلات من جانب الخادم Conversions API التابعة لـMeta مباشرةً في شيفرتها. وتزعم دعوى جماعية من 135 صفحة رُفعت في 31 مارس في المنطقة الشمالية من كاليفورنيا أن محادثات المستخدمين — بما فيها المُدخلات والردود وعناوين البريد الإلكتروني وعناوين IP ومعلومات الأجهزة — نُقلت إلى Meta وGoogle لاستهدافهم بالإعلانات. ويُزعم أن التتبّع حدث حتى حين فعّل المستخدمون «الوضع المتخفّي» في Perplexity، وهو ما تصفه الدعوى بأنه «خدعة».

وتعمل واجهة Conversions API من Meta من خادم إلى خادم. ولا تستطيع أي أداة خصوصية قائمة على المتصفح — لا مانع إعلانات، ولا حماية من التتبّع، ولا VPN — أن تكشف هذا النقل أو تمنعه. فالمستخدمون الذين اتخذوا كل احتياط خصوصية متاح جرى تتبّعهم — بحسب الزعم — عبر آلية غير مرئية لأدوات دفاعهم.

أدوات المطوّرين. زرعت حملة سلسلة التوريد TrapDoor، التي رُصدت أول مرة في 22 مايو، تعليمات مخفية داخل ملفات .cursorrules وCLAUDE.md باستخدام حروف Unicode عديمة العرض. وتخدع هذه التعليمات مساعدي البرمجة بالذكاء الاصطناعي — أدوات مثل Cursor وClaude Code — كي ينفّذوا ما يبدو أنه «فحص أمني» بينما هو في الحقيقة يحصد الاعتمادات ومفاتيح SSH وبيانات محافظ العملات المشفّرة ورموز واجهات البرمجة. واستهدفت الحملة مطوّرين في مجتمعات العملات المشفّرة والتمويل اللامركزي والذكاء الاصطناعي عبر 34 حزمة خبيثة على npm وPyPI وCrates.io.

وبشكل منفصل، أدّى إصدار مسموم من امتداد Nx Console لـVS Code — ثبّته أحد موظفي GitHub في 18 مايو — إلى سحب نحو 3,800 من مستودعات GitHub الداخلية الخاصة، بما فيها بنية Copilot الداخلية وأدوات CodeQL والبنية التحتية الأمنية. وعرضت TeamPCP وLAPSUS$ البيانات المسروقة للبيع المشترك بمبلغ 95,000 دولار. ونشأ الهجوم عن اعتماد مسروق عبر اختراق سلسلة توريد TanStack على npm قبل سبعة أيام — أي اختراق متسلسل من سلسلة التوريد إلى المنصة، مكّن فيه كل اختراق الاختراقَ الذي يليه.

الحجة البنيوية

الخاصية المشتركة بين هذه الاختراقات ليست ثغرة مشتركة ولا مهاجمًا مشتركًا ولا حزمة تقنية مشتركة. إنها معمارية مشتركة: المنصة الإلزامية.

فحين تكون المنصة إلزامية — تفرضها مدرسة أو صاحب عمل أو حكومة أو ضرورة عملية في أدوات المهنة — لا يستطيع المستخدم المغادرة. وبقاء المستخدم على المنصة ليس إشارة ثقة أو رضا؛ إنه شرط للمشاركة في المؤسسة التي تخدمها المنصة. ولا ينتج عن الاختراق ذلك الأثر السوقي الذي ينضبط به المنصات الطوعية.

والنتيجة عدم تناظر. فرافعة المهاجم تتناسب مع قوة الإلزام. أدركت ShinyHunters أن أسبوع الامتحانات النهائية في 8,809 مؤسسات يخلق ضغط وقت لا يُقاوَم. وأدركت DOGE أن نظام الضمان الاجتماعي بلا بديل تنافسي. ويدرك مورّدو برمجيات مراقبة الموظفين أن العاملين لا يستطيعون رفض التثبيت. وأدركت Perplexity أن المستخدمين الباحثين عن الخصوصية في أداة ذكاء اصطناعي لن يتوقعوا تتبّعًا من جانب الخادم غير مرئي لمتصفحهم.

وفي كل حالة، عجز المستخدمين عن الخروج هو الشرط المسبق لأثر الاختراق.

المعمارية التي لا تتطلب إذنًا

الاستجابة على جانب المستخدم لمخاطر المنصات الإلزامية هي الاستجابة نفسها التي ظلّت هذه النشرة توثّقها في كل مجال من مجالات حرية الإنترنت: معماريات يحتفظ فيها المستخدم بالمفاتيح، ولا يعبر فيها النقل الطبقة الوسيطة، ولا يعرّض فيها اختراق المنصة بيانات المستخدم لأن المنصة لم تحتفظ بها قط.

مراسلة مشفَّرة تشفيرًا تامًا بين الطرفين لا يرى فيها الخادم إلا نصًا مشفَّرًا. أنظمة إدارة تعلّم ذاتية الاستضافة تتحكم فيها المؤسسة ببياناتها. هوية اتحادية بكشف انتقائي يقرّر فيها حامل بيانات الاعتماد ما يشاركه ومع من. ذكاء اصطناعي بالاستدلال المحلي لا يغادر فيه الاستعلام جهاز المستخدم. رموز مصادقة عتادية لا يمكن التصيّد بها عبر تدفقات رمز الجهاز. مرونة تشفيرية لما بعد الكم تتطور فيها حزمة البروتوكولات قبل التهديد.

ولا تتطلب أيٌّ من هذه الأدوات إذن مؤسسة لنشرها. ولا تعتمد أيٌّ منها على ممارسات الأمن لدى منصة إلزامية. ولا تُنتج أيٌّ منها مخزن بيانات يستطيع مهاجم سحبه في اختراق واحد.

وقد كشف اختراق Canvas 275 مليون سجل لأن Canvas احتفظت بـ275 مليون سجل في نظام مركزي يمكن الوصول إليه عبر ثغرة واحدة. والمعمارية التي توزّع التحكّم على نقاط النهاية — حيث يحتفظ الطالب بالمفتاح، وتحتفظ المدرسة بالحد الأدنى، ولا تراكم المنصة قط الـ3.65 تيرابايت التي وجدتها ShinyHunters — لا تلغي الخطر. لكنها تلغي الخاصية البنيوية التي جعلت اختراق Canvas ممكنًا بهذا النطاق: باب واحد، وخلفه 275 مليون سجل.

مئتان وخمسة وسبعون مليونًا بلا خيار

المنصة الإلزامية هي معمارية الإكراه. فالطالب يستخدم Canvas لأن الجامعة تفرضها. والعامل يثبّت تطبيق المراقبة لأن صاحب العمل يفرضه. والمواطن لديه رقم ضمان اجتماعي لأن الحكومة تفرضه. والمطوّر يستخدم امتداد بيئة التطوير لأن سير العمل يفرضه.

وعند كل طبقة، يخلق الإلزامُ المركزيةَ، وتخلق المركزيةُ الهدف، ويخلق الاختراقُ العاقبةَ التي لا يستطيع أي مستخدم منفرد منعها ولا تخفيفها ولا الخروج منها.

مئتان وخمسة وسبعون مليون طالب لم يكن لهم خيار في أن تحتفظ Canvas ببياناتهم. ولم يكن لهم خيار في وجود ثغرة Free-For-Teacher. ولم يكن لهم خيار في أن تدفع Instructure الفدية. وليس لديهم سبيل للتحقق مما إذا كانت سجلات الإتلاف تعني شيئًا.

والمعمارية التي تمنحهم خيارًا لا تتطلب إذن مؤسساتهم. إنها تتطلب طبقة نقل لا تمرّ عبر المنصة الإلزامية. وتتطلب المفتاح الذي يحتفظ به الطالب. وتتطلب البروتوكول الذي لا يراكم 3.65 تيرابايت في مخزن بيانات واحد خلف ثغرة واحدة.

المنصة الإلزامية هي المشكلة. والمعمارية الموزَّعة هي الجواب. والـ275 مليونًا لم يختاروا المشكلة. والمعمارية تتيح لهم اختيار الجواب.

URnetwork هي طبقة تراكب نِدّية لنقل مقاوم للرقابة. ويوزّع تراكب URnetwork التحكّم على نقاط النهاية بدل تراكمه عند طبقة المنصة. والمستخدمون يحتفظون بمفاتيحهم الخاصة.

https://ur.io

عاد إنترنت إيران إلى الوميض اليوم.

أكّدت NetBlocks استعادة جزئية بعد 2,093 ساعة من العزلة شبه التامة عن الشبكات الدولية — 88 يومًا، أطول قطع وطني للإنترنت في التاريخ الحديث. وقيس الاتصال عند أقل من 10 في المئة من مستوياته قبل القطع.

وكان الرئيس مسعود بزشكيان قد أمر وزارة الاتصالات في 25 مايو باستعادة الوصول إلى الإنترنت إلى ما كان عليه قبل يناير. وصوّتت قوة المهام الخاصة لتنظيم الفضاء السيبراني وحوكمته، وهي هيئة أُنشئت حديثًا برئاسة النائب الأول للرئيس محمد رضا عارف، بـ9 مقابل 2 لصالح الاستعادة.

وجاء الصوتان المعارضان من بيمان جبلي، رئيس هيئة الإذاعة والتلفزيون الرسمية في إيران، ومحمد أمين آقاميري، أمين المجلس الأعلى للفضاء السيبراني — وهو أحد المهندسين الرئيسيين لخطة «إنترنت الثكنات».

وفي 26 مايو — اليوم — علّق ديوان العدالة الإدارية نفاذ الوثيقة المنشئة لهيئة الفضاء السيبراني، وقبل شكاوى تطلب إبطالها. فالأساس القانوني للاستعادة طُعن فيه في اليوم نفسه الذي تأكدت فيه الاستعادة.

الوميض حقيقي. لكن البنية التي خلفه هي الخبر.

ما أخفاه 88 يومًا

بدأ القطع في 8 يناير خلال احتجاجات حاشدة أشعلها انهيار العملة والتضخم. وتزامن التعتيم مع أكثر مراحل حملة النظام دموية. وقدّر المقرر الخاص للأمم المتحدة عدد القتلى بـ5,000 على الأقل. وأوردت Iran International وTime وThe Guardian، نقلًا عن مسؤولين صحيين محليين، تقديرات تتراوح بين 30,000 و36,500 محتج قُتلوا يومي 8 و9 يناير تحت غطاء التعتيم.

ووثّقت Human Rights Watch أن القطع قيّد الوصول إلى معلومات منقذة للحياة — مواقع الضربات، والرعاية الطبية، والغذاء والمأوى — أثناء عمليات عسكرية نشطة. وقطع التواصل مع الأحبّة خلال نزاع مسلح. ومنع توثيق أدلة عمليات القتل والانتهاكات. وقلّص التدقيق الدولي في عنف الدولة.

أما الكلفة الاقتصادية فبلغت 35.7 مليون دولار يوميًا بحسب تقدير وزير الاتصالات الإيراني نفسه. وقدّرتها NetBlocks بما يصل إلى 37 مليون دولار يوميًا في الكلف المباشرة، و70-80 مليون دولار يوميًا بما يشمل الخسائر غير المباشرة. وهبطت المبيعات عبر الإنترنت 80 في المئة. وخسرت بورصة طهران 450,000 نقطة في أربعة أيام. وفقد مليونا شخص وظائفهم بشكل مباشر أو غير مباشر. وسرّحت DigiKala، كبرى شركات التجارة الإلكترونية في إيران، 200 موظف. وأعلنت Kamva، وهي منصة تجارة إلكترونية أخرى، إفلاسها. وكتب مؤسسها: «بعد حربين وشهور من قطع الإنترنت، لم يعد بوسعنا تجاوز الأزمة».

وسجّلت منصات البحث عن عمل 318,000 سيرة ذاتية مقدَّمة في 25 أبريل وحده — بزيادة 50 في المئة على الرقم القياسي السابق ليوم واحد. وغرقت وكالات الهجرة بالطلبات.

لم يكن التعتيم إجراءً دفاعيًا. كان بنية تحتية للإخفاء.

مفتاح الإيقاف

في 23 مايو، قال محمد سرافراز — عضو المجلس الأعلى للفضاء السيبراني والرئيس السابق لهيئة الإذاعة والتلفزيون الرسمية IRIB — لصحيفة «فراز» إن العتاد الصيني موجود في البلاد أصلًا. والغرض: تمهيد الأرض لخنق دائم للإنترنت، مع وصول مراقَب بإحكام لمستخدمين مختارين من بين 90 مليون نسمة.

وتشبيه سرافراز: «الأمر أشبه بالعيش في أرض غزيرة المياه، مع إجبارك على دفع مبلغ ضخم ثمنًا لقارورة واحدة لمجرد أن تروي عطشك».

ويقع مركز بيانات مفتاح الإيقاف تحت الأرض أسفل المبنى الإداري لشركة Fanap في مدينة برديس لتقنية المعلومات، على نحو 20 كيلومترًا شمال شرق طهران. وقد صُمّم بحيث يصعب استهدافه بصاروخ. السعة: نحو 400 خزانة خوادم. الكلفة: تُقدَّر بين 700 مليون ومليار دولار. المعدات: وردتها Huawei في 24 حاوية شُحنت بعد حرب الاثني عشر يومًا. ولا يظهر اسم Huawei في الوثائق ذات الصلة. وتدير المنشأة شركة ArvanCloud عبر شركة «آينده أفزاي كرانه». وكان الرئيس التنفيذي لـFanap، شهاب جوانمردي، قد خضع لعقوبات وزارة الخزانة الأمريكية في أغسطس 2025 لصلاته بوزارة الاستخبارات والحرس الثوري.

وزار الرئيس بزشكيان موقع البناء في مارس 2025.

ويستخدم النظام الفحص العميق للحزم في الطبقات الشبكية الأساسية لتحديد حركة المرور الدولية المشفّرة وحجبها. والغرض التقني هو الفصل الدائم لشبكة إيران المحلية عن الإنترنت العالمي — أي البنية التحتية لنموذج وصول قائم على القوائم البيضاء وحدها.

المستويات الثلاثة

البنية التي خرجت من التعتيم ليست قطعًا للإنترنت. إنها نظام طبقي.

المستوى الأول — «الإنترنت الأبيض». وصول كامل غير مرشَّح لكبار المسؤولين والنخب المدقَّقة أمنيًا. ويحمل نحو 16,000 شخص «شرائح SIM بيضاء» موجودة منذ 2013 على الأقل. الوزارات الحكومية والمصارف والبنية التحتية الحرجة. نحو 2 مليون في هذا المستوى. لا انقطاع خلال عمليات القطع.

المستوى الثاني — "Internet Pro". الكلفة: 40,000 تومان لكل غيغابايت، أي نحو 0.20 يورو. متاح للشركات المسجّلة والصحفيين والمحامين والأكاديميين والعاملين في المهن الطبية. وصول إلى نحو 10 منصات دولية. Telegram وWhatsApp مستقران عمومًا؛ أما Instagram وYouTube وX فغير موثوقة. نحو 5 ملايين في هذا المستوى.

المستوى الثالث — العادي. عامة الناس. الكلفة: 500,000 تومان لكل غيغابايت للحفاظ على وصول عبر VPN — أي نحو 75 يورو شهريًا مقابل غيغابايت واحد يوميًا. أكثر من 12 ضعف كلفة "Internet Pro". يقتصر على خدمات نصية أساسية. نحو 45 مليون إيراني في هذا المستوى.

وصرّحت المتحدثة باسم الحكومة فاطمة مهاجراني بأن الوصول «لن يعود أبدًا إلى شكله السابق».

ومن المقرر طرح المستوى الأول للأجهزة الحكومية في 1 يونيو. ويصل المستوى الثالث إلى عامة الناس بحلول نهاية سبتمبر. فالوميض اليوم ليس عودة إلى إنترنت ما قبل يناير. إنه أول تشغيل مرئي للنظام المتدرج.

الطبقة الروسية

تعمل بنية الترشيح على تقنية فحص عميق للحزم روسية. فشركة STC Protei، ومقرها سان بطرسبورغ ولها فروع في إستونيا والأردن، توفّر منصة الفحص العميق للحزم. إيراداتها نحو 43 مليون دولار. ونطاق عملائها: أكثر من 300 مليون مشترك عالميًا عبر آسيا الوسطى والشرق الأوسط وأفريقيا وجنوب آسيا.

وفي 2024، دخلت Rostelecom المملوكة للدولة الروسية في مشروع مشترك مع Protei مع توقعات بالاستحواذ الكامل على الملكية — ما يجعل Protei فعليًا شركة تقنيات مراقبة تسيطر عليها الدولة.

وتوفّر منصة Protei تحديدًا وحجبًا انتقائيًا لخدمات وبروتوكولات بعينها، وقوائم سوداء وبيضاء لعناوين URL، وترشيحًا لنظام أسماء النطاقات، وفحصًا لحركة المرور على طبقة التطبيقات — أي حجبًا لا بحسب عنوان IP بل بحسب نوع حركة المرور. وكان Citizen Lab قد اكتشف في 2023 أن Protei زوّدت مشغّل الاتصالات الإيراني Ariantel بمكوّنات أساسية للشبكة، بينها أنظمة مصادقة المستخدمين وبنية الفحص العميق للحزم.

والشراكة الروسية الإيرانية مقنّنة في معاهدة. فقد أرست تحديثات 2025 "comprehensive strategic partnership" — شراكة استراتيجية شاملة — تتضمن أحكامًا بشأن "strengthening internet sovereignty through regulating international companies" — تعزيز السيادة على الإنترنت عبر تنظيم الشركات الدولية — و"exchange of experience in the management of national segments of the Internet" — تبادل الخبرات في إدارة الأجزاء الوطنية من الإنترنت.

وقد ساعد الفحص العميق للحزم الروسي قوات الأمن الإيرانية على تحديد مراكز تنسيق المحتجين، وتتبّع أنماط الاتصال، وتنفيذ اعتقالات موجّهة قبل الاحتجاجات لا بعدها.

الجدار في علبة

نموذج التصدير الصيني موثَّق.

ففي سبتمبر 2025، كشف تسريب بحجم 500 غيغابايت من Geedge Networks — وهي شركة صينية لأمن الشبكات — عن أكثر من 100,000 وثيقة تتضمن مخططات تقنيات الفحص العميق للحزم والترشيح. وأكّد التسريب وجهات التصدير: إثيوبيا وميانمار وكازاخستان وباكستان. أما إعلانات التوظيف لمهندسين في الخارج فسمّت تحديدًا باكستان والبحرين والهند وماليزيا والجزائر. وتزوّد الشركات الصينية ما لا يقل عن 63 دولة بتقنيات مراقبة تعمل بالذكاء الاصطناعي. وHuawei وحدها تزوّد أكثر من 50.

وفي 8 أبريل، أمر إشعار مسرَّب من Shaanxi Telecom بوقف اتصالات جميع عناوين IP بأي شبكة خارجية — مع إلغاء خدمات VPN والتوجيه عبر الوكلاء. وعقوبات المخالفة: إنهاء فوري للخدمة، وفقدان دائم لتخصيص عنوان IP، ولا مبالغ مستردة. فالصين تلغي القدرة التقنية على الاتصالات الدولية عند مستوى البنية التحتية.

"Great Firewall in a Box" — الجدار الناري العظيم داخل علبة — ليس استعارة. إنه منتج. والدول المتلقية محدَّدة. والمخططات موثَّقة. والتقنية هي البنية نفسها التي تنشرها إيران في مدينة برديس لتقنية المعلومات.

التقارب

الإنترنت المُدرج في القائمة البيضاء يُبنى في عدة دول في آنٍ واحد.

روسيا. نُشرت القوائم البيضاء عبر نحو 70 منطقة. أما الرسوم الإضافية على VPN — 150 روبلًا لكل غيغابايت من حركة المرور الدولية فوق 15 غيغابايت شهريًا — فأُرجئت إلى ما بعد انتخابات سبتمبر لأن المشغّلين لم يتمكنوا من ضبط أنظمة الفوترة ولأن الحساسية السياسية كانت مرتفعة أكثر مما ينبغي. وبدلًا من ذلك، تحوّل النظام إلى الإنفاذ على طبقة التطبيقات: فالمنصات الروسية الكبرى، ومنها Gosuslugi وSberbank وOzon وWildberries وYandex، باتت ترفض الوصول للمستخدمين الذين يشغّلون VPN، بعدما هدّدت وزارة التطوير الرقمي بسحب وضعية القائمة البيضاء. وتستهدف Roskomnadzor فعالية حجب لـVPN بنسبة 92 في المئة بحلول 2030، مع تخصيص 20 مليار روبل سنويًا. وحظرت روسيا مشروع «إشارة مرور VPN» — وهو موقع يتتبّع أي خدمات VPN لا تزال تعمل — في 6-9 أبريل. أي مراقبة للمعلومات عن كيفية الالتفاف على الرقابة.

تركيا. أقرّ البرلمان في 22 أبريل قانونًا للتحقق من الهوية على وسائل التواصل الاجتماعي يشترط تحققًا مرتبطًا بالهوية الحكومية عبر بوابة e-Devlet لإنشاء أي حساب. ومُنعت وسائل التواصل الاجتماعي كليًا عن الأطفال دون 15 سنة. ويُتوقّع صدور مشروع قانون منفصل لترخيص VPN وشيكًا. وسبع وعشرون خدمة VPN محجوبة أصلًا. ويُستخدم الفحص العميق للحزم لكشف حركة OpenVPN وWireGuard وIPSec وإسقاطها.

ميانمار. شغّل المجلس العسكري بنية مراقبة مدعومة صينيًا. وقانون الأمن السيبراني الصادر في 1 يناير 2025 يجعل تقديم خدمة VPN دون موافقة معاقَبًا عليه بالسجن من شهر إلى ستة أشهر. وينشر "Person Scrutinization and Monitoring System" — نظام تدقيق الأشخاص ومراقبتهم — التعرّف على الوجوه بالذكاء الاصطناعي وقواعد البيانات الحيوية. وتوقف الشرطة المواطنين في الشارع وتفتّشهم بحثًا عن أجهزة تعمل عليها خدمات VPN. وثمة تقارير عن رشى وشرطة فاسدة تهدد بالاحتجاز بسبب استخدام VPN.

والنمط عبر الدول الثلاث كلها إضافة إلى إيران: حجب كل شيء افتراضيًا، وإتاحة ما هو معتمَد فقط، والتحقق من الهوية قبل منح الوصول، وتجريم الأدوات التي تتيح للمستخدمين الالتفاف على البنية.

النظائر الديمقراطية

الإنترنت المُدرج في القائمة البيضاء لا يتخذ الشكل السلطوي وحده.

يوتا. مشروع قانون مجلس الشيوخ رقم 73، الموقَّع في 19 مارس، يعلن أن أي شخص يدخل مواقع إلكترونية من داخل يوتا يفعل ذلك "regardless of whether they use a VPN, proxy server, or other means to disguise their geographic location" — بصرف النظر عمّا إذا كان يستخدم VPN أو خادم وكيل أو وسائل أخرى لإخفاء موقعه الجغرافي. ولا يجوز للكيانات التجارية التي تستضيف محتوى للبالغين تيسير استخدام VPN ولا حتى تقديم إرشادات عن كيفية استخدامه. وتصفه EFF بأنه «فخ مسؤولية» — إذ يجبر المواقع إما على حظر عناوين IP الخاصة بـVPN عالميًا أو على فرض تحقق شامل من العمر. وقد أُوقف الإنفاذ حتى 3 سبتمبر بعد طعن قانوني من Aylo، الشركة الأم لـPornhub. ووصفت مفوضة شؤون الطفل في المملكة المتحدة خدمات VPN بأنها «ثغرة يجب سدّها». وقال وزير الذكاء الاصطناعي والشؤون الرقمية في فرنسا إن VPN هو «الموضوع التالي على قائمتي».

كندا. مشروع القانون C-22، أو قانون الوصول المشروع، يتيح للحكومة أن تأمر الشركات سرًا بإضعاف التشفير أو إنشاء أبواب خلفية. وقال نائب رئيس الاستراتيجية في Signal إن الشركة «تفضّل الانسحاب من البلاد على أن تُجبَر على المساس بوعود الخصوصية التي قطعناها لمستخدمينا». وقالت Windscribe، وهي خدمة VPN مقرّها تورونتو، إنها ستنقل مقرها الرئيسي. وحذّرت NordVPN من أنها ستدرس الخطوة نفسها.

المملكة المتحدة. أحكام قانون السلامة على الإنترنت، إذا نفّذتها الهيئة التنظيمية Ofcom، ستشترط فحص الرسائل المشفّرة. وصرّحت رئيسة Signal ميريديث ويتاكر بأن الشركة ستغادر قبل أن تساوم على التشفير. ويدرس برلمان السويد قانونًا يُلزم تطبيقات المراسلة بتخزين اتصالات المستخدمين وإتاحة الوصول إليها.

الآلية تختلف. والأثر يتقارب. فسواء عبر تجريم VPN، أو أوامر التحقق من العمر، أو قوانين الأبواب الخلفية في التشفير، أو اشتراطات الوصول المرتبط بهوية موثّقة، فالمخرَج التشريعي عبر الولايات القضائية الديمقراطية والسلطوية متشابه بنيويًا: طبقة الوساطة بين المستخدم والوجهة لم تعد محايدة.

الفجوة المؤسسية

في عطلة نهاية أسبوع يوم الذكرى نفسها التي وصل فيها الوميض من إيران، واصلت البنية المؤسسية المسؤولة عن الدفاع عن الإنترنت المفتوح انكماشها.

فوكالة الأمن السيبراني وأمن البنية التحتية تعمل بنحو 2,300 وظيفة مشغولة — بانخفاض عن ذروة بلغت 3,400. وخلال إغلاق وزارة الأمن الداخلي في 14 فبراير، أُحيل 1,453 من أصل 2,341 موظفًا إلى إجازة إجبارية؛ وبقي 888 — أي 38 في المئة. وأُلغي برنامج أمن الانتخابات بالكامل. وأُغلقت شعبة إشراك أصحاب المصلحة — الفريق الذي ينسّق الأمن السيبراني للبنية التحتية الحرجة مع الولايات والحكومات المحلية والشركات الخاصة. وفقد مركز تبادل المعلومات وتحليلها متعدد الولايات تمويله الفيدرالي وانتقل إلى نموذج مدفوع؛ ولا تشارك فيه سوى 24 ولاية.

وأوردت Axios اليوم أن الوكالة دُفعت إلى دور خلفي في الاستجابة للتهديدات السيبرانية المدعومة بالذكاء الاصطناعي. ووصف مصادر الوكالة بأنها لا تؤدي «دورًا كبيرًا» رغم ولايتها. وفي 14 مايو، اكتُشف أن مستودعًا عامًا على GitHub أنشأه متعاقد مع الوكالة كشف 844 ميغابايت من كلمات المرور بنص صريح، ومفاتيح AWS GovCloud، وشهادات SSH — وظلّ مفتوحًا ستة أشهر.

وقال المدير بالإنابة للوكالة أمام الكونغرس في فبراير: «حين تتوقف الحكومة عن العمل، لا يتوقف خصومنا».

واليوم أوردت NBC News وTechCrunch أن قراصنة إيرانيين اخترقوا هيئة النقل الحضري لمقاطعة لوس أنجلوس في مارس — وسُرق 700 غيغابايت من رسائل البريد الإلكتروني والنسخ الاحتياطية والملفات. واكتشفت الاختراق شركة أمن سيبراني إسرائيلية، لا الوكالات الفيدرالية الأمريكية. وقد عطّل الهجوم شاشات مواعيد الوصول ومنع الزبائن من شحن بطاقات النقل.

الرزنامة المؤسسية تأخذ عطلات. جانب التهديد لا يفعل.

ما ينفع داخل إيران

استجابة جانب المستخدم لـ88 يومًا من إنترنت القوائم البيضاء هي الدليل التشغيلي على البنية التي لا تتوقف على أمر رئاسي.

فقد بلغ Psiphon ذروة 9.6 مليون مستخدم إيراني يوميًا خلال التعتيم. وسجّل Psiphon Conduit — وهو أداة لمشاركة النطاق الترددي تتيح لمستخدمي الشتات ترحيل حركة المرور — 26 مليون اتصال يوميًا من إيران. وشارك أربعمئة ألف إيراني في الخارج نطاقهم الترددي عبر Conduit كمرحّلات تطوعية.

أما Noghteha، وهو اشتقاق من Bitchat يتيح اتصالًا متشابكًا عبر البلوتوث مستقلًا عن البنية التحتية للإنترنت، فقد نُزّل 72,000 مرة خلال 48 ساعة من إطلاقه.

وحافظت Starlink على نحو 50,000 محطة طرفية مهرَّبة إلى إيران — دخل معظمها عبر مسالك جبلية تربط إقليم كردستان العراق بمحافظة كردستان الإيرانية. وجعلت Starlink الخدمة مجانية في إيران. وعطّل النظام نحو 40,000 محطة عبر التشويش على GPS، محقّقًا فقدانًا للحزم يتراوح بين 30 و80 في المئة. وتتعقّب شاحنات كشف الإشارات بثّ الهوائيات تمهيدًا لمصادرتها. وصودرت 108 محطات — بزيادة 881 في المئة على أساس سنوي. واستخدامها يعرّض صاحبه لعقوبة السجن عشر سنوات. وتوفي رجل اعتُقل لاستخدامه Starlink بعد ضرب على أيدي قوات الأمن.

وأكّد التحليل التقني المنشور على arxiv أن جميع تقنيات الالتفاف التي تستخدم اتصال الإنترنت المحلي التقليدي كانت محجوبة بنهج القوائم المسموح بها. وخلافًا لعمليات القطع السابقة التي استخدمت سحب مسارات BGP، عمل قطع 2026 عند طبقات بروتوكولية أعلى — إذ ظلّ 98 في المئة من بادئات IPv4 موجَّهة عالميًا رغم الفقدان شبه التام للاتصال. وهذا ما جعل الالتفاف التقليدي عبر VPN عديم الجدوى إلى حد بعيد.

ما نفع: الأقمار الصناعية (Starlink)، والشبكات المتشابكة (Noghteha وBriar)، والالتفاف القائم على الترحيل (Psiphon Conduit)، وV2Ray بتهيئات مخصّصة تُشترى عبر أسواق غير رسمية. وما لم ينفع: أي التفاف يعتمد على طبقة المشغّل التي يسيطر عليها النظام.

والدرس البنيوي: حين يصبح الإنترنت مُدرجًا في قائمة بيضاء، لا يبلغ الشبكةَ المفتوحة إلا وسائط النقل التي لا تمرّ عبر طبقة الوساطة.

حزمة الأوليّات التي تُشحن عبر الوميض

في الأسبوع نفسه الذي ومض فيه إنترنت إيران، واصلت حزمة الأوليّات على جانب المستخدم شحناتها.

فقد أعلن مشروع Project Glasswing من Anthropic نتائجه الأولى في 22 مايو: إذ رصد Claude Mythos Preview 23,019 ثغرة عبر 1,000 مشروع مفتوح المصدر، تأكّد أن 90.6 في المئة منها إيجابيات صحيحة. ورقّعت Mozilla 271 ثغرة في Firefox 150 من عملية تدقيق واحدة بـMythos — بزيادة عشرة أضعاف على النموذج السابق. أما الثغرة CVE-2026-5194 في wolfSSL، وهي عيب يتيح تزوير الشهادات في مكتبة TLS المدمجة في نحو 5 مليارات جهاز، فقد اكتشفها باحث في Anthropic ورُقّعت في 8 أبريل.

وشحن Signal ميزات مضادة للتصيّد في 12 مايو — تحذيرات داخل التطبيق للروابط المشبوهة، ومعالجة محلية فقط، مع الحفاظ على بنية عدم المعرفة. وأعلنت Proton VPN عن تمهيدات للتشفير المقاوم للحوسبة الكمومية وعن بروتوكول Stealth للينكس. ونشرت Mullvad أداة GotaTun، وهي محرّك WireGuard خاص بها مكتوب بلغة Rust. وصدر Tails 7.8 في 21 مايو. وصدر Tor Browser 15.0.14 في 19 مايو.

تجري تقوية الحزمة مفتوحة المصدر بوتيرة لم يكن عصر ما قبل الذكاء الاصطناعي ليضاهيها. وتُبنى أدوات الالتفاف لتعمل خارج طبقة الوساطة. أما الطبقة التراكبية الندّية فلا تظهر في أي قائمة بيضاء أو سوداء لأنها لا تمرّ عبر البنية التحتية التي تتحكم فيها القائمة البيضاء.

الوميض هو البنية

الوميض القادم من طهران اليوم ليس استعادة. إنه اللحظة التي تصبح فيها البنية الجديدة مرئية.

مركز بيانات مفتاح الإيقاف قائم. والتسعير ذو المستويات الثلاثة يعمل. والمعدات الصينية مركّبة. والفحص العميق للحزم الروسي يرشّح. والمحكمة طعنت في الأمر الرئاسي في اليوم نفسه الذي صدر فيه. والأمين المحسوب على الحرس الثوري صوّت ضد الاستعادة. الإنترنت المُدرج في القائمة البيضاء هو الخطة، لا القطع.

والبنية نفسها تُصدَّر. وقد وثّق تسريب Geedge Networks البالغ 500 غيغابايت المخططات. وتتلقّى ميانمار وإثيوبيا وكازاخستان وباكستان التقنية. وتنشرها روسيا في 70 منطقة. وتفرض تركيا وصولًا مرتبطًا بهوية موثّقة. وفي الديمقراطيات يتخذ النمط البنيوي نفسه شكلًا تشريعيًا: شفّروا فنغادر، وتحققوا فنمتثل، والتفّوا فنحظر.

الخلاصة البنيوية بسيطة. الإنترنت ينقسم. نصف يضع القوائم البيضاء. والنصف الآخر يشحن.

أما حزمة الأوليّات على جانب المستخدم — عملاء مفتوحون بمفاتيح يحوزها المستخدم، وبرامج ثابتة مفتوحة على شرائح قابلة للفحص من المستخدم، ومصادقة عتادية بمعيار FIDO2، ووسائط نقل مقاومة للرقابة، وعملات تحفظ الخصوصية، وذكاء اصطناعي بالاستدلال المحلي، وهوية اتحادية بإفصاح انتقائي، وخدمات ذاتية الاستضافة، وشبكات متشابكة وأقمار صناعية على طبقة المشغّل، ومرونة تشفيرية لما بعد الكم — فتعمل على النصف الذي يشحن. ولا تتطلب أمرًا رئاسيًا. ولا تتوقف على حكم محكمة. ولا تمرّ عبر طبقة الوساطة التي تتحكم فيها القائمة البيضاء.

الوميض هو 10 في المئة مما كان. والبنية هي 100 في المئة مما سيكون. والخيار هو طبقة النقل.

URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة. ولا تظهر الطبقة التراكبية لـURnetwork في بنية القوائم البيضاء لدى أي من الأنظمة المذكورة في هذا المقال، لأنها لا تمرّ عبر طبقة المشغّل التي تتحكم فيها تلك القوائم.

https://ur.io

الحساب بسيط.

يوم الجمعة 22 مايو، رفع مجلس الشيوخ جلساته لعطلة يوم الذكرى. ويعود المجلس الثلاثاء 2 يونيو. وينقضي أجل المادة 702 من قانون مراقبة الاستخبارات الأجنبية يوم الجمعة 12 يونيو.

ومن 2 يونيو إلى 12 يونيو عشرة أيام تقويمية. اثنان منها عطلة نهاية أسبوع. وواحد — 2 يونيو — هو اليوم الذي يستأنف فيه المجلس أعماله، وقد جرت العادة أن يكون نصف يوم للتصويتات الإجرائية وتنظيم اللجان. فنافذة العمل الفعلية للتحرك في القاعة بشأن إعادة تفويض §702 نحو ثمانية أيام.

والعدّ التنازلي البالغ 20 يومًا الذي وثّقته نشرة السبت في هذا الموقع بعنوان «عشرون يومًا، ورأي واحد سرّي» يصبح عشرة أيام لحظةَ استئناف دورة مجلس الشيوخ.

وتصريح السيناتور رون وايدن في 19 مايو الواعد بأن «سيكون لديّ المزيد لأقوله في هذا الأسبوع المقبل» يحلّ الاثنين 25 مايو — يوم الذكرى. وأقرب فرصة إجرائية لوايدن داخل القاعة هي الثلاثاء 2 يونيو. والفاصل بين «الأسبوع المقبل» الذي وعد به وايدن والفرصة الإجرائية للتحرك بشأنه أربعة عشر يومًا تقويميًا.

أما رأي محكمة مراقبة الاستخبارات الأجنبية المؤرخ في 17 مارس 2026 — الوثيقة التي تقع في محور صفقة رفع السرية المتفاوض عليها التي أنتجت تمديد الخمسة والأربعين يومًا في 30 أبريل — فلا يزال سرّيًا. وقد انقضت نافذة رفع السرية المستعجلة ذات الخمسة عشر يومًا يومي الجمعة 15-16 مايو. ولم يرفع مدير الاستخبارات الوطنية السرية. ولم يرفعها المدعي العام. ومديرة الاستخبارات الوطنية تولسي غابارد «تعمل بجد على رفع السرية» بحسب بيان مكتب مدير الاستخبارات الوطنية إلى Breitbart في 21 مايو. ولا يوجد تاريخ ملتزَم به.

وسيُخاض نقاش إعادة التفويض خلال أيام العمل العشرة المقبلة بشأن برنامج لا يستطيع الكونغرس أن يرى حكم المحكمة الأخير الصادر بشأنه.

العطلة والموعد الذي انقضى

البنية التفاوضية خلف هذه الوقائع الحسابية تستحق تسمية واضحة.

كان 20 أبريل 2026 موعد انتهاء المادة 702 الأصلي. وتفاوض مجلس الشيوخ على تمديد لإعادة التفويض مدته خمسة وأربعون يومًا حتى 12 يونيو بالموافقة بالإجماع. وكان ثمن سحب السيناتور وايدن لتحفّظه الإجرائي — وهو الشرط الذي أتاح المرور بالموافقة بالإجماع — نافذةَ رفع سرية مستعجلة مدتها خمسة عشر يومًا لرأي محكمة FISC الصادر في 17 مارس. وكتب رئيس لجنة الاستخبارات بمجلس الشيوخ توم كوتون (جمهوري عن أركنساس) ونائبه مارك وارنر (ديمقراطي عن فرجينيا) رسالة مشتركة إلى مدير الاستخبارات الوطنية والمدعي العام في 1 مايو يطلبان فيها رفع السرية وفق الجدول المتفق عليه.

وانتهت مهلة الخمسة عشر يومًا في 15-16 مايو. وبقي الرأي سرّيًا. ولم تشر الإدارة إلى تأخير. بل ببساطة لم تتحرك.

ورزنامة مجلس الشيوخ من 19 مايو فصاعدًا هي الواقعة التشغيلية. فعطلة يوم الذكرى تبدأ الجمعة 22 مايو. والجلسة الشكلية تحجب أي طلب موافقة بالإجماع مثير للخلاف — إذ يستطيع أي عضو منفرد الاعتراض ووقف الأعمال. والمسار الإجرائي لعقد جلسة صياغة بشأن §702 أثناء العطلة غير موجود. ويعود المجلس الثلاثاء 2 يونيو.

ووعد وايدن بـ«الأسبوع المقبل»، الذي قُطع الثلاثاء 19 مايو، كان يشير بطبيعة الحال إلى أسبوع العمل الممتد من 25 إلى 29 مايو. لكن يوم الذكرى في الخامس والعشرين والعطلة على امتداد الأسبوع يعنيان أن أقرب يوم إجرائي لوايدن داخل المجلس هو 2 يونيو.

وقد أنتج اختيار الإدارة عدم رفع السرية في الموعد المتفاوض عليه نافذةً تُخرج فيها العطلة نقاش الرقابة على §702 من القاعة كليًا. وحين يعود مجلس الشيوخ، قد يظل رأي محكمة FISC سرّيًا، فتبقى عشرة أيام للتحرك في القاعة بشأن برنامج لا يستطيع الكونغرس أن يرى حكم المحكمة الذي يستند إليه.

هذا هو الخبر البنيوي اليوم.

حجة المشكّك

نقدُ عطلة يوم الذكرى يستحق التعامل معه في أقوى صيغه.

وأقوى صيغة لهذه الحجة تقوم على أربع دعاوى.

الأولى: عطلة يوم الذكرى هي رزنامة مجلس الشيوخ الطبيعية. فكل دورة لمجلس الشيوخ تتوقف في أسبوع يوم الذكرى. وهذا ليس شاذًا؛ إنه إيقاع مؤسسي.

الثانية: إعادة تفويض §702 في 2024 نجحت عبر رزنامة العطل الطبيعية لمجلس الشيوخ. فثمة سابقة لتحرك المجلس بشأن §702 حول العطلة. والنمط ليس بلا سابقة.

الثالثة: يمكن للجلسات الشكلية من حيث المبدأ أن تستوعب طلبات إجرائية؛ ولو أرادت لجنة الاستخبارات التحرك، فالمسار موجود.

الرابعة: آليات الانتقال عند انقضاء الأجل تمدّ الصلاحيات حتى 31 مارس 2027. فالموعد الصارم في 12 يونيو حدثٌ حافز، لا إيقاف تشغيلي للبرنامج.

وكل واحدة من هذه أنقى صيغة للحجة. ولكل واحدة ردّ.

الرد على الدعوى الأولى: الطرح ليس أن العطلة شاذة. الطرح أن نافذة رفع السرية المتفاوض عليها ذات الخمسة عشر يومًا صُمّمت لتنتهي قبل العطلة كي يتمكن مجلس الشيوخ من النظر في حكم محكمة FISC خلال فترة عمل. وبنية الموعد افترضت امتثال السلطة التنفيذية. فعدم امتثال الإدارة للموعد المتفاوض عليه يتفاعل مع العطلة الطبيعية لينتج نافذة قابلة للتحرك — أيام العمل الثمانية من 2 يونيو — قصيرةً على نحو حرج للنظر التشريعي في حكم محكمة أُفصح عنه للتو.

الرد على الدعوى الثانية: كانت ظروف 2024 مختلفة. فنقاش إعادة التفويض في 2024 جرى في وضع مختلف لأحكام محكمة FISC. ونافذة رفع السرية المتفاوض عليها ذات الخمسة عشر يومًا في دورة 2026 كانت رافعة بنيوية لم تملكها دورة 2024. وقد انقضت هذه الرافعة.

الرد على الدعوى الثالثة: الجلسة الشكلية تحجب طلبات الموافقة بالإجماع المثيرة للخلاف. وأي اعتراض من عضو واحد يوقف الأعمال. والمسار الإجرائي لجلسة صياغة بشأن المادة 702 أثناء الجلسة الشكلية غير موجود. ولم تُشر قيادة لجنة الاستخبارات بمجلس الشيوخ إلى نية استخدام أي مسار من هذا القبيل، وصمت كوتون منذ 15 مايو — صمت رئيس اللجنة المعنية، وهو من حزب الإدارة نفسه — هو الصدع البنيوي الذي وثّقته هذه النشرة يوم السبت.

الرد على الدعوى الرابعة: بند الانتقال عند انقضاء الأجل واقعة إجرائية، لا دفاعًا عن الموعد الفائت لرفع السرية. فالانقضاء النظيف يعيد فتح البنية للنقاش؛ أما تمديد لصالح السلطة التنفيذية بشروط الإدارة — من دون رفع السرية المتفاوض عليه — فيغلقه. والثقل السياسي لترك §702 ينقضي، ولو إلى نافذة الانتقال، هو الرافعة التي يمدّ وايدن يده إليها. والخيار البنيوي بين «تفرض السلطة التنفيذية تمديدًا بشروطها» و«يترك الكونغرس §702 ينقضي، فينتقل إلى مارس 2027، ثم يُعاد النظر» هو السؤال الذي ستحسمه نافذة الأيام العشرة.

حجة المشكّك حقيقية. والرد بنيوي. فإعادة التفويض تتوقف على ما إذا كان بوسع الكونغرس أن يرى ما حكمت به المحكمة.

ما وجدته المحكمة

جوهر رأي محكمة FISC — ما يريد الكونغرس رفع السرية عنه وما لا يزال الجمهور عاجزًا عن رؤيته — هو الخبر الحامل تحت العدّ التنازلي للعطلة.

فالتقارير التي ظهرت عبر New York Times في 9 أبريل ووُصفت بتفصيل أوسع في مقال برنت سكوروب في The American Prospect يوم 11 مايو تصوغ النتيجة العملية: أن «أداة الترشيح» التي يستخدمها مكتب التحقيقات الفيدرالي للاستعلام من بيانات المادة 702 عملت بطريقة لم تُحصَ فيها الاستعلامات المتعلقة بأشخاص أمريكيين ولم تُتتبَّع ولم تخضع للتدقيق كما تقتضي الالتزامات الإجرائية في إعادة الاعتماد. وقد علمت وزارة العدل بالمسألة في أغسطس 2024. ورأي محكمة FISC الصادر في 17 مارس وافق على إعادة اعتماد البرنامج مع توثيق مخاوف بشأن ممارسات الاستعلام لدى المكتب.

ويسمّي تصريح وايدن في 19 مايو النمط المُبلَّغ عنه تحديدًا: أكثر من 14,000 اتصال لأشخاص أمريكيين جرى الاستعلام عنها دون مذكرات، بينها اتصالات صحفيين أمريكيين وأعضاء في الكونغرس ومحلّفين كبار. ويلتقط إطار سكوروب المفاهيمي السؤال القانوني: هل تُحتسب كل استعلامات المكتب من قاعدة بيانات §702 ضمن أرقام الرقابة على §702، أم الاستعلامات التي تعيد معلومات عن أشخاص أمريكيين فقط؟ التعريف الأضيق هو الممارسة التاريخية للإبلاغ لدى مجتمع الاستخبارات. والتعريف الأوسع هو السؤال القانوني العملي. ورأي محكمة FISC هو الوثيقة العملية التي يتحدد بها أي التعريفين يسري.

ما قيل للجمهور: إن محكمة FISC أثارت مخاوف بشأن كيفية إجراء المكتب لاستعلاماته. وما لم يُقل للجمهور: ماذا يقول حكم المحكمة فعلًا بشأن ذلك النمط.

هذا ما حجبته السرية عن نقاش إعادة تفويض المادة 702. والأيام العشرة من 2 يونيو هي النافذة التي إما أن يصير فيها ذلك الحكم علنيًا أو يبقى سرّيًا حتى تصويت انقضاء الأجل.

موجة الترقيع

في الجمعة نفسها التي رفع فيها مجلس الشيوخ جلساته، سجّلت طبقة خط أنابيب الموردين المؤسسية أعلى وتيرة أسبوعية توثّقها هذه النشرة.

ثلاث ثغرات UniFi بدرجة CVSS 10.0. أصدرت Ubiquiti يوم الجمعة تحديثات أمنية طارئة لثلاثة عيوب بأقصى درجة خطورة في UniFi OS تطال نحو 100,000 بوابة شبكية مكشوفة على الإنترنت. وتتيح الثغرات تنفيذ شيفرة عن بُعد دون مصادقة على مستوى إدارة البوابة. وأجهزة UniFi منتشرة على نطاق واسع في شبكات الشركات الصغيرة والمتوسطة، والشبكات المنزلية المتقدمة، والمواقع الطرفية للشبكات المؤسسية الكبيرة. الرقع متاحة؛ ووتيرة النشر تتوقف على تحرك المشغّلين.

استغلال نشط للثغرة CVE-2026-9082 في Drupal. أضافت CISA الثغرة CVE-2026-9082 في Drupal إلى فهرس الثغرات المستغَلّة المعروفة يوم الجمعة 22 مايو بموعد نهائي للمعالجة لدى الفرع التنفيذي المدني الفيدرالي في 27 مايو — الثلاثاء — أحد أيامه (الاثنين) يوم الذكرى. ورُصد استغلال واسع النطاق: نحو 15,000 محاولة عبر 65 دولة خلال نافذة الإفصاح. وDrupal يشغّل جزءًا معتبرًا من البنية التحتية الشبكية الفيدرالية والمؤسسية.

اليوم العاشر لثغرة Exchange OWA. لا تزال الثغرة CVE-2026-42897 في Microsoft Exchange Server — وهي عيب انتحال في Outlook Web Access جذره ثغرة برمجة عابرة للمواقع — في يومها العاشر من الاستغلال النشط دون رقعة دائمة. والموعد النهائي للفرع التنفيذي المدني الفيدرالي هو 29 مايو، أي بعد خمسة أيام من اليوم. وقد شحنت Microsoft تخفيفًا تلقائيًا للعملاء الذين فعّلوا خدمة Exchange EM فقط؛ وخطوات تخفيف يدوية لكل من عداهم. فدورة ترقيع المورّد متأخرة عن ساعة المنظّم للأسبوع الثالث على التوالي.

ثغرتا اليوم صفر التوأمان في Microsoft Defender. الثغرتان CVE-2026-41091 (تصعيد امتيازات) وCVE-2026-45498 (حجب خدمة) كلتاهما في فهرس CISA للثغرات المستغَلّة المعروفة بموعد نهائي للفرع التنفيذي المدني الفيدرالي في 3 يونيو — أي بعد عشرة أيام من اليوم. أداة الأمن نفسها في الفهرس الفيدرالي للاستغلال النشط. ورقع Microsoft قيد الطرح.

الثغرة CVE-2026-20223 في Cisco Secure Workload — بدرجة CVSS 10.0. أُفصح عنها الخميس 21 مايو. تنبيه خارج الدورة من فريق Cisco PSIRT؛ ورقعة طارئة في اليوم نفسه.

هجوم سلسلة التوريد Megalodon. دفع اختراق سلسلة التوريد على GitHub في 18 مايو — الذي وردت أولى تقاريره في وقت سابق من الأسبوع وبلغ عمق تغطيته الكامل يوم الجمعة — 5,718 التزامًا برمجيًا خبيثًا عبر 5,561 مستودعًا على GitHub في نافذة من ست ساعات عبر حسابات مشرفين مخترقة. وكان نمط الهجوم عملية رشّ آلي للالتزامات البرمجية استغلّت رموز سير عمل GitHub Actions. ومعظم المستودعات المتأثرة مشاريع صغيرة مفتوحة المصدر؛ والقلق ينصبّ على نطاق الأثر في اتجاه المصبّ.

اختراق سلسلة التوريد في Laravel-Lang. على امتداد الجمعة والسبت، نشر المهاجمون أكثر من 700 إصدار خبيث من حزمة التدويل الشهيرة في Laravel. وتمتد سلسلة الهجوم إلى تبعيات تطبيقات PHP عبر منظومة Laravel. ويتطلب التخفيف تدقيقًا يدويًا للتبعيات لدى كل مشغّل في اتجاه المصبّ.

نشر جماعة Coinbase Cartel. يوم الجمعة 22 مايو نشرت جماعة الابتزاز Coinbase Cartel اسمي Panasonic Avionics Corporation وRobinsons Singapore ضمن ضحايا جدد على بوابة تسريباتها في الويب المظلم. ويطابق النمط وتيرة ShinyHunters / Anodot / TeamPCP: اختراق مورّد برمجيات كخدمة يفضي إلى اختراقات لدى المستأجرين في اتجاه المصبّ.

موجة الجمعة والسبت هي الحد الأعلى، لا المعتاد. فثلاثة إفصاحات بدرجة CVSS 10.0 عبر مورّدين اثنين، إضافةً إلى استغلال واسع نشط لثغرة رابعة مفروضة فيدراليًا، إضافةً إلى هجوم سلسلة توريد بـ5,718 التزامًا برمجيًا، إضافةً إلى اختراق Laravel-Lang بأكثر من 700 إصدار خبيث، إضافةً إلى دورة نشر Coinbase Cartel — هذا هو شكل «عطلة نهاية الأسبوع خارج المناوبة» حين تكون المؤسسات مربوطة بأيام العمل ويكون الخصوم مستمرين.

والمواعيد النهائية للفرع التنفيذي المدني الفيدرالي التي تتجمع حولها: Drupal في 27 مايو (مع اقتطاع يوم الذكرى)، وExchange في 29 مايو (الجمعة التالية للعودة من العطلة)، وDefender في 3 يونيو (بعد العطلة). ونوافذ المعالجة الثلاث كلها تقع داخل فترة العمل ذات الأيام العشرة بعد العطلة التي يجري فيها أيضًا نقاش إعادة تفويض §702.

الإيجابيات المؤسسية

البنية المؤسسية لا تُخفق كليًا هذا الأسبوع. فثلاث إيجابيات جرت بالتوازي مع موجة الترقيع.

عملية Saffron. عملية تنسيق لإنفاذ القانون شاركت فيها ست عشرة دولة صادرت البنية التحتية لخدمة First VPN، بما فيها 33 خادمًا عبر ولايات قضائية متعددة. ونحو 5,000 حساب مستخدم مخترق. و506 حزم معلومات استخبارية عن المستخدمين جرت مشاركتها مع وكالات إنفاذ القانون الوطنية عبر تعميم FBI FLASH-20260521-001 (21 مايو). واعتُقل مسؤول أوكراني واحد. وثمة صلة تشغيلية ببرامج الفدية Phobos كخدمة. والتفكيك هو المصادرة الثانية لخدمة VPN في 2026 — والإطار القانوني هو أن الخدمة كانت بنية تحتية معروفة لأتباع برامج الفدية، لا أداة خصوصية.

تفكيك Microsoft لعملية Fox Tempest. يوم الثلاثاء 19 مايو، عطّلت وحدة الجرائم الرقمية في Microsoft عملية إجرامية للتوقيع كخدمة كانت تبيع شهادات توقيع شيفرة مزوّرة منذ نحو عام. وأُبطلت أكثر من 1,000 شهادة مزوّرة عند التفكيك. وكان العملاء يدفعون بين 5,000 و9,000 دولار للشهادة الواحدة. وثمة صلة تشغيلية بأتباع برامج الفدية Rhysida وVanilla Tempest. وطالت أوامر المصادرة التي حصلت عليها Microsoft نحو 92 نطاقًا على الإنترنت.

اعتقال في قضية شبكة Kimwolf. نشر موقع Krebs on Security الخبر يوم الخميس 21 مايو: اعتُقل جاكوب بتلر البالغ 23 عامًا في قضية تتصل بشبكة Kimwolf التي أنتجت هجوم حجب الخدمة الموزّع القياسي البالغ 30 تيرابت في الثانية أواخر 2025. ورُفعت السرية عن لائحة اتهام فيدرالية. وكان حدث حجب الخدمة الموزّع أحادي المصدر الذي سجّلته Cloudflare عند 30 تيرابت في الثانية أكبر هجوم أحادي المصدر في التاريخ المسجَّل.

تنتج البنية المؤسسية عمليات تفكيك منسّقة حين تشتغل. والتباين أن عمليات التفكيك تتطلب تنسيقًا عبر ولايات قضائية متعددة على مدى أسابيع أو أشهر، بينما يكرّر جانب التهديد نفسه داخل النافذة الفاصلة بين عمليتي تفكيك. والنمط البنيوي: الإيجابيات تُشحن ببطء عبر التعاون المؤسسي؛ والإخفاقات تُشحن بلا انقطاع بوتيرة غير متماثلة.

طبقة الدول المتلقية

النمط البنيوي الذي توثّقه هذه النشرة يتراكم بصرف النظر عن رزنامة مجلس الشيوخ الأمريكي.

إيران — اليوم 86. تواصل بنية المستويات الثلاثة "Internet Pro" / VPN التجاري عملها. فالمهنيون المعتمدون المرتبطون بالحرس الثوري وشركة الاتصالات الإيرانية يحصلون على نطاق ترددي مُدرج في القائمة البيضاء بنحو 0.20 يورو لكل غيغابايت. وعامة الناس مضطرون إلى VPN تجاري بنحو 75 يورو شهريًا — أي نحو 12.5 ضعف السعر لكل وحدة نطاق ترددي. ويستمر تداول توصيف «الفصل العنصري الرقمي» في الصحافة الدولية. ونشرت مجلة Time هذا الأسبوع (21 مايو) مقالًا عن كلف الإنترنت في إيران في إطار «مضيق هرمز». وتتجاوز الأضرار الاقتصادية التراكمية مليار دولار بحسب إحصاءات الحكومة الإيرانية؛ أما تقدير معهد Quincy فأقرب إلى 5.2 مليار دولار تراكميًا. ويبقى مستوى القائمة البيضاء «الإنترنت الأبيض» — للوصول إلى الخدمات المعتمدة من الدولة محليًا فقط — قيد التشغيل على نطاق واسع.

المكسيك — 37 يومًا حتى CURP Biométrica. على نحو 127 مليون خط هاتف محمول أن تسجّل بصمة الوجه والإصبع وقزحية العين ضمن CURP الحيوي بحلول 30 يونيو أو تواجه التعليق في 1 يوليو. ولم تُنشر إحصاءات تسجيل عامة هذا الأسبوع. ويتواصل الطعن الدستوري من المجتمع المدني المكسيكي دون وقف تنفيذ فعلي. ويبقى موقف امتثال شركات الاتصالات متفاوتًا: AT&T في الصدارة عند 29 في المئة من التسجيل، وBait عند 28 في المئة، وTelcel عند 19 في المئة، وMovistar عند 16 في المئة بحسب أحدث الأرقام المُبلَّغ عنها. وخسرت Telcel 1.2 مليون خط من إضافاتها في الربع الأول من 2026 — وهي إشارة قابلة للقياس على ممانعة المستخدمين لدى أكبر مشغّل في أمريكا اللاتينية.

روسيا — اليوم 39 من إنفاذ كشف VPN لدى مزوّدي الخدمة. بحسب متابعة Meduza وRoskomsvoboda المستمرة، يبقى تكليف 15 أبريل قيد التشغيل لدى كبار مزوّدي الخدمة. و22 من أشهر 30 تطبيق أندرويد في روسيا باتت ترصد حالة VPN على طبقة التطبيق. ويبقى Telegram محجوبًا؛ ويتواصل الترويج لتطبيق المراسلة الحكومي MAX. ويبقى تحديث أبريل لـTelegram الذي يموّه حركته على أنها حركة متصفح هو المضادّ التشغيلي لدى المستخدمين.

النيجر — اليوم 16. يبقى قرار المرصد الوطني للاتصال الصادر في 8 مايو بتعليق تسع وسائل إعلام دولية — France 24 وRadio France International وAgence France Presse وTV5 Monde وJeune Afrique وMediapart وLSI Africa وTF1 Info وFrance Afrique Média — ساري المفعول. والنيجر هي ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء بحسب إحصاء لجنة حماية الصحفيين الصادر في 1 ديسمبر 2025.

بوركينا فاسو — اليوم 19. يبقى الحظر الدائم على TV5 Monde الصادر في 5 مايو ساري المفعول. ووثّق تقرير مراسلون بلا حدود في 6 مايو استمرار الاعتقالات، بينها الصحفي أتيانا سيرج أولون.

باكستان — 689 قضية بموجب قانون PECA. تواصل مؤسسة الصحافة الباكستانية التتبّع. ووثّق تقرير Freedom Network في 29 أبريل استمرار انكماش حرية الصحافة.

تنزانيا — حجب تقرير لجنة التحقيق. لا يزال تقرير لجنة التحقيق الصادر في 23 أبريل — 518 قتيلًا، بينهم 502 مدني و16 من عناصر الأمن و21 طفلًا، في عنف ما بعد انتخابات 29 أكتوبر 2025 — محجوبًا عن النشر العام. ويبقى X (تويتر) معلّقًا في تنزانيا.

هونغ كونغ — فكّ التشفير القسري بموجب قانون الأمن القومي. بات قانون الأمن القومي في هونغ كونغ يفعّل فكّ التشفير القسري ضد الأفراد. والخاصية البنيوية: الوصول إلى المحتوى المشفّر على مستوى الجهاز عند طبقة الإجراء القانوني.

كل نظام على ساعته. وكل نمط يتراكم. والخاصية البنيوية المشتركة: السيطرة على طبقة الوساطة — المشغّل، أو المنصة، أو السجل، أو هيئة البث، أو الجهاز، أو التقرير.

خط أنابيب البروتوكولات

في الجمعة نفسها التي رفع فيها مجلس الشيوخ جلساته، شحنت طبقة البروتوكولات على جانب المستخدم حدثين مهمّين.

إغلاق تدقيق Trail of Bits لـFCMP++ في Monero يوم الجمعة 22 مايو. أُغلقت المهمة التي استغرقت أحد عشر يومًا (12-22 مايو) على تكامل الإنتاج لـFCMP++ 1a/1b في monero-project/monero دون نتائج علنية فورية — والعرف أن نافذة النشر بعد المهمة تتراوح بين أسبوعين وستة أسابيع. ويستبدل تغيير البروتوكول بالتوقيع الحلقي ذي الستة عشر طُعمًا برهانَ عضوية على السلسلة كاملة تكون مجموعة إخفاء الهوية فيه هي مجموعة UTXO بأسرها، أي نحو 150 مليون مخرَج معاملات — بما يقارب توسعًا بمقدار 9.4 مليون ضعف في إخفاء هوية المُرسِل. والهدف للانقسام الصلب على الشبكة الرئيسية هو النصف الثاني من 2026، رهنًا بمعالجة ما يستوجبه اجتياز التدقيق.

إطلاق شبكة اختبار NU7 في Zcash يوم الجمعة 22 مايو. فعّلت Shielded Labs شبكة الاختبار لـNU7 — ترقية الإجماع التالية بعد التغييرات الكبرى السابقة في البروتوكول. وتتواصل بنية Crosslink Milestone 4 (إثبات العمل + نهائية BFT، وقد دعم تبرّع فيتاليك بوتيرين في 6 فبراير الترقية). وتفعيل شبكة الاختبار هو المقدمة التشغيلية للتفعيل على الشبكة الرئيسية المتوقع لاحقًا في 2026.

Tor Browser 15.0.14 — إصدار 19 مايو. إصدار أمني بالوتيرة المعتادة. وأعلن مشروع Tor عن تمويل جماعي لعشرة مشاريع لحرية الإنترنت في الفترة نفسها — تطوير متواصل ممول بالتبرعات لطبقة النقل المقاومة للرقابة.

التشفير التام بين الطرفين DAVE في Discord. يتواصل الطرح الافتراضي الصادر في 19 مايو إلى نحو 200 مليون مستخدم نشط شهريًا عبر المناطق؛ وهو أكبر نشر أسبوعي منفرد لبنية تشفير تام بين الطرفين لقاعدة مستخدمين غير متخصصة منذ اعتماد Signal له افتراضيًا.

المدفوعات الصامتة BIP352 في Bitcoin — الاعتماد في Core 28.0 وما فوق. تتواصل سلسلة ربيع 2026 في الطرح. وبروتوكول BIP324 v2 المشفّر للاتصال الندّي (افتراضي منذ Core 27.0) بات يشكّل غالبية حركة Bitcoin الندّية عالميًا.

ترس Signal المتناثر لما بعد الكم (SPQR) + PQXDH + الترس المزدوج — الترس الثلاثي. تتواصل تقوية Signal لما بعد الكم في تكراراتها.

النشر المرحلي في npm — دُمج في 22 مايو. أغلق خط النشر المحكوم بالمصادقة الثنائية فئةً من هجمات اختراق حسابات المشرفين من النوع الذي أنتج موجتي Megalodon وLaravel-Lang. دفاع على طبقة سجل الحزم ضد هجمات سلسلة التوريد التي يوثّقها عمود موجة الترقيع.

استمرار الإصدارات الشهرية لـGrapheneOS. الإصدار GrapheneOS 2026050900 (9 مايو) وخط الأساس CalyxOS 7.2.1.0 الصادر في 4 مايو.

أمور جارية أخرى. البرنامج الثابت YubiKey 5.8. واستكمال الإفصاح الانتقائي BBS+ في eIDAS 2.0 لدى IETF قيد التنفيذ. ومعايير ML-KEM وML-DSA وSLH-DSA سارية منذ أغسطس 2024.

شحن خط أنابيب البروتوكولات تطورين كبيرين على طبقة الإجماع (إغلاق تدقيق Monero، وإطلاق شبكة اختبار NU7 في Zcash) في الجمعة نفسها التي رفع فيها مجلس الشيوخ جلساته. وحزمة الأوليّات على جانب المستخدم تعمل بلا انقطاع على بنية خط أنابيب التدقيق، وعلى إيقاع الجمعة، بصرف النظر عن الرزنامة المؤسسية.

عطلة نهاية الأسبوع خارج المناوبة

النمط غير المتماثل هذا الأسبوع — موجة ترقيع مركّزة يوم الجمعة، وعطلة تبدأ الجمعة، ومواعيد نهائية للفرع التنفيذي المدني الفيدرالي متجمّعة حول العودة بعد العطلة — هو الشكل التشغيلي لخاصية بنيوية تسمّيها هذه النشرة منذ عدة نشرات.

المؤسسات مربوطة بأيام العمل. فدورات ترقيع الموردين، وبروتوكولات الإفصاح عن الثغرات، والتوظيف في تقنية المعلومات الفيدرالية، ودورات الكونغرس، والمواعيد التنظيمية، وإجراءات المحاكم — كلها متجمّعة من الاثنين إلى الجمعة، مع هبوط حاد في عطل نهاية الأسبوع وعبر الأعياد. وقد خُفّضت القوة العاملة في CISA بنحو الثلث بعد إغلاق الحكومة؛ وكان التوظيف في عطل نهاية الأسبوع ضئيلًا أصلًا وبات الآن حرجًا.

وجانب التهديد لا يخضع لقيد مماثل. فنشر برامج الفدية يتركّز في عطل نهاية الأسبوع بحسب بيانات التتبّع في القطاع، مع نافذة الاستغلال غير المتماثلة بين إغلاق وتيرة الترقيع يوم الجمعة ودورة الاستجابة يوم الاثنين، وهي النافذة الأكثر تعرضًا للاستغلال في الأسبوع. وبحث Sysdig حول الثغرة CVE-2026-44338 في PraisonAI هذا الأسبوع — 3 ساعات و44 دقيقة من الإفصاح إلى استغلال عامل خلال نافذة عطلة نهاية أسبوع — نقطة بيانات تشغيلية واحدة في هذا النمط.

والفجوة بين متوسط زمن الاستغلال ومتوسط زمن المعالجة تبلغ أقصى اتساعها في عطل نهاية الأسبوع. والأحد هو اليوم الأعلى رافعةً لجانب التهديد.

ويتفاقم هذا النمط حين تُغلق الجداول المؤسسية بطرق غير معتادة. فعطلة يوم الذكرى تقتطع أسبوع عمل كاملًا من نافذة إعادة تفويض §702. ومواعيد الفرع التنفيذي المدني الفيدرالي بشأن Drupal (27 مايو) تدرج يوم الذكرى ضمن رزنامة المعالجة. والعودة إلى القاعة بعد العطلة في 2 يونيو لا يفصلها عن انقضاء أجل §702 سوى عشرة أيام تقويمية.

الخلاصة البنيوية: البنية التي لا تتوقف على الجدول المؤسسي هي التي تشحن عبر النافذة غير المتماثلة دون أن تفقد وتيرتها.

البنية التي لا تتوقف على الرزنامة

الحجة الختامية بسيطة.

الكونغرس في عطلة. والسلطة التنفيذية لن ترفع السرية. وساعة الفرع التنفيذي المدني الفيدرالي تدقّ. وموجة الترقيع تجري. واختراقات سلسلة التوريد تنتشر. وقد دفع هجوم Megalodon 5,718 التزامًا برمجيًا عبر 5,561 مستودعًا في ست ساعات بينما كان مجلس الشيوخ يرفع جلساته.

وحزمة الأوليّات على جانب المستخدم عملت بلا انقطاع عبر نافذة الجمعة نفسها.

عملاء مفتوحون بمفاتيح يحوزها المستخدم. Signal وTuta وProton وThreema وBriar 1.5.17 وCwtch وSession وخادم Matrix المنزلي، وDAVE في Discord لنحو 200 مليون مستخدم نشط شهريًا. ودفاع الطبقة المشفّرة تمامًا بين الطرفين ضد تسريب البيانات من جهة الخادم عبر هجمات سلسلة التوريد على مورّدي البرمجيات كخدمة، مثل Anodot أو Megalodon، دفاعٌ بنيوي.

برامج ثابتة مفتوحة على شرائح قابلة للفحص من المستخدم. GrapheneOS على Pixel 6 وما بعده بنظام Android 16. وCalyxOS على Android 16. وe/OS. وLineageOS. وOpenWRT. أي فحص لسطح الهجوم على طبقة المشغّل لا تتيحه البرامج الثابتة المغلقة.

مصادقة عتادية بمعيار FIDO2. 5 مليارات مفتاح مرور منشورة في يوم مفاتيح المرور العالمي لتحالف FIDO في 7 مايو. وأكثر من 30 مليون وحدة YubiKey شُحنت على مدى عمر المنتج. اعتمادات مربوطة بالعتاد تحلّ محل القياسات الحيوية في أعقاب اختراقات مثل كشف 1.8 مليون بصمة إصبع لدى NYC Health + Hospitals.

وسائط نقل مقاومة للرقابة. Tor Browser 15.0.14 (19 مايو). والطبقة التراكبية الندّية لـURnetwork. وV2Ray VLESS+Reality. وShadowsocks-2022. وTrojan. وWireGuard مع obfsproxy. ويتيح إصدار خادم MCP من URnetwork في 19 فبراير للعملاء الوكلاء إنشاء جلسات VPN عبر الطبقة التراكبية الندّية، فيفصل النقل عن طبقة المشغّل. ولا تظهر الطبقة التراكبية في أي سجل لمشغّلي الخدمات العامة — لا في §702، ولا في مستوى "Internet Pro" الإيراني، ولا في قانون كشف VPN لدى مزوّدي الخدمة الروسي الصادر في 15 أبريل.

عملات تحفظ الخصوصية على أوليّات الحيازة الذاتية. حركة BIP324 v2 المشفّرة الندّية المفعّلة افتراضيًا في Bitcoin باتت غالبية حركة Bitcoin عالميًا. والمدفوعات الصامتة BIP352 في Core 28.0 وما فوق. وتدقيق Trail of Bits لـFCMP++ في Monero أُغلق يوم الجمعة — والشبكة الرئيسية في النصف الثاني من 2026. وCrosslink Milestone 4 في Zcash / شبكة اختبار NU7 أُطلقت يوم الجمعة.

ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم. DeepSeek V4 Pro (رخصة MIT، قابل للتشغيل في المتصفح). وMistral Medium 3.5. وQwen 3.6 Max Preview. وGLM-5.1. وOpenAI Privacy Filter (رخصة Apache 2.0، قابل للتشغيل في المتصفح عبر transformers.js + WebGPU). وهو المضادّ البنيوي للخدمات المستضافة سحابيًا حيث يكون مسار السجلات لدى الطرف الثالث هو ناقل الهجوم عبر الإجراء القانوني.

هوية اتحادية بإفصاح انتقائي. W3C Verifiable Credentials 2.0 (توصية منذ مايو 2025). واستكمال BBS+ في eIDAS 2.0 لدى IETF. وPrivacy Pass. ونموذج التهديد الخاص بـCURP Biométrica المكسيكي.

خدمات ذاتية الاستضافة. خادم Matrix المنزلي. وForgejo. وMailcow. وJitsi. وNextcloud. وMautic. وSuiteCRM. وMoodle. وOpen edX. والاتحاد يحدّ من نطاق أثر سلسلة التوريد — في مواجهة اتجاه سلسلة التوريد المتصاعد بنسبة 60 في المئة بحسب تقرير DBIR.

شبكات متشابكة وأقمار صناعية على طبقة المشغّل. Briar (بلوتوث، واي فاي، Tor). وBridgefy. وMeshtastic. وReticulum. وGoTenna PRO. وStarlink. الطبقة المستقلة عن المشغّل في مواجهة اليوم 86 في إيران، واليوم 16 في النيجر، واليوم 19 في بوركينا فاسو، واليوم 39 في روسيا.

مرونة تشفيرية. ML-KEM. وML-DSA. وSLH-DSA. والترس الثلاثي في Signal (الترس المتناثر لما بعد الكم + الترس المزدوج + PQXDH). وانقضاء FIPS 140-2 في 21 سبتمبر — بعد 120 يومًا من اليوم. وهدف يوم Q في 2029.

جرى خطّا الأنابيب كلاهما هذا الأسبوع. فالطبقة المؤسسية جرت مخفقة — رفع السرية لم يحدث، والمواعيد النهائية للفرع التنفيذي المدني الفيدرالي ضغطتها العطلة، وموجة الترقيع عند وتيرتها القصوى. أما حزمة جانب المستخدم فجرت شاحنة — تدقيق Monero أُغلق، وشبكة اختبار NU7 في Zcash أُطلقت، وTor 15.0.14 صدر، وDAVE في Discord قيد الطرح، والنشر المرحلي في npm دُمج.

ومعركة §702 خلال الأيام العشرة المقبلة هي حول ما إذا كان بوسع مجلس الشيوخ أن يرى الحكم المتعلق ببرنامج ترفض السلطة التنفيذية أن تطلعه عليه. والبنية هي الجواب الذي لا يتطلب سؤالًا.

عشرة أيام.

يعود مجلس الشيوخ الثلاثاء 2 يونيو.

وقد يظل رأي محكمة FISC سرّيًا.

وحزمة الأوليّات على جانب المستخدم تشحن بصرف النظر عن ذلك.

URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة. ويتيح إصدار خادم MCP الصادر في 19 فبراير 2026 للعملاء الوكلاء إنشاء جلسات VPN عبر الطبقة التراكبية الندّية، فيفصل النقل عن طبقة المشغّل. ولا تظهر URnetwork في سجل مشغّلي الخدمات العامة لدى أي من التشريعات المذكورة في هذا المقال.

https://ur.io

الجمعة 15 مايو 2026 كان اليوم الخامس عشر.

اليوم الخامس عشر من ساعة انطلقت في 30 أبريل 2026 — اليوم الذي سحب فيه السيناتور رون وايدن تحفّظه الإجرائي على تمديد إعادة تفويض المادة 702 لخمسة وأربعين يومًا بالموافقة بالإجماع، بشرط أن ترفع إدارة ترامب السرية عن رأي محكمة مراقبة الاستخبارات الأجنبية المؤرخ في 17 مارس 2026 خلال خمسة عشر يومًا. وأُغلقت النافذة يومي الجمعة 15-16 مايو. ولا يزال الرأي سرّيًا.

السيناتور وايدن، 19 مايو 2026:

«أتوقع أن يصاب زملائي — والرأي العام الأمريكي — بالفزع مما وجدته محكمة FISC، حين يُرفع عن الرأي طابع السرية. «على كل عضو في الكونغرس أن يبقي هذا في ذهنه عند نظره في تشريع إعادة تفويض المادة 702 في الأيام المقبلة... «في أعقاب أحدث إعادة تفويض، استُخدمت المادة 702 للوصول إلى أكثر من 14,000 اتصال لأشخاص أمريكيين دون مذكرات — اتصالات شملت صحفيين أمريكيين وأعضاء في الكونغرس ومحلّفين كبارًا. ويستحق الشعب الأمريكي أن يعرف أن هذه المحكمة قد وثّقت انتهاكات خطيرة للقانون من جانب مكتب التحقيقات الفيدرالي في إجراء هذه الاستعلامات. «وسيكون لديّ المزيد لأقوله في هذا الأسبوع المقبل».

اليوم هو السبت 23 مايو 2026. والأسبوع المقبل يبدأ الاثنين 25 مايو — بعد يومين من الآن. وانقضاء الأجل الصارم في 12 يونيو على بُعد عشرين يومًا.

ولم يرفع مدير الاستخبارات الوطنية السرية. ولم ترفعها وزارة العدل. ولم يعلّق رئيس لجنة الاستخبارات بمجلس الشيوخ توم كوتون (جمهوري عن أركنساس) علنًا منذ موعد 15-16 مايو. ولم يعلّق نائب رئيس لجنة الاستخبارات مارك وارنر (ديمقراطي عن فرجينيا). ونقاش إعادة التفويض يُخاض بشأن برنامج لا يستطيع الكونغرس أن يرى حكم المحكمة الأخير الصادر بشأنه.

هذه هي مقدمة هذا المقال. وكل ما عداها هو السياق البنيوي خلفها.

ما وجدته المحكمة

كان رأي محكمة FISC الذي يقع في محور الموعد الفائت هو حكم إعادة الاعتماد السنوي المعتاد بشأن المادة 702، مؤرخًا في 17 مارس 2026 وكُشف عنه عبر تقارير New York Times في 9 أبريل. وقد وافقت المحكمة على إعادة اعتماد المادة 702 — بمعنى أن البرنامج يواصل العمل بترخيص المحكمة — مع الإشارة إلى مخاوف جوهرية بشأن ممارسات الاستعلام لدى مكتب التحقيقات الفيدرالي من متن المادة 702.

وقد صاغ برنت سكوروب، في The American Prospect يوم 11 مايو، الإطار المفاهيمي: الجدل هو حول ما إذا كانت كل استعلامات المكتب من قاعدة بيانات §702 تُحتسب ضمن أرقام الرقابة على §702، أم الاستعلامات التي تعيد معلومات عن أشخاص أمريكيين فقط. والتمييز حامل. فقد دأب مجتمع الاستخبارات تاريخيًا على الإبلاغ عن أعداد الاستعلامات بالتعريف الأضيق. وحاجّ الإصلاحيون في المجتمع المدني بأن التعريف الأوسع هو السؤال القانوني العملي. ورأي محكمة FISC، بحسب توصيف وايدن، يتناول هذا بالضبط — أي الشروط التي يجوز فيها للمكتب الاستعلام من قاعدة بيانات §702 عن معرِّفات أشخاص أمريكيين.

ويسمّي تصريح وايدن في 19 مايو النمط المُبلَّغ عنه تحديدًا: أكثر من أربعة عشر ألف اتصال لأشخاص أمريكيين جرى الاستعلام عنها دون مذكرات، بينها اتصالات صحفيين أمريكيين وأعضاء في الكونغرس ومحلّفين كبار. والرقم مسنَد إلى مرافعات ظهرت خلال دورة إعادة التفويض السابقة. والنمط هو ما يبدو أن رأي 17 مارس يتناوله بنيويًا.

ما قيل للجمهور: إن محكمة FISC أثارت مخاوف بشأن كيفية إجراء المكتب لاستعلاماته. وما لم يُقل للجمهور: ماذا يقول حكم المحكمة فعلًا بشأن ذلك النمط.

هذا هو جوهر معركة رفع السرية.

الصفقة

صفقة 29-30 أبريل التي أنتجت الموعد الفائت هي نفسها الخبر البنيوي.

كان مقررًا أن تنتهي المادة 702 في 15 أبريل 2026. وتفاوض مجلس الشيوخ على تمديد لإعادة التفويض مدته خمسة وأربعون يومًا حتى 12 يونيو بالموافقة بالإجماع. وكان ثمن سحب وايدن لتحفّظه الإجرائي — وهو الشرط الذي أتاح المرور بالموافقة بالإجماع — نافذةَ رفع سرية مستعجلة مدتها خمسة عشر يومًا لرأي محكمة FISC الصادر في 17 مارس. وكتب رئيس لجنة الاستخبارات كوتون (جمهوري عن أركنساس) ونائبه وارنر (ديمقراطي عن فرجينيا) رسالة مشتركة إلى مدير الاستخبارات الوطنية والمدعي العام في 1 مايو يطلبان فيها رفع السرية وفق الجدول المتفق عليه.

وحلّ الموعد في 15-16 مايو. وبقي الرأي سرّيًا. ولم تشر الإدارة إلى تأخير. بل ببساطة لم تتحرك.

والرد التلقائي على هذا النوع من المواعيد الفائتة هو القول إن آراء محكمة FISC تُصنَّف سرّية بحكم العادة — وهو صحيح على المستوى العام وغير ذي صلة بهذه الحالة. فرفع السرية كان الثمن المتفاوض عليه للتمديد. والتصنيف الافتراضي ليس دفاعًا عن الإخلال بالتزام تشريعي.

والقراءة الأنظف هي ما سجّله وايدن في 19 مايو: أن السلطة التنفيذية اختارت عدم الامتثال للشرط الذي منح مجلس الشيوخ بموجبه إعادة التفويض. ولم يدافع رئيس لجنة الاستخبارات بمجلس الشيوخ، كوتون، منذئذٍ عن اختيار السلطة التنفيذية. والصمت هو الصدع البنيوي — صفقة وُقّعت بتوافق الحزبين، وتجاهلتها السلطة التنفيذية، ورئيس اللجنة المعنية في مجلس الشيوخ يرفض أن يقول علنًا ما إذا كانت الصفقة لا تزال ملزِمة.

هذه هي الواقعة البنيوية. ويتواصل نقاش إعادة التفويض على مدى العشرين يومًا المقبلة دون رؤية محكمة FISC لممارسات الاستعلام لدى المكتب.

حجة المشكّك

نقاش إعادة تفويض §702 مستمر منذ وقت كافٍ لأن تكون أقوى صيغة لحجة كل طرف مسجَّلة. وعلى المقال أن يشتبك مع أقوى حجة للإبقاء على §702 دون تغيير، وإلا قُرئ بوصفه مرافعة لا تحليلًا.

وأقوى حجة تقوم على ثلاث دعاوى.

الأولى: المادة 702 تنتج جزءًا كبيرًا من الموجز اليومي للرئيس. وقد وصف مجتمع الاستخبارات هذه الحصة تاريخيًا بنحو ستين في المئة — وهو رقم أُبلغ عنه ونوزع فيه ونُقّح عبر دورات إعادة التفويض، لكن رتبة مقداره غير متنازع عليها من لجنة الاستخبارات بمجلس الشيوخ في الإحاطات السرية. والحجة: أن برنامجًا ينتج هذا الحجم من المعلومات الاستخبارية لا يمكن إعاقته دون كلفة تشغيلية.

الثانية: أن نقد «الاستعلامات بوصفها مذكرات» يخلط بين استعلام من قاعدة بيانات جُمعت بطريقة مشروعة وبين مذكرة لجمع جديد. وإطار مجتمع الاستخبارات: أن الجمع بموجب §702 يجري ضد أهداف أجنبية بموجب اعتمادات أقرّتها المحكمة؛ وأن الاستعلامات هي عمليات بحث في مادة مشروعة مجموعة سلفًا. واشتراط مذكرة للاستعلامات المتعلقة بأشخاص أمريكيين ينشئ طبقة احتكاك جديدة دون تصحيح مشكلة في الجمع نفسه.

الثالثة: حتى لو مرّ موعد 12 يونيو دون إعادة تفويض، فإن صلاحيات §702 تنتقل حتى 31 مارس 2027 بموجب بنية التمديد القائمة. والثقل السياسي لترك §702 ينقضي استعراضي أكثر منه تشغيلي.

وكل واحدة من هذه أنقى صيغة للحجة. ولكل واحدة ردّ من الطرف الآخر.

الرد على حجة حصة الموجز الرئاسي: الحصة التي أبلغ عنها مجتمع الاستخبارات تغيّرت عبر الدورات تبعًا للإدارة التي تسوق الحجة. والرقم غير قابل للتدقيق من الكونغرس خارج الإحاطات السرية؛ وقد لاحظ محللو المجتمع المدني غموضًا كبيرًا في طريقة حساب الحصة. والحجة المستمدة من المنفعة ليست حجة ضد إصلاح الرقابة.

الرد على إطار «الاستعلامات بوصفها مذكرات»: هذا بالضبط هو السؤال الذي يتناوله رأي محكمة FISC. وقد صُقل موقف الإصلاحيين عبر دورات متعددة: مذكرة قائمة على سبب محتمل للاستعلامات المتعلقة بأشخاص أمريكيين، لا مذكرة قائمة على سبب محتمل للجمع بموجب §702 نفسه. وحزمة إصلاح 2026 المطروحة أضيق من إطار «تحويل §702 إلى نظام مذكرات محلي» الذي استخدمه مجتمع الاستخبارات في ردّه. ورأي محكمة FISC هو الوثيقة العملية. وبدون رفع السرية، لا يستطيع الجمهور أن يقدّر ما إذا كان ردّ مجتمع الاستخبارات يشتبك مع ما وجدته المحكمة فعلًا.

الرد على حجة بند الانتقال: بند الانتقال واقعة إجرائية، لا دفاعًا عن الموعد الفائت لرفع السرية. فالانقضاء النظيف يعيد فتح البنية للنقاش؛ أما تمديد بشروط السلطة التنفيذية — من دون رفع السرية المتفاوض عليه — فيغلقه. والثقل السياسي لترك §702 ينقضي هو الرافعة التي يمدّ وايدن يده إليها في توقيت «الأسبوع المقبل».

أقوى دفاع عن المادة 702 يقوم على منفعة إنتاج البرنامج. وأقوى نقد للمادة 702 يقوم على أن محكمة FISC حكمت، في رأي بعينه، بأن ممارسات الاستعلام لدى المكتب غير ممتثلة للقانون. ونقاش إعادة التفويض على مدى العشرين يومًا المقبلة سيتوقف على أي الإطارين يستطيع الكونغرس رؤيته — ورفع السرية هو البوابة.

عمود الدول المتلقية

بينما تتجادل واشنطن حول ما إذا كان بوسع مجلس الشيوخ رؤية رأي سرّي واحد، تُبنى طبقة الدول المتلقية على نطاق واسع.

إيران — اليوم 85. تواصل بنية المستويات الثلاثة "Internet Pro" / VPN التجاري عملها. فالمهنيون المعتمدون المرتبطون بالحرس الثوري وشركة الاتصالات الإيرانية يحصلون على نطاق ترددي مُدرج في القائمة البيضاء بنحو 0.20 يورو لكل غيغابايت. وعامة الناس مضطرون إلى VPN تجاري بنحو 75 يورو شهريًا — أي نحو 12.5 ضعف السعر لكل وحدة نطاق ترددي. ووصف سينا توسي من معهد Quincy النظام بأنه «فصل عنصري رقمي» في تحليل نُشر في 12 مايو. وتتجاوز الخسارة الاقتصادية التراكمية المقدَّرة 5.2 مليار دولار بحسب صحيفة «دنياي اقتصاد». ويبقى مستوى القائمة البيضاء «الإنترنت الأبيض» — للوصول إلى الخدمات المعتمدة من الدولة محليًا فقط — قيد التشغيل على نطاق واسع.

المكسيك — 38 يومًا حتى CURP Biométrica. على نحو 127 مليون خط هاتف محمول أن تسجّل بصمة الوجه / الإصبع / قزحية العين ضمن CURP الحيوي بحلول 30 يونيو أو تواجه التعليق. والتسجيل دون 10 في المئة إجمالًا بحسب تقارير الصحفي المكسيكي إغناسيو غوميس فيّاسينيور. وشركة بشركة: AT&T عند 29 في المئة، وBait عند 28 في المئة، وTelcel عند 19 في المئة، وMovistar عند 16 في المئة. وخسرت Telcel 1.2 مليون خط من إضافاتها في الربع الأول من 2026 — وهي إشارة قابلة للقياس على ممانعة المستخدمين. وألغت محكمة فيدرالية أمر تعليق سابقًا في 16 مارس. والطعن الدستوري من المجتمع المدني المكسيكي قائم لكنه لم ينتج وقفًا للتنفيذ.

روسيا — تكليف كشف VPN لدى مزوّدي الخدمة الصادر في 15 أبريل قيد التشغيل. بحسب تقارير Meduza وRoskomsvoboda، يجري إنفاذ القانون لدى كبار مزوّدي الخدمة: Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales والسكك الحديدية الروسية. وبحسب متابعة المصدرين نفسيهما في مايو، باتت 22 من أشهر 30 تطبيق أندرويد في روسيا ترصد حالة VPN على طبقة التطبيق. وقد أُجّلت الرسوم الإضافية على حركة VPN عبر المحمول التي كانت مقررة في 1 مايو، لكن البنية التحتية لإنفاذها قائمة. ويتواصل الترويج لتطبيق المراسلة MAX الخاضع لسيطرة الدولة رغم ما وُثّق فيه من ميزات مراقبة.

النيجر — اليوم 15. يبقى قرار المرصد الوطني للاتصال الصادر في 8 مايو بتعليق تسع وسائل إعلام دولية — France 24 وRadio France International وAgence France Presse وTV5 Monde وJeune Afrique وMediapart وLSI Africa وTF1 Info وFrance Afrique Média — ساري المفعول. والنيجر هي ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء بحسب إحصاء لجنة حماية الصحفيين الصادر في 1 ديسمبر 2025.

بوركينا فاسو — اليوم 18. يبقى الحظر الدائم على TV5 Monde الصادر في 5 مايو ساري المفعول. ووثّق تقرير مراسلون بلا حدود في 6 مايو استمرار الاعتقالات، بينها الصحفي أتيانا سيرج أولون.

باكستان — موجة PECA مستمرة. تتابع مؤسسة الصحافة الباكستانية 233 واقعة بين يناير 2025 وأبريل 2026. ووثّق تقرير Freedom Network في 29 أبريل استمرار انكماش حرية الصحافة.

تنزانيا — حجب تقرير لجنة التحقيق. لا يزال تقرير لجنة التحقيق الصادر في 23 أبريل — 518 قتيلًا، بينهم 502 مدني و16 من عناصر الأمن و21 طفلًا، في عنف ما بعد انتخابات 29 أكتوبر 2025 — محجوبًا عن النشر العام. ويبقى X (تويتر) معلّقًا في تنزانيا.

والخاصية البنيوية المشتركة بين هذه الأنظمة هي السيطرة على طبقة الوساطة. فالدولة تتحكم في المشغّل، أو المنصة، أو السجل، أو هيئة البث، أو التقرير. وحزمة الأوليّات على جانب المستخدم — وسائط نقل مقاومة للرقابة، وتشفير تام بين الطرفين، وشبكات متشابكة وأقمار صناعية، وعملات تحفظ الخصوصية، وهوية اتحادية بإفصاح انتقائي — هي المضادّ التشغيلي.

وبينما تتقاتل واشنطن حول ما إذا كان يمكن رفع السرية عن حكم واحد لمحكمة FISC، تُنشر البنية التي يشكّل ذلك جزءًا منها على نطاق واسع.

عمود الأسبوع السيبراني

في الأسبوع نفسه الذي انقضى فيه موعد رفع السرية عن §702، سجّلت طبقة بيانات الاعتماد وسلسلة التوريد المؤسسية إخفاقات متراكمة.

CVE-2026-20223 — Cisco Secure Workload — CVSS 10.0. أُفصح عنها الخميس 21 مايو. وهي في منتج الدفاع المحيطي لدى Cisco، أي منصة إنفاذ السياسات والتجزئة المركزية المنتشرة على نطاق واسع في الشبكات المدنية الفيدرالية والمؤسسية. ودرجة CVSS 10.0 هي أقصى درجة خطورة. وصدر تنبيه خارج الدورة من فريق Cisco PSIRT؛ ورقعة طارئة في اليوم نفسه.

ثغرتا اليوم صفر التوأمان في Microsoft Defender for Endpoint — CVE-2026-41091 + CVE-2026-45498. أُضيفتا إلى فهرس CISA للثغرات المستغَلّة المعروفة يوم الأربعاء 20 مايو. أداة الأمن نفسها في الفهرس الفيدرالي للاستغلال النشط — عيبا تصعيد امتيازات وحجب خدمة أُفصح عنهما إلى جانب خمس ثغرات قديمة من 2008-2010. وطرح فريق Defender رقعه بالتوازي مع طوارئ Cisco.

Exchange OWA — CVE-2026-42897 — اليوم التاسع اليوم، دون رقعة دائمة. استغلال نشط منذ 14 مايو. والموعد النهائي للمعالجة لدى الفرع التنفيذي المدني الفيدرالي 29 مايو — أي بعد ستة أيام من اليوم. وقد شحنت Microsoft تخفيفًا تلقائيًا للعملاء الذين فعّلوا خدمة Exchange EM؛ وخطوات تخفيف يدوية لكل من عداهم. فدورة ترقيع المورّد متأخرة عن ساعة المنظّم للأسبوع الثاني على التوالي.

GitHub TeamPCP — تسريب 3,800 مستودع داخلي — تأكّد في 21 مايو. الناقل: سلسلة توريد إضافة Nx Console في VS Code (TanStack ← Nx Console مسمومة) ثبّتها موظف في GitHub، فأتاحت الوصول إلى مستودعات داخلية بنطاق اعتماداته. وعُرضت على سوق ابتزاز في الويب المظلم بمبلغ 50,000 دولار. وهو أخطر اختراق لسلسلة توريد مورّد برمجيات كخدمة في 2026 حتى الآن من حيث عدد المستودعات.

تفكيك Microsoft لعملية Fox Tempest — 19 مايو. عطّلت وحدة الجرائم الرقمية عملية إجرامية للتوقيع كخدمة كانت تعمل منذ نحو عام. وأُبطلت أكثر من 1,000 شهادة توقيع شيفرة مزوّرة عند التفكيك. وكان العملاء يدفعون بين 5,000 و9,000 دولار للشهادة الواحدة. وثمة صلة تشغيلية بأتباع برامج الفدية Rhysida وVanilla Tempest.

عملية Saffron — 19-20 مايو. عملية إنفاذ قانون متعددة الدول صادرت خدمة First VPN، و33 خادمًا، ونحو 5,000 حساب مستخدم. وثمة صلة ببرامج الفدية Phobos كخدمة. وتنسيق بين ست عشرة دولة. والمصادرة هي ثاني تفكيك لخدمة VPN في 2026.

الخاصية البنيوية: ثلاث ثغرات يوم صفر متزامنة بدرجة CVSS ≥ 7.8 تحت استغلال نشط عبر مورّدين كبيرين، إضافةً إلى اختراق سلسلة توريد لمورّد برمجيات كخدمة طال 3,800 مستودع، إضافةً إلى عمليتين ضد بنى تحتية إجرامية، إضافةً إلى تسريب بيانات اعتماد CISA (القسم التالي) — كل ذلك في غضون 96 ساعة. وخط أنابيب ترقيع الموردين الذي توثّقه هذه النشرة منذ أسبوع كان يُخفق عند الوسيط والذيل والأزمة الراهنة في آنٍ واحد.

انقلاب CISA

يوم الثلاثاء 19 مايو، أفاد TechCrunch — تلاه Wired في 19-20 مايو — بأن مستودع Private-CISA التابع للوكالة على GitHub تُرك متاحًا للعموم نحو ستة أشهر وفيه بيانات اعتماد مسؤول لـAWS GovCloud، وكلمات مرور قواعد بيانات بنص صريح، وأسرار تشغيلية أخرى في سجل الالتزامات البرمجية.

وكانت نافذة صلاحية بيانات الاعتماد نحو 48 ساعة من الإفصاح إلى المعالجة بحسب تقرير الحادث الصادر عن CISA نفسها. وقد بدّل موظفو الوكالة بيانات الاعتماد وسحبوا المستودع فور تأكيد الانكشاف. ونافذة الـ48 ساعة لصلاحية بيانات الاعتماد — بين الإفصاح والتبديل الكامل — هي ما يقتضيه التوجيه التشغيلي المُلزِم 22-01 الصادر عن الوكالة نفسها من المشغّلين المدنيين الفيدراليين.

والردّ البنيوي يكتب نفسه. فالوكالة التي تنشر فهرس الثغرات المستغَلّة المعروفة — أي القائمة الفيدرالية للاستغلال النشط التي تقود المعالجة لدى الفرع التنفيذي المدني الفيدرالي عبر السلطة التنفيذية — أخفقت هي أيضًا في انضباط إدارة بيانات الاعتماد الذي تفرضه توجيهاتها على غيرها. والإخفاق ليس خبيثًا. الإخفاق بنيوي: فخط أنابيب ترقيع الموردين نفسه الذي ينتج ذيلًا عمره ثمانية عشر عامًا عند CVE-2008-4250 ينتج انكشافًا لبيانات الاعتماد داخل الوكالة المكلّفة بتنظيفه.

و«ثِق بمجتمع الاستخبارات فحسب» — أقوى صيغة لحجة الإبقاء على §702 — هي الحجة الموازية في الأسبوع نفسه. فالثقة المؤسسية التي يُطلب من نقاش إعادة تفويض §702 أن يمدّها هي الثقة المؤسسية نفسها التي أنتجت تسريب بيانات اعتماد CISA، واختراق GitHub TeamPCP عبر إضافة ثبّتها موظف في GitHub، ونافذة تشغيل Fox Tempest الممتدة عامًا، والاستغلال النشط غير المرقَّع لـExchange OWA في يومه التاسع.

والجواب البنيوي ليس معارضة كل مؤسسة. الجواب البنيوي هو إدراك أن المؤسسات تعمل على بنية خط أنابيب الموردين نفسها التي تُخفق عند كل مقياس زمني هذا الأسبوع، وأن حزمة الأوليّات على جانب المستخدم — ما شُحن في الأسبوع نفسه — هي البديل التشغيلي.

خط أنابيب البروتوكولات

شحنت خمس أوليّات خصوصية على جانب المستخدم أو أغلقت دورة تدقيق في الأسبوع نفسه الذي كانت فيه الطبقة المؤسسية تُخفق.

Discord DAVE — 19 مايو. طُرح التشفير التام بين الطرفين لجميع مكالمات الصوت والفيديو في Discord. وكان بروتوكول DAVE (التشفير التام بين الطرفين للصوت/الفيديو في Discord) قد خضع لتدقيق Trail of Bits ووُثّق معياريًا لدى IETF — وقد ظل البروتوكول في مرحلة المعاينة أشهرًا؛ وإعلان 19 مايو جعله مفعّلًا افتراضيًا عبر المنصة. والتغيير البنيوي في عدد قاعدة المستخدمين: إذ لدى Discord نحو 200 مليون مستخدم نشط شهريًا. والانتقال إلى التشفير التام بين الطرفين افتراضيًا في واحدة من أكبر منصات الصوت والفيديو الاستهلاكية في العالم هو أكبر نشر أسبوعي منفرد لبنية تشفير تام بين الطرفين لقاعدة مستخدمين غير متخصصة منذ اعتماد Signal له افتراضيًا.

Tor Browser 15.0.14 — 19 مايو. إصدار بالوتيرة المعتادة مع تحديثات أمنية. وكانت الرقعة الطارئة في Tor Browser 15.0.13 يوم 7 مايو هي الإصدار السابق؛ و15.0.14 يقوّي الحماية ضد نواقل لاحقة. ووتيرة الإصدار المستمرة لدى مشروع Tor هي نفسها المثال البنيوي — مفتوح المصدر، وتدقيق علني، وتطوير ممول بالتبرعات، وتحقق متعدد الأطراف.

Monero FCMP++ — الجمعة 22 مايو. أُغلقت مهمة Trail of Bits التي استغرقت أحد عشر يومًا على تكامل الإنتاج لـFCMP++ 1a/1b. وهي ثاني شركة مستقلة (بعد Veridise في 2025) تعمل على البروتوكول الذي يستبدل بالتوقيع الحلقي ذي الستة عشر طُعمًا برهانَ عضوية على السلسلة كاملة — بمجموعة إخفاء هوية تبلغ نحو 150 مليون مخرَج UTXO، أي توسع بنحو 9.4 مليون ضعف. والتقرير متوقع خلال أسبوعين إلى ستة أسابيع. والهدف للانقسام الصلب على الشبكة الرئيسية هو النصف الثاني من 2026، رهنًا بمعالجة ما يستوجبه اجتياز التدقيق.

المدفوعات الصامتة BIP352 في Bitcoin. يتواصل الطرح في تنصيبات Core 28.0 وما فوق. ومقاييس الاعتماد في سلسلة ربيع 2026 ضمن منحنى الطرح المعتاد. وبروتوكول BIP324 v2 المشفّر للاتصال الندّي (افتراضي منذ Core 27.0) بات يشكّل غالبية حركة Bitcoin الندّية عالميًا.

Cashu / BOLT12 / رسائل Nostr المباشرة. تتواصل فيدرالية مصارف Cashu؛ ويتواصل اعتماد ترميز عروض BOLT12 في شبكة Lightning؛ وبات التراسل المباشر المشفّر NIP-44 / NIP-17 / NIP-59 على Nostr هو الوضع الافتراضي في عميلي Damus وAmethyst.

النمط: خمس أوليّات خصوصية على طبقة البروتوكول تشحن في نافذة من 96 ساعة عبر حوكمة مجتمعية مفتوحة المصدر مدفوعة بالتدقيق، على بنية مختلفة عن خط أنابيب ترقيع الموردين. وخط أنابيب البروتوكولات لا يحتاج إلى رفع سرية مؤسسي كي يشحن.

الظلّ السياساتي

انقضاء أجل §702 ليس الموعد السياساتي الوحيد الذي يشكّل البنية هذا الربع.

قانون TAKE IT DOWN — اليوم الخامس اليوم. دخل إنفاذ لجنة التجارة الفيدرالية يومه الخامس اليوم، 23 مايو. وخمس عشرة منصة سُمّيت في رسائل التحذير الصادرة في 11 مايو لا تزال في وضع الامتثال؛ وتلقّت اثنتا عشرة منصة إضافية لأدوات التعرية رسائل تحذير في 20 مايو. وواجب الإزالة خلال 48 ساعة للصور الحميمة غير الرضائية، وغرامة مدنية قدرها 53,088 دولارًا عن كل مخالفة. وبوابة الإبلاغ للمستهلكين takeitdown.ftc.gov فُعّلت منذ 20 مايو. ويبقى النقد الحقوقي من EFF وACLU وCDT ومعهد R Street ومركز حرية التعبير بنيويًا: فأوليّة واجب الإزالة باتت الآن متاحة تشريعيًا لتوسيع النطاق مستقبلًا؛ والمنصات المشفّرة تمامًا بين الطرفين لا تستطيع الامتثال بنيويًا.

إنفاذ قانون الذكاء الاصطناعي الأوروبي — 72 يومًا حتى 2 أغسطس. تدخل التزامات مزوّدي الذكاء الاصطناعي للأغراض العامة حيز الإنفاذ في 2 أغسطس 2026. وموقف الامتثال لدى ناشري النماذج الأساسية مجزّأ — إذ نشرت OpenAI وAnthropic وGoogle وMeta أطرًا متنوعة لتوثيق الشفافية؛ فيما لم تنشر Mistral وAlibaba إفصاحات مكافئة بعد. وبنية الإنفاذ لدى المفوضية هي اختبار الربع المقبل.

«الظلام المطبق» الأوروبي / ProtectEU. تُفتح نافذة الاقتراح التشريعي لصيف 2026 خلال أسابيع. وقد اقترحت وثيقة المجلس الصادرة في نوفمبر 2025 التي حصل عليها Netzpolitik احتفاظًا إلزاميًا لمدة عام ببيانات التعريف لدى الخدمات الإلكترونية، مع اقتراح بعض الدول الأعضاء إدراج خدمات VPN. وهدف المفوضية المعلن لعام 2030: "lawful access to encrypted data" — الوصول المشروع إلى البيانات المشفّرة. والمضادّ البنيوي هو الطبقة التراكبية التي يتحكم فيها المستخدم (URnetwork وTor وV2Ray VLESS+Reality وShadowsocks-2022 وWireGuard) التي لا تظهر في أي سجل لمشغّلي الخدمات العامة.

إنفاذ قانون السلامة على الإنترنت البريطاني. تواصلت إجراءات إنفاذ Ofcom خلال نافذة مايو — وإن لم تكن إجراءات نافذة 20-23 مايو تحديدًا هي قصة اليوم الرئيسية. ويبقى تفاعل القانون مع المنصات المشفّرة تمامًا بين الطرفين هو السؤال البنيوي غير المحسوم.

باكستان PECA + لجنة التحقيق التنزانية. مغطّى في عمود الدول المتلقية.

والنمط العابر للسياسات: كل ولاية قضائية كبرى تراكم تنظيمًا يحمّل الوسطاء المسؤولية على السطح البنيوي نفسه الذي تجعله حزمة جانب المستخدم غير قابل للبلوغ تشفيريًا. ومعركة §702 هي النسخة الأمريكية من السؤال البنيوي نفسه.

حزمة السبت

دورات أخبار السبت موزونة بشكل مختلف. فوتيرة الترقيع ثقيلة في أيام العمل. ونشر برامج الفدية ثقيل في عطل نهاية الأسبوع — أي نافذة الاستغلال غير المتماثلة بين انتهاء وتيرة الترقيع يوم الجمعة وبدء دورة الاستجابة يوم الاثنين. والخاصية البنيوية لحزمة الأوليّات على جانب المستخدم — عملاء مفتوحون، وبرامج ثابتة مفتوحة، ومصادقة عتادية، ووسائط نقل مقاومة للرقابة، وعملات تحفظ الخصوصية، وذكاء اصطناعي بالاستدلال المحلي، وهوية اتحادية، وخدمات ذاتية الاستضافة، وشبكات متشابكة وأقمار صناعية، ومرونة تشفيرية لما بعد الكم — أنها لا تتوقف على وتيرة الترقيع في أيام العمل. فبنية خط أنابيب التدقيق تصادق على الترقيات على مقياسها الزمني الخاص.

وهذا الأسبوع، شحنت الحزمة تفعيل DAVE افتراضيًا في Discord، وTor Browser 15.0.14، وإغلاق تدقيق FCMP++ في Monero، واستمرار اعتماد BIP352 في Bitcoin، وتوسّع فيدرالية Cashu / BOLT12 / NIP-44 في Nostr. وشحن خط أنابيب الموردين ثغرة Cisco بدرجة CVSS 10.0، وثغرتي Microsoft Defender التوأمين إلى فهرس الثغرات المستغَلّة المعروفة، وExchange OWA في يومه التاسع بلا رقعة، وتسريب بيانات اعتماد CISA بنافذة صلاحية مفاتيح 48 ساعة، وGitHub TeamPCP بـ3,800 مستودع، وتفكيك Fox Tempest، ومصادرة عملية Saffron.

الطبقة المؤسسية جرت مخفقة هذا الأسبوع. وحزمة جانب المستخدم جرت شاحنة هذا الأسبوع.

خطّا الأنابيب كلاهما يجري. والبنية هي الخيار.

ونقاش إعادة تفويض §702 على مدى العشرين يومًا المقبلة سيتوقف على ما إذا كان بوسع مجلس الشيوخ أن يرى رأيًا سرّيًا واحدًا يوثّق كيف تعمل الطبقة المؤسسية للسلطة التنفيذية في الممارسة. والجواب البنيوي على ذلك السؤال — سواء كان الجواب على «هل نستطيع رؤية الحكم» نعم أم لا — هو البنية التي لا تتطلب سؤالًا. فحزمة جانب المستخدم تشحن بلا انقطاع عبر حوكمة مجتمعية مفتوحة المصدر، وتحقق مدفوع بالتدقيق، وتطوير ممول بالتبرعات. أما الطبقة المؤسسية فتشحن عبر ترقيع الموردين، والأحكام السرية، وامتياز السلطة التنفيذية.

وايدن، 19 مايو: «على كل عضو في الكونغرس أن يبقي هذا في ذهنه عند نظره في تشريع إعادة تفويض المادة 702 في الأيام المقبلة».

اليوم هو السبت 23 مايو.

و«الأسبوع المقبل» عند وايدن يحلّ الاثنين.

عشرون يومًا حتى 12 يونيو.

وسيرى مجلس الشيوخ ما تختار السلطة التنفيذية رفع السرية عنه.

وحزمة جانب المستخدم تشحن بصرف النظر عن ذلك.

URnetwork شبكة تراكبية ندّية للنقل المقاوم للرقابة. ويتيح إصدار خادم MCP الصادر في 19 فبراير 2026 للعملاء الوكلاء إنشاء جلسات VPN عبر الطبقة التراكبية الندّية، فيفصل النقل عن طبقة المشغّل. ولا تظهر URnetwork في سجل مشغّلي الخدمات العامة لدى أي من التشريعات المذكورة في هذا المقال.

https://ur.io

الرقم هو الخبر البنيوي.

يقوم بروتوكول Monero اليوم على أوليّة لإخفاء الهوية ترجع إلى 2014 تُسمّى التواقيع الحلقية. فمُوقِّع المعاملة يبني حلقة من الطُعوم، عددها حاليًا 16. وهوية المُوقِّع الفعلي غير قابلة للتمييز حسابيًا عن هوية أي عضو آخر في الحلقة. فمجموعة إخفاء الهوية هي 16. وهذا هو السقف البنيوي لخصوصية Monero في جانب المُرسِل منذ عقد.

أما بروتوكول FCMP++ — أي إثباتات العضوية على كامل السلسلة مع امتدادات — فيستبدل بالتواقيع الحلقية أوليّة تعميّة تُثبت العضوية في مجموعة UTXO الحالية بأكملها. أي نحو 150 مليون مخرج معاملة حتى كتابة هذه السطور. ومجموعة إخفاء الهوية هي، تقريبًا، كل مخرج معاملة وُجد يومًا على السلسلة وما زال غير منفَق.

ومعامل التوسّع نحو 9.4 مليون ضعف.

وهو أكبر توسيع لمجموعة إخفاء هوية قابل للتحقق علنًا شُحن يومًا إلى عملة مشفّرة حيّة ذات قيمة.

ولن يكون الأكبر إلا بعد أن يُشحن. فحتى اليوم، 22 مايو، لم يُشحن إلى الشبكة الرئيسية. أما ما حدث اليوم فهو إغلاق ثاني تدقيقين مستقلين من طرف ثالث — مهمة Trail of Bits التي استغرقت 11 يومًا (12-22 مايو) على شيفرة الدمج الإنتاجية (FCMP++ 1a/1b في monero-project/monero)، عقب تدقيق Veridise لعام 2025 لخوارزمية FCMP++ نفسها.

ودورة التدقيق تلك، بشركتين وعلى عامين، هي مسمار الخبر.

والمقال هو ما تمثّله الدورة.

خطّان

كانت تغطية هذه النشرة لأسبوع 18-22 مايو تغطيةً لخط ترقيع المورّدين على نطاق واسع.

19 مايو: نُشر تقرير Verizon للتحقيقات في خروقات البيانات لعام 2026. ولأول مرة منذ تسعة عشر عامًا، يتجاوز استغلال الثغرات بيانات الاعتماد المسروقة بوصفه نقطة الدخول الأولى للخروقات. 31 بالمئة من جميع الخروقات. وارتفع الوسيط الزمني لترقيع ثغرة حرجة من 32 يومًا في 2024 إلى 43 يومًا في 2025 — بزيادة 34 بالمئة. ولم تُعالج بالكامل بحلول 2025 سوى 26 بالمئة من البنود الحرجة في فهرس الثغرات المعروفة المستغَلة لدى CISA، نزولًا من 38 بالمئة في العام السابق. وخروقات سلسلة التوريد لدى أطراف ثالثة ارتفعت 60 بالمئة على أساس سنوي وصارت تمثّل 48 بالمئة من جميع الخروقات. وقلّص الذكاء الاصطناعي زمن تحويل الثغرة إلى سلاح من شهور إلى ساعات.

20 مايو: أضافت CISA سبع ثغرات إلى فهرس KEV. خمس من السبع كانت من 2008-2010. وأقدمها، CVE-2008-4250 — وهو تجاوز سعة مخزن مؤقت في Microsoft Windows — عمره 18 عامًا. أما الاثنتان المتبقيتان فثغرتا Microsoft Defender (CVE-2026-41091 لتصعيد الامتيازات، وCVE-2026-45498 لحجب الخدمة). أي أداة الأمن نفسها في الفهرس الاتحادي للاستغلال النشط.

19 مايو: عطّلت وحدة الجرائم الرقمية لدى Microsoft عملية Fox Tempest، وهي عملية إجرامية للتوقيع كخدمة كانت تبيع شهادات توقيع شيفرة مزوّرة منذ نحو عام. وسُحبت أكثر من 1,000 شهادة مزوّرة عند التعطيل. وكان الزبائن يدفعون من 5,000 إلى 9,000 دولار للشهادة الواحدة.

19-20 مايو: ظهر خرق GitHub TeamPCP — 3,800 مستودع داخلي سُرّبت عبر إضافة VS Code مسمومة ثبّتها موظف في GitHub. وعُرضت في سوق ابتزاز على الويب المظلم بسعر 50,000 دولار.

اليوم: ثغرة Microsoft Exchange Server رقم CVE-2026-42897 في يومها الثامن من الاستغلال النشط دون ترقيع دائم. ومهلة المعالجة للفرع التنفيذي المدني الاتحادي هي 29 مايو — أي بعد سبعة أيام من اليوم.

هذا هو خط المورّد وهو يعمل على نطاق واسع.

أما خط التدقيق وهو يعمل على نطاق واسع فيبدو مختلفًا بنيويًا.

كان خط FCMP++ في Monero مرئيًا لسنوات. فالورقة الأصلية ترجع إلى عمل مجتمعي في 2024؛ وأوراق البروتوكول الرسمية مرّت بخمس مراجعات. وأُغلق تدقيق Veridise للخوارزمية في 2025 بتقرير منشور. وافتُتح تدقيق Trail of Bits لشيفرة الدمج الإنتاجية في 12 مايو ويُغلق اليوم. شركتان مستقلتان. عامان. تغيير بروتوكولي واحد. وخط التدقيق مشروط بخلوّ التدقيق — فالتشعّب الصلب على الشبكة الرئيسية مستهدف في النصف الثاني من 2026 لكنه رهن معالجة أي نتائج تدقيقية.

الخاصية البنيوية لخط المورّد: مورّد واحد يتحكم في الإفصاح والترقيع والتوزيع والمعالجة، في مواجهة ملايين المشغّلين ذوي وتائر الترقيع المتباينة. والذيل الممتد ثمانية عشر عامًا هو الحالة المستقرة.

والخاصية البنيوية لخط التدقيق: شركات مستقلة تنشر نتائجها علنًا؛ والتغيير البروتوكولي مشروط بالمعالجة؛ وآلية التوافق تُنفّذ الشرط؛ ويستطيع المستخدم التحقق بفحص التقرير المنشور والشيفرة بعد المعالجة.

المسألة الهندسية ذاتها — التحقق من سلامة تغيير برمجي قبل شحنه إلى الاستخدام التشغيلي. ومعماريتان مختلفتان لحلّها.

ومهمة Trail of Bits التي تُغلق اليوم هي حالة واحدة من حالات خط التدقيق وهو ينفّذ تسلسله.

خط التمويل

يعتمد خط التدقيق على خط تمويل.

تُموَّل تدقيقات Monero من MAGIC Monero Fund، وهو كيان 501(c)(3) تابع لمؤسسة MAGIC Grants غير الربحية (المنظمة الأم التي تموّل أيضًا Bitcoin وأعمالًا أخرى للبرمجيات الحرة الموجّهة للخصوصية). والتبرعات تُنسَّق علنًا. وقد مُوّلت دورة تدقيق Veridise لعام 2025 عبر جولة تبرعات عامة؛ ومُوّلت مهمة Trail of Bits لعام 2026 عبر جولة أخرى. والتقارير منافع عامة تُنتَج لصالح الجميع عبر تنسيق متبرعين عالمي.

وشكل الحوكمة هذا هو ما تسمّيه هذه النشرة خط التدقيق.

فهو ليس ممولًا من مورّد. وليس ممولًا من احتكار مؤسسة بروتوكولية (فمن المشهور أن Monero بلا مؤسسة، وبلا تعدين مسبق، وبلا توزيع داخلي). بل هو منسَّق بالتبرعات عبر كيان 501(c)(3) ينشر طلبات عروض التدقيق، ويختار الشركات تنافسيًا، ويشحن المخرجات إلى العموم.

والنقد الأمين هو أن خط التبرعات هشّ من جهة الإيراد. فدورتا 2025 و2026 تُظهران نموذج تمويل مستدامًا لعامين متتاليين على احتياجات تدقيق بروتوكول واحد. ودورة 2027 هي الاختبار البنيوي لما إذا كان النموذج يتّسع. ومتبرعو الدورة الحالية يشملون مجتمع Monero العالمي عبر مساهمات صغيرة وحفنة من المتبرعين الأفراد الأكبر؛ أما متبرعو الدورة القادمة فلم يلتزموا بعد.

ونموذج التبرع أمين حوكميًا كذلك. فليس ثمة مورّد تُحمى مصالحه التجارية بتضييق نطاق التدقيق، أو حجب التقرير، أو استعجال الترقيع. فمهمة المدقّق أن ينشر النتائج. ومهمة المموّل أن ينسّق العمل ويجعل التقرير عامًا.

هذه هي البنية التمويلية لخط التدقيق.

وهي تختلف عن خط المورّد في أمر واحد دائم: لا يوجد حارس بوابة تجاري مركزي.

ما لا يستطيع التدقيق أن يخبرك به

لا يستطيع التدقيق أن يخبرك بأن Monero خاصّ تمامًا.

يوفّر FCMP++ إثباتات عضوية على كامل السلسلة تُخفي هوية المُرسِل داخل مجموعة UTXO بأكملها. وهذا تحسّن بنيوي بنحو 9.4 مليون ضعف على التوقيع الحلقي القائم ذي الـ16 طُعمًا. وهو لا يعالج كل تهديدات الخصوصية التي تواجه معاملةً ما.

والتعداد الأمين لما يستطيع التدقيق التحقق منه وما لا يستطيع:

يستطيع التدقيق التحقق من: أن البناء التعميّ للبروتوكول يطابق مواصفته الرسمية؛ وأن شيفرة الدمج الإنتاجية تطابق البروتوكول؛ وأن نظام الإثبات خالٍ من علل سلامة أو معرفة معروفة؛ وأن التنفيذ خالٍ من علل معروفة في سلامة الذاكرة أو القنوات الجانبية أو التحقق من المدخلات مما قد يقوّض خاصية الخصوصية في نماذج التهديد المعيارية.

ولا يستطيع التدقيق التحقق من: أن تحليلًا تعميًّا مستقبليًا لن يكشف ضعفًا في أوليّة ما؛ وأن التنفيذ خالٍ من العلل أمام مدخلات خصومية مجهولة؛ وأن طبقات أخرى من الحزمة (برمجيات المحفظة، وعُقد RPC، وخصوم طبقة الشبكة) لا تُسرّب بيانات وصفية تقوّض خصوصية المعاملة عمليًا؛ وأن جمهور الشبكة الرئيسية المنشور يستعمل البروتوكول استعمالًا صحيحًا.

يعالج خط التدقيق المجموعة الأولى. ولا يستطيع خط التدقيق، بمفرده، معالجة المجموعة الثانية. فأوليّات أخرى تعالج المجموعة الثانية — تصميم المحفظة، وخصوصية طبقة الشبكة (Dandelion++ وI2P وTor)، ومعمارية عُقد RPC، وأمن عمليات المستخدم. ولكل منها خط تدقيق وتطوير خاص به.

وخط التدقيق ليس بديلًا عن أي من هذه. إنه الشكل البنيوي لكيفية التحقق من تغييرات طبقة البروتوكول التعميّة قبل شحنها.

وهذا المقال عن ذلك الخط. وهو ليس ادّعاءً بأن FCMP++ خصوصية كاملة. بل هو ادّعاء بأن الخط يُنتج تغييرات بروتوكولية تعميّة قابلة للتحقق عبر حوكمة مجتمعية مفتوحة المصدر، على خطة معمارية مختلفة عن خط المورّد الذي يُنتج الذيل الممتد ثمانية عشر عامًا.

والتقييم الأمين هو أن للخطّين كليهما أنماط إخفاق. فأنماط خط التدقيق هي استدامة المتبرعين، وتوافر المدقّقين، والفجوة بين تقرير التدقيق وتفعيل الشبكة الرئيسية. وأنماط خط المورّد هي الذيل الممتد ثمانية عشر عامًا، والوسيط البالغ 43 يومًا، واختراق سلسلة التوريد.

والاختيار المعماري هو أيّ مجموعة من أنماط الإخفاق يفضّل المرء أن يعيش تحتها.

ماذا يعني هذا للمستخدم

تُغلق مهمة Trail of Bits اليوم. ولا يظهر تقرير Trail of Bits اليوم. فالممارسة المعيارية هي من أسبوعين إلى ستة أسابيع من تكرار المعالجة قبل النشر، مع تقرير نهائي يتضمن النتائج ودرجات الخطورة وردود المورّد وحالة المعالجة.

ثم: يدمج مختبر أبحاث Monero والمطورون الأساسيون أي معالجات مطلوبة. وتواصل شبكة الإجهاد بيتا (العاملة منذ 6 مايو عند الكتلة 2,997,100) اختبار الدمج. والتشعّب الصلب على الشبكة الرئيسية مستهدف في النصف الثاني من 2026 رهنًا بخلوّ التدقيق واستقرار شبكة الإجهاد.

أما بالنسبة إلى مستخدم يحتفظ بـXMR اليوم: فلا شيء يتغير اليوم. فالتوقيع الحلقي القائم ذو الـ16 طُعمًا يظل هو مجموعة إخفاء الهوية التشغيلية حتى يُفعَّل التشعّب الصلب. وبعد التفعيل، يصير إثبات FCMP++ إلزاميًا للمعاملات الجديدة، مع توسّع مجموعة إخفاء الهوية إلى مجموعة UTXO الكاملة. وستُحدَّث برمجيات المحفظة لدعم صيغة المعاملة الجديدة. أما Carrot، وهو مخطط العنونة الجديد المرفق بـFCMP++، فمصمَّم ليكون متوافقًا رجعيًا مع العناوين القائمة حتى لا يحتاج المستخدمون إلى ترحيل أموالهم.

وثمة فجوة قابلة للقياس في جانب المستخدم بين خبر اليوم (إغلاق التدقيق) والمنفعة التشغيلية (توسّع مجموعة إخفاء الهوية). والمقال لا يطوي الفجوة. بل يسمّيها بوصفها خاصية لأي تغيير بروتوكولي تعميّ.

ولخط المورّد الخاصية نفسها — فقد نشرت Microsoft ترقيع CVE-2008-4250 في أكتوبر 2008 وأضافت CISA جمهور الأنظمة غير المرقّعة إلى فهرس الاستغلال النشط يوم الأربعاء الماضي. والفجوة بين نشر المورّد والمنفعة في جانب المستخدم ثمانية عشر عامًا في بعض القطاعات التشغيلية.

أما فجوة خط التدقيق بين خبر اليوم والمنفعة في جانب المستخدم فهي عدد من الأسابيع للتقرير، زائد عدد من الأشهر لتفعيل التوافق. أي نحو ستة إلى اثني عشر شهرًا من اليوم حتى التوسّع التشغيلي لمجموعة إخفاء الهوية، بحسب المعالجة.

للخطّين فجوات. وفجوة خط التدقيق محدودة بالجدول الزمني للتدقيق والتوافق. وفجوة خط المورّد محدودة بالذيل الطويل لسلوك المشغّلين.

المقابل المعماري

يُغلق خط التدقيق اليوم على خلفية تحركات سياساتية للدول في الاتجاه المعماري المعاكس.

الولايات المتحدة — دخل قانون TAKE IT DOWN يومه الرابع من الإنفاذ اليوم (بدأ الإنفاذ في 19 مايو). وخمس عشرة منصة سُمّيت في رسائل التحذير الصادرة في 11 مايو ما زالت في وضع امتثال. وأطلقت لجنة التجارة الاتحادية بوابة الإبلاغ الاستهلاكي takeitdown.ftc.gov في 20 مايو. وواجب الإزالة خلال 48 ساعة الذي يفرضه القانون على الصور الحميمة غير الرضائية يُنشئ أوليّة إزالة تشريعية جديدة منحوتة من خط أساس الحصانة في المادة 230. ويبقى النقد الحقوقي من EFF وACLU وCDT وR Street Institute وFree Speech Center قائمًا: فواجب الإزالة أوسع من التعريف الجنائي للصور الحميمة غير الرضائية؛ والمنصات المعمّاة طرفًا إلى طرف (Signal وMatrix وBriar وThreema وTuta وProton) لا تستطيع الامتثال بنيويًا. والعدسة المعمارية هي السابقة — فأوليّة واجب الإزالة صارت متاحة تشريعيًا لتوسيع نطاق مستقبلي.

المادة 702 من قانون مراقبة الاستخبارات الأجنبية تنقضي بعد 21 يومًا — في 12 يونيو 2026. ورأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس بشأن ممارسات مكتب التحقيقات الاتحادي في الاستعلام بموجب المادة 702 ما زال مصنّفًا سريًا. ونافذة رفع السرية المعجّلة البالغة 15 يومًا التي حصل عليها السيناتور وايدن — والتي تفاوض عليها في 30 أبريل شرطًا للتمديد 45 يومًا — أُغلقت قرابة 15 مايو دون نشر. ولم ترفع وزارة العدل السرية. ولم يرفعها مدير الاستخبارات الوطنية. وصمد اعتراض السيناتور كوتون على التمرير بالموافقة الجماعية مع إرفاق بند رفع السرية. والكونغرس يعيد ترخيص المراقبة دون رؤية محكمة FISC لممارسات الاستعلام في مكتب التحقيقات الاتحادي.

الاتحاد الأوروبي — خارطة طريق "Going Dark" / ProtectEU، وهي مناورة المفوضية بعد خسارة Chat Control 2.0 في 26 نوفمبر 2025، لها هدف معلن لعام 2030 هو "lawful access to encrypted data" أي النفاذ المشروع إلى البيانات المعمّاة. ووثيقة المجلس الصادرة في نوفمبر 2025 التي حصل عليها موقع Netzpolitik اقترحت نظام احتفاظ إلزامي بالبيانات الوصفية لمدة عام على الخدمات الإلكترونية، مع اقتراح بعض الدول الأعضاء إدراج شبكات VPN. وصيف 2026 هو النافذة المتوقعة للاقتراح التشريعي. ومهلة إنفاذ قانون الذكاء الاصطناعي الأوروبي في 2 أغسطس 2026 لالتزامات الذكاء الاصطناعي عام الغرض على بُعد 72 يومًا.

المكسيك — مهلة CURP Biométrica على بُعد 39 يومًا. في 30 يونيو 2026. ويجب على نحو 127 مليون خط هاتف محمول أن تُسجَّل في CURP البيومتري (الوجه، والبصمة، وقزحية العين) بحلول ذلك التاريخ أو تواجه التعليق. وخرق NYC Health + Hospitals في 18 مايو — 1.8 مليون بصمة إصبع وكفّ في حوزة الخصم — هو نموذج التهديد.

والاتجاه المعماري في الأنظمة المقترحة والنافذة هو نحو رؤية أوسع للدولة في الاتصالات والهوية والبيانات الوصفية، مع أوليّات مجهولة أقل إتاحة.

وإغلاق تدقيق Monero حالة واحدة من الاتجاه المعماري المعاكس — أوليّات خصوصية تعميّة على طبقة البروتوكول، مشروطة بتحقق مستقل، ومشحونة عبر حوكمة مجتمعية.

والعدسة المشتركة: كلا الاتجاهين اختيار معماري. ولا أحدهما حتمي. وكلاهما له كلفة.

طبقة الدول المتلقّية

للمقابل المعماري أشدّ نشراته حدّةً في طبقة الدول المتلقّية.

إيران — اليوم 84 اليوم (مقيسًا إلى تكثيف الإغلاق المرتبط بالضربات في 28 فبراير؛ أما النظام التقييدي الأساسي فيرجع إلى بدايته في 8 يناير 2026). وطبقة "الإنترنت الأبيض" ذات الخدمات المحلية المدرجة في القائمة البيضاء ما زالت عاملة. وطبقة "Internet Pro" المخصصة للعاملين المدرجين في القائمة البيضاء والمرتبطين بالحرس الثوري وشركة الاتصالات المتنقلة مستمرة، مع أوقات انتظار موثقة تتراوح بين ثلاث وأربع ساعات لتحويل شرائح SIM في مكاتب طهران. ومنظومة VPN التجارية الطبقية للميسورين مستمرة. والكلفة الاقتصادية المقدّرة نحو 250 مليون دولار يوميًا. والخسارة التراكمية تتجاوز 5 مليارات دولار منذ البداية الأولى.

روسيا — تكليف روسكومنادزور الصادر في 15 أبريل والذي يُلزم مزودي خدمة الإنترنت بكشف استخدام VPN والإبلاغ عنه ما زال ساريًا لدى Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales وسكك الحديد الروسية. ووفق Meduza، صار 22 من أشهر 30 تطبيق أندرويد في روسيا يراقب حالة VPN على طبقة التطبيق. ويستمر الترويج لتطبيق المراسلة MAX الخاضع لسيطرة الدولة رغم ميزات المراقبة الموثقة والاستخدام الفعلي المحدود. وTelegram ما زال محجوبًا (95 بالمئة من اتصالات Telegram تفشل دون VPN)، وإن كان تحديث أبريل الذي يموّه حركة البيانات لتبدو حركة متصفح عادية قد أعاد الوصول خلال ساعات.

النيجر — اليوم 14 اليوم من تعليق المرصد الوطني للاتصال في 8-9 مايو لتسع مؤسسات إعلامية دولية: France 24 وRadio France International وAgence France Presse وTV5 Monde وJeune Afrique وMediapart وLSI Africa وTF1 Info وFrance Afrique Média. والحظر ما زال ساريًا. والنيجر ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء وفق إحصاء لجنة حماية الصحفيين في 1 ديسمبر 2025.

بوركينا فاسو — اليوم 17 من الحظر الدائم على TV5 Monde الصادر في 5 مايو. ووثّق تقرير مراسلون بلا حدود في 6 مايو احتجاز الصحفي البوركيني أتيانا سيرج أولون.

المكسيك — 39 يومًا حتى CURP Biométrica.

تنزانيا — تقرير لجنة التحقيق في عنف ما بعد انتخابات 29 أكتوبر 2025 (518 قتيلًا، منهم 502 مدني و16 من قوات الأمن و21 طفلًا) ما زال محجوبًا عن النشر العام. وX (تويتر) ما زال معلّقًا.

في كل هذه الأنظمة، تهمّ معمارية خط التدقيق لأن البديل المنشور هو انكشاف المحتوى وانكشاف الهوية. ومعمارية البروتوكولات الخاصة افتراضيًا (Tor وMonero وSignal وMatrix وGrapheneOS والشبكة التراكبية النِدّية لـURnetwork) هي المقابل التشغيلي لنظام المراقبة المنشور. والمقابل المعماري لا يصير ممكنًا فقط حين يكون النظام السياساتي مواتيًا — إنه ممكن لأن المعمارية موجودة.

وإغلاق تدقيق Monero حالة واحدة من صيانة تلك المعمارية على وتيرة البروتوكول.

نمط الخط خارج Monero

خط التدقيق ليس فريدًا في عمل البروتوكولات التعميّة. فقد بدأت مجالات أخرى تشحن أشكال حوكمة مماثلة.

إطار RAMPART (عملية تقييم المخاطر والتخفيف منها للفرق الحمراء في الذكاء الاصطناعي) من الفريق الأحمر للذكاء الاصطناعي في Microsoft فُتح مصدره في 20 مايو إلى جانب مجموعة أدوات Clarity من Microsoft. ويُرسّخ RAMPART الفلسفة القائلة إن «أمان الذكاء الاصطناعي انضباط هندسي متصل لا نقطة تفتيش دورية». والشكل مواز لخط التدقيق التعميّ: تقييم متصل، ومنهجية علنية، وقابلية استنساخ مستقلة عن المورّد. أما التنفيذ فيختلف عن التدقيق التعميّ؛ وشكل الحوكمة مماثل.

بروفايل إطار NIST لإدارة مخاطر الذكاء الاصطناعي (المنشور في 7 أبريل 2026) يبني على AI RMF 1.0 لتقنين منهجية تقييم على مستوى النموذج يستطيع المورّدون والمدقّقون المستقلون تطبيقها معًا.

CVE-2026-25592 في Microsoft Semantic Kernel — نُشرت في منتصف مايو، وهي حقن SQL في محوّل بيانات SQL أتاح تنفيذ SQL موجَّهًا بالمُوجّه. وهذه العلة هي الحالة البرهانية لمخاطر معمارية الوكلاء؛ أما الخط الذي أنتج الإفصاح فيتبع الشكل المعياري لـCVE والإفصاح المنسّق. فمعماريات الوكلاء توسّع سطح الهجوم؛ وخط الإفصاح يتبع على الأقل أنماطًا معروفة.

التزامات الذكاء الاصطناعي عام الغرض في قانون الذكاء الاصطناعي الأوروبي تدخل حيّز الإنفاذ في 2 أغسطس 2026 — أي بعد 72 يومًا. وخط إنفاذ الاتحاد الأوروبي نظير خط التدقيق لكن بقيادة المنظّم؛ وما إذا كان سيُنفَّذ فعلًا في مواجهة ادّعاءات القدرات هو اختبار الربع القادم.

والنمط المعماري — تحقق متصل وعلني ومتعدد الأطراف من ادّعاءات السلامة — يتعمّم عبر مجالات البروتوكولات التعميّة، وسلامة وكلاء الذكاء الاصطناعي، وإنفاذ المنظّمين. والتنفيذ يختلف. والشكل البنيوي مماثل.

حزمة جانب المستخدم

ما الذي يعمل في جانب المستخدم خارج خط المورّد اليوم، هذا الأسبوع:

Tor Browser 15.0.14 صدر في 19 مايو بتحديثات أمنية تبني على إصدار الطوارئ الصادر في 7 مايو.

GrapheneOS 2026050900 صدر في 9 مايو، مع معاينة البناء 2026030501 التي تدعم Pixel 6 فما فوق على Android 16 (نشرات أمان أندرويد من أبريل إلى أغسطس 2026).

CalyxOS 7.2.1.0 صدر بناء اختباري في 4 مايو، على Android 16 أيضًا.

Signal شحن تحديثات متواصلة؛ والسقّاطة المتفرقة ما بعد الكمّية (SPQR) مقترنةً بالسقّاطة المزدوجة القائمة وبـPQXDH تشكّل "Triple Ratchet" أي السقّاطة الثلاثية، وهي تحصين Signal ما بعد الكمّي. وسلسلة ربيع 2026 واصلت الشحن تدريجيًا.

مصادقة FIDO2 العتادية تجاوزت خمسة مليارات مفتاح مرور عالميًا في اليوم العالمي لمفاتيح المرور لدى تحالف FIDO، في 7 مايو. وشحنات YubiKey مدى الحياة تتجاوز 30 مليونًا.

مدفوعات Bitcoin الصامتة BIP352 تواصل الانتشار في نشرات Core 28.0 فما فوق. وBIP324 v2 لتعمية حركة الند للند مفعّلة افتراضيًا منذ Core 27.0 (وهي الآن أغلبية حركة الند للند في Bitcoin عالميًا).

Zcash Crosslink المرحلة 4 (إثبات العمل + نهائية BFT) يواصل التطوير؛ وقد دعم تبرع فيتاليك بوتيرين الثاني في 6 فبراير إلى Shielded Labs أعمال الترقية.

توحيد ترميز العروض BOLT12 في شبكة Lightning مستمر؛ واعتماد رسائل nostr الخاصة وNIP-44 وCashu مستمر عبر منظومة خصوصية Bitcoin الأوسع.

الشبكة التراكبية النِدّية لـURnetwork تشغّل طبقة النقل المقاومة للحجب؛ وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل.

بيانات الاعتماد القابلة للتحقق 2.0 من W3C (توصية منذ مايو 2025)؛ والإفصاح الانتقائي BBS+ في eIDAS 2.0 قيد الإنهاء في IETF.

Briar 1.5.17 (إصدار 12 مارس 2026) يعمل فوق البلوتوث وWi-Fi وTor بوصفه بديل طبقة الشبكة المتشابكة.

ML-KEM وML-DSA وSLH-DSA أوليّات ما بعد الكمّ — معايير سارية منذ أغسطس 2024. وانقضاء FIPS 140-2 في 21 سبتمبر 2026 (على بُعد 122 يومًا). وهدف يوم Q هو 2029.

حزمة أوليّات جانب المستخدم تعمل على معمارية خط التدقيق عبر البروتوكولات. وشكل الحوكمة نفسه — قواعد شيفرة مفتوحة، ومراجعة علنية، وتحقق متعدد الأطراف، وتطوير منسَّق بالتبرعات أو بالمجتمع — يُنتج البدائل التشغيلية لخط المورّد.

خاتمة

يُغلق اليوم تدقيق Trail of Bits لدمج FCMP++ 1a/1b في Monero.

والتقرير قادم. وخط المعالجة يبدأ. وتفعيل الشبكة الرئيسية على بُعد أشهر.

والحجة المعمارية صامدة عبر الفجوة.

وقد وثّق أسبوع 18-22 مايو في تغطية هذه النشرة إخفاق خط المورّد على كل مقياس زمني — ثمانية عشر عامًا عند الذيل (CISA KEV في 20 مايو)، وثلاثة وأربعون يومًا عند الوسيط (Verizon DBIR في 19 مايو)، وسبعة أيام حتى مهلة FCEB في الأزمة الراهنة (Exchange OWA في يومها الثامن اليوم)، ونحو عام من تشغيل التوقيع كخدمة قبل التعطيل (Microsoft Fox Tempest في 19 مايو).

ويُغلق خط التدقيق مهمة واحدة اليوم. والنمط البنيوي موثّق عبر عامين — تدقيق Veridise للخوارزمية 2025، وتدقيق Trail of Bits للدمج 2026، وتنسيق MAGIC Monero Fund بصفته كيان 501(c)(3) عبر الدورتين، وتقارير علنية، واشتراط التوافق على المعالجة، وتفعيل الشبكة الرئيسية رهن الاستقرار.

الخطّان يعملان. ولكليهما أنماط إخفاق. والاختيار المعماري بينهما.

وعمود المعمارية المنشورة في طبقة الدول المتلقّية — إيران اليوم 84، وكشف روسيا لـVPN عبر مزودي الخدمة، والنيجر اليوم 14، وبوركينا فاسو اليوم 17، والمكسيك 39 يومًا، وتقرير تنزانيا المحجوب — هو البرهان على أن الاختيار المعماري ليس تجريديًا. فأنظمة المراقبة على مستوى الدولة تُنشَر على نطاق واسع.

وحزمة أوليّات جانب المستخدم — عملاء مفتوحون، وبرمجيات ثابتة مفتوحة، ومفاتيح عتادية، ووسائل نقل مقاومة للحجب، وعملات حافظة للخصوصية، وذكاء اصطناعي بالاستدلال المحلي، وهوية اتحادية، وخدمات مستضافة ذاتيًا، وشبكات متشابكة وأقمار صناعية، ومرونة تشفيرية — تعمل اليوم على معمارية خط التدقيق.

وإغلاق تدقيق Monero حالة واحدة من تنفيذ تلك المعمارية لتسلسلها.

والقصة الأكبر هي أن المعمارية موجودة، وأن اليوم يوثّق وتيرة واحدة من صيانتها، وأن للمستخدم بديلًا مستقلًا عن النشر عن خط المورّد الذي يُنتج الذيل الممتد ثمانية عشر عامًا.

خط التدقيق يُغلق اليوم.

والمقابل المعماري يعمل باستمرار.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للحجب. وإصدار خادم MCP في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل. ولا يظهر URnetwork في سجل مشغّلي الخدمة العامة في أي من التشريعات المسمّاة في هذا المقال.

https://ur.io

لا تضيف وكالة الأمن السيبراني وأمن البنية التحتية ثغرات إلى فهرس الثغرات المعروفة المستغَلة لديها إلا بدليل جنائي على استغلال في البرية. والفهرس هو القائمة المرجعية للحكومة الاتحادية بالثغرات التي تتعرض لهجوم نشط. والتوجيه التشغيلي المُلزِم 22-01 يفرض مُهَل معالجة على وكالات الفرع التنفيذي المدني الاتحادي لكل بند. وإضافات CISA إشارات تشغيلية.

بالأمس، الأربعاء 20 مايو 2026، أضافت CISA سبع ثغرات إلى فهرس KEV.

خمس من السبع من 2008 أو 2009 أو 2010 — أي بين ستة عشر وثمانية عشر عامًا من العمر.

CVE-2008-4250 — ثغرة تجاوز سعة مخزن مؤقت في Microsoft Windows. الإفصاح الأصلي: أكتوبر 2008. عمرها ثمانية عشر عامًا.

CVE-2009-1537 — ثغرة طمس بايت فارغ في Microsoft DirectX. الإفصاح الأصلي: 2009. عمرها سبعة عشر عامًا.

CVE-2009-3459 — ثغرة تجاوز سعة مخزن مؤقت في الكومة في Adobe Acrobat وReader. الإفصاح الأصلي: 2009. عمرها سبعة عشر عامًا.

CVE-2010-0249 — ثغرة استخدام بعد التحرير في Microsoft Internet Explorer. الإفصاح الأصلي: 2010. عمرها ستة عشر عامًا.

CVE-2010-0806 — ثغرة استخدام بعد التحرير في Microsoft Internet Explorer. الإفصاح الأصلي: 2010. عمرها ستة عشر عامًا.

CVE-2026-41091 — ثغرة تصعيد امتيازات في Microsoft Defender. أُفصح عنها في 2026.

CVE-2026-45498 — ثغرة حجب خدمة في Microsoft Defender. أُفصح عنها في 2026.

تمتد الثغرات الخمس الموروثة عبر Windows وDirectX وAdobe Acrobat وInternet Explorer. وترقيعات المورّدين للخمس كلها نُشرت قبل سنوات — قبل ثمانية عشر عامًا لأقدمها. وهي ليست ثغرات جديدة. ولدى CISA دليل جنائي على أنها تُستغل استغلالًا نشطًا اليوم ضد أنظمة لم تنشر الترقيعات قط.

والتفسير بنيوي. فخط ترقيع المورّدين أنتج ذيلًا طويلًا من الأنظمة الموروثة غير المرقّعة، طويلًا بما يكفي لأن يبقى استغلال تجاوز سعة مخزن مؤقت في Windows عمره 18 عامًا استراتيجية هجوم صالحة في 2026. فالمهاجم اكتشف أي الأنظمة ما زالت هشّة، وأتمت العمل ضدها على نطاق واسع، والآن على CISA أن تضع ثغرة 2008 على القائمة الاتحادية للاستغلال النشط.

لخط الترقيع ذيل يمتد ثمانية عشر عامًا.

خمس من سبع موروثة

توزيع 5 من 7 ليس النمط المعتاد لإضافات CISA KEV. فالفهرس ينمو عادةً بثغرات حديثة — إفصاحات من الربع الجاري أو العام الجاري رُبطت جنائيًا بحملات استغلال في البرية. أما إضافة خمس ثغرات من 2008-2010 في يوم واحد فتشير إلى أن صورة الاستخبارات التهديدية لدى CISA قد تغيّرت.

ثلاثة تفسيرات ممكنة:

الأول، أن جهة تهديد مرتبطة بدولة أو مورّد برمجيات تجسس تجاري أعادت اكتشاف الثغرات الموروثة وتستعملها على نطاق واسع ضد أنظمة لم تُرقَّع قط. أي أن مخزون الهجوم الموروث قد جرى تحديثه.

الثاني، أن جماعة ابتزاز إجرامية أتمتت العمل ضد الثغرات الموروثة بغية اختراق جمهور الأنظمة غير المرقّعة — أي الكيانات التي لم تُصِن برمجياتها خمسة عشر عامًا فأكثر.

الثالث، أن الرؤية الجنائية لدى CISA اتسعت — فالوكالة حسّنت القياس عن بُعد الذي يكشف استغلال الثغرات الموروثة في الشبكات الاتحادية، وإضافات 20 مايو تعكس ما كان يحدث أصلًا لا حملة هجوم جديدة.

وأيًّا كان التفسير الصحيح، فالمقتضى التشغيلي واحد. فعلى وكالات تقنية المعلومات الاتحادية — وبالتبعية على كل مؤسسة تتابع فهرس CISA KEV ضمن امتثال إدارة الثغرات — أن تعالج الآن ثغرات تلقّت ترقيعات من مورّديها قبل أن يبلغ بعض موظفي تقنية المعلومات اليوم سنّ قيادة السيارة.

وتقرير Verizon للتحقيقات في خروقات البيانات لعام 2026، المنشور يوم الثلاثاء 19 مايو — أي قبل يومين من حدث CISA — وجد أن الوسيط الزمني لترقيع ثغرة حرجة ارتفع من 32 يومًا في 2024 إلى 43 يومًا في 2025. بزيادة 34 بالمئة. ومقياس DBIR هو الوسيط. أما إضافات CISA KEV في 20 مايو فهي الذيل: المقياس عند المئين التاسع والتسعين لمدى بطء خط الترقيع على نطاق واسع. ثمانية عشر عامًا.

Defender نفسه

الثغرتان غير الموروثتين المضافتان إلى KEV بالأمس كلتاهما خلل في Microsoft Defender: CVE-2026-41091 (تصعيد امتيازات) وCVE-2026-45498 (حجب خدمة).

وMicrosoft Defender هو منصة حماية النقاط الطرفية للمؤسسات لدى Microsoft. وهو ما تبيعه Microsoft بوصفه الحل الأمني. وهو العميل الذي يكشف البرمجيات الخبيثة، ويمنع الحركة الجانبية، ويبلّغ مراكز عمليات الأمن بالحوادث. وحين أعلنت Microsoft عن Microsoft Defender for AI Agents في 12 مايو، وضعت الشركة Defender بوصفه البنية الأمنية لعصر وكلاء الذكاء الاصطناعي — باعتراض فوري قائم على webhook، وتخطيط سياق الأصول لكل وكيل، وحماية زمن التشغيل. أما منظومة المسح الوكيلي متعددة النماذج (MDASH) لدى Microsoft، التي أُطلقت في الأسبوع نفسه، فتنسّق أكثر من 100 وكيل ذكاء اصطناعي متخصص لتحرز 88.45 بالمئة على معيار CyberGym وتجد 16 ثغرة جديدة في Windows.

وMicrosoft Defender — الأداة التي تكشف الثغرات — صار لديه الآن ثغرتان خاصتان به في الفهرس الاتحادي للاستغلال النشط.

والمفارقة الارتدادية بنيوية. فحين تكون أداة الأمن نفسها سطح ثغرات، تعتمد المعمارية على مورّد أداة الأمن لترقيع أداته. وخط الترقيع الذي وجد DBIR أنه يعمل بوسيط زمني قدره 43 يومًا هو الخط نفسه الذي يجب أن يشحن إصلاحات Defender. وستشحنها Microsoft. وستُثبَّت على معظم الأنظمة. ولن تُثبَّت على بعضها.

والذيل الممتد ثمانية عشر عامًا يسري ارتداديًا. فبعض تنصيبات Defender من 2026 ستظل، في 2044، تعمل دون ترقيع ضد CVE-2026-41091.

خلفية DBIR

تقرير Verizon للتحقيقات في خروقات البيانات هو أطول مجموعة بيانات مرجعية سنوية عمرًا في صناعة الأمن السيبراني. وقد حلّلت نسخة 2026، المنشورة يوم الثلاثاء 19 مايو، أكثر من 22,000 خرق مؤكد وأكثر من 31,000 حادث أمني عبر 145 دولة، اعتمادًا على نافذة إبلاغ تمتد من 1 نوفمبر 2024 إلى 31 أكتوبر 2025.

النتيجة الأبرز: لأول مرة في تسعة عشر عامًا من نشر DBIR، تجاوز استغلال الثغرات بيانات الاعتماد المسروقة بوصفه نقطة الدخول الأولى للخروقات. فـ31 بالمئة من جميع الخروقات في 2025 بدأت باستغلال ثغرة. وبيانات الاعتماد المسروقة — المتصدّرة السابقة تسعة عشر عامًا متتاليًا — تهبط إلى المرتبة الثانية.

نتيجة المعالجة: لم يُعالَج بالكامل بحلول 2025 سوى 26 بالمئة من البنود الحرجة في فهرس الثغرات المعروفة المستغَلة لدى CISA — نزولًا من 38 بالمئة في 2024. أي هبوط اثنتي عشرة نقطة في عام واحد. و58 بالمئة عولجت جزئيًا؛ و16 بالمئة لم تُعالَج. وارتفع الوسيط الزمني للترقيع لثغرة حرجة إلى 43 يومًا — بزيادة أربع وثلاثين بالمئة من 32 يومًا في 2024.

نتيجة سلسلة التوريد: قفزت خروقات سلسلة التوريد لدى أطراف ثالثة +60 بالمئة على أساس سنوي. وصارت تمثّل 48 بالمئة من جميع الخروقات.

نتيجة الذكاء الاصطناعي: تستفيد جهات التهديد من الذكاء الاصطناعي لتقليص الزمن بين الإفصاح والتسليح التشغيلي من شهور إلى ساعات. وارتفع استخدام الموظفين لأدوات الذكاء الاصطناعي من 15 بالمئة إلى 45 بالمئة في عام واحد. وحركة روبوتات الذكاء الاصطناعي تنمو 21 بالمئة شهريًا.

وحدث CISA KEV في 20 مايو هو البرهان التشغيلي على نتائج DBIR الثلاث جميعًا. فاستغلال الثغرات هو المدخل الأول الجديد — وعلى الفهرس أن يضيف ثغرات عمرها 18 عامًا لأن خط الترقيع عاجز عن اللحاق. والأزمة الترقيعية تمتد من اليوم (Exchange OWA، ولا ترقيع بعد في اليوم السابع من الاستغلال النشط) إلى 2008 (وما زالت تُستغل بعد ثمانية عشر عامًا من الإفصاح). وأزمة سلسلة التوريد تمتد عبر كل مورّد يشحن اعتمادية غير مرقّعة.

عشرون شهرًا دون اكتشاف

النمط الذي يُنتج الذيل الممتد ثمانية عشر عامًا مرئي في صورة تشغيلية. ففي 12 مايو 2026 — قبل تسعة أيام — غرّم مكتب مفوّض المعلومات البريطاني شركة South Staffordshire Plc وشركتها الأم South Staffordshire Water Plc ما مجموعه 963,900 جنيه إسترليني (نحو 1.3 مليون دولار) بسبب خرق فدية Cl0p لعام 2022 الذي مسّ 633,887 من عملاء وموظفي مرفق المياه المصنَّف بنية تحتية حرجة.

ونتائج المكتب المنشورة عمّا مكّن الخرق صورةٌ لإخفاق خط الترقيع على نطاق واسع:

• كان متجه الوصول الأول رسالة تصيّد؛ وفتح المتلقي مرفقًا ثبّت برمجية خبيثة
• ظلّت البرمجية الخبيثة عشرين شهرًا دون اكتشاف في بيئة تقنية المعلومات لدى الشركة
• كان 5 بالمئة فقط من بيئة تقنية المعلومات خاضعًا للمراقبة
• ظلّت برمجيات متقادمة في الاستعمال التشغيلي، ومنها Windows Server 2003 — وهو نظام تشغيل توقّف دعم Microsoft له في 2015، أي قبل أحد عشر عامًا
• كانت إدارة الثغرات غير كافية، بما في ذلك أنظمة حرجة غير مرقّعة
• صعّد المهاجم إلى امتيازات إدارية بضوابط محدودة
• نُشرت المعلومات الشخصية لـ633,887 شخصًا على الويب المظلم في أغسطس 2022

كان Windows Server 2003 يشغّل أنظمة بنية تحتية حرجة تشغيليًا في 2022. وقد كانت نهاية عمر Server 2003 في 14 يوليو 2015. والترقيعات التي كان نظام التشغيل سيحتاجها للدفاع ضد CVE-2008-4250 — إضافة KEV بالأمس — كانت متاحة في 2008. أي أن النظام كان متأخرًا عشرين عامًا عن خط الترقيع لحظة الاختراق.

هذا ما يُنتج الذيل الممتد ثمانية عشر عامًا.

وتصل الغرامة بعد أربع سنوات من الخرق. والنمط يستمر عبر عدد لا يُحصى من مشغّلي البنية التحتية الحرجة حول العالم ممن يشغّلون حزمًا موروثة غير مصانة، في مواجهة ساعة المنظّم التي تلحق بهم بعد سنوات، وساعة المهاجم التي تجدهم اليوم.

اليوم السابع من Exchange

بينما يمثّل الذيل الممتد ثمانية عشر عامًا الطرف الموروث من أزمة الترقيع، فإن الطرف الراهن من الأزمة نفسها فاعل هذا الأسبوع.

ثغرة Microsoft Exchange Server رقم CVE-2026-42897 — وهي خلل انتحال حرج في Outlook Web Access جذره برمجة نصية عابرة للمواقع، بدرجة CVSS 8.1 — أفصحت عنها Microsoft في 14 مايو. وتضمّن الإفصاح بيانًا بأن الثغرة كانت تُستغل استغلالًا نشطًا في البرية منذ اليوم الأول. وأضافتها CISA إلى فهرس الثغرات المعروفة المستغَلة في اليوم التالي، 15 مايو، بمهلة معالجة للفرع التنفيذي المدني الاتحادي في 29 مايو.

اليوم هو اليوم السابع من الاستغلال النشط. ومهلة المعالجة على بُعد 8 أيام.

وما زال لا يوجد ترقيع دائم. وقد أصدرت Microsoft تخفيفًا تلقائيًا لا ينطبق إلا على العملاء الذين يفعّلون خدمة Exchange EM. أما العملاء بلا خدمة EM فعليهم تطبيق خطوات تخفيف يدوية. وعلى عمليات تقنية المعلومات الاتحادية أن تمتثل لمهلة FCEB في 29 مايو بالتخفيف لا بالترقيع.

والنمط هو نفسه في حالة Palo Alto PAN-OS رقم CVE-2026-0300 من 9-13 مايو: فمهلة التوجيه التشغيلي المُلزِم 22-01 سبقت ترقيع المورّد. واضطرت الوكالات المدنية الاتحادية إلى التخفيف لا الترقيع. ودورة ترقيع المورّد متأخرة بنيويًا عن دورة المنظّم وعن وتيرة الهجوم.

وتنطبق هنا نتيجة Verizon DBIR بأن الذكاء الاصطناعي قلّص زمن تحويل الثغرة إلى سلاح من شهور إلى ساعات. فقد نشرت Microsoft الإفصاح عن الثغرة مع تأكيد الاستغلال النشط في اليوم نفسه. ولم تكن هناك نافذة «ترقّع أولًا». فالمهاجم يعمل على ساعة أضيق من ساعة المدافع.

نمط Anodot

نتيجة Verizon DBIR الثالثة — خروقات سلسلة التوريد مرتفعة 60 بالمئة على أساس سنوي، وصارت 48 بالمئة من جميع الخروقات — يجري البرهان عليها عبر رموز مصادقة مخترقة لمنصة تحليلات SaaS واحدة.

ففي أبريل 2026، استغلت جماعة الابتزاز ShinyHunters رموز مصادقة مخترقة لمنصة التحليلات Anodot للوصول إلى بيانات سحابية تخص عدة عملاء في اتجاه المصبّ، عبر رموز Anodot المسروقة التي منحت وصولًا إلى BigQuery. واثنان من تلك الخروقات المصبّية وقعا في مايو:

Zara — كشف 197,400 عنوان بريد إلكتروني. أفصحت Inditex، الشركة الأم لـZara، في أبريل 2026 عن أن جهة غير مصرّح لها وصلت إلى قواعد بيانات مستضافة لدى "former technology provider" أي مزوّد تقني سابق. وأكّد موقع Have I Been Pwned وجود 197,400 عنوان بريد إلكتروني فريد إلى جانب أكواد المنتجات ومعرّفات الطلبات ومعرّف السوق لتذاكر الدعم. ثم أدرجت ShinyHunters لاحقًا Zara على بوابة تسريباتها في الويب المظلم بمهلة تنتهي في 21 أبريل لتتواصل معها Inditex، ثم سرّبت أرشيفًا بحجم 140 غيغابايت حين فشلت مفاوضات الفدية.

Vimeo — 119,000 مستخدم. في 5 مايو 2026، أكّدت Vimeo أن قراصنة سرقوا معلومات شخصية من نحو 119,000 من مستخدميها في أبريل عبر تكامل Anodot نفسه. وقد نال المهاجم الوصول عبر ذلك التكامل لا باقتحام Vimeo مباشرة. وأطلقت ShinyHunters أرشيفًا بحجم 106 غيغابايت حين انهارت مفاوضات الفدية.

اختراق Anodot الواحد أنتج خروقًا مصبّية لدى عدة عملاء كبار. وهذا هو نمط سلسلة التوريد: استهداف مزوّد SaaS يمنح وصولًا جانبيًا إلى كل مستأجر في المصبّ. ونتيجة DBIR بأن خروقات سلسلة التوريد صارت 48 بالمئة من جميع الخروقات هي المنظور الكلي؛ وحادث Anodot برهان جزئي تشغيلي واحد.

واختطاف سلسلة توريد node-ipc في 14-15 مايو — عشرة ملايين تنزيل أسبوعي اختُرقت عبر اختطاف حساب من نطاق منتهي الصلاحية في بريد الاسترداد الخاص بالمُصين — برهان آخر. واستغلال سوء تهيئة pull_request_target في GitHub Actions لدى Grafana / Coinbase Cartel في 17-18 مايو برهان آخر. وخرق NYC Health + Hospitals البيومتري الذي طال 1.8 مليون شخص (أُفصح عنه في 18 مايو) عبر مورّد طرف ثالث غير مسمّى برهان آخر.

كل واحد من هذه هو نتيجة DBIR نفسها مرئيةً في صورة تشغيلية.

أربع وعشرون ساعة حتى إغلاق التدقيق

بينما يعجز خط ترقيع المورّدين المركزي عن مجاراة خط الاستغلال المعجَّل بالذكاء الاصطناعي (نتيجة DBIR) ويعجز عن معالجة ثغرات نُشرت قبل ثمانية عشر عامًا (نتيجة CISA KEV)، يصادق خط الترقية التعميّة المدفوع بالتدقيق في مجتمع المصادر المفتوحة على ترقية كبرى غدًا.

تدقيق Trail of Bits لـMonero FCMP++ في يومه الحادي عشر من نافذته البالغة 11 يومًا. والتدقيق يُغلق في 22 مايو — أي بعد أربع وعشرين ساعة من الآن.

ويستبدل FCMP++ بالتواقيع الحلقية إثباتات عضوية على كامل السلسلة. وتتوسع مجموعة إخفاء الهوية من 16 طُعمًا لكل معاملة إلى مجموعة UTXO بأكملها — أي أكثر من 150 مليون مخرج معاملة. وتدقيق نظيف يفتح الطريق أمام ترقية التوافق ويزيل آخر اعتراض تقني مهم على ادّعاءات Monero بشأن الخصوصية على مستوى البروتوكول.

والاختبار البنيوي: هل يمكن المصادقة على ترقيات تعميّة على مستوى البروتوكول عبر حوكمة مجتمعية مفتوحة المصدر مدفوعة بالتدقيق، بصرامة مماثلة لنموذج الترقيع المركزي لدى المورّد، لكن دون الوسيط البالغ 43 يومًا، ومعدّل المعالجة البالغ 26 بالمئة، والذيل الممتد 18 عامًا في خط ترقيع المورّد المركزي؟

الجواب يأتي غدًا.

وBitcoin BIP324 v2 (تعمية الند للند المفعّلة افتراضيًا منذ Core 27.0) وBIP352 للمدفوعات الصامتة (في Core 28.0 فما فوق، مع بيانات تعديل BIP376 PSBTv2 وصيغة واصفات BIP392 المضافتين في 2026) يعملان على الحوكمة المفتوحة المصدر المدفوعة بالتدقيق نفسها. وZcash Crosslink المرحلة 4 (إثبات العمل + نهائية BFT مدمجان؛ ودعم تبرع فيتاليك بوتيرين الثاني إلى Shielded Labs الترقية في 6 فبراير) يعمل عليها كذلك. وخط الترقية التعميّة المدفوع بالتدقيق مختلف بنيويًا عن خط ترقيع المورّد المركزي الذي وجد DBIR أنه يخفق.

ما كان يجري

أزمة الترقيع الاتحادية والذيل الممتد ثمانية عشر عامًا لا يوقفان طبقة الدول المتلقّية عالميًا.

إيران — اليوم 83. يدخل انقطاع الإنترنت في إيران يومه الثالث والثمانين اليوم. أي نحو 1,992 ساعة إجمالًا. وهو أطول انقطاع إنترنت مسجَّل. والكلفة الاقتصادية نحو 250 مليون دولار يوميًا وفق تحليل CBC News. والخسارة التراكمية منذ البداية في 8 يناير 2026: أكثر من 5.75 مليار دولار تقريبًا. وهبطت المبيعات الإلكترونية 80 بالمئة. وخسر المؤشر العام لبورصة طهران 450,000 نقطة خلال نافذة أربعة أيام. وطبقة شرائح SIM البيضاء «Internet Pro» المخصصة للحرس الثوري وشركة الاتصالات المتنقلة ما زالت في الإنتاج التشغيلي بأوقات انتظار تتراوح بين ثلاث وأربع ساعات في مكاتب تحويل الشرائح في طهران.

روسيا — حجب Telegram وMAX مستمران. حجبت روسيا Telegram في 17 مارس 2026. وخمس وتسعون بالمئة من اتصالات Telegram تفشل دون VPN. وتحديث Telegram في أبريل الذي يموّه حركة البيانات لتبدو حركة متصفح عادية أعاد الوصول خلال ساعات. ويواصل الكرملين الترويج لتطبيق MAX، تطبيق المراسلة «السيادي» الخاضع لسيطرة الدولة، ولديه 107 ملايين مستخدم مسجَّل لكن استخدامه الفعلي محدود بسبب ميزات المراقبة. وشهدت تطبيقات BiP التركي وKakaoTalk الكوري الجنوبي وWeChat الصيني نموًا في المستخدمين بنسبة +60 بالمئة في روسيا في مارس. وقانون كشف VPN عبر مزودي الخدمة الصادر في 15 أبريل ما زال ساريًا لدى Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales وسكك الحديد الروسية. ورسوم VPN الإضافية على المحمول المقررة في 1 مايو أُجّلت. ووفق Meduza، صار 22 من أشهر 30 تطبيق أندرويد في روسيا يراقب حالة VPN على طبقة التطبيق.

الصين — «الفصل الكبير» مستمر. الفصل المادي في أبريل لآلاف خوادم خدمات البروكسي ما زال يقيّد خيارات التحايل أمام المستخدمين الصينيين. ولا يصمد بموثوقية إلا التمويه القائم على TLS.

النيجر — اليوم 13 من حظر الإعلام الدولي. قبل ثلاثة عشر يومًا، في 8 مايو، أمر المرصد الوطني للاتصال الخاضع لسيطرة الجيش في النيجر بتعليق تسع مؤسسات إعلامية دولية: France 24 وRadio France International وAgence France Presse وTV5 Monde وJeune Afrique وMediapart وLSI Africa وTF1 Info وFrance Afrique Média. والحظر ما زال ساريًا. والنيجر ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء وفق إحصاء لجنة حماية الصحفيين في 1 ديسمبر 2025.

بوركينا فاسو — اليوم 16 من حظر TV5 Monde. وثّق تقرير مراسلون بلا حدود في 6 مايو احتجاز الصحفي البوركيني أتيانا سيرج أولون في فيلا بواغادوغو، حيث ضُرب بأغصان الشجر على مدى أسابيع.

باكستان — موجة PECA مستمرة. وثّق تقرير Freedom Network في 29 أبريل استمرار انكماش حرية الصحافة. وتتبّعت مؤسسة الصحافة الباكستانية 233 حادثة من يناير 2025 حتى أبريل 2026.

تنزانيا — تقرير لجنة التحقيق محجوب. تقرير 23 أبريل: 518 قتيلًا (502 مدني، و16 من قوات الأمن، و21 طفلًا) خلال عنف ما بعد انتخابات 29 أكتوبر 2025. والتقرير ما زال محجوبًا عن النشر العام. وX (تويتر) ما زال معلّقًا في تنزانيا.

المكسيك — 40 يومًا حتى CURP Biométrica. مهلة 30 يونيو 2026. ويجب على نحو 127 مليون خط هاتف محمول أن تُسجَّل مقابل CURP البيومتري (الوجه، والبصمة، وقزحية العين) بحلول ذلك التاريخ أو تواجه التعليق. وخرق NYC Health + Hospitals في 18 مايو — 1.8 مليون بصمة إصبع وكفّ في حوزة الخصم إلى الأبد — هو نموذج التهديد.

ثلاثة أيام في قانون TAKE IT DOWN

اليوم هو اليوم الثالث من إنفاذ لجنة التجارة الاتحادية للمادة 3 من قانون TAKE IT DOWN. ويفرض إطار الإزالة الإلزامي نافذة 48 ساعة على المنصات المشمولة بعد إشعار صحيح من الضحية، مع غرامة مدنية قدرها 53,088 دولارًا لكل مخالفة عن كل نسخة لم تُزَل. وبالأمس، 20 مايو، أطلقت اللجنة موقع takeitdown.ftc.gov بوصفه بوابة إبلاغ استهلاكي عامة. والمنصات الخمس عشرة المسمّاة في رسائل التحذير الصادرة في 11 مايو — Amazon وAlphabet وApple وAutomattic وBumble وDiscord وMatch Group وMeta وMicrosoft وPinterest وReddit وSmugMug وSnapchat وTikTok وX — تبقى خريطة أولويات اللجنة.

والنقد الحقوقي من EFF وACLU وCDT وR Street Institute وFree Speech Center ما زال قائمًا: فبند الإزالة أوسع من التعريف الجنائي للصور الحميمة غير الرضائية؛ ومهلة 48 ساعة تفرض الامتثال على حساب التحقق؛ والقانون لا يوفّر ضمانات ضد الطلبات الكيدية أو سيئة النية؛ والسخرية والصحافة والخطاب السياسي المشروعة قد تُزال خطأً؛ والمنصات المعمّاة طرفًا إلى طرف (Signal وMatrix وBriar وThreema وTuta وProton) لا تستطيع الامتثال بنيويًا. ويبقى تصريح الرئيس ترامب عند التوقيع في 19 مايو 2025 — «سأستعمل ذلك القانون لنفسي أيضًا. لا أحد يُعامَل أسوأ مني على الإنترنت» — هو المخاطرة السياسية.

اثنان وعشرون يومًا حتى انقضاء المادة 702

اليوم صار انقضاء المادة 702 من قانون FISA على بُعد اثنين وعشرين يومًا — في 12 يونيو 2026.

ورأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس 2026 بشأن ممارسات مكتب التحقيقات الاتحادي في الاستعلام بموجب المادة 702 ما زال مصنّفًا سريًا. ونافذة رفع السرية المعجّلة البالغة 15 يومًا التي حصل عليها السيناتور وايدن — والتي تفاوض عليها في 30 أبريل شرطًا للتمديد 45 يومًا — أُغلقت قرابة 15 مايو دون نشر. ولم ترفع وزارة العدل السرية. ولم يرفعها مدير الاستخبارات الوطنية. وصمد اعتراض السيناتور كوتون على التمرير بالموافقة الجماعية مع إرفاق بند رفع السرية.

ويستمر نقاش إصلاح جانب الاستعلام دون رؤية المحكمة البنيوية. ووصف تقرير The American Prospect في 11 مايو «الذكاء الاصطناعي وهو يشحن دولة المراقبة بالطاقة» — أي سلاسل تحليلية آلية في اتجاه المصبّ تُشغَّل على مجموعة بيانات المادة 702. والكونغرس يعيد ترخيص المراقبة دون رؤية محكمة FISC لممارسات الاستعلام في مكتب التحقيقات الاتحادي.

وانقضاء 12 يونيو هو الحدث القسري التالي.

عام من السجلات

بينما يدور نقاش إعادة ترخيص المادة 702 في واشنطن، يُعدّ الاتحاد الأوروبي تشريعًا يفرض نظام احتفاظ جماعي موازيًا على جانب المستخدم.

فوفق وثيقة مسرّبة من المجلس الأوروبي حصل عليها الموقع الألماني Netzpolitik في نوفمبر 2025، اتفقت أغلبية من الدول الأعضاء على معالم إطار جديد للاحتفاظ بالبيانات. وطموح الإطار المعلن: تسجيل إلزامي للبيانات الوصفية للاتصال — عناوين IP، والطوابع الزمنية، وطول الجلسة، وحجم حركة البيانات — من كل خدمة إلكترونية. ومدة الاحتفاظ الدنيا المقترحة عام واحد. وتريد بعض الدول الأعضاء أن يشمل المقترح خدمات VPN بـ"the broadest possible scope of application" أي بأوسع نطاق تطبيق ممكن. وعمليًا، سيجعل المقترح شبكات VPN التي "no-log" أي بلا سجلات غير قانونية في أراضي الاتحاد الأوروبي.

والاقتراح التشريعي متوقع في صيف 2026 ضمن مبادرة "Going Dark" / ProtectEU — وهي مناورة المفوضية الأوروبية بعد خسارة معركة Chat Control 2.0 في 26 نوفمبر 2025. أما هدف الاتحاد المعلن ضمن خارطة طريق Going Dark الأوسع فهو: "to enable law enforcement authorities to access encrypted data in a lawful manner" أي تمكين سلطات إنفاذ القانون من النفاذ إلى البيانات المعمّاة على نحو مشروع، بحلول 2030.

وقد صرّحت Mullvad VPN علنًا بأنها ستخرج من سوق الاتحاد الأوروبي بدل الاحتفاظ بالسجلات. وصرّحت رئيسة Signal مريديث ويتاكر بأن Signal ستغادر السوق الأوروبية إذا مرّ قانون يقوّض التعمية.

والمقابل المعماري لمقترح الاحتفاظ لعام واحد في الاتحاد الأوروبي هو الشبكة التراكبية التي يتحكم فيها المستخدم — الشبكة التراكبية النِدّية لـURnetwork، وTor، وV2Ray VLESS+Reality، وShadowsocks-2022، وTrojan، وWireGuard مع obfsproxy — والتي لا تظهر بوصفها مشغّل خدمة عامة في السجل. فالشبكة التراكبية التي يتحكم فيها المستخدم غير مرئية للتشريع.

حزمة أوليّات جانب المستخدم

المقابل المعماري لنتائج Verizon DBIR الثلاث، وللذيل الممتد ثمانية عشر عامًا في CISA KEV، ولثغرتَي Microsoft Defender، وللاستغلال النشط لـExchange OWA في اليوم السابع دون ترقيع، ولنمط سلسلة التوريد في Anodot، ولخرق South Staffordshire Water الذي دام عشرين شهرًا دون اكتشاف، ولانقضاء المادة 702، ولمقترح الاحتفاظ لعام في الاتحاد الأوروبي، ولإجراءات الدول المتلقّية، ولنشر سطح الوكلاء — هو حزمة أوليّات جانب المستخدم. وهي لا تعتمد على خط ترقيع المورّد المركزي الذي أنتج الذيل الممتد ثمانية عشر عامًا.

عملاء مفتوحون بمفاتيح يحتفظ بها المستخدم. Signal. Tuta. Proton. Threema. Briar 1.5.17 (إصدار 12 مارس 2026 يعمل فوق البلوتوث وWi-Fi وTor؛ ويعمل أثناء انقطاعات طبقة المشغّل لأنه لا يعتمد على طبقة المشغّل في تمرير الرسائل). Cwtch. Session. خادم Matrix المنزلي. والخاصية المعمارية: قواعد الشيفرة المفتوحة تنال تدقيقات مجتمعية أسرع مما تنال قواعد الشيفرة المغلقة الموروثة ترقيعات مورّديها على مدى ثمانية عشر عامًا. فبروتوكول Signal خضع لتمحيص علني أكثر من أحد عشر عامًا. والتعمية طرفًا إلى طرف تزيل سطح تسريب البيانات في جانب الخادم من مسارات هجوم سلسلة التوريد مثل Anodot.

برمجيات ثابتة مفتوحة على شرائح قابلة لفحص المستخدم. GrapheneOS (Pixel 6 فما فوق مع Android 16 في معاينة 2026030501، بما فيها نشرات أمان أندرويد من أبريل إلى أغسطس 2026). وبناء CalyxOS الاختباري 7.2.1.0 على Android 16 الصادر في 4 مايو 2026. و/e/OS. وLineageOS. وOpenWRT. وقد وثّق تقرير Citizen Lab المعنون "Bad Connection" في 23 أبريل حملتَي مراقبة على جانب المشغّل غير مرئيتين لأنظمة التشغيل ذات البرمجيات الثابتة المغلقة: STA1 (تخفيض Diameter إلى SS7 عبر تسع دول ذات مشغّلين أشباح) وSTA2 (SIMjacker بصفر نقرة عبر تطبيق شريحة المتصفح القديم S@T). والبرمجيات الثابتة المفتوحة تكشف سلوك الذاكرة المؤقتة وقاعدة بيانات الإشعارات لفحص المستخدم.

مصادقة FIDO2 العتادية. في 7 مايو 2026 — اليوم العالمي لمفاتيح المرور لدى تحالف FIDO — كان قد نُشر خمسة مليارات مفتاح مرور عالميًا. YubiKey. Nitrokey. SoloKey. وقد شحنت Yubico أكثر من 30 مليون مفتاح عتادي مدى الحياة. وكشف خرق NYC Health + Hospitals بصمات أصابع وأكفّ 1.8 مليون شخص — وهي معرّفات بيومترية لا يمكن إعادة إصدارها. وبيانات الاعتماد المرتبطة بالعتاد تحلّ محل البيومترية بوصفها العامل الثاني في أي سياق يقبلها.

وسائل نقل مقاومة للحجب. Tor Browser 15.0.13 و16.0a6 (إصدارا الطوارئ في 7 مايو). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard مع obfsproxy. الشبكة التراكبية النِدّية لـURnetwork. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل. أما طبقة Internet Pro في إيران، وقانون كشف VPN عبر مزودي الخدمة في روسيا الصادر في 15 أبريل (والرسوم الإضافية على المحمول المؤجّلة من 1 مايو)، و«الفصل الكبير» في الصين، ومقترح Going Dark / ProtectEU الأوروبي لصيف 2026 — فلا يسمّي أي منها الشبكة التراكبية لأنها لا تظهر بوصفها مشغّل خدمة عامة.

عملات حافظة للخصوصية على أوليّات حفظ المستخدم. Bitcoin BIP324 v2 (مفعّل افتراضيًا منذ Core 27.0؛ وأغلبية حركة الند للند في Bitcoin عالميًا صارت معمّاة). ومدفوعات Bitcoin الصامتة BIP352 (Core 28.0 فما فوق، مع BIP376 وBIP392 المضافين في 2026). وMonero FCMP++ — تدقيق Trail of Bits يُغلق غدًا، 22 مايو؛ ومجموعة إخفاء هوية من 150 مليون مخرج عند تدقيق نظيف. وZcash Crosslink المرحلة 4 (دعم تبرع فيتاليك الثاني في 6 فبراير الترقية). أما رسالة كيون رودريغيز، الشريك المؤسس لـSamourai Wallet، في 7 مايو من سجن FPC Morgantown — وهي مناشدة للحصول على مليونَي دولار لسداد ديون قانونية، بعد أن خبا أمل العفو — فهي نموذج التهديد لما يحدث حين تُجرَّم أوليّات حفظ المستخدم.

ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم. DeepSeek V4 Pro (22 أبريل، رخصة MIT، 1.6 تريليون / 49 مليار معامل نشط، سياق مليون رمز، 80.6 بالمئة على SWE-Bench Verified، و90.1 بالمئة على GPQA Diamond). DeepSeek V4 Flash (284 مليار / 13 مليار نشط). Mistral Medium 3.5 (29 أبريل، 128 مليار، 77.6 بالمئة على SWE-Bench). Qwen 3.6 Max Preview (27 أبريل، 201 لغة). GLM-5.1 (744 مليار، خليط خبراء، متصدّر المفتوح المصدر على LMArena). OpenAI Privacy Filter (22 أبريل، رخصة Apache 2.0، قابل للتشغيل في المتصفح عبر transformers.js + WebGPU). ووفق DBIR، ارتفع استخدام الموظفين لأدوات الذكاء الاصطناعي من 15 بالمئة إلى 45 بالمئة في عام واحد — ومعظم ذلك النمو في خدمات مستضافة سحابيًا. والاستدلال المحلي هو المقابل المعماري.

هوية اتحادية بالإفصاح الانتقائي. بيانات الاعتماد القابلة للتحقق 2.0 من W3C (توصية منذ مايو 2025؛ سبع مواصفات). والإفصاح الانتقائي BBS+ في eIDAS 2.0 (قيد الإنهاء في IETF). وPrivacy Pass. ومهلة CURP Biométrica المكسيكية في 30 يونيو (على بُعد 40 يومًا من اليوم، وتربط 127 مليون خط محمول بالوجه والبصمة وقزحية العين) هي نموذج التهديد. لا ترفع هويتك إلى المورّد.

خدمات مستضافة ذاتيًا. خادم Matrix المنزلي. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle المجتمعي. Open edX. والاتحاد يحدّ من نطاق انفجار أي اختراق لمورّد واحد. وكل خادم منزلي مسؤول عن وتيرة ترقيعه الخاصة — لكن الاتحاد يوزّع مخاطر سلسلة التوريد لدى أطراف ثالثة التي وجد DBIR أنها نمت 60 بالمئة على أساس سنوي. واستغلال pull_request_target لدى Grafana / Coinbase Cartel هو التذكير المعماري.

شبكات متشابكة وأقمار صناعية عند طبقة المشغّل. Briar (بلوتوث، وWi-Fi، وTor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. أما طبقة Internet Pro في إيران، وانقطاع الكهرباء عن أبراج الخرطوم في السودان، وقطع الاتصال في 21 مقاطعة روسية قبيل عيد النصر، والانقطاع الكامل للإنترنت خمسة أيام في تنزانيا الذي مكّن من وقوع أكثر من 518 قتيلًا خلال عنف ما بعد انتخابات 29 أكتوبر 2025 — فالطبقة المستقلة عن المشغّل هي المقابل البنيوي.

مرونة تشفيرية قبل انقضاء FIPS في 21 سبتمبر ويوم Q في 2029. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). معايير سارية منذ أغسطس 2024. ومتوسط دورة اعتماد FIPS 140-3 نحو 542 يومًا عند خط أساس أوائل 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS. ومهلة Google لهجرة الكمّ في 2029 والتزام Cloudflare المطابق يؤطران الأيام الـ1,228 القادمة. ونموذج تهديد «احصد الآن وفُكّ التشفير لاحقًا» (harvest now, decrypt later) فاعل اليوم. والسقّاطة المتفرقة ما بعد الكمّية (SPQR) لدى Signal، مقترنةً بالسقّاطة المزدوجة القائمة وباتفاق المفاتيح PQXDH، تشكّل "Triple Ratchet" أي السقّاطة الثلاثية — وهي تحصين Signal ما بعد الكمّي.

خاتمة

ثمانية عشر عامًا.

هذا هو عمر CVE-2008-4250. إفصاح في أكتوبر 2008. وترقيع من Microsoft نُشر في 2008. وإضافة إلى فهرس الثغرات المعروفة المستغَلة لدى CISA: بالأمس، 20 مايو 2026 — بعد ثمانية عشر عامًا.

ترقيع المورّد موجود. والمعالجة لم تحدث.

هذا هو الذيل الممتد ثمانية عشر عامًا في خط الترقيع.

خمس من سبع إضافات إلى CISA KEV بالأمس من 2008-2010. واثنتان ثغرتان في Microsoft Defender — أي أداة الأمن نفسها في الفهرس. ونتيجة Verizon DBIR قبل ثمانٍ وأربعين ساعة هي السياق الكلي: 31 بالمئة لاستغلال الثغرات بوصفه المدخل الأول، و26 بالمئة معدّل معالجة (نزولًا 12 نقطة)، و43 يومًا وسيطًا زمنيًا للترقيع (بزيادة 34 بالمئة)، و60 بالمئة قفزة في سلسلة التوريد (وصارت 48 بالمئة من جميع الخروقات)، والذكاء الاصطناعي يقلّص نوافذ الاستغلال من شهور إلى ساعات.

وحالات البرهان هذا الأسبوع تمتد من إضافات الأمس البالغة ثمانية عشر عامًا رجوعًا عبر غرامة South Staffordshire Water البالغة 963,900 جنيه إسترليني في 12 مايو (20 شهرًا دون اكتشاف، وWindows Server 2003 في الاستعمال التشغيلي، و5 بالمئة من بيئة تقنية المعلومات تحت المراقبة)، والاستغلال النشط لـExchange OWA منذ 14 مايو دون ترقيع دائم حتى اليوم السابع، واختراق سلسلة توريد node-ipc في 14-15 مايو بعشرة ملايين تنزيل، وتسريب شيفرة المصدر لدى Grafana / Coinbase Cartel عبر pull_request_target في 17-18 مايو، والخرق البيومتري لـNYC Health + Hospitals الذي طال 1.8 مليون شخص في 18 مايو، ورموز Anodot التي مكّنت من خرق Zara (197,400) وVimeo (119,000) في المصبّ في أبريل-مايو.

وتدقيق Trail of Bits لـMonero FCMP++ يُغلق بعد أربع وعشرين ساعة.

والمادة 702 تنقضي بعد اثنين وعشرين يومًا. ورأي محكمة FISC ما زال مصنّفًا سريًا.

ومهلة CURP Biométrica في المكسيك على بُعد أربعين يومًا.

وإيران في اليوم الثالث والثمانين من أطول انقطاع إنترنت مسجَّل.

ومقترح "Going Dark" الأوروبي للاحتفاظ لعام واحد يصدر في صيف 2026.

وانقضاء FIPS 140-2 على بُعد 123 يومًا.

ويوم Q على بُعد 1,228 يومًا.

وحزمة أوليّات جانب المستخدم — عملاء مفتوحون، وبرمجيات ثابتة مفتوحة، ومفاتيح عتادية، ووسائل نقل مقاومة للحجب، وعملة حافظة للخصوصية، وذكاء اصطناعي بالاستدلال المحلي، وهوية اتحادية، وخدمات مستضافة ذاتيًا، وشبكات متشابكة وأقمار صناعية، ومرونة تشفيرية — تعمل خارج خط ترقيع المورّد المركزي الذي أنتج الذيل الممتد ثمانية عشر عامًا.

ثمانية عشر عامًا هي الذيل.

والحزمة هي الجواب.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للحجب لا تظهر في سجل مشغّلي الخدمة العامة في أي من التشريعات المسمّاة أعلاه. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل.

https://ur.io

بالأمس، 19 مايو 2026، نشرت Verizon تقرير التحقيقات في خروقات البيانات لعام 2026. وDBIR هو أطول مجموعة بيانات مرجعية سنوية عمرًا وأكثرها استشهادًا في صناعة الأمن السيبراني. وقد نُشر كل عام منذ 2008. وهو يحلّل الخروقات المؤكدة والحوادث الأمنية المبلَّغة إلى فرق التحقيق لدى Verizon وإلى وكالات إنفاذ القانون الشريكة حول العالم. وتعتمد نسخة 2026 على أكثر من 22,000 خرق مؤكد وأكثر من 31,000 حادث أمني إجمالًا من نافذة إبلاغ تمتد من 1 نوفمبر 2024 إلى 31 أكتوبر 2025، عبر 145 دولة.

والنتيجة الأبرز تحوّل بنيوي. فلأول مرة في تسعة عشر عامًا من نشر DBIR، تجاوز استغلال الثغرات بيانات الاعتماد المسروقة بوصفه نقطة الدخول الأولى للخروقات. وواحد وثلاثون بالمئة من جميع الخروقات في نافذة إبلاغ 2025 بدأت باستغلال ثغرة. وبيانات الاعتماد المسروقة — المتصدّرة السابقة تسعة عشر عامًا متتاليًا — تهبط إلى المرتبة الثانية.

ولم يعد السؤال الإطاري للصناعة «ماذا كان يعرف المهاجم عن كلمة مرورك؟». بل صار السؤال الإطاري «ماذا كان يعرف المهاجم عن ترقيعاتك؟».

ثلاثة وأربعون يومًا

أزمة الترقيع هي الحقيقة المعمارية وراء التحوّل.

وفق DBIR:

• لم يُعالَج بالكامل بحلول 2025 سوى ستة وعشرين بالمئة من الثغرات المدرجة في فهرس الثغرات المعروفة المستغَلة (KEV) لدى CISA
• وفي 2024 كان الرقم المقابل ثمانية وثلاثين بالمئة
• وثمانية وخمسون بالمئة من الفهرس عولج جزئيًا؛ وستة عشر بالمئة لم يُعالَج
• وارتفع الوسيط الزمني لترقيع ثغرة حرجة من اثنين وثلاثين يومًا في 2024 إلى ثلاثة وأربعين يومًا في 2025 — بزيادة أربعة وثلاثين بالمئة

وفهرس CISA KEV هو القائمة المرجعية للحكومة الاتحادية بالثغرات المعروف أنها تُستغل استغلالًا نشطًا في البرية. وتضيف CISA إليه حين يؤكد دليل جنائي وجود استغلال في البرية. وهو، بحكم التعريف، مجموعة الثغرات ذات الأولوية القصوى. وإدراج الفهرس يفرض مهلة معالجة بموجب التوجيه التشغيلي المُلزِم 22-01 على وكالات الفرع التنفيذي المدني الاتحادي. وقد هبط معدّل المعالجة اثنتي عشرة نقطة في عام — وطال الوسيط الزمني للترقيع أحد عشر يومًا.

والسبب بنيوي. فجهات التهديد تستفيد من الذكاء الاصطناعي لتسريع الزمن بين الإفصاح العلني عن الثغرة والتسليح التشغيلي. ووفق DBIR، انضغطت نافذة تحويل الثغرة إلى سلاح من شهور إلى ساعات. فالذكاء الاصطناعي يساعد في أتمتة تطوير أدوات الاستغلال، وفي التشويش على براهين المفهوم العلنية ضد البرمجيات المنشورة، وفي توسيع الاستطلاع عبر الإنترنت. أما المدافعون فما زالوا يعملون على وتيرة الترقيع القديمة — شهرية أو ربع سنوية، مع اختبار ونشر مرحلي. ولم يعد التفاوت قابلًا للإدارة على الوتيرة القديمة.

وصياغة DBIR: «يستفيد مهاجمون من الذكاء الاصطناعي لتسريع زمن استغلال الثغرات المعروفة، مقلّصين نافذة الدفاع من شهور إلى ساعات معدودة».

ستون بالمئة

النتيجة البنيوية الثانية: قفزت خروقات سلسلة التوريد لدى أطراف ثالثة ستين بالمئة على أساس سنوي. وصارت تمثّل ثمانية وأربعين بالمئة من جميع الخروقات.

سلسلة التوريد هي المحيط الجديد.

والنمط: أنفقت المؤسسات خمسة عشر عامًا في تحصين محيطاتها الخاصة — كشف النقاط الطرفية، وتجزئة الشبكة، والهوية بلا ثقة، والمصادقة متعددة العوامل. وانتقل المهاجم إلى المنبع. فمورّد البرمجيات الطرف الثالث، ومزوّد SaaS، وخط CI/CD، والمكتبة مفتوحة المصدر، والمصنّع المتعاقد — كل هؤلاء صاروا الآن سطح الهجوم. وتحصين المحيط الخاص بالضحية لا ينفع أمام اختراق اعتمادية في المنبع صرّحت لها الضحية بالوصول إلى أنظمتها الداخلية.

وأسبوع 12-19 مايو يبرهن على النمط.

خمس حالات برهانية

الأولى: ثلاثاء الترقيع لدى Microsoft في 12 مايو. شحنت Microsoft 120 إصلاح ثغرة — عبر Windows وOffice وAzure وSharePoint وHyper-V وEdge والمنتجات المرتبطة. وصُنّفت سبع عشرة منها حرجة. وأربع عشرة من الحرجة كانت تنفيذ شيفرة عن بُعد. ولم يُفصح عن أي من الـ120 بوصفها ثغرة يوم صفر معروفة علنًا وقت الإصدار. ووصفه مراقبو الصناعة بأنه «ثلاثاء ترقيع هادئ».

الثانية: CVE-2026-42897 — Exchange OWA، 14 مايو. بعد يومين من ثلاثاء الترقيع، أفصحت Microsoft عن ثغرة حرجة في Outlook Web Access لـExchange Server — هي CVE-2026-42897 — بدرجة CVSS قدرها 8.1، مصنَّفة خلل انتحال جذره برمجة نصية عابرة للمواقع. وتصيب الثغرة Exchange Server 2016 و2019 وSubscription Edition في النشر المحلي. (أما Exchange Online فغير متأثر.) ومتجه الهجوم: رسالة مصوغة خصيصًا تُفتح في OWA، مع تحقق شروط تفاعل معينة، فتُنفّذ JavaScript اعتباطيًا في سياق المتصفح. وأكّدت Microsoft استغلالًا نشطًا في البرية منذ اليوم الأول. وفي اليوم التالي، 15 مايو، أضافت CISA الثغرة CVE-2026-42897 إلى فهرس KEV لديها. وحُدّدت مهلة المعالجة الاتحادية بموجب التوجيه التشغيلي المُلزِم 22-01 في 29 مايو.

وحتى اليوم، 20 مايو، لا يتوفر ترقيع دائم. وقد أصدرت Microsoft تخفيفًا تلقائيًا لا ينطبق إلا على العملاء الذين يفعّلون خدمة Exchange EM. أما العملاء بلا خدمة EM فعليهم تطبيق خطوات تخفيف يدوية. وعلى عمليات تقنية المعلومات الاتحادية أن تمتثل لمهلة FCEB في 29 مايو بالتخفيف لا بالترقيع. والنمط هو نفسه في حالة Palo Alto PAN-OS رقم CVE-2026-0300 من 9-13 مايو: مهلة المنظّم سابقة لترقيع المورّد. وتنطبق هنا صياغة DBIR عن «الذكاء الاصطناعي وهو يقلّص نافذة الاستغلال من شهور إلى ساعات». فدورة «إفصاح واستغلال نشط في اليوم نفسه» هي الواقع التشغيلي الجديد.

الثالثة: node-ipc، 14-15 مايو. في 14 مايو، نُشرت ثلاث نسخ خبيثة من حزمة node-ipc على npm — node-ipc@9.1.6 وnode-ipc@9.2.3 وnode-ipc@12.0.1 — إلى سجل npm. وnode-ipc مكتبة تأسيسية للاتصال بين العمليات في Node.js بـعشرة ملايين تنزيل أسبوعي — تُستعمل عبر شريحة كبيرة من تطبيقات Node.js حول العالم. والمُصين الأصلي هو براندون نوزاكي ميلر (المعروف على الإنترنت باسم RIAEvangelist).

وآلية الهجوم هي الجزء المهم. فبريد استرداد حساب npm الخاص بميلر كان مستضافًا على النطاق atlantis-software.net. وقد انتهت صلاحية ذلك النطاق في 10 يناير 2025. وبقي غير مسجَّل نحو ستة عشر شهرًا. وفي 7 مايو 2026 — أي قبل أسبوع بالضبط من رفع النسخ الخبيثة — أعاد مهاجم تسجيل النطاق المنتهي. وما إن صار النطاق تحت سيطرة المهاجم حتى أطلق إعادة تعيين كلمة مرور npm المعيارية لحساب ميلر. فوصلت رسالة إعادة التعيين إلى صندوق البريد الذي صار يسيطر عليه. والتقط المهاجم رابط إعادة التعيين، وعيّن كلمة مرور جديدة، ونال حق النشر لحزمة تُنزَّل عشرة ملايين مرة أسبوعيًا.

وسرّبت النسخ الخبيثة الثلاث تسعين فئة من بيانات اعتماد المطورين، منها بيانات اعتماد سحابية لـAmazon Web Services وGoogle Cloud وMicrosoft Azure؛ ومفاتيح SSH؛ ورموز Kubernetes؛ وتهيئات GitHub CLI؛ وإعدادات Claude AI؛ وإعدادات Kiro IDE؛ وحالة Terraform؛ وكلمات مرور قواعد البيانات؛ ومتغيرات البيئة؛ وسجل الأوامر الطرفية. وكانت البرمجية الخبيثة مبهَّمة بشدة. وجرى التسريب عبر استعلامات DNS TXT إلى sh.azurestaticprovider.net — وهو نطاق مصمَّم ليبدو بنية تحتية لـAzure.

والحقيقة المعمارية: كل مُصين مفتوح المصدر لديه نطاق منتهٍ أو مشارف على الانتهاء في سلسلة استرداد حسابه هو سطح هجوم محتمل على سلسلة التوريد. فسجل npm لا يشترط مصادقة متعددة العوامل إلزامية ولا استردادًا بمفتاح عتادي. ونتيجة Verizon DBIR بشأن «سلسلة التوريد +60%» هي تشغيليًا ما يبرهن عليه اختطاف node-ipc: المحيط الجديد هو الطرف الثالث، والطرف الثالث هو نطاق بريد الاسترداد لشخص ربما لم تسمع به قط.

الرابعة: Grafana / Coinbase Cartel، 17-18 مايو. في 15 مايو، أدرجت جماعة Coinbase Cartel الإجرامية — وهي تكتّل مرتبط بـShinyHunters وScattered Spider وLapsus$ — شركة Grafana Labs على موقع تسريباتها في الويب المظلم. وفي 17-18 مايو، أكّدت Grafana الخرق. وكان متجه الهجوم نمطًا معروف الخطورة في GitHub Actions: pull_request_target. فقد فرّع مهاجم مستودعًا عامًا لـGrafana، وحقن أمر curl خبيثًا في الشيفرة المفرَّعة، فشغّل سير العمل الهشّ pull_request_target الشيفرة المحقونة في بيئة CI الموثوقة لدى Grafana، فأفرغ متغيرات البيئة واستخرج رمز GitHub ذا امتيازات. ومكّن الرمز من تنزيل شيفرة المصدر.

وأكّدت Grafana أن شيفرة المصدر نُزّلت. ولم يُطَّلع على أي بيانات عملاء أو بيانات شخصية. ورفضت Grafana دفع الفدية. ويُتوقع تسريب شيفرة المصدر. والدرس المعماري: حتى الشركات القريبة من المصادر المفتوحة التي تنشر شيفرتها علنًا لديها مخاطر سلسلة توريد في CI عبر أسياب عمل سيئة التهيئة.

الخامسة: NYC Health + Hospitals، 18 مايو. أفصحت NYC Health + Hospitals — أكبر منظومة رعاية صحية عامة في الولايات المتحدة — عن أن جهة غير مصرّح لها وصلت إلى أنظمة مورّد طرف ثالث بين 25 نوفمبر 2025 و11 فبراير 2026، فنسخت سجلات 1.8 مليون مريض وموظف. والبيانات المكشوفة: بصمات الأصابع، وبصمات الأكفّ، والسجلات الطبية، ومعلومات الفوترة، والموقع الجغرافي الدقيق، وأرقام الضمان الاجتماعي، وأرقام جوازات السفر، ورخص القيادة.

والمشكلة البيومترية دائمة. فخلافًا لأرقام الضمان الاجتماعي أو بطاقات الائتمان أو كلمات المرور، لا يمكن إعادة إصدار بصمات الأصابع والأكفّ. والبيانات البيومترية صارت الآن في حوزة الخصم لـ1.8 مليون شخص بقية حياتهم.

والنمط: وصول عبر مورّد طرف ثالث، ومكوث عشرة أسابيع، وسبعة أشهر من الوصول الأول إلى الإفصاح العلني. ونتيجة DBIR بشأن «سلسلة التوريد +60%، والطرف الثالث 48% من الخروقات» هي بالضبط هذه الفئة من الحوادث على نطاق واسع.

وحالات البرهان الخمس — ثغرة Exchange، وnode-ipc، وGrafana، وNYC H+H، إضافةً إلى Foxconn المرحّلة — تنطبق انطباقًا نظيفًا على نتائج DBIR الثلاث. فاستغلال الثغرات هو المدخل الأول. وسلسلة التوريد هي المحيط الجديد. وأزمة الترقيع هي ما يزيد كليهما سوءًا.

يوم Q في 2029

يعالج DBIR أزمة الترقيع الراهنة. أما أزمة الترقيع الاستشرافية فهي يوم Q — أي اللحظة التي يستطيع فيها حاسوب كمّي كسر التعمية الكلاسيكية بالمفتاح العام.

في 25 مارس 2026، نشرت Google مهلة للهجرة إلى التشفير ما بعد الكمّي: 2029. والأسباب المذكورة:

• التقدم المتواصل في تطوير العتاد الكمّي (عدد الكيوبتات في شريحة Willow، وأزمنة الاتساق، وتحسينات تصحيح الأخطاء)
• تقدّم أبحاث تصحيح الأخطاء الكمّي
• تقديرات موارد التحليل الكمّي إلى عوامل — أي هجمات على غرار خوارزمية شور ضد RSA والتعمية على المنحنيات الإهليلجية — وهي «تنفد أسرع من المتوقع» قياسًا إلى التوقعات السابقة

وتبعتها Cloudflare في أبريل 2026 مطابِقةً هدف Google لعام 2029. وخارطة طريق Cloudflare المرحلية:

• منتصف 2026: مصادقة ما بعد كمّية باستعمال ML-DSA لاتصالات Cloudflare بالأصل
• منتصف 2027: مصادقة ما بعد كمّية لاتصالات الزائر بـCloudflare عبر شهادات شجرة ميركل
• أوائل 2028: ما بعد الكمّ في حزمة Cloudflare One SASE
• 2029: شبكة آمنة ما بعد كمّيًا بالكامل

ووصفت تغطية CNN في 17 مايو «أزمة أمن سيبراني» بجدول زمني يضيق من توقعات ثلاثينيات القرن إلى تقديرات 2029. واستجابت مؤسسة Ethereum في اليوم نفسه لإعلان Google (25 مارس) بإطلاق مركز موارد Ethereum ما بعد الكمّي، بهدف تأمين مليارات من قيمة الشبكة بحلول 2029 عبر التشفير ما بعد الكمّي على مستوى البروتوكول.

ومعايير NIST للتشفير ما بعد الكمّي سارية منذ أغسطس 2024:

• ML-KEM (FIPS 203) — آلية تغليف المفاتيح
• ML-DSA (FIPS 204) — خوارزمية التوقيع الرقمي
• SLH-DSA (FIPS 205) — خوارزمية التوقيع عديمة الحالة القائمة على الدوال الهاشية

وانقضاء FIPS 140-2 في 21 سبتمبر 2026 — أي 124 يومًا من اليوم. ومتوسط دورة اعتماد FIPS 140-3 نحو 542 يومًا عند خط أساس أوائل 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS.

والسقّاطة المتفرقة ما بعد الكمّية (SPQR) لدى Signal، مقترنةً بالسقّاطة المزدوجة القائمة وباتفاق المفاتيح PQXDH، تشكّل "Triple Ratchet" أي السقّاطة الثلاثية — وهي تحصين Signal ما بعد الكمّي ضد هجمات «احصد الآن، فُكّ التشفير لاحقًا» (harvest now, decrypt later). ونموذج التهديد: خصم يلتقط حركة معمّاة اليوم ويفكّها بعد يوم Q. والمقابل المعماري هو بدء الهجرة قبل الكمّ من الآن.

ونتيجة Verizon DBIR عن أزمة الترقيع الراهنة. وجدول يوم Q عن الفئة التالية من الثغرات التي يستعد لها خط الترقيع استعدادًا أقل. والضغطان يتقاربان على الاستنتاج المعماري نفسه: مرونة تشفيرية قبل الحاجة.

اليوم الثاني من إنفاذ قانون TAKE IT DOWN

بالأمس، الثلاثاء 19 مايو 2026، بدأت لجنة التجارة الاتحادية إنفاذ المادة 3 من قانون TAKE IT DOWN. ويفرض إطار الإزالة الإلزامي الاتحادي نافذة إزالة مدتها 48 ساعة على المنصات المشمولة بعد إشعار صحيح من الضحية. والغرامة المدنية لكل مخالفة 53,088 دولارًا — وهي الحد الأقصى لدى اللجنة بعد التعديل التضخمي. وتلقّت خمس عشرة منصة رسائل تذكير بالامتثال من رئيس اللجنة أندرو فيرغسون في 11 مايو: Amazon وAlphabet وApple وAutomattic وBumble وDiscord وMatch Group وMeta وMicrosoft وPinterest وReddit وSmugMug وSnapchat وTikTok وX.

واليوم، 20 مايو، أطلقت اللجنة موقع takeitdown.ftc.gov — وهو بوابة إبلاغ استهلاكي عامة يستطيع الأفراد عبرها الإبلاغ عن المنصات المشمولة التي تُخفق في إزالة محتوى محظور أو في توفير آلية لطلب الإزالة. وصار للإنفاذ الاتحادي للإزالة لوحة استقبال موحّدة.

والنقد الحقوقي ما زال قائمًا. فمؤسسة الحدود الإلكترونية، ومركز الديمقراطية والتقنية، والاتحاد الأمريكي للحريات المدنية، وR Street Institute، وFree Speech Center يواصلون القول إن مُشغّل الإزالة في المادة 3 أوسع من التعريف الجنائي للصور الحميمة غير الرضائية في المادة 2؛ وإن مهلة 48 ساعة تفرض الامتثال على حساب التحقق؛ وإنه لا حماية من الطلبات الكيدية أو سيئة النية؛ وإن السخرية والصحافة والخطاب السياسي المشروعة قد تُزال خطأً؛ وإن المنصات المعمّاة طرفًا إلى طرف (Signal وMatrix وBriar وThreema وTuta وProton) لا تستطيع الامتثال بنيويًا لأنها لا تستطيع مسح المحتوى.

ويبقى تصريح الرئيس ترامب عند التوقيع في 19 مايو 2025 — «سأستعمل ذلك القانون لنفسي أيضًا» — هو المخاطرة التشغيلية. فرئيس اللجنة معيَّن من ترامب. والسلطة التقديرية في التفسير سلطة تنفيذية أحادية.

وجاءت أول إدانة بموجب الشق الجنائي من قانون TAKE IT DOWN (المادة 2) في أبريل 2026، في قضية استهدفت تزييفًا عميقًا مولَّدًا بالذكاء الاصطناعي. أما المادة 3 — أي التزام الإزالة على المنصات — فهي ما دخل الإنفاذ بالأمس.

ثلاثة وعشرون يومًا

اليوم، 20 مايو 2026، صار انقضاء المادة 702 من قانون FISA على بُعد ثلاثة وعشرين يومًا. في 12 يونيو.

ورأي محكمة FISC الصادر في 17 مارس 2026 بشأن ممارسات مكتب التحقيقات الاتحادي في الاستعلام بموجب المادة 702 ما زال مصنّفًا سريًا. ونافذة رفع السرية المعجّلة البالغة 15 يومًا التي حصل عليها السيناتور وايدن — والتي تفاوض عليها في 30 أبريل شرطًا لتمديد المادة 702 خمسة وأربعين يومًا — أُغلقت قرابة 15 مايو دون نشر. ولم ترفع وزارة العدل السرية. ولم يرفعها مدير الاستخبارات الوطنية. وصمد اعتراض السيناتور كوتون على التمرير بالموافقة الجماعية مع بند رفع السرية.

ويستمر نقاش إصلاح جانب الاستعلام دون رؤية المحكمة البنيوية. ووصف تقرير The American Prospect في 11 مايو «الذكاء الاصطناعي وهو يشحن دولة المراقبة بالطاقة» — أي سلاسل تحليلية آلية في اتجاه المصبّ تُشغَّل على مجموعة بيانات المادة 702. والكونغرس يعيد ترخيص المراقبة دون رؤية محكمة FISC لممارسات الاستعلام في مكتب التحقيقات الاتحادي.

وانقضاء 12 يونيو هو الحدث القسري التالي.

ما كان يجري

أزمة الترقيع الاتحادية، وإنفاذ الإزالة الإلزامية الاتحادي، ونشر وكلاء الذكاء الاصطناعي على النطاق الاتحادي، لا توقف طبقة الدول المتلقّية عالميًا.

إيران — اليوم الثاني والثمانون. يدخل انقطاع الإنترنت في إيران يومه الثاني والثمانين اليوم. أي نحو 1,968 ساعة إجمالًا. وهو أطول انقطاع إنترنت مسجَّل. والكلفة الاقتصادية: نحو 250 مليون دولار يوميًا وفق تحليل CBC News. والخسارة التراكمية منذ 8 يناير 2026: أكثر من 5.7 مليار دولار تقريبًا. وهبطت المبيعات الإلكترونية ثمانين بالمئة. وخسر المؤشر العام لبورصة طهران 450,000 نقطة خلال نافذة أربعة أيام. وطبقة شرائح SIM البيضاء «Internet Pro» المخصصة للحرس الثوري وشركة الاتصالات المتنقلة ما زالت في الإنتاج التشغيلي بأوقات انتظار تتراوح بين ثلاث وأربع ساعات في مكاتب تحويل الشرائح في طهران.

روسيا — حجب Telegram مستمر. حجبت روسيا Telegram في 17 مارس 2026 — أي قبل أسبوعين من النشر المتوقع في أبريل. وخمس وتسعون بالمئة من اتصالات Telegram تفشل دون VPN. وتحديث Telegram في أبريل الذي يموّه حركة البيانات لتبدو حركة متصفح عادية أعاد الوصول خلال ساعات. ويواصل الكرملين الترويج لـMAX — تطبيق المراسلة «السيادي» الخاضع لسيطرة الدولة، ولديه 107 ملايين مستخدم مسجَّل لكن استخدامه الفعلي محدود بسبب ميزات المراقبة. وآثار الإحلال: شهدت تطبيقات BiP التركي وKakaoTalk الكوري الجنوبي وWeChat الصيني معًا نموًا في المستخدمين بنسبة +60% في روسيا في مارس 2026.

وقانون كشف VPN عبر مزودي الخدمة الصادر في 15 أبريل ما زال ساريًا لدى Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales وسكك الحديد الروسية. ورسوم VPN الإضافية على المحمول المقررة في 1 مايو أُجّلت؛ فقد طلبت شركات الاتصالات وقتًا لتهيئة أنظمة الفوترة. ووفق دراسة Meduza في 10 أبريل، صار 22 من أشهر 30 تطبيق أندرويد في روسيا يراقب ما إذا كانت VPN مفعّلة على طبقة التطبيق. وهدف روسكومنادزور المعلن لعام 2030 يبقى فاعلية حجب VPN بنسبة 92 بالمئة.

الصين — «الفصل الكبير» مستمر. الفصل المادي في أبريل 2026 لآلاف خوادم خدمات البروكسي ما زال يقيّد خيارات التحايل أمام مستخدمي الإنترنت الصينيين. ولا يصمد بموثوقية إلا التمويه القائم على TLS.

النيجر — اليوم الثاني عشر من حظر الإعلام الدولي. قبل اثني عشر يومًا، في 8 مايو، أمر المرصد الوطني للاتصال الخاضع لسيطرة الجيش في النيجر بتعليق تسع مؤسسات إعلامية دولية: France 24 وRadio France International وAgence France Presse وTV5 Monde وJeune Afrique وMediapart وLSI Africa وTF1 Info وFrance Afrique Média. والحظر ما زال ساريًا. والنيجر ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء وفق إحصاء لجنة حماية الصحفيين في 1 ديسمبر 2025.

بوركينا فاسو — اليوم الخامس عشر من حظر TV5 Monde. وثّق تقرير مراسلون بلا حدود في 6 مايو احتجاز الصحفي البوركيني أتيانا سيرج أولون في فيلا بواغادوغو، حيث ضُرب بأغصان الشجر على مدى أسابيع.

باكستان — موجة PECA مستمرة. وثّق تقرير Freedom Network في 29 أبريل استمرار انكماش حرية الصحافة. وأكّدت محكمة إسلام آباد الابتدائية الإفراج بكفالة عن الصحفيين رضوان غلزاي وعقيل حسين باغري بموجب PECA. وتتبّعت مؤسسة الصحافة الباكستانية 233 حادثة من يناير 2025 حتى أبريل 2026.

تنزانيا — تقرير لجنة التحقيق محجوب. تقرير 23 أبريل: 518 قتيلًا (502 مدني، و16 من قوات الأمن، و21 طفلًا) خلال عنف ما بعد انتخابات 29 أكتوبر 2025. ولم تنشر الحكومة التقرير الكامل علنًا. وX ما زال معلّقًا في تنزانيا.

المكسيك — واحد وأربعون يومًا حتى CURP Biométrica. مهلة 30 يونيو 2026. ويجب على نحو 127 مليون خط هاتف محمول أن تُسجَّل مقابل CURP البيومتري (الوجه، والبصمة، وقزحية العين) بحلول ذلك التاريخ أو تواجه التعليق.

بافيل دوروف. بيان النيابة العامة في باريس في 17 مايو 2026: التحقيق الفرنسي ضد مؤسس Telegram لم يُغلق. اثنتا عشرة تهمة. والرقابة القضائية ما زالت سارية. وتحقيق جهاز الأمن الفيدرالي الروسي الجنائي في فبراير 2026 بتهمة «المساعدة على الإرهاب» ما زال مفتوحًا. ملاحقة في بلدين.

سطح الوكلاء

أُتيح Microsoft Agent 365 عمومًا في 1 مايو 2026 — بـ15 دولارًا لكل مستخدم شهريًا. و«مستوى التحكم الموحّد للوكلاء» يتيح لفرق تقنية المعلومات والأمن والأعمال مراقبة وكلاء الذكاء الاصطناعي وحوكمتهم وتأمينهم عبر منصات Microsoft للذكاء الاصطناعي وشركاء المنظومة (مع مزامنة سجل في معاينة عامة إلى AWS Bedrock وGoogle Cloud).

وفي 12 مايو، أعلنت مدونة Microsoft Security عن منظومة المسح الوكيلي متعددة النماذج (MDASH) — التي تنسّق أكثر من 100 وكيل ذكاء اصطناعي متخصص — وأحرزت 88.45 بالمئة على معيار CyberGym الذي يغطي أكثر من 1,500 ثغرة واقعية. وقد وجدت الأبحاث بقيادة MDASH أصلًا 16 ثغرة جديدة عبر حزمة الشبكات والمصادقة في Windows. وصار Microsoft Defender يراقب وكلاء الذكاء الاصطناعي في الزمن الحقيقي، باعتراض قائم على webhook قبل تنفيذ الفعل، وتخطيط سياق الأصول لكل وكيل (الأجهزة، وخوادم MCP، والهويات، والموارد السحابية)، وحماية زمن التشغيل.

وبالأمس، أطلقت Google تطبيق Gemini Spark — وهو وكيل ذكاء اصطناعي شخصي سحابي يعمل على مدار الساعة بوصول دائم إلى Gmail وDocs وSheets وSlides وCanva وOpenTable وInstacart. وشاشة التهيئة المسرَّبة نصّت على أن Spark "may do things like share your info or make purchases without asking." أي أنه قد يفعل أشياء مثل مشاركة معلوماتك أو إجراء عمليات شراء دون أن يسأل. ويتاح لمشتركي Google AI Ultra (بـ100 دولار شهريًا) الأسبوع القادم.

ويواصل سطح نشر الوكلاء التوسّع عبر المؤسسات والشركات الصغيرة والمتوسطة والمستهلكين. ووفق DBIR، ارتفع استخدام الموظفين لأدوات الذكاء الاصطناعي من خمسة عشر بالمئة إلى خمسة وأربعين بالمئة في عام واحد — والخمسة وأربعون بالمئة تمثّل تدفق بيانات جديدًا ضخمًا من المؤسسات إلى مزوّدي نماذج اللغة.

يومان حتى إغلاق التدقيق

اليوم هو اليوم العاشر من تدقيق Trail of Bits لـMonero FCMP++. والتدقيق يُغلق في 22 مايو — أي بعد ثمانٍ وأربعين ساعة من الآن.

ويستبدل FCMP++ بالتواقيع الحلقية إثباتات عضوية على كامل السلسلة. وتتوسع مجموعة إخفاء الهوية من ستة عشر طُعمًا لكل معاملة إلى مجموعة UTXO بأكملها — أي أكثر من 150 مليون مخرج معاملة. وتدقيق نظيف يفتح الطريق أمام ترقية التوافق ويزيل آخر اعتراض تقني مهم على ادّعاءات Monero بشأن الخصوصية على مستوى البروتوكول.

وأهمية التدقيق تنطبق على نتيجة Verizon DBIR: خط ترقيع المورّد المركزي عاجز عن مجاراة التهديدات المعجَّلة بالذكاء الاصطناعي. والترقية التعميّة على مستوى البروتوكول في Monero هي النظير القائم على حفظ المستخدم — فخلاصة تدقيق واحدة إما تشحن ترقية الخصوصية على مستوى البروتوكول أو تؤخّرها. والمعمارية أحادية الخط على مستوى البروتوكول لكنها بحفظ المستخدم على مستوى المحفظة. ونتيجة DBIR بشأن سلسلة التوريد لدى أطراف ثالثة لا تنطبق على Monero كما تنطبق على البنية التقنية للشركات — إذ لا توجد طبقة اعتمادية على SaaS من طرف ثالث.

وBitcoin BIP324 v2 (تعمية الند للند، مفعّلة افتراضيًا منذ Core 27.0) وBIP352 للمدفوعات الصامتة (في Core 28.0 فما فوق، مع BIP376 وBIP392 المضافين في 2026) يعملان بمنطق موازٍ. وZcash Crosslink المرحلة 4 (إثبات العمل + نهائية BFT مدمجان) يعمل بمنطق موازٍ. والعملات الثلاث الحافظة للخصوصية كلها أوليّات بحفظ المستخدم لا تعتمد على خط الترقيع لدى طرف ثالث.

حزمة أوليّات جانب المستخدم

المقابل المعماري لنتائج Verizon DBIR الثلاث — استغلال الثغرات عند واحد وثلاثين بالمئة بوصفه المدخل الأول للخروقات، وخروقات سلسلة التوريد مرتفعة ستين بالمئة على أساس سنوي (وصارت 48% من الإجمالي)، والوسيط الزمني للترقيع ثلاثة وأربعون يومًا — إضافةً إلى جدول يوم Q في 2029، وإلى سطح نشر الوكلاء، وإلى إنفاذ الإزالة الإلزامية الاتحادي، وإلى إجراءات الدول المتلقّية، هو حزمة أوليّات جانب المستخدم. وهي لا تعتمد على خط ترقيع المورّد المركزي.

عملاء مفتوحون بمفاتيح يحتفظ بها المستخدم. Signal. Tuta. Proton. Threema. Briar 1.5.17 (إصدار 12 مارس 2026 يعمل فوق البلوتوث وWi-Fi وTor). Cwtch. Session. خادم Matrix المنزلي. والخاصية المعمارية: مشغّل المنصة لا يملك وصولًا إلى النص الصريح. والتعمية طرفًا إلى طرف تزيل سطح تسريب البيانات في جانب الخادم من مسار هجوم سلسلة التوريد. والمستخدم يحتفظ بالمفتاح.

برمجيات ثابتة مفتوحة على شرائح قابلة لفحص المستخدم. GrapheneOS (Pixel 6 فما فوق مع Android 16 في معاينة 2026030501، بما فيها نشرات أمان أندرويد من أبريل إلى أغسطس 2026). وبناء CalyxOS الاختباري 7.2.1.0 على Android 16 الصادر في 4 مايو 2026. و/e/OS. وLineageOS. وOpenWRT. وقد وثّق تقرير Citizen Lab المعنون "Bad Connection" في 23 أبريل حملتَي مراقبة على جانب المشغّل غير مرئيتين لأنظمة التشغيل ذات البرمجيات الثابتة المغلقة: STA1 (تخفيض Diameter إلى SS7 عبر تسع دول ذات مشغّلين أشباح) وSTA2 (SIMjacker بصفر نقرة عبر تطبيق شريحة المتصفح القديم S@T). والبرمجيات الثابتة المفتوحة تكشف سلوك الذاكرة المؤقتة وقاعدة بيانات الإشعارات لفحص المستخدم.

مصادقة FIDO2 العتادية. في 7 مايو 2026 — اليوم العالمي لمفاتيح المرور لدى تحالف FIDO — كان قد نُشر خمسة مليارات مفتاح مرور عالميًا. YubiKey. Nitrokey. SoloKey. وقد شحنت Yubico أكثر من 30 مليون مفتاح عتادي مدى الحياة. وكشف خرق NYC Health + Hospitals بصمات أصابع وأكفّ 1.8 مليون شخص — وهي معرّفات بيومترية لا يمكن إعادة إصدارها. وبيانات الاعتماد المرتبطة بالعتاد تحلّ محل البيومترية بوصفها العامل الثاني. فالعامل الثاني يعيش في جيب المستخدم، لا في قاعدة بيانات مورّد طرف ثالث.

وسائل نقل مقاومة للحجب. Tor Browser 15.0.13 و16.0a6 (إصدارا الطوارئ في 7 مايو اللذان أصلحا ثغرات حرجة في نواة Linux وTor Browser وعميل Tor). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard مع obfsproxy. الشبكة التراكبية النِدّية لـURnetwork. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل. أما طبقة Internet Pro في إيران، وقانون كشف VPN عبر مزودي الخدمة في روسيا الصادر في 15 أبريل، والرسوم الإضافية على المحمول في 1 مايو (المؤجّلة)، و«الفصل الكبير» في الصين في أبريل، ومقترح Going Dark / ProtectEU الأوروبي — فلا يسمّي أي منها الشبكة التراكبية لأنها لا تظهر بوصفها خدمة عامة أو مشغّلًا مسجَّلًا. فالشبكة التراكبية التي يتحكم فيها المستخدم غير مرئية للتشريع.

عملات حافظة للخصوصية على أوليّات حفظ المستخدم. Bitcoin BIP324 v2 (مفعّل افتراضيًا منذ Core 27.0؛ وأغلبية حركة الند للند في Bitcoin عالميًا صارت معمّاة). ومدفوعات Bitcoin الصامتة BIP352 (Core 28.0 فما فوق، مع BIP376 وBIP392 المضافين في 2026). وMonero FCMP++ في دمج نشط — تدقيق Trail of Bits يُغلق بعد 48 ساعة؛ ومجموعة إخفاء هوية من 150 مليون مخرج عند النجاح. وZcash Crosslink المرحلة 4 (دعم تبرع فيتاليك بوتيرين الثاني إلى Shielded Labs في 6 فبراير الترقية).

ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم. DeepSeek V4 Pro (22 أبريل، مرخَّص بـMIT، 1.6 تريليون / 49 مليار معامل نشط، سياق مليون رمز، 80.6 بالمئة على SWE-Bench Verified). DeepSeek V4 Flash (284 مليار / 13 مليار نشط). Mistral Medium 3.5 (29 أبريل، 128 مليار، 77.6 بالمئة على SWE-Bench). Qwen 3.6 Max Preview (27 أبريل، 201 لغة). GLM-5.1 (744 مليار، خليط خبراء، متصدّر المفتوح المصدر على LMArena). OpenAI Privacy Filter (22 أبريل، رخصة Apache 2.0، 1.5 مليار / 50 مليون نشط، قابل للتشغيل في المتصفح عبر transformers.js + WebGPU). وحيث لا سجل لدى طرف ثالث، لا يوجد ما يُستدعى قضائيًا ولا ما يعيد مزوّد الذكاء الاصطناعي السحابي توظيفه. ووفق DBIR، صار 45 بالمئة من الموظفين يستعملون أدوات الذكاء الاصطناعي — ومعظمها مستضاف سحابيًا. والاستدلال المحلي هو المقابل المعماري.

هوية اتحادية بالإفصاح الانتقائي. بيانات الاعتماد القابلة للتحقق 2.0 من W3C (توصية منذ مايو 2025؛ سبع مواصفات). والإفصاح الانتقائي BBS+ في eIDAS 2.0 (قيد الإنهاء في IETF). وPrivacy Pass. ومهلة CURP Biométrica المكسيكية في 30 يونيو — على بُعد 41 يومًا من اليوم، وتربط 127 مليون خط محمول بالوجه والبصمة وقزحية العين — هي نموذج التهديد.

خدمات مستضافة ذاتيًا. خادم Matrix المنزلي. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle المجتمعي. Open edX. والاتحاد يحدّ من نطاق انفجار سلسلة التوريد — فكل خادم منزلي مسؤول عن وتيرة ترقيعه الخاصة، لكن لا يمكن تكليفه بالتزام إزالة اتحادي يشمل الاتحاد كله. واستغلال pull_request_target لدى Grafana / Coinbase Cartel هو تذكير الأمس بأن حتى البنية القريبة من المصادر المفتوحة لديها مخاطر سلسلة توريد في CI؛ والمقابل المعماري هو مصادقة المنفّذين القائمة على OpenID Connect وبيئات CI مستضافة ذاتيًا على Forgejo أو Gitea.

شبكات متشابكة وأقمار صناعية عند طبقة المشغّل. Briar (بلوتوث، وWi-Fi، وTor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. أما طبقة Internet Pro في إيران، وانقطاع الكهرباء عن أبراج الخرطوم في السودان، وقطع الاتصال في 21 مقاطعة روسية قبيل عيد النصر، والانقطاع الكامل للإنترنت خمسة أيام في تنزانيا الذي مكّن من وقوع أكثر من 518 قتيلًا خلال عنف ما بعد انتخابات 29 أكتوبر 2025 — فالطبقة المستقلة عن المشغّل هي المقابل البنيوي.

مرونة تشفيرية قبل انقضاء FIPS في 21 سبتمبر. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). معايير سارية منذ أغسطس 2024. ومتوسط دورة اعتماد FIPS 140-3 نحو 542 يومًا عند خط أساس أوائل 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS. والسقّاطة المتفرقة ما بعد الكمّية (SPQR) لدى Signal، مقترنةً بالسقّاطة المزدوجة القائمة وباتفاق المفاتيح PQXDH، تشكّل "Triple Ratchet" أي السقّاطة الثلاثية — وهي تحصين Signal ما بعد الكمّي ضد هجمات «احصد الآن، فُكّ التشفير لاحقًا». وهدف يوم Q في 2029 هو المقابل المعماري الاستشرافي.

خاتمة

واحد وثلاثون بالمئة.

هذه حصة الخروقات في 2025 التي بدأت باستغلال ثغرة. ولأول مرة في تسعة عشر عامًا من نشر Verizon DBIR، صار استغلال الثغرات نقطة الدخول الأولى للخروقات. وأزمة الترقيع هي الحقيقة المعمارية. وارتفع الوسيط الزمني لترقيع ثغرة حرجة إلى ثلاثة وأربعين يومًا في 2025 — بزيادة أربعة وثلاثين بالمئة. وهبط معدّل المعالجة في فهرس KEV لدى CISA من ثمانية وثلاثين بالمئة إلى ستة وعشرين بالمئة. وقفزت خروقات سلسلة التوريد لدى أطراف ثالثة ستين بالمئة على أساس سنوي، وصارت تمثّل ثمانية وأربعين بالمئة من جميع الخروقات. والذكاء الاصطناعي يقلّص نافذة الاستغلال من شهور إلى ساعات.

وبرهن أسبوع 12-19 مايو على النمط. فثغرة Exchange OWA رقم CVE-2026-42897 أُفصح عنها وكانت تحت استغلال نشط خلال ثمانٍ وأربعين ساعة من ثلاثاء ترقيع «هادئ»، ولا ترقيع دائم حتى اليوم. وحزمة node-ipc على npm — بعشرة ملايين تنزيل أسبوعي — اختُطفت عبر سلسلة استرداد حساب من نطاق منتهي الصلاحية. واختراق CI لدى Grafana / Coinbase Cartel عبر pull_request_target. و1.8 مليون سجل بيومتري لدى NYC Health + Hospitals سُرّبت عبر مورّد طرف ثالث.

ودخل إنفاذ لجنة التجارة الاتحادية لقانون TAKE IT DOWN يومه الثاني اليوم مع إطلاق takeitdown.ftc.gov. والمادة 702 تنقضي بعد ثلاثة وعشرين يومًا. وإيران في اليوم الثاني والثمانين. وحجب Telegram في روسيا مستمر. وحظر النيجر لتسع مؤسسات إعلامية دولية في يومه الثاني عشر. ومهلة CURP Biométrica في المكسيك على بُعد واحد وأربعين يومًا.

وتدقيق Trail of Bits لـMonero FCMP++ يُغلق بعد ثمانٍ وأربعين ساعة. وحدّدت Google وCloudflare عام 2029 موعدًا للهجرة إلى ما بعد الكمّ. وانقضاء FIPS 140-2 على بُعد 124 يومًا.

وحزمة أوليّات جانب المستخدم — عملاء مفتوحون، وبرمجيات ثابتة مفتوحة، ومفاتيح عتادية، ووسائل نقل مقاومة للحجب، وعملة حافظة للخصوصية، وذكاء اصطناعي بالاستدلال المحلي، وهوية اتحادية، وخدمات مستضافة ذاتيًا، وشبكات متشابكة وأقمار صناعية، ومرونة تشفيرية — لا تعتمد على خط ترقيع المورّد المركزي.

واحد وثلاثون بالمئة هو التقرير. والحزمة هي الجواب.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للحجب لا تظهر في سجل مشغّلي الخدمة العامة في أي من التشريعات المسمّاة أعلاه. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل.

https://ur.io

اليوم، الثلاثاء 19 مايو 2026، تبدأ لجنة التجارة الاتحادية إنفاذ المادة 3 من قانون Tools to Address Known Exploitation by Immobilizing Technological Deepfakes on Websites and Networks Act — أي قانون TAKE IT DOWN.

وقّع الرئيس ترامب القانون في 19 مايو 2025. والشق الجنائي — المادة 2 — صار قابلًا للإنفاذ من تاريخ التوقيع. أما شق الإزالة الإلزامية الاتحادي — المادة 3، التي تحكم التزامات المنصات — فقد مُنح فترة سماح مدتها 12 شهرًا لإعطاء المنصات وقتًا لبناء أنظمة امتثال. وفترة السماح تنتهي اليوم.

ومعمارية الإزالة الإلزامية جديدة على الولايات المتحدة. واللجنة هي جهة الإنفاذ. والغرامة لكل مخالفة 53,088 دولارًا — وهي الحد الأقصى للغرامة المدنية لدى اللجنة بعد التعديل التضخمي. والغرامة تتراكم: عن كل حالة لم تُزَل، وعن كل نسخة متطابقة معروفة. فمنصة تستضيف عشر نسخ من صورة واحدة مُبلَّغ عنها تواجه عشر مخالفات.

ونافذة 48 ساعة ضيقة على نحو غير معتاد. فالمنصة المشمولة — المعرَّفة بأنها أي موقع ويب عام أو خدمة إنترنت أو تطبيق أو تطبيق محمول يوفّر أساسًا منتدى لمحتوى ينشئه المستخدمون، أو يكون مصممًا أساسًا لنشر تصويرات بصرية حميمة غير رضائية — أمامها 48 ساعة من تلقّي إشعار صحيح من الضحية لإزالة المحتوى. وعلى المنصة أيضًا أن تزيل "known identical copies" أي النسخ المتطابقة المعروفة.

والتغطية تمتد عبر فئتين من المحتوى مختلفتين بنيويًا:

• تصويرات بصرية حميمة حقيقية لشخص يمكن التعرّف عليه أثناء سلوك جنسي
• تصويرات حميمة تركيبية مولَّدة بالذكاء الاصطناعي (التزييف العميق، deepfakes) لفرد يمكن التعرّف عليه

والفئتان تُطلقان التزام الإزالة نفسه.

وفي 11 مايو 2026، أرسل رئيس لجنة التجارة الاتحادية أندرو فيرغسون رسائل تذكير بالامتثال إلى خمس عشرة منصة تقنية كبرى: Amazon، وAlphabet (Google)، وApple، وAutomattic (WordPress / Tumblr)، وBumble، وDiscord، وMatch Group (Tinder / Hinge)، وMeta (Facebook / Instagram / WhatsApp / Threads)، وMicrosoft (LinkedIn / Xbox)، وPinterest، وReddit، وSmugMug (Flickr)، وSnapchat، وTikTok، وX. وقد فصّلت الرسائل المتطلبات وبنية الغرامات، وذكّرت المتلقين بأن اليوم هو يوم بدء الإنفاذ.

وقائمة الخمس عشرة هي خريطة أولويات اللجنة. فالمنصات تمتد عبر مستضيفي المحتوى الذي ينشئه المستخدمون على نطاق واسع (Meta وX وTikTok وReddit)، ومنصات المواعدة (Bumble وMatch Group)، ومنصات النشر (Automattic وPinterest وSmugMug)، ومنصات المنصات (Apple وMicrosoft وAlphabet وAmazon وDiscord وSnapchat). واللافت غيابه عن القائمة — رغم شموله تقنيًا — Mastodon وPixelfed وأرشيف الإنترنت وويكيبيديا وGitHub وشبكة خوادم Matrix المنزلية الاتحادية.

واليوم هو اليوم الذي تنطلق فيه ساعة الإزالة الإلزامية الاتحادية.

ثلاثة وخمسون ألف دولار

الغرامة المدنية 53,088 دولارًا لكل مخالفة.

وهذا هو الحد الأقصى بعد التعديل التضخمي بموجب Federal Civil Penalties Inflation Adjustment Act Improvements Act — أي قانون تحسينات تعديل الغرامات المدنية الاتحادية وفق التضخم. وهو ينطبق عبر معظم السياقات التنظيمية للجنة التجارة الاتحادية. أما في قانون TAKE IT DOWN فهو يتراكم: عن كل نسخة لم تُزَل، وعن كل نسخة متطابقة معروفة.

والحساب بنيوي. فمنصة تستضيف صورة واحدة تبقى منشورة بعد مهلة 48 ساعة تواجه مخالفة واحدة: 53,088 دولارًا. والصورة نفسها، مستضافة في عشرة مواضع على المنصة نفسها: عشر مخالفات: 530,880 دولارًا. والمنصة ذات إزالة التكرار الضعيفة: كل نسخة يُحتمل أن تكون مخالفة قائمة بذاتها.

وقد صُمّمت الغرامة لتكون غير قابلة للتجاهل لدى المنصات الكبيرة. وسقفها المعدَّل تضخميًا يعني أن اللجنة تستطيع تكديس المخالفات: فـMeta التي تستضيف 1,000 صورة مُبلَّغ عنها تبقى منشورة بعد الإشعار تواجه 53,088,000 دولار من المسؤولية المدنية المحتملة — قبل احتساب "known identical copies" أي النسخ المتطابقة المعروفة.

والمخاطرة البنيوية تكمن في مكان آخر: في اللاتناظر بين المنصات الكبيرة والصغيرة. فـMeta وAlphabet لديهما ميزانيات امتثال. أما Automattic وSmugMug وBumble وشبكة خوادم Matrix المنزلية الاتحادية فلا. وبالنسبة إلى منصة صغيرة أو اتحادية، قد يكون تكديس حفنة مخالفات وجوديًا. ومهلة 48 ساعة تفرض الامتثال على حساب التحقيق. وكان توقّع مؤسسة الحدود الإلكترونية في فبراير 2025 أن المنصات الصغيرة إما ستفرط في الإزالة وإما ستغلق عملياتها في الولايات المتحدة. واليوم هو اليوم الذي يصير فيه التوقّع تشغيليًا.

المنصات الخمس عشرة

متلقو رسائل التحذير الخمس عشرة من لجنة التجارة الاتحادية هم المنصات التي ترى الوكالة أنها الأرجح لمواجهة الموجة الأولى من إشعارات الضحايا. والاختيار يعكس ثلاث فئات:

مستضيفو المحتوى الذي ينشئه المستخدمون على نطاق واسع. Meta (Facebook وInstagram وWhatsApp وThreads)، وX (تويتر سابقًا)، وTikTok، وReddit. وهذه هي المنصات التي تنتشر فيها مشاركة الصور الحميمة والمحتوى التركيبي المولَّد بالذكاء الاصطناعي على نطاق واسع. وميزانية الامتثال موجودة. والتزام مهلة 48 ساعة قابل للتنفيذ تشغيليًا.

منصات المواعدة. Bumble، وMatch Group (Tinder وHinge وMatch.com وOkCupid وPlentyOfFish). والمخاطرة الخاصة بهذه المنصات هي مشاركة الصور داخل قناة ذات سياق عاطفي تكون فيها ديناميات الرضا مركزية. وإدراج اللجنة لمنصات المواعدة يقرّ بالمخاطرة البنيوية المتمثلة في أن الصور الحميمة المتبادَلة في سياق مواعدة قد يُعاد توزيعها خارجه.

منصات النشر ومنصات المبدعين. Automattic (WordPress وTumblr)، وPinterest، وSmugMug (Flickr). وهذه منصات يلتقي فيها توزيع الصور على نطاق واسع بالسلطة التحريرية التقديرية. والتزام TIDA يجري إلى جانب أي إطار قائم لمعايير المجتمع تحافظ عليه المنصات.

منصات المنصات. Apple، وMicrosoft، وAlphabet، وAmazon، وDiscord، وSnapchat. فـApple تشغّل App Store وiCloud. وMicrosoft تشغّل LinkedIn وXbox. وAlphabet تشغّل Google Photos وYouTube وDrive. وAmazon تشغّل بنية الاستضافة AWS. وDiscord تشغّل الخوادم. وSnapchat تشغّل المراسلة المباشرة إضافةً إلى Stories العامة. وكل طبقة من هذه الطبقات تقدّم سطحًا مختلفًا لالتزام TIDA.

واللافت غيابه عن خريطة أولويات اللجنة:

• Mastodon والفديفيرس الأوسع. فالطبيعة الاتحادية لـMastodon تعني أن كل نسخة من الشبكة هي تقنيًا منصة مشمولة. ولم تتعامل اللجنة بعد مع الاتحاد على نطاق واسع.
• أرشيف الإنترنت وويكيبيديا وGitHub. كل منها مشمول تقنيًا. ولم تسمِّها اللجنة.
• طبقة المراسلة المعمّاة. Signal، وMatrix، وThreema، وBriar، وSession، وWire. والتنافر البنيوي مع TIDA مبيَّن أدناه.

والغياب هو الإشارة الضمنية: اللجنة تبدأ بالمنصات المركزية حيث يكون الإنفاذ قابلًا للتنفيذ تشغيليًا. أما الاتحاد واللامركزية والتعمية طرفًا إلى طرف فهي السطح المعماري الذي لم تتناوله اللجنة بعد.

حجة الحريات المدنية

قضت مؤسسة الحدود الإلكترونية، ومركز الديمقراطية والتقنية، والاتحاد الأمريكي للحريات المدنية، وR Street Institute، وFree Speech Center، وعدة منظمات أخرى للحريات المدنية وحرية التعبير، العام الفاصل بين توقيع القانون وإنفاذه اليوم في معارضته استنادًا إلى التعديل الأول وإلى الإجراءات القانونية الواجبة.

والحجة الجوهرية بنيوية. فالمادة 2 من قانون TAKE IT DOWN — أي الشق الجنائي — تعرّف الصور الحميمة غير الرضائية (NCII) تعريفًا ضيقًا وصريحًا. أما المادة 3 — أي شق الإزالة على المنصات — فتعرّف المُشغِّل تعريفًا أوسع: "intimate visual depictions" أي التصويرات البصرية الحميمة، دون الشروط الأضيق التي تحكم المسؤولية الجنائية. والنتيجة أن إشعار ضحية قد يُطلق التزام إزالة خلال 48 ساعة لمحتوى ليس في الواقع صورًا حميمة غير رضائية مجرَّمة — بل قد يكون خطابًا مشروعًا يراه مقدّم الطلب مسيئًا له شخصيًا.

واعتراضات مؤسسة الحدود الإلكترونية المحددة:

بند الإزالة مفرط في الاتساع. فتفويض الإزالة ينطبق على فئة من المحتوى أوسع كثيرًا من تعريف الصور الحميمة غير الرضائية في الشق الجنائي. ويستطيع الفاعلون سيئو النية استعمال التعريف الفضفاض في القانون لإزالة خطاب مشروع ليس صورًا حميمة غير رضائية وقد لا يتضمن محتوى جنسيًا أصلًا.

لا حماية من الطلبات الكيدية. فالقانون لا يتضمن أي ضمانات ضد طلبات الإزالة الكيدية أو سيئة النية. ولا عقوبة على الإشعارات الكاذبة. ولا اشتراط بأن يثبت مقدّم الطلب أي علاقة بعينها بالمحتوى. ولا آلية استئناف بإجراءات قانونية واجبة لمقدّم المحتوى.

الخطاب المشروع في خطر. فالسخرية، والصحافة، والخطاب السياسي، والتصوير الصحفي للشخصيات العامة، والمحاكاة الساخرة، والتعليق — كلها يُحتمل أن يشملها التعريف الفضفاض في القانون. ومهلة 48 ساعة لا تعطي المنصة وقتًا للتحقيق.

الجدول الزمني الضيق يفرض الإفراط في الامتثال. فثمانٍ وأربعون ساعة مدة قصيرة على نحو غير معتاد. ولا تستطيع المنصة أن تتحقق من الطلب على نحو معقول، ولا أن تحدد هوية مقدّمه، ولا أن تقدّر ما إذا كان المحتوى هو ما يزعمه. والضغط البنيوي يدفع نحو الإفراط في الإزالة.

المنصات المعمّاة طرفًا إلى طرف لا تستطيع الامتثال. فـSignal، وMatrix، وBriar، وThreema، وSession، وغيرها من تطبيقات المراسلة المعمّاة طرفًا إلى طرف، لا تستطيع مسح المحتوى. وليس لديها أي وعي على جانب الخادم بما يرسله المستخدم أو يتلقاه. والقانون لا يوفّر أي استثناء للمنصات المعمّاة طرفًا إلى طرف. والنتيجة: إما أن تواجه طبقة المراسلة المعمّاة مسؤولية عدم امتثال بنيوية، وإما أن يستبعدها نطاق القانون فعليًا — وأيّهما يقع يتوقف على السلطة التقديرية للجنة في التفسير.

نية ترامب المعلنة. فحين وقّع الرئيس ترامب القانون في 19 مايو 2025، قال في تصريحات: «سأستعمل ذلك القانون لنفسي أيضًا. لا أحد يُعامَل على الإنترنت أسوأ مما أُعامَل». وقد استشهد Free Speech Center ومؤسسة الحدود الإلكترونية ومركز الديمقراطية والتقنية بالتصريح دليلًا على أن القانون قد يُسلَّح ضد خطاب نقدي مشروع من قِبل فاعلين أقوياء. ورئيس اللجنة اليوم — أندرو فيرغسون — معيَّن من ترامب. والسلطة التقديرية في التفسير سلطة تنفيذية أحادية.

وليس النقد الحقوقي أن إيذاء ضحايا الصور الحميمة غير الرضائية ليس ضررًا حقيقيًا وجسيمًا. فالدراسات تجد بانتظام أن هذه الصور تصيب نحو واحدة من كل ثماني نساء ونحو واحد من كل أربعة بالغين من مجتمع LGBTQ+. والنهج المستهدَف في الشق الجنائي هو ما تدعمه منظمات الحريات المدنية. أما الاعتراض فعلى التصميم البنيوي للمادة 3 — أي شق الإزالة على المنصات — الذي يقولون إنه معايَر على نطاق أوسع مما تعالجه الصور الحميمة غير الرضائية، بلا ضمانات ضد التسليح، وعلى مهلة بالغة الضيق، وبلا استثناء للتعمية طرفًا إلى طرف.

وجاءت أول إدانة بموجب قانون TAKE IT DOWN في أبريل 2026 — في قضية استهدفت تزييفًا عميقًا مولَّدًا بالذكاء الاصطناعي. والشق الجنائي كان قابلًا للإنفاذ من تاريخ التوقيع. أما شق الإزالة على المنصات فهو ما يصير قابلًا للإنفاذ اليوم.

استثناء التعمية الذي ليس استثناءً

Signal، وMatrix، وBriar، وThreema، وSession، وWire، وCwtch، وTuta، وProton — أي طبقة المراسلة والبريد المعمّاة طرفًا إلى طرف — مشمولة تقنيًا بتعريف "covered platform" أي المنصة المشمولة في قانون TAKE IT DOWN. والتزام الإزالة خلال 48 ساعة ينطبق. والغرامة البالغة 53,088 دولارًا لكل مخالفة تنطبق.

وهذه المنصات لا تستطيع الامتثال بنيويًا.

فالتعمية طرفًا إلى طرف تعني أن مشغّل المنصة لا يملك أي وعي بما يرسله المستخدم أو يتلقاه. فالمحتوى يُعمّى قبل مغادرته جهاز المرسل ولا يُفكّ إلا على جهاز المتلقي. والمنصة — مؤسسة Signal، ومؤسسة Matrix، ومشروع Briar، وThreema GmbH — لا تشغّل سوى بنية توجيه الرسائل. ولا تملك مفتاحًا. ولا تملك وصولًا إلى النص الصريح. ولا تستطيع المسح. ولا تستطيع أن تحدد ما هو حميم، وما هو تركيبي، وما يمكن التعرّف على صاحبه.

والتزام المادة 3 من TIDA يقتضي وعيًا بالمحتوى على جانب الخادم — فعلى المنصة أن تزيل المحتوى، وأن تحدد "known identical copies" أي النسخ المتطابقة المعروفة، وأن تستجيب خلال 48 ساعة. وكل خطوة من هذه الخطوات تقتضي أن تعرف المنصة ما هو المحتوى. وهذا مستحيل بنيويًا على منصة معمّاة طرفًا إلى طرف.

وقد نبّهت مؤسسة الحدود الإلكترونية إلى هذا التنافر في فبراير 2025 حين أقرّ مجلس الشيوخ مشروع القانون، ثم مجددًا في أبريل 2025 حين أقرّه مجلس النواب، ثم مجددًا في مايو 2025 حين وقّعه الرئيس. والجواب البنيوي الذي توقّعته المؤسسة لم يتغيّر: إما أن تواجه طبقة المراسلة المعمّاة طرفًا إلى طرف مسؤولية عدم امتثال بنيوية تجبرها فعليًا إما على إضعاف التعمية وإما على الخروج من العمليات الأمريكية؛ وإما أن تمتنع اللجنة عن إنفاذ التزام 48 ساعة على المنصات المعمّاة طرفًا إلى طرف؛ وإما أن يعدّل الكونغرس القانون.

وأول اختيار تفسيري على اللجنة أن تتخذه هو ما إذا كانت المنصات المعمّاة طرفًا إلى طرف مشمولة لأغراض الإنفاذ. ولم تفصح الوكالة علنًا عن موقفها. وقد صرّحت ميرديث ويتاكر، رئيسة Signal، من قبلُ، في سياق لائحة Chat Control الموازية في الاتحاد الأوروبي، بأن Signal ستنسحب من أي سوق يفرض مسح المحتوى بدلًا من أن تضعف تعميتها.

وطبقة التعمية طرفًا إلى طرف هي الطبقة التأسيسية في حزمة أوليّات جانب المستخدم. والخاصية المعمارية هي أن المستخدم يحتفظ بالمفاتيح. والمنصة ليس لديها سطح إنفاذ. واليوم هو اليوم الذي تلتقي فيه هذه الخاصية بنظام إزالة إلزامية اتحادي لا يعترف بها.

اللاتناظر: التوليد مقابل الإزالة

يعالج قانون TAKE IT DOWN الإزالة. وساعة الإنفاذ الاتحادي تنطلق اليوم. أما جانب التوليد — أي أدوات الذكاء الاصطناعي التي تنتج التصويرات الحميمة التركيبية التي يستهدفها القانون — فلا تحكمه سوى معايير طوعية لمصدرية المحتوى.

وائتلاف مصدرية المحتوى وأصالته — C2PA — هو المعيار التقني الأساسي. وC2PA يضمّن بيانات مصدرية قابلة للتحقق داخل المحتوى الرقمي: من أنشأه، ومتى، وبأي أدوات، وهل شارك الذكاء الاصطناعي، وكل تعديل ذي معنى. وتدعم المعيارَ Adobe وMicrosoft وGoogle وMeta وOpenAI. وDALL-E 3 يدعمه. وAI Image Creator في Microsoft Paint يضيف بيانات مصدرية اختيارية. وSeedance 2.0 من ByteDance يُشحن بعلامات مائية C2PA مدمجة.

وC2PA لا يكشف التزييف العميق. بل يسجّل المصدرية. فالتزييف العميق الصادر عن أداة ذكاء اصطناعي تطبّق C2PA يحمل بيان مصدرية صحيحًا ينص على "created by [AI tool]" أي أنه من إنشاء أداة ذكاء اصطناعي بعينها — لكن البيان إعلامي لا مانع. فالمحتوى يمكن أن يكون موقَّعًا بـC2PA وأن ينتهك مع ذلك الشق الجنائي في المادة 2 من TIDA.

وDurable Content Credentials توسّع C2PA بعلامات مائية غير مرئية وببصمات المحتوى لمعالجة تجريد البيانات الوصفية. فيصمد أثر المصدرية أمام بعض التلاعب. لكن أداة التوليد الأساسية — أي نموذج الذكاء الاصطناعي — غير مُلزَمة بتطبيق المصدرية. والنماذج مفتوحة المصدر كثيرًا ما لا تطبّقها. والنماذج التجارية التي تطبّق المصدرية غير مُلزَمة برفض التوليد حين يقصد الأمر بوضوح مخرجات من صنف التزييف العميق.

ومشروع قانون أريزونا SB 1786، الذي ينتظر حاليًا تصويت مجلس النواب في الولاية، سيلزم صانعي أدوات الذكاء الاصطناعي العاملين في الولاية بإضافة علامات مائية غير مرئية. أما التشريع الاتحادي فلم يُقرّ.

واللاتناظر بنيوي: توليد تزييف عميق أسهل كثيرًا من إزالته. وإنفاذ TIDA يبدأ اليوم على جانب الإزالة. وجانب التوليد يستمر تحت معايير طوعية. واليوم أيضًا هو يوم الكلمة الرئيسية في Google I/O 2026.

Spark في الصباح

على بُعد ثلاث مناطق زمنية غرب واشنطن، وبينما تنشر لجنة التجارة الاتحادية إشعار إنفاذها، يصعد سوندار بيتشاي إلى المنصة في Google I/O 2026.

وإعلان اليوم: Gemini Spark.

وكيل ذكاء اصطناعي شخصي سحابي يعمل على مدار الساعة. يعمل على نموذجَي Gemini 3.5 وGemini 3.5 Flash من Google. وآلات افتراضية سحابية على Google Cloud تعمل في الخلفية باستمرار. ويتكامل مع:

• Gmail — البريد الإلكتروني
• Docs — المستندات
• Sheets — الجداول الحسابية
• Slides — العروض التقديمية
• Canva — التصميم
• OpenTable — حجوزات المطاعم
• Instacart — توصيل البقالة

ومفتاح الخصوصية "Personal Intelligence" — أي الذكاء الشخصي — يُقدَّم بوصفه أداة تحكم في الخصوصية. وهو يتيح للمستخدمين إيقاف التتبّع السياقي من واجهة التطبيق. والوصول إلى البيانات — عبر Gmail وDocs وPhotos وDrive من خلال Deep Research — قائم على الاشتراك الاختياري.

ونصّت شاشة تهيئة مسرَّبة أُفصح عنها خلال اختبار تجريبي على أن: "Spark may do things like share your info or make purchases without asking." أي أن Spark قد يفعل أشياء مثل مشاركة معلوماتك أو إجراء عمليات شراء دون أن يسأل. والمستخدمون مُوجَّهون إلى الإشراف على الوكيل.

ويتاح لمشتركي Google AI Ultra «الأسبوع القادم». وخُفّض سعر AI Ultra اليوم إلى 100 دولار.

والإعلانات المرافقة في I/O 2026:

• معاينة نظارات Android XR
• التصفح التلقائي في Chrome وملء النماذج بذكاء أكبر
• أدوات مولَّدة بالذكاء الاصطناعي في Gboard
• تنقية الإملاء في Gboard Rambler
• الرد الواعي بالسياق في Android Auto
• Gemini Intelligence عبر Android

والحقيقة المعمارية: مساعد وكيلي دائم التشغيل يعمل على مدار الساعة بوصول دائم إلى Gmail وDocs وSheets وSlides وPhotos وDrive وCanva وOpenTable وInstacart هو، بنيويًا، سطح تسريب بيانات دائم التشغيل من سحابة المستخدم الشخصية إلى آلات Google Cloud الافتراضية. وتأطيره بوصفه «وكيل ذكاء اصطناعي شخصيًا» هو طبقة تجربة مستخدم فوق توسّع كبير في الوصول إلى البيانات على جانب السحابة.

وينضم Gemini Spark إلى ChatGPT Atlas (من OpenAI؛ إنتاج على macOS)، وOpenAI Workspace Agents (Slack وDrive وتطبيقات Microsoft وSalesforce وNotion وAtlassian Rovo)، وAnthropic Claude Cowork (إتاحة عامة في 12 مايو تشمل SCIM وOpenTelemetry وIntune لإدارة الهوية والأجهزة في المؤسسات)، وAnthropic Claude for Small Business (14 مايو، مع QuickBooks وPayPal وHubSpot وCanva وDocuSign)، وMicrosoft Copilot Studio (تحديثات حوكمة في 14 مايو)، وPerplexity Comet (متصفح).

وقد تضاعف سطح الوكلاء في ستة أسابيع. فالمؤسسات، والشركات الصغيرة والمتوسطة، والمستهلكون — الطبقات الثلاث جميعها — صار لديها الآن وكلاء ذكاء اصطناعي سحابيون دائمو التشغيل بوصول إلى سحابة الإنتاجية والاتصال الأساسية لدى المستخدم.

وفي اليوم نفسه الذي تنطلق فيه ساعة الإزالة الإلزامية الاتحادية على جانب إزالة المحتوى، يتوسّع النشر الوكيلي على النطاق الاتحادي بوصول إلى سحابات المستخدمين على جانب توليد المحتوى والوصول إليه. وسطح التوليد وسطح الإزالة غير متناظرين. واليوم هو العلامة التشغيلية.

خروقات الأمس

إفصاحان متوازيان في 18 مايو يرسّخان الفئات التي لا يعالجها قانون TAKE IT DOWN.

NYC Health + Hospitals — خرق بيومتري يطال 1.8 مليون شخص. أفصحت NYC Health + Hospitals — أكبر منظومة رعاية صحية عامة في الولايات المتحدة — بالأمس عن أن جهة غير مصرّح لها وصلت إلى أنظمة مورّدين من أطراف ثالثة بين 25 نوفمبر 2025 و11 فبراير 2026، فنسخت سجلات 1.8 مليون مريض وموظف. والبيانات التي جرى الوصول إليها تشمل:

• بصمات الأصابع وبصمات الأكفّ — معرّفات بيومترية لا يمكن إعادة إصدارها
• السجلات الطبية: التشخيصات، والأدوية، والفحوص، والتصوير
• معلومات خطة التأمين الصحي ووثيقته
• معلومات الفوترة والمطالبات والدفع
• بيانات الموقع الجغرافي الدقيق
• أرقام الضمان الاجتماعي
• أرقام جوازات السفر
• رخص القيادة
• الأسماء والعناوين ومعلومات الاتصال

والجدول الزمني للخرق:

• نافذة الوصول: 25 نوفمبر 2025 — 11 فبراير 2026 (نحو 10 أسابيع)
• الاكتشاف: 2 فبراير 2026 (من قِبل NYC H+H)
• إخطار وزارة الصحة والخدمات البشرية: 24 مارس 2026
• الإفصاح العلني: 18 مايو 2026 — بالأمس

والسبب الجذري: اختراق مورّد طرف ثالث لديه وصول إلى أنظمة NYC H+H. ولم تسمِّ NYC H+H المورّد علنًا.

والمشكلة المعمارية أن البيانات البيومترية لا يمكن إعادة إصدارها. فرقم ضمان اجتماعي أو بطاقة ائتمان أو كلمة مرور مسرَّبة يمكن استبدالها. أما بصمة إصبع أو كفّ مسرَّبة فلا. والبيانات البيومترية صارت الآن في حوزة الخصم دائمًا لـ1.8 مليون شخص لن تتغير معرّفاتهم الجسدية. وحيثما تُقبل بصمات الأصابع أو الأكفّ وسيلةَ مصادقة — أنظمة الدخول المادي، وفتح الهواتف الذكية، ونقاط التفتيش عند الهجرة، والتصريح الصحي — صار لدى المتضررين الآن عامل مصادقة في حوزة الخصم لبقية حياتهم.

Grafana / Coinbase Cartel — pull_request_target. في 15 مايو، أدرجت جماعة Coinbase Cartel الإجرامية — وهي تكتّل مرتبط بـShinyHunters وScattered Spider وLapsus$ — شركة Grafana Labs على موقع تسريباتها. وبالأمس، 18 مايو، أكّدت Grafana الخرق.

وكان متجه الهجوم نمطًا معروف الخطورة في GitHub Actions. فقد فرّع المهاجم مستودعًا عامًا لـGrafana، ثم حقن أمر curl خبيثًا في الشيفرة المفرَّعة. ونفّذ سير العمل الهشّ pull_request_target في بيئة CI لدى Grafana الأمرَ على الشيفرة المفرَّعة، لكن بالصلاحيات المرتفعة والوصول إلى أسرار المستودع في بيئة CI الموثوقة. وأفرغ الأمر متغيرات البيئة. وكانت متغيرات البيئة تحوي رمز GitHub ذا امتيازات. ومكّن الرمز من تنزيل شيفرة المصدر.

والنتيجة:

• نُزّلت شيفرة Grafana المصدرية
• لم يُطَّلع على أي بيانات عملاء أو بيانات شخصية
• رفضت Grafana دفع الفدية
• ويُتوقع تسريب شيفرة المصدر

وجماعة Coinbase Cartel نشطة منذ سبتمبر 2025 ولا تستعمل برامج فدية تعمّي الملفات. بل تمارس سرقة بيانات وابتزازًا خالصين. وGrafana هي الأحدث في سلسلة من الأهداف من كبريات شركات التقنية وبنى المطورين التحتية.

ونمط pull_request_target هو واحد من أشهر تهيئات GitHub Actions الخطرة. وهو موثَّق بوصفه محفوفًا بالمخاطر منذ 2021 على الأقل. ويستمر النمط لأنه مريح لأسياب البناء والاختبار التي تحتاج إلى الوصول إلى أسرار المستودع، لكنه يعمل على شيفرة مفرَّعة لم يراجعها القائمون على المستودع. والمقابل المعماري هو مصادقة المنفّذين القائمة على OpenID Connect (OIDC)، التي لا تقتضي وجود أسرار طويلة العمر في بيئة CI.

والخرقان يرسّخان فئتين مختلفتين لا يعالجهما قانون TAKE IT DOWN: الهوية (المشكلة البيومترية) والبنية التحتية (مشكلة سلسلة التوريد في CI). فـTIDA يعالج إزالة المحتوى. وإنفاذ TIDA اليوم لا يبلغ حوادث الأمس.

أربعة وعشرون يومًا

انقضاء المادة 702 من قانون FISA على بُعد أربعة وعشرين يومًا. في 12 يونيو 2026.

ورأي محكمة مراقبة الاستخبارات الأجنبية (FISC) الصادر في 17 مارس 2026 بشأن ممارسات مكتب التحقيقات الاتحادي في الاستعلام بموجب المادة 702 ما زال مصنّفًا سريًا. ونافذة رفع السرية المعجّلة البالغة 15 يومًا، التي تفاوض عليها السيناتور رون وايدن من أوريغون في 30 أبريل شرطًا لتمديد المادة 702 البالغ 45 يومًا، انقضت دون نشر. وأُغلقت النافذة قرابة 15 مايو. ولم ترفع وزارة العدل السرية. ولم يرفعها مدير الاستخبارات الوطنية. ويُذكر أن وزارة العدل تستأنف الحكم المتعلق بجانب الاستعلام في رأي محكمة FISC.

وآلية اتفاق وايدن: حين أقرّ مجلس الشيوخ تمديد المادة 702 البالغ 45 يومًا بالموافقة الجماعية في 30 أبريل (وأقرّه مجلس النواب 261-111 في اليوم نفسه)، حصل وايدن على التزام من قيادة لجنة الاستخبارات في مجلس الشيوخ بأن يُنشر رأي محكمة FISC علنًا خلال 15 يومًا. واعترض السيناتور توم كوتون من أركنساس على التمرير بالموافقة الجماعية مع إلحاق بند رفع السرية الخاص بوايدن. والاعتراض يعني أن مدير الاستخبارات الوطنية ووزارة العدل يستطيعان رسميًا رفض طلب اللجنة — وهو ما حدث بحكم الصمت.

وانقضاء المادة 702 في 12 يونيو هو الحدث القسري التالي. فالكونغرس يستطيع أن يمدّد مجددًا، أو أن يقرّ إعادة ترخيص كاملة (على الأرجح مع بعض الإصلاح)، أو أن يترك البرنامج ينقضي. ونوافذ إعادة الترخيص الأربع السابقة انتهت بتمديدات أو بإصلاح جزئي. أما الإصلاح البنيوي الذي كان رأي محكمة FISC سيُنيره — تعريف أضيق لـ"query" أي الاستعلام بشأن الأشخاص الأمريكيين، وموافقة قضائية إلزامية على أنواع معينة من الاستعلامات — فلم يحدث في أي من النوافذ السابقة.

ويستمر نقاش إصلاح جانب الاستعلام دون رؤية المحكمة:

• السيناتور كوتون: لا تضييق لتعريف "query" أي الاستعلام
• السيناتور وايدن: حمايات للأشخاص الأمريكيين عند طبقة الاستعلام
• السيناتور مارك وارنر من فرجينيا: موقف وسط

وأفاد The American Prospect في 11 مايو بأن «الذكاء الاصطناعي يشحن دولة المراقبة بالطاقة» — أي سلاسل تحليلية آلية في اتجاه المصبّ تُشغَّل على مجموعة بيانات المادة 702. ونقاش إعادة الترخيص يجري على خلفية قيمة تحليلية متزايدة تُستخرج من قاعدة البيانات؛ ورأي محكمة FISC الذي كان سيُنير النقاش ليس مطروحًا.

ما كان يجري بالفعل

ساعة الإزالة الإلزامية الاتحادية، ونشر وكلاء الذكاء الاصطناعي على النطاق الاتحادي، لا يوقفان طبقة الدول المتلقّية عالميًا.

إيران — اليوم 81. أكّدت NetBlocks اليوم، 19 مايو، أن انقطاع الإنترنت في إيران بلغ يومه الـ81 بعد تجاوز 1,920 ساعة. وهو أطول انقطاع إنترنت مسجَّل. والكلفة الاقتصادية: نحو 250 مليون دولار يوميًا وفق تحليل CBC News. والخسارة التراكمية منذ بدء الانقطاع في 8 يناير 2026: نحو 5.5 مليار دولار أو أكثر. وهبطت المبيعات الإلكترونية 80 بالمئة خلال الانقطاع. وخسر المؤشر العام لبورصة طهران 450,000 نقطة خلال نافذة أربعة أيام. وطبقة Internet Pro — أي طبقة شرائح SIM البيضاء المرتبطة بالحرس الثوري وشركة الاتصالات المتنقلة الإيرانية — ما زالت في الإنتاج التشغيلي. وأوقات الانتظار من ثلاث إلى أربع ساعات في مكاتب تحويل الشرائح في طهران مستمرة.

روسيا — تأجيل رسوم VPN الإضافية على المحمول. رسوم VPN الإضافية على المحمول في روسيا — 150 روبلًا لكل غيغابايت من حركة البيانات الدولية تتجاوز 15 غيغابايت شهريًا — كان تاريخ سريانها مقررًا في 1 مايو 2026. ولم تدخل حيز التنفيذ في موعدها. فقد طلبت شركات الاتصالات تأجيلًا لتهيئة أنظمة الفوترة لديها. وقانون كشف VPN عبر مزودي الخدمة الصادر في 15 أبريل ما زال ساريًا لدى Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales وسكك الحديد الروسية. ووفق دراسة Meduza في 10 أبريل، صار 22 من أشهر 30 تطبيق أندرويد في روسيا يراقب ما إذا كانت VPN مفعّلة على طبقة التطبيق — أي أن كشف VPN هاجر إلى شيفرة التطبيقات. وهدف روسكومنادزور المعلن يبقى فاعلية حجب VPN بنسبة 92 بالمئة بحلول 2030، مع تخصيص 20 مليار روبل سنويًا لبنية تحتية دائمة لحجب VPN.

الصين — Great Unplug، أي «الفصل الكبير»، مستمر. الفصل المادي في أبريل 2026 من جانب السلطات الصينية لآلاف خوادم خدمات البروكسي (拔线潮، أي «مدّ قطع الكابلات») ما زال يقيّد خيارات التحايل أمام مستخدمي الإنترنت الصينيين. ولا يصمد بموثوقية إلا التمويه القائم على TLS — V2Ray VLESS + Reality، وShadowsocks-2022، وTrojan، وWireGuard مع obfsproxy.

النيجر — اليوم 11 من حظر الإعلام الدولي. قبل أحد عشر يومًا، في 8 مايو، أمر المرصد الوطني للاتصال الخاضع لسيطرة الجيش في النيجر بتعليق تسع مؤسسات إعلامية دولية: France 24، وRadio France International، وAgence France Presse، وTV5 Monde، وJeune Afrique، وMediapart، وLSI Africa، وTF1 Info، وFrance Afrique Média. والحظر ما زال ساريًا. والنيجر ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء وفق إحصاء لجنة حماية الصحفيين في 1 ديسمبر 2025.

بوركينا فاسو — حظر TV5Monde في 5 مايو. حظر المجلس الأعلى للاتصال في بوركينا فاسو قناة TV5Monde قبل أربعة عشر يومًا. ووثّق تقرير مراسلون بلا حدود في 6 مايو الاحتجاز السري للصحفي البوركيني أتيانا سيرج أولون في فيلا بواغادوغو، حيث ضُرب بأغصان الشجر على مدى أسابيع.

باكستان — استمرار إنفاذ PECA. وثّق تقرير Freedom Network الصادر في 29 أبريل 2026 انكماشًا موسّعًا في حرية الصحافة بفعل PECA. وأكّدت محكمة إسلام آباد الابتدائية الإفراج بكفالة عن الصحفيين رضوان غلزاي وعقيل حسين باغري بموجب PECA. وتتبّعت مؤسسة الصحافة الباكستانية 233 حادثة تتعلق بحرية الصحافة من يناير 2025 حتى أبريل 2026 — 67 اعتداءً، و11 توقيفًا، و11 احتجازًا، و67 شكوى جنائية.

تنزانيا — حجب تقرير لجنة التحقيق. تقرير لجنة التحقيق الصادر في 23 أبريل 2026 بشأن العنف الذي أعقب انتخابات 29 أكتوبر 2025 — 518 قتيلًا مؤكدًا، بينهم 21 طفلًا — ما زال محجوبًا رسميًا عن النشر العلني. وX (تويتر) ما زال معلّقًا في تنزانيا.

المكسيك — 42 يومًا حتى CURP Biométrica. مهلة CURP Biométrica في المكسيك هي 30 يونيو 2026 — أي 42 يومًا من اليوم. ويجب تسجيل نحو 127 مليون خط هاتف محمول مقابل CURP البيومتري (الوجه، والبصمة، وقزحية العين) بحلول الموعد النهائي وإلا واجهت التعليق. وتصير المكسيك أول دولة كبرى تشترط ربط كل خط هاتف محمول بمعرّف بيومتري تصدره الحكومة.

وطبقة الدول المتلقّية عالميًا لم تتغيّر بأحداث اليوم في واشنطن وماونتن فيو. والنمط المعماري هو نفسه: الدولة تتحكم في طبقة المشغّل أو المنصة؛ وطبقة المشغّل أو المنصة تتيح القطع أو المراقبة أو الإزالة القسرية؛ والمستخدم بلا بديل معماري ما لم يكن لديه بديل متميّز بنيويًا عن المشغّل أو المنصة.

شلال المهل

اليوم هو بداية شلال الساعات الكثيف في يونيو ويوليو وأغسطس.

• 22 مايو: انتهاء تدقيق Trail of Bits لـMonero FCMP++ (بعد 3 أيام من اليوم)
• 12 يونيو: انقضاء المادة 702 (24 يومًا)
• 26 يونيو: منحدر شهادة UEFI في Microsoft Secure Boot (38 يومًا؛ نحو 1.5 مليار جهاز Windows في النطاق)
• 30 يونيو: مهلة CURP Biométrica في المكسيك (42 يومًا)
• 1 يوليو: الإنفاذ الكامل لـMiCA الأوروبية (43 يومًا؛ غرامات تبلغ 12.5% من حجم الأعمال العالمي)
• 1 يوليو: إنفاذ Apple Declared Age Range API في لويزيانا ويوتا
• 2 أغسطس: تفعيل صلاحيات إنفاذ GPAI في قانون الذكاء الاصطناعي الأوروبي (75 يومًا؛ 15 مليون يورو أو 3% من حجم الأعمال العالمي)
• 21 سبتمبر: انقضاء FIPS 140-2 (126 يومًا؛ أوليّات ما بعد الكمّ مطلوبة)
• 5-12 أكتوبر: إعادة محاكمة رومان ستورم في قضية Tornado Cash
• نهاية 2026: مهلة طرح محفظة الهوية الرقمية الأوروبية

والشلال هو ساعات سياسية وبرمجيات ثابتة وتنظيمية تحطّ في نوافذ شهرية متداخلة. وإنفاذ TIDA اليوم هو الحدث الأول. وختام تدقيق Monero FCMP++ بعد ثلاثة أيام هو الثاني. وانقضاء المادة 702 بعد أربعة وعشرين يومًا هو الثالث. وبحلول 2 أغسطس، ستكون ستة أحداث بنيوية قد حطّت في ستة وسبعين يومًا.

حزمة أوليّات جانب المستخدم

المقابل المعماري لإنفاذ الإزالة الإلزامية الاتحادي اليوم، ولنشر وكلاء الذكاء الاصطناعي على النطاق الاتحادي اليوم، وللخرق البيومتري بالأمس، ولاختراق سلسلة التوريد في CI بالأمس، ولشلال المهل المقبل، هو حزمة أوليّات جانب المستخدم. وهي لا تعتمد على أي اتجاه تدور فيه ساعات اليوم.

عملاء مفتوحون بمفاتيح يحتفظ بها المستخدم. Signal. Tuta. Proton. Threema. Briar 1.5.17 — إصدار 12 مارس 2026 يعمل فوق البلوتوث وWi-Fi وTor ويؤدي وظيفته أثناء انقطاعات طبقة المشغّل. Cwtch. Session. خادم Matrix المنزلي. والتعمية طرفًا إلى طرف هي الخاصية المعمارية: مشغّل المنصة لا يملك أي وعي بالمحتوى. والتزام المادة 3 من TIDA يقتضي وعيًا على جانب الخادم. والتنافر المعماري هو المقابل. فالمفتاح الذي يحتفظ به المستخدم لا يمكن تبليغه إشعار إزالة بأي معنى ذي دلالة.

برمجيات ثابتة مفتوحة على شرائح قابلة لفحص المستخدم. GrapheneOS — Pixel 6 فما فوق مع Android 16 في معاينة 2026030501، بما فيها نشرات أمان أندرويد من أبريل إلى أغسطس 2026. وبناء CalyxOS الاختباري 7.2.1.0 على Android 16 الصادر في 4 مايو 2026. و/e/OS. وLineageOS. وOpenWRT. وقد وثّق تقرير Citizen Lab المعنون "Bad Connection" في 23 أبريل 2026 حملتَي مراقبة على جانب المشغّل — STA1 لتخفيض Diameter إلى SS7 عبر تسع دول ذات مشغّلين أشباح، وSTA2 لهجوم SIMjacker بصفر نقرة عبر تطبيق شريحة المتصفح القديم S@T — وهما غير مرئيتين لأنظمة التشغيل ذات البرمجيات الثابتة المغلقة. والبرمجيات الثابتة المفتوحة تكشف سلوك الذاكرة المؤقتة وقاعدة بيانات الإشعارات لفحص المستخدم.

مصادقة FIDO2 العتادية. في 7 مايو 2026 — اليوم العالمي لمفاتيح المرور لدى تحالف FIDO — كان قد نُشر خمسة مليارات مفتاح مرور عبر المنظومة العالمية. YubiKey. Nitrokey. SoloKey. وقد شحنت Yubico أكثر من 30 مليون مفتاح عتادي مدى الحياة. وقد كشف خرق NYC H+H بالأمس بصمات أصابع وأكفّ 1.8 مليون شخص — وهي معرّفات بيومترية لا يمكن إعادة إصدارها. وبيانات الاعتماد المرتبطة بالعتاد تحلّ محل البيومترية بوصفها العامل الثاني في أي سياق تُقبل فيه. فالعامل الثاني في جيب المستخدم، لا في قاعدة بيانات مورّد طرف ثالث.

وسائل نقل مقاومة للحجب. Tor Browser 15.0.13 و16.0a6 — إصدارا الطوارئ في 7 مايو اللذان أصلحا ثغرات حرجة في نواة Linux وTor Browser وعميل Tor. V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard مع obfsproxy. الشبكة التراكبية النِدّية لـURnetwork. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل. أما طبقة Internet Pro في إيران، وقانون كشف VPN عبر مزودي الخدمة في روسيا الصادر في 15 أبريل، وGreat Unplug الصيني في أبريل 拔线潮 — فلا يسمّي أي منها الشبكة التراكبية لأنها لا تظهر بوصفها خدمة عامة أو مشغّلًا مسجَّلًا. فالشبكة التراكبية التي يتحكم فيها المستخدم غير مرئية للتشريع.

عملات حافظة للخصوصية على أوليّات حفظ المستخدم. Bitcoin BIP324 v2، مفعّل افتراضيًا منذ Core 27.0؛ وأغلبية حركة الند للند في Bitcoin عالميًا صارت معمّاة. ومدفوعات Bitcoin الصامتة BIP352 — استقبالًا وإرسالًا في Core 28.0 فما فوق، مع حقول بيانات التعديل BIP376 PSBTv2 وصيغة الواصف BIP392 المضافة في 2026. وMonero FCMP++ في دمج نشط؛ وتدقيق Trail of Bits بدأ في 11 مايو ويمتد حتى 22 مايو — وهو حاليًا في اليوم 8 من 11 — مستبدلًا بالتواقيع الحلقية إثباتات عضوية على كامل السلسلة تكون مجموعة إخفاء الهوية فيها هي مجموعة UTXO بأكملها، أي أكثر من 150 مليون مخرج معاملة. وZcash Crosslink المرحلة 4 — دعم تبرع فيتاليك بوتيرين الثاني إلى Shielded Labs في 6 فبراير 2026 الترقيةَ.

ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم. DeepSeek V4 Pro — صدر بترخيص MIT في 22 أبريل، 1.6 تريليون معامل إجمالي / 49 مليار نشط، سياق مليون رمز، 80.6 بالمئة على SWE-Bench Verified، 90.1 بالمئة على GPQA Diamond. DeepSeek V4 Flash — 284 مليار إجمالي / 13 مليار نشط. Mistral Medium 3.5 — 29 أبريل، 128 مليار معامل، 77.6 بالمئة على SWE-Bench Verified. Qwen 3.6 Max Preview — 27 أبريل، متعدد اللغات بـ201 لغة. GLM-5.1 — 744 مليار بخليط خبراء، ومتصدّر مدخلات المصادر المفتوحة على LMArena. OpenAI Privacy Filter — 22 أبريل، رخصة Apache 2.0، 1.5 مليار إجمالي / 50 مليون نشط، قابل للتشغيل في المتصفح عبر transformers.js إضافةً إلى WebGPU. وحيث لا سجل لدى طرف ثالث، لا يوجد ما يُستدعى قضائيًا ولا ما يعيد مزوّد الذكاء الاصطناعي السحابي توظيفه. وإطلاق Gemini Spark اليوم — بوصول دائم إلى Gmail وDocs وSheets وSlides وCanva وOpenTable وInstacart، إضافةً إلى وصول Deep Research إلى Gmail وDocs وPhotos وDrive — هو نموذج التهديد للوصول السحابي بالذكاء الاصطناعي. والاستدلال المحلي هو المقابل المعماري.

هوية اتحادية بالإفصاح الانتقائي. بيانات الاعتماد القابلة للتحقق 2.0 من W3C — توصية منذ مايو 2025، وسبع مواصفات في العائلة. والإفصاح الانتقائي BBS+ في eIDAS 2.0 — قيد الإنهاء في IETF. وPrivacy Pass. وميثاق مجموعة عمل بيانات الاعتماد القابلة للتحقق في W3C الجديد الصادر في أبريل 2026 يستهدف توصيتَي Render Method وConfidence Method بحلول سبتمبر 2026. ومهلة CURP Biométrica المكسيكية في 30 يونيو — على بُعد 42 يومًا من اليوم، وتربط نحو 127 مليون خط محمول بالوجه والبصمة وقزحية العين — هي نموذج التهديد. لا ترفع هويتك إلى السجل البيومتري الحكومي المركزي.

خدمات مستضافة ذاتيًا. خادم Matrix المنزلي. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle المجتمعي. Open edX. والاتحاد يحدّ من نطاق انفجار أي اختراق لمورّد واحد. وكل خادم منزلي مسؤول عن محتواه، لكن لا يمكن تبليغه التزام إزالة اتحاديًا يشمل الاتحاد كله. واستغلال pull_request_target لدى Grafana / Coinbase Cartel بالأمس برهن على أن حتى البنية القريبة من المصادر المفتوحة لديها مخاطر سلسلة توريد في CI. والمقابل المعماري هو مصادقة المنفّذين القائمة على OpenID Connect وبيئات CI مستضافة ذاتيًا على Forgejo أو Gitea.

شبكات متشابكة وأقمار صناعية عند طبقة المشغّل. Briar — بلوتوث، وWi-Fi، وTor. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. أما طبقة Internet Pro في إيران، وانقطاع الكهرباء عن أبراج الخرطوم في السودان، وقطع الاتصال في 21 مقاطعة روسية قبيل عيد النصر، وإيقاف المحمول والرسائل القصيرة في موسكو في 9 مايو، والانقطاع الكامل للإنترنت خمسة أيام في تنزانيا الذي مكّن من وقوع أكثر من 518 قتيلًا خلال عنف ما بعد انتخابات 29 أكتوبر 2025 — فالطبقة المستقلة عن المشغّل هي المقابل البنيوي.

مرونة تشفيرية قبل انقضاء FIPS في 21 سبتمبر. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). معايير سارية منذ أغسطس 2024. ومتوسط دورة اعتماد FIPS 140-3 نحو 542 يومًا عند خط أساس أوائل 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS. والسقّاطة المتفرقة ما بعد الكمّية (SPQR) لدى Signal، مقترنةً بالسقّاطة المزدوجة القائمة وباتفاق المفاتيح PQXDH، تشكّل "Triple Ratchet" أي السقّاطة الثلاثية — وهي تحصين بروتوكول Signal ما بعد الكمّي.

خاتمة

اليوم، الثلاثاء 19 مايو 2026، تبدأ لجنة التجارة الاتحادية إنفاذ المادة 3 من قانون TAKE IT DOWN. وساعة الإزالة الإلزامية الاتحادية تنطلق. ثمانٍ وأربعون ساعة. ثلاثة وخمسون ألفًا وثمانية وثمانون دولارًا لكل مخالفة. خمس عشرة منصة مسمّاة.

واليوم، تطلق Google تطبيق Gemini Spark. وسطح الوكلاء عبر المؤسسات والشركات الصغيرة والمستهلكين يتضاعف.

وبالأمس، أفصحت NYC Health + Hospitals عن أن بصمات أصابع وأكفّ 1.8 مليون شخص صارت الآن في حوزة الخصم دائمًا.

وبالأمس، برهنت Coinbase Cartel على أن سوء تهيئة واحدًا في pull_request_target يمكن أن يخترق شيفرة المصدر لشركة كبرى قريبة من المصادر المفتوحة.

وبعد أربعة وعشرين يومًا من الآن، تنقضي المادة 702. ورأي محكمة FISC ما زال مصنّفًا سريًا.

وإيران في اليوم 81. ورسوم VPN الإضافية على المحمول في روسيا مؤجّلة. والنيجر في اليوم 11 من حظر الإعلام الدولي. والمكسيك على بُعد 42 يومًا من CURP Biométrica.

وشلال الساعات الكثيف في يونيو ويوليو — 22 مايو، و12 يونيو، و26 يونيو، و30 يونيو، و1 يوليو، و1 يوليو، و2 أغسطس، و21 سبتمبر — يجري.

عملاء مفتوحون. برمجيات ثابتة مفتوحة. مفاتيح عتادية. وسائل نقل مقاومة للحجب. عملة حافظة للخصوصية. ذكاء اصطناعي بالاستدلال المحلي. هوية اتحادية بالإفصاح الانتقائي. خدمات مستضافة ذاتيًا. شبكات متشابكة وأقمار صناعية. مرونة تشفيرية.

اليوم تنطلق الساعة. وحزمة أوليّات جانب المستخدم لا تعتمد على أي اتجاه تدور فيه.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للحجب لا تظهر في سجل مشغّلي الخدمة العامة في أي من التشريعات المسمّاة أعلاه. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل.

https://ur.io

كان الخميس 14 مايو 2026 نقطة الالتقاء الإجرائية بين نشر الذكاء الاصطناعي المؤسسي، وقالب التعويض عن الذكاء الاصطناعي، والبنية النقدية القابلة للبرمجة، والرقابة على المراقبة. فأربعة أبواب بنيوية في حزمة مساءلة الذكاء الاصطناعي والمال أُغلقت (أو تحركت نحو الإغلاق) في النافذة نفسها ومدتها ثماني ساعات، من صباح المحيط الهادئ إلى مساء وسط أوروبا. والقصة ليست أيّ الأبواب أُغلق وأيّها لم يُغلق — القصة أن الروزنامات تحاذت.

الباب الأول — جلسة الإنصاف في قضية Bartz. برئاسة القاضية Araceli Martínez-Olguín، المنطقة القضائية الشمالية لكاليفورنيا، قاعة المحكمة 12، دار القضاء الاتحادية في سان فرانسيسكو، الساعة 2 ظهرًا بتوقيت المحيط الهادئ. وتغطي تسوية الـ1.5 مليار دولار 482,460 عملًا محميًا بحقوق نشر مسجّلة بنحو 3,000 دولار للعمل. وبلغ معدّل المطالبات يوم الجلسة 92.77 بالمئة، مع 447,576 عملًا مُطالَبًا به. وركّزت القاضية أسئلتها على بنية تكاليف التسوية وأتعاب المحاماة بدلًا من ملامح الصفقة أو الاعتراضات التي رُفعت عنها السرية — استبعاد الأعمال الأجنبية، ونقص العدّ في التسجيل الجماعي، وعدالة مبلغ 3,000 دولار للعمل، وحجة الإخطار القسري. و«يبدو أن الجلسة تمضي بسلاسة» نحو الموافقة النهائية وفق مراقبي Words and Money، مع إفادة Authors Alliance بأن القاضية بالكاد ساءلت بنية الصفقة. ولم تُصدر القاضية حكمًا من المنصة. ويُتوقع صدور أمر الموافقة النهائية خلال أسبوعين إلى ستة أسابيع. وقالب Bartz يصير خط الأساس البنيوي لتسويات بيانات تدريب الذكاء الاصطناعي لدى OpenAI وGoogle وMeta وCohere وMistral والمصادر المفتوحة — وهناك عشرات منها معلّقة.

الباب الثاني — مستوى التشغيل الوكيلي يصل إلى الأعمال الصغيرة. في 14 مايو، نشرت Anthropic كتاب The Founder's Playbook الذي يحاجج بأن الذكاء الاصطناعي «أعاد تشغيل» دورة حياة الشركات الناشئة، وأطلقت Claude for Small Business — حزمة من سير العمل الجاهز الموصول مباشرةً بحزمة تشغيل كل فريق صغير ومؤسس منفرد: QuickBooks للمحاسبة والمالية، وPayPal للمدفوعات والذمم المدينة، وHubSpot لإدارة علاقات العملاء والتسويق، وCanva للإبداع والعلامة، وDocuSign للشؤون القانونية والاتفاقات. والإطلاق هو توسعة الشركات الصغيرة والمتوسطة لمستوى النشر الوكيلي لدى Anthropic: Claude Cowork (الإتاحة العامة في 12 مايو ضمن SCIM وOpenTelemetry وIntune لإدارة الهوية والأجهزة في المؤسسات)، والمشروع المشترك الذي أعلنته Anthropic في 4 مايو مع Blackstone وHellman & Friedman وGoldman Sachs (بقيمة 1.5 مليار دولار، مع التزامات قدرها 300 مليون دولار من كل مستثمر مرتكز). والخطوة الموازية لدى OpenAI هي Workspace Agents — المطروحة في 22 أبريل لخطط ChatGPT Business وEnterprise وEdu وTeachers، مدعومةً بـCodex، وتربط Slack وGoogle Drive وتطبيقات Microsoft وSalesforce وNotion وAtlassian Rovo — إضافةً إلى المشروع المشترك OpenAI Development Company (جمع 4 مليارات دولار بتقييم 10 مليارات دولار) المعلَن أيضًا في 4 مايو. ومستوى الوكلاء صار الآن في الإنتاج عبر المؤسسات والشركات الصغيرة والمتوسطة والمستهلكين في الأسبوع نفسه الذي تجري فيه الموافقة على قالب التعويض عن الذكاء الاصطناعي.

الباب الثالث — إغلاق طلبات مزوّدي خدمات الدفع لليورو الرقمي. عند الساعة 17:00 بتوقيت وسط أوروبا الصيفي يوم الخميس 14 مايو، أغلق البنك المركزي الأوروبي الدعوة لإبداء الاهتمام بالمشاركة بوصف مزوّد خدمات دفع لليورو الرقمي. وكانت الدعوة قد نُشرت في 5 مارس 2026. وسيختار البنك المركزي الأوروبي بين 10 و30 مزوّد خدمات دفع لتجربة مدتها اثنا عشر شهرًا تبدأ في النصف الثاني من 2027، مع بدء مرحلة التطوير في الربع الثالث من 2026. والمعمارية هي عملة تجزئة قابلة للبرمجة يصدرها البنك المركزي — وعنصر «القابلية للبرمجة» (programmable) يعني أن مزوّدي خدمات الدفع يستطيعون فرض حدود وشروط وتتبّع على المعاملات الفردية برمجيًا عند طبقة البروتوكول. وقابلية المراقبة الجوهرية في هذه المعمارية هي الحقيقة المعمارية. أما الإطار التنظيمي المرافق: فـMiCA يدخل الإنفاذ الكامل في 1 يوليو 2026، بعقوبات تصل إلى 12.5 بالمئة من إجمالي الإيرادات السنوية العالمية ومسؤولية شخصية على التنفيذيين؛ ولائحة تحويل الأموال (قاعدة السفر) تعمل بعتبة صفرية للتحويلات بين مزوّدي خدمات الأصول المشفّرة منذ ديسمبر 2024. والنقيض في الجانب الأمريكي: التفسير المشترك الصادر في 17 مارس 2026 عن هيئة الأوراق المالية والبورصات (SEC) ولجنة تداول السلع الآجلة (CFTC)، والذي سمّى صراحةً Bitcoin وEthereum وSolana وXRP وChainlink سلعًا رقمية — فلسفة تنظيمية مختلفة بنيويًا تصل في الشهر نفسه الذي تتشكّل فيه رسميًا بنية اليورو القابل للبرمجة في الجانب الأوروبي.

الباب الرابع — النافذة التي لم تُغلق. في 30 أبريل 2026، أقرّ مجلس النواب تمديد المادة 702 لمدة 45 يومًا بأغلبية 261 مقابل 111، بعد موافقة مجلس الشيوخ بالإجماع. وقد ضمن السيناتور وايدن صفقة مع قادة لجنة الاستخبارات في مجلس الشيوخ تكفل رفع السرية على وجه السرعة عن رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس 2026 خلال خمسة عشر يومًا من إقرار التمديد. ويُفهم أن الرأي يتناول ممارسات الاستعلام لدى مكتب التحقيقات الاتحادي في إطار المادة 702 — وتحديدًا استعلامات الرجوع إلى الوراء (lookback queries) التي تطال أشخاصًا أمريكيين داخل قاعدة بيانات جمع الاستخبارات الأجنبية. ووزارة العدل تستأنف الرأي حاليًا لأنه حجب أدوات تحليلية معيّنة كان مكتب التحقيقات الاتحادي يستعملها للاستعلام من قاعدة البيانات. واعترض السيناتور كوتون حين حاول مجلس الشيوخ تمرير التمديد بالموافقة بالإجماع مع إرفاق بند رفع السرية الذي طرحه وايدن — ما يعني أن مدير الاستخبارات الوطنية ووزارة العدل يستطيعان رسميًا رفض طلب اللجنة. ونافذة الخمسة عشر يومًا: من 30 أبريل إلى 15 مايو 2026. وحتى اليوم، 18 مايو 2026، لم تُرفع السرية عن رأي المحكمة. وقد انقضت النافذة عمليًا قبل ثلاثة أيام. ويستمر النقاش حول إصلاح جانب الاستعلام دون الرؤية البنيوية للمحكمة — وانقضاء المادة 702 صار الآن على بُعد خمسة وعشرين يومًا، 12 يونيو 2026.

ثلاثة أبواب أُغلقت. والرابع لم يُغلق. والالتقاء الإجرائي ليس من قبيل المصادفة. فالموافقة الأولية في قضية Bartz جاءت في أواخر 2025؛ ونافذة جلسة الإنصاف المعيارية ومدتها ستة أشهر وقعت في مايو 2026. والإتاحة العامة المؤسسية لـClaude Cowork لدى Anthropic كانت في 12 مايو؛ وتوسعة الشركات الصغيرة والمتوسطة كانت الخطوة الطبيعية في الأسبوع التالي. ونافذة دعوة البنك المركزي الأوروبي ومدتها 70 يومًا فُتحت في 5 مارس وأُغلقت في 14 مايو. ونافذة صفقة وايدن ومدتها 15 يومًا فُتحت في 30 أبريل وأُغلقت في 15 مايو. وتحاذت الروزنامات لأن دورات الشركات ودورات المحاكم ودورات المنظّمين ودورات التشريع تسير على إيقاعات شهرية متداخلة — ومايو 2026 هو الإيقاع الذي تتقارب عنده حزمة مساءلة الذكاء الاصطناعي والمال.

الباب الأول — قالب الـ1.5 مليار دولار

تغطي تسوية Bartz v. Anthropic ما هو، بالقياس البنيوي، الذخيرة التي استوعبتها Anthropic أثناء تدريب Claude بين نحو 2021 و2023 من كتب كان مكتب حقوق النشر الأمريكي قد سجّلها. وقيمة التسوية 1.5 مليار دولار. وعدد الأعمال المشمولة 482,460. والمبلغ المدفوع لكل عمل نحو 3,000 دولار.

وتناولت جلسة الإنصاف يوم الخميس أربعة اعتراضات رُفعت عنها السرية.

الاعتراض الأول — استبعاد الأعمال الأجنبية — يحاجج بأن التسوية محدودة بالتسجيل لدى مكتب حقوق النشر الأمريكي. فكثير من المؤلفين الذين استُوعبت أعمالهم في ذخيرة تدريب Anthropic يحملون جنسيات غير أمريكية وسجّلوا حقوق نشرهم بموجب نظام ولايتهم القضائية الأصلية. ويحاجج الاعتراض بأن استبعاد الأعمال الأجنبية يخلق كونًا منقوص العدّ من المطالبات، وأن بنية التسوية ينبغي أن تتوسع لتشمل الأعمال المسجّلة أجنبيًا. ولم تتناول القاضية هذا الاعتراض من المنصة.

الاعتراض الثاني — نقص العدّ في التسجيل الجماعي — يحاجج بأن كثيرًا من الأعمال المسجّلة أمريكيًا مسجّلة جماعيًا ضمن بنى تأليف جماعي مثل المختارات والدوريات والمواد الدراسية والمجموعات الأكاديمية. وبنية التسوية تنسب المبلغ المدفوع لكل عمل إلى المطالِب المسجَّل، وهو في حالات التسجيل الجماعي قد يكون ناشرًا أو مالك حقوق مؤسسيًا لا المؤلفين الأصليين. ويحاجج الاعتراض بأن ذلك يخلق انحيازًا للناشرين في توزيع التسوية. ولم تتناول القاضية هذا الاعتراض من المنصة.

الاعتراض الثالث — عدالة مبلغ 3,000 دولار للعمل — يحاجج بأن المبلغ لكل عمل منخفض جدًا مقارنةً بالقيمة التي استخرجتها Anthropic من الذخيرة المستوعَبة أثناء تدريب Claude. وهذا هو الاعتراض الذي ركّزت عليه القاضية، إذ سألت المحامين عن بنية التكاليف وأتعاب المحاماة. ولم تُنتج الجلسة إجابة موضوعية.

وكان معدّل المطالبات مفاجأة إدارة التسوية. فقد أفادت Authors Alliance صباح 14 مايو بأن المعدّل بلغ 91.3 بالمئة. وبحلول وقوف المحامي جاستن نيلسون على المنصة بعد ظهر ذلك اليوم، كان المعدّل قد ارتفع إلى 92.77 بالمئة، مع 447,576 مطالبة فردية لأعمال متمايزة. والمعدّل المرتفع على نحو غير معتاد يتسق مع تفسيرين: إما أن المؤلفين تعرّفوا بقوة على أعمالهم داخل ذخيرة تدريب Anthropic، أو أن السجل كان مفرطًا في الشمول منذ البداية. وكلا التفسيرين يرجّح الموافقة؛ ولا أيّ منهما يرجّح إعادة الهيكلة.

ولم تُصدر القاضية حكمًا من المنصة. ويُتوقع صدور أمر الموافقة النهائية خلال أسبوعين إلى ستة أسابيع. وإذا ووفق عليه، يصير قالب Bartz خط الأساس البنيوي لعشرات الدعاوى الجماعية المعلّقة بشأن بيانات تدريب الذكاء الاصطناعي — OpenAI، وGoogle (دعاوى متعددة بشأن تدريب Bard / Gemini)، وMeta (نزاع Llama / LibGen)، وCohere، وMistral، ومزوّدو المصادر المفتوحة الذين تتضمن ذخائر تدريبهم بالمثل أعمالًا محمية بحقوق نشر مسجّلة.

وإذا رُفض — ولا توجد إشارة إجرائية إلى أن القاضية سترفض — يعود القالب إلى التفاوض.

وقالب Bartz هو سابقة التعويض في صناعة الذكاء الاصطناعي المؤسسي عن الاستخدام بأثر رجعي لأعمال محمية بحقوق نشر مسجّلة في التدريب. والسعر السائد 3,000 دولار للعمل. والإجمالي السائد 1.5 مليار دولار لكل جولة تدريب من فئة الحدود الكبرى. ومعدّل المطالبات السائد 92.77 بالمئة.

الباب الثاني — مستوى التشغيل الوكيلي

في اليوم نفسه الذي كانت تُقرّ فيه الموافقة على قالب Bartz بأثر رجعي عن تدريب سابق، كانت Anthropic تنشر منصتها الوكيلية استشرافيًا داخل حزمة تشغيل كل عمل صغير.

فـClaude for Small Business — المطلق في 14 مايو — يحزم خمسة مسارات عمل جاهزة موصولة مباشرةً بحزمة تشغيل الفرق الصغيرة والمؤسسين المنفردين:

• QuickBooks — المحاسبة، ومسك الدفاتر، والفوترة
• PayPal — المدفوعات، والذمم المدينة
• HubSpot — إدارة علاقات العملاء، وأتمتة التسويق
• Canva — العلامة، والإبداع، وإنتاج محتوى وسائل التواصل
• DocuSign — الاتفاقات القانونية، والعقود

وتشكّل التكاملات الخمسة مجتمعةً سير العمل اليومي المالي والعملائي والإبداعي والقانوني لما يُقدَّر بـ50 مليون شركة صغيرة في الولايات المتحدة. والمنصة الوكيلية صارت الآن داخل حزمة التشغيل.

وإطلاق الشركات الصغيرة والمتوسطة هو الطبقة الثالثة من توسعة النشر الوكيلي لدى Anthropic:

• المؤسسات (الإتاحة العامة في 12 مايو) — Claude Cowork داخل مستوى إدارة الهوية SCIM، وقياس OpenTelemetry، وإدارة الأجهزة Microsoft Intune — ما يجعل Claude كيانًا مكافئًا للإنسان في بنية الهوية المؤسسية.
• الشركات الصغيرة والمتوسطة (إطلاق 14 مايو) — Claude for Small Business عبر مسارات عمل QuickBooks / PayPal / HubSpot / Canva / DocuSign.
• المستهلك — استمرار النشر من فئة ChatGPT عبر خطط المستهلكين.

والنشر الموازي لدى OpenAI مشابه بنيويًا. فـWorkspace Agents — المعلَن في 22 أبريل — يستهدف خطط ChatGPT Business وEnterprise وEdu وTeachers، بوكلاء دائمين مدعومين بـCodex يربطون Slack وGoogle Drive وتطبيقات Microsoft وSalesforce وNotion وAtlassian Rovo. وكان Workspace Agents مجانيًا حتى 6 مايو، مع بدء التسعير القائم على الأرصدة في ذلك التاريخ. والمشروع المشترك OpenAI Development Company في 4 مايو جمع 4 مليارات دولار مقابل تقييم بـ10 مليارات دولار من تسعة عشر مستثمرًا.

وكلا مزوّدَي الذكاء الاصطناعي المؤسسي الكبيرين يوصلان منصتيهما الوكيليتين بسير العمل اليومي المالي والاتصالي والعملائي والإبداعي والقانوني للاقتصاد الأمريكي في النافذة نفسها التي تجري فيها الموافقة على قالب تعويض Bartz البالغ 1.5 مليار دولار عن ذخيرة التدريب التي بنت تلك المنصات.

وسطح المخاطر المعماري هو ما جعله إفصاح Microsoft في 7 مايو بنيويًا: ثلاث ثغرات حرجة لإفشاء المعلومات في Microsoft 365 Copilot — CVE-2026-26129 وCVE-2026-26164 وCVE-2026-33111 — كلها أتاحت تسريب معلومات حساسة عبر حدود الثقة من خلال تجميع Copilot لرسائل البريد والمستندات ومحادثات Teams. وقد أفصحت Microsoft عن الثغرات الثلاث وعالجتها بالكامل في 7 مايو. وكانت علة 21 يناير في M365 Copilot Chat قد أتاحت سابقًا لـCopilot تلخيص رسائل بريد سرية متجاوزًا سياسات منع فقدان البيانات وتسميات الحساسية. والنمط: حين يجمّع الذكاء الاصطناعي الوكيلي محتوى عبر حدود الثقة، يصير المجمِّع هو سطح الثغرة.

وClaude Cowork وClaude for Small Business لدى Anthropic يثيران الأسئلة المعمارية نفسها. فحيث يجمّع الذكاء الاصطناعي الوكيلي سجلات QuickBooks المالية مع بيانات مدفوعات PayPal مع جهات اتصال HubSpot مع اتفاقات DocuSign القانونية، يصير المجمِّع هو سطح الثغرة. ولم يصدر عن نشر Anthropic حتى الآن فهرس ثغرات معلَن لإفشاء المعلومات — لكن المعمارية مكافئة بنيويًا.

الباب الثالث — اليورو القابل للبرمجة

عند الساعة 17:00 بتوقيت وسط أوروبا الصيفي يوم الخميس 14 مايو، أُغلقت دعوة البنك المركزي الأوروبي لإبداء الاهتمام بتجربة مزوّدي خدمات الدفع لليورو الرقمي. وكانت الدعوة مفتوحة منذ 5 مارس — نافذة تقديم مدتها 70 يومًا. وسيختار البنك المركزي الأوروبي بين 10 و30 مزوّد خدمات دفع لتجربة مدتها اثنا عشر شهرًا في النصف الثاني من 2027.

ومرحلة التطوير تبدأ في الربع الثالث من 2026 — أي بعد نحو أربعة أشهر من الآن.

والمعمارية هي عملة تجزئة قابلة للبرمجة يصدرها البنك المركزي. وعنصر «القابلية للبرمجة» هو الحقيقة البنيوية. فمزوّدو خدمات الدفع يستطيعون فرض حدود وشروط وتتبّع على المعاملات الفردية برمجيًا عند طبقة البروتوكول. والمعاملات ليست مجهولة — فكل تحويل قابل للتعريف لدى مزوّد خدمات الدفع، و(بإجراء قانوني) لدى السلطات. وآليات الإفصاح الانتقائي موجودة في المواصفة التقنية لكنها ليست إلزامية بالكامل ولا متوافقة بينيًا عبر تطبيقات الدول الأعضاء في الاتحاد الأوروبي.

والإطار التنظيمي المرافق هو حزمة تتبّع النقد الأوسع في الاتحاد الأوروبي:

• MiCA — الإنفاذ الكامل ساري في 1 يوليو 2026، بعقوبات تصل إلى 12.5 بالمئة من إجمالي الإيرادات السنوية العالمية ومسؤولية شخصية على التنفيذيين. وأي مزوّد خدمات أصول مشفّرة غير مرخَّص يخدم عملاء في الاتحاد الأوروبي عليه وقف عملياته بحلول 1 يوليو.
• لائحة تحويل الأموال (قاعدة السفر) — عتبة صفرية للتحويلات بين مزوّدي خدمات الأصول المشفّرة، سارية منذ ديسمبر 2024. وبيانات المُرسِل والمستفيد على كل تحويل.
• محفظة الهوية الرقمية الأوروبية — على الدول الأعضاء توفير محفظة EUDI واحدة على الأقل بحلول نهاية 2026 بموجب Regulation 2024/1183.
• إنفاذ قانون الاتحاد الأوروبي للذكاء الاصطناعي على نماذج الأغراض العامة (GPAI) — تُفعَّل صلاحيات الإنفاذ في 2 أغسطس 2026، بعقوبات تصل إلى 15 مليون يورو أو 3 بالمئة من إجمالي الإيرادات السنوية العالمية.

والفارق البنيوي عبر الأطلسي: التفسير المشترك في الجانب الأمريكي الصادر في 17 مارس 2026 عن هيئة الأوراق المالية والبورصات (SEC) ولجنة تداول السلع الآجلة (CFTC) سمّى صراحةً Bitcoin وEthereum وSolana وXRP وChainlink سلعًا رقمية — وضوح تنظيمي يصل في الشهر نفسه الذي تتشكّل فيه رسميًا بنية اليورو القابل للبرمجة في الجانب الأوروبي. فلسفتان معماريتان مختلفتان. والإيقاع الشهري نفسه.

الباب الرابع — النافذة التي لم تُغلق

كان من المفترض أن يصير رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس 2026 بشأن ممارسات الاستعلام لدى مكتب التحقيقات الاتحادي في إطار المادة 702 علنيًا بحلول 15 مايو 2026 — أي بعد خمسة عشر يومًا من إقرار تمديد المادة 702 لمدة 45 يومًا في 30 أبريل. وقد ضمن السيناتور رون وايدن التزامًا من قادة لجنة الاستخبارات في مجلس الشيوخ شرطًا لتأييده التمديد: أن تُرفع السرية عن الرأي ويُنشر خلال نافذة المراجعة المعجَّلة ومدتها خمسة عشر يومًا.

وحتى اليوم، الاثنين 18 مايو، لم تُرفع السرية عن الرأي. وقد انقضت النافذة عمليًا قبل ثلاثة أيام.

ويُفهم أن الرأي يتناول ممارسات الاستعلام لدى مكتب التحقيقات الاتحادي ضد أشخاص أمريكيين داخل قاعدة بيانات الجمع في إطار المادة 702. والممارسة المعيارية — المشار إليها بـ"lookback queries" أي استعلامات الرجوع إلى الوراء — كانت المصدر المركزي للجدل منذ سنّ المادة 702. ويُفهم أن المحكمة حكمت، جزئيًا، ضد التفسير الواسع للاستعلام لدى مكتب التحقيقات الاتحادي؛ ووزارة العدل تستأنف الحكم لأنه يحجب أدوات تحليلية معيّنة يعدّها المكتب حاسمة تشغيليًا.

واعترض السيناتور كوتون حين حاول مجلس الشيوخ تمرير تمديد الـ45 يومًا بالموافقة بالإجماع مع إرفاق بند رفع السرية الذي طرحه وايدن. ويعني الاعتراض أن مدير الاستخبارات الوطنية ووزارة العدل يستطيعان رسميًا رفض طلب اللجنة — وهو ما حدث، بحكم الصمت.

وانقضاء المادة 702 صار الآن على بُعد خمسة وعشرين يومًا. 12 يونيو 2026.

والمادة 702 من قانون مراقبة الاستخبارات الأجنبية (FISA) تجيز المراقبة بلا مذكرة لأهداف أجنبية موجودة خارج الولايات المتحدة. والجمع يطال بصورة معتادة أشخاصًا أمريكيين عبر الجمع العرضي — أي الاتصالات بين أهداف أجنبية وأشخاص أمريكيين. وممارسة "query" أي الاستعلام هي ما يفعله مكتب التحقيقات الاتحادي للوصول إلى المادة المجموعة: بحث عبر قاعدة بيانات جمع الاستخبارات الأجنبية عن معرّفات أشخاص أمريكيين. ورأي المحكمة هو الرؤية القضائية البنيوية لأي الاستعلامات جائز. وبدون نشر الرأي، يناقش الكونغرس إعادة التفويض دون رؤية المحكمة لممارسات الاستعلام لدى مكتب التحقيقات الاتحادي.

وانقضاء 12 يونيو هو الحدث القسري التالي. فالكونغرس يستطيع تمديد المادة 702 مرة أخرى، أو تمرير إعادة تفويض كاملة (على الأرجح مع بعض الإصلاح)، أو تركها تنقضي. وقد انتهت نوافذ إعادة التفويض الأربع السابقة بتمديدات أو إصلاح جزئي؛ أما الإصلاح البنيوي الذي كان رأي المحكمة سيستنير به فلم يحدث.

خمسة وعشرون يومًا. ورؤية المحكمة ليست مطروحة.

ما كان جاريًا أصلًا

أُغلقت أبواب الخميس الأربعة على خلفية ساعات سياسية وساعات في الدول المتلقّية ظلت تسير دون توقف.

إيران — اليوم 80. حتى 18 مايو 2026، تدخل إيران يومها الثمانين من أطول انقطاع للإنترنت مسجَّل. وقد أكّدت NetBlocks اليوم 73 في 11 مايو؛ وتزايد العدّ يوميًا. والخسارة الاقتصادية نحو 35.7 مليون دولار يوميًا بحسب المحاسبة المباشرة لدى Iran HRM، ونحو 250 مليون دولار يوميًا بحسب تحليل CBC الذي يشمل الآثار غير المباشرة. وطبقة Internet Pro — وهي طبقة طبقية بشريحة بيضاء تصدرها شركة الاتصالات المتنقلة الإيرانية المرتبطة بالحرس الثوري — في الإنتاج التشغيلي. وأوقات الانتظار من ثلاث إلى أربع ساعات في مكاتب تحويل الشرائح بطهران مستمرة. وظهرت سوق رمادية لإعادة بيع الشرائح البيضاء المحوّلة من الفئة الأولى بأسعار مرتفعة. ووفق Unit 42 / Palo Alto Networks Threat Intelligence، تحوّل فاعلون إيرانيون تابعون للدولة إلى خدمات Starlink وVSAT للاتصال نحو اليوم 66 (4 مايو). والانقطاع الذي بدأ في 8 يناير 2026 أنتج أول حالة إنتاجية لإنترنت دائم بطبقتين عند طبقة المشغّل.

روسيا — الرسوم الإضافية على VPN عبر المحمول سارية. في 1 مايو 2026، دخلت الرسوم الإضافية الروسية على VPN عبر المحمول حيز التنفيذ: 150 روبل (نحو 1.60 دولار) لكل غيغابايت من حركة المرور الدولية التي تتجاوز 15 غيغابايت شهريًا. وقانون كشف VPN لدى مزوّدي الخدمة الصادر في 15 أبريل عاملٌ لدى Yandex وVK وSberbank وGosuslugi وOzon وWildberries وAviasales والسكك الحديدية الروسية — أي تجنيد منسّق لمنصات خاصة كبرى لإنفاذ كشف VPN عند طبقة التطبيق. وامتدت انقطاعات المحمول قبيل عيد النصر عبر أكثر من 21 مقاطعة من 4 إلى 9 مايو، وبلغت ذروتها بانقطاع كامل للمحمول والرسائل القصيرة في موسكو في 9 مايو. وتعطّلت أجهزة الصراف الآلي في المناطق المتأثرة لأنها تعتمد على النقل الخلوي. والهدف المعلَن لروسكومنادزور هو فاعلية حجب VPN بنسبة 92 بالمئة بحلول 2030، مع تخصيص نحو 20 مليار روبل سنويًا لبناء بنية الرقابة الدائمة على VPN. وحُجبت أكثر من 1,000 خدمة VPN؛ وسمّت روسكومنادزور علنًا 439 خدمة حتى 22 يناير. وفي مارس 2026، بدأت محاكم الصلح في موسكو وسان بطرسبرغ إصدار إدانات ضد مزوّدي إنترنت لسماحهم لحركة المرور بتجاوز TSPU.

الصين — Great Unplug («الفصل الكبير»). في أبريل 2026، فصلت السلطات الصينية ماديًا آلاف خوادم خدمات البروكسي عن رفوف مراكز البيانات — بقطع كابلات الكهرباء وخطوط الشبكة للأجهزة المستعملة في ترحيل حركة VPN. والحملة — المعروفة على وسائل التواصل الصينية باسم 拔线潮 («مدّ قطع الأسلاك») — متمايزة معماريًا عن الحملات السابقة: فحيث استهدف الإنفاذ السابق الملاحقة لكل مستخدم على حدة، استهدف Great Unplug البنية التحتية. وقد ألزم إشعار Shaanxi Telecom الصادر في 8 أبريل بإزالة «أي شكل من أشكال نشاط الالتفاف على الحجب» — وهي فئة واسعة تشمل خدمات VPN وتوجيه البروكسي. وبعد الحملة، لم يعمل بموثوقية سوى التمويه القائم على TLS (V2Ray VLESS + Reality، وShadowsocks-2022، وTrojan، وWireGuard مع obfsproxy). وفقد آلاف المستخدمين وصولهم بين ليلة وضحاها.

النيجر — تعليق تسع مؤسسات إعلامية دولية. في 8 مايو 2026، أمر المرصد الوطني للاتصال (Observatoire Nationale de la Communication) الخاضع لسيطرة الجيش في النيجر بتعليق تسع مؤسسات إعلامية دولية: France 24، وRadio France International، وAgence France Presse، وTV5 Monde، وJeune Afrique، وMediapart، وLSI Africa، وTF1 Info، وFrance Afrique Média. والمبرر المعلَن — «تعريض النظام العام والوحدة الوطنية والتماسك الاجتماعي واستقرار مؤسسات الدولة للخطر». والنيجر هي ثاني أسوأ سجّان للصحفيين في أفريقيا جنوب الصحراء وفق إحصاء لجنة حماية الصحفيين (CPJ) في 1 ديسمبر 2025.

بوركينا فاسو — حظر TV5Monde، وصحفي ضُرب بأغصان الشجر. في 5 مايو 2026، حظر المجلس الأعلى للاتصال في بوركينا فاسو قناة TV5Monde. وفي 6 مايو، أكّد تحقيق مراسلون بلا حدود أن الصحفي الاستقصائي البارز أتيانا سيرج أولون — المختطَف في 24 يونيو 2024 — كان محتجزًا ويُضرب بأغصان الشجر على مدى أسابيع داخل فيلا في واغادوغو حُوّلت إلى سجن مؤقت. ومالي وبوركينا فاسو والنيجر تشكّل مجتمعةً «صحراء المعلومات» في الساحل — أكثر من اثنتي عشرة مؤسسة إعلامية أُجبرت على تعليق عملياتها أو إغلاقها؛ وتجنيد قسري للصحفيين في العمليات العسكرية للمجالس العسكرية.

باكستان — ثلاثة عشر توقيفًا بموجب PECA. في 6 مايو 2026، أوقفت الوكالة الوطنية للتحقيق في الجرائم الإلكترونية في البنجاب ثلاثة عشر شخصًا في لاهور وغوجرانوالا وفيصل آباد ومولتان بتهمة حملات معادية للدولة على وسائل التواصل. والتوقيفات موجَّهة بموجب قانون منع الجرائم الإلكترونية (PECA). وقد حوّلت تعديلات PECA لعام 2025 التشريع إلى آلية أساسية للمراقبة والسيطرة من الدولة. وأربع وثلاثون من أصل سبع وستين شكوى جنائية مسجّلة ضد صحفيين باكستانيين تستند إلى PECA.

تنزانيا — 518 قتيلًا. في 23 أبريل 2026، قدّمت لجنة التحقيق في عنف ما بعد انتخابات 29 أكتوبر 2025 تقريرها إلى الرئيسة سامية صولحو حسن. وأكّدت اللجنة 518 وفاة — 502 من المدنيين و16 من أفراد الأمن، بينهم 21 طفلًا. وسجّلت منطقة دار السلام أعلى حصيلة قتلى عند 182. ويقدّر دبلوماسيون غربيون وأحزاب معارضة الحصيلة الفعلية بألف إلى ألفين. ووقع العنف خلال انقطاع كامل للإنترنت دام خمسة أيام. ولم يُنشر تقرير اللجنة الكامل علنًا. ورفض حزبا CHADEMA وACT-Wazalendo التقرير في 24 أبريل. وانتقد تقرير هيومن رايتس ووتش المعنون "Missed Opportunity" الصادر في 5 مايو استمرار الحجب. وX (تويتر سابقًا) ما زال معلّقًا في تنزانيا.

وقوس إيران — روسيا — الصين — النيجر — بوركينا فاسو — باكستان — تنزانيا هو النمط المعماري نفسه بشدّات مختلفة. وكل حالة منها حالة إنتاجية لإجراء الدولة ضد طبقة المشغّل أو طبقة التطبيق أو طبقة الصحفي في الإنترنت المفتوح. والمستخدم لا يملك بديلًا معماريًا عند طبقة المشغّل.

ما هو قادم

بعد أبواب الخميس الثلاثة، تتابُع المواعيد النهائية عبر يونيو ويوليو هو الواقع التشغيلي.

22 مايو — انتهاء تدقيق Trail of Bits لـMonero FCMP++. فُتحت نافذة التدقيق ومدتها أحد عشر يومًا في 11 مايو. وحتى 18 مايو، التدقيق في اليوم 7 من 11. وFCMP++ يستبدل بالتواقيع الحلقية إثباتات عضوية على كامل السلسلة تكون مجموعة إخفاء الهوية فيها هي مجموعة UTXO بأكملها — أي نحو 150 مليون مخرج معاملة، مقارنةً بالتواقيع الحلقية ذات الـ16 طُعمًا المستعملة اليوم. وتدقيق نظيف يزيل آخر اعتراض تقني مهم على ادّعاءات Monero بشأن الخصوصية على مستوى البروتوكول؛ أما النتائج الخطيرة فتؤخّر ترقية التوافق وتثقل على المزاج العام.

28 مايو — إغلاق نافذة الترقيع الكامل لثغرة PAN-OS رقم CVE-2026-0300. شحنت Palo Alto إصلاح 13 مايو لثغرة فيض المخزن المؤقت في بوابة مصادقة User-ID التي تتيح تنفيذ شيفرة عن بُعد بصلاحيات الجذر. وأمضت تقنية المعلومات الاتحادية أربعة أيام في تشغيل تخفيفات على مستوى التهيئة لأن ترقيع المورّد وصل بعد أربعة أيام من مهلة CISA لوكالات الفرع التنفيذي المدني الاتحادي في 9 مايو. ونافذة الترقيع الكامل — حتى 28 مايو — تُغلق بعد عشرة أيام من اليوم.

12 يونيو — انقضاء المادة 702. خمسة وعشرون يومًا من اليوم. والتمديد لمدة 45 يومًا ينتهي في 12 يونيو. ولم تُرفع السرية عن رأي محكمة FISC. ويستمر النقاش حول إصلاح جانب الاستعلام دون رؤية المحكمة. وسيمرّر الكونغرس تمديدًا أو إعادة تفويض، أو سيتركها تنقضي. وقد صمد نمط إعادة التفويض دون إصلاح عبر أربع نوافذ. وقد تكسر النافذة الخامسة النمط؛ والأرجح أنها لا تكسره.

26 يونيو — منحدر شهادات Secure Boot لدى Microsoft. تسعة وثلاثون يومًا من اليوم. تنتهي صلاحية شهادات Secure Boot الأصلية لعام 2011 التي تستعملها معظم أجهزة Windows المصنوعة بين 2012 و2025. ويقع في النطاق نحو 1.5 مليار جهاز Windows. والأجهزة التي لم تتلقَّ شهادات 2023 البديلة تفقد حماية Secure Boot؛ وبعضها لن يقلع إطلاقًا. وظلت Microsoft تُدرّج تحديثات الجاهزية نحو عامين؛ وقد شحن ثلاثاء الترقيع في مايو (12 مايو، 137 ثغرة، بلا ثغرات يوم صفر) التحديثات KB5089593 وKB5087544 وKB5087594 تحديدًا استعدادًا للمنحدر. والذيل الطويل — الأجهزة غير المتصلة، وأنظمة التحكم الصناعي، والأكشاك، والأنظمة المدمجة — هو سطح المخاطر غير المعالَج.

30 يونيو — مهلة CURP Biométrica في المكسيك. ثلاثة وأربعون يومًا من اليوم. يجب تسجيل نحو 127 مليون خط هاتف محمول في المكسيك مقابل CURP البيومتري — الوجه والبصمة وقزحية العين — بحلول 30 يونيو. والخطوط غير المسجَّلة تواجه التعليق. والخطوط الجديدة اعتبارًا من 9 يناير عليها التسجيل خلال 30 يومًا. وتصير المكسيك أول دولة كبرى تشترط ربط كل خط هاتف محمول بمعرّف بيومتري تصدره الحكومة. والغرض المعلَن: مكافحة الابتزاز وتحديد أماكن المفقودين. والأثر البنيوي: تعريف مستمر لموقع كل مستخدم ونشاطه عند طبقة المشغّل.

1 يوليو — الإنفاذ الكامل لـMiCA. أربعة وأربعون يومًا من اليوم. وعلى أي مزوّد خدمات أصول مشفّرة غير مرخَّص يخدم عملاء في الاتحاد الأوروبي وقف عملياته. وعقوبات تصل إلى 12.5 بالمئة من إجمالي الإيرادات السنوية العالمية مع مسؤولية شخصية على التنفيذيين.

1 يوليو — إنفاذ Apple لواجهة Declared Age Range (لويزيانا ويوتا). اليوم نفسه. فبالنسبة للمستخدمين ذوي حسابات Apple الجديدة في لويزيانا ويوتا اعتبارًا من 1 يوليو 2026، ستُشارَك فئات العمر مع تطبيق المطوّر عند طلبها عبر واجهة Declared Age Range. وإجراء Significant Update — في نسخته التجريبية — يتيح للمطورين إخطار البالغين في تلك الولايتين بالتحديثات المهمة للتطبيق.

2 أغسطس — إنفاذ قانون الاتحاد الأوروبي للذكاء الاصطناعي على نماذج الأغراض العامة. ستة وسبعون يومًا من اليوم. تُفعَّل صلاحيات الإنفاذ على مزوّدي نماذج الأغراض العامة، ومنهم Anthropic وOpenAI وGoogle وMeta وMistral وCohere ومزوّدو المصادر المفتوحة فوق عتبة GPAI. وتضيق نافذة التوقيع الطوعي على مدونة الممارسات. وعقوبات تصل إلى 15 مليون يورو أو 3 بالمئة من إجمالي الإيرادات السنوية العالمية.

21 سبتمبر — انقضاء FIPS 140-2. مئة وستة وعشرون يومًا من اليوم. والأوليّات الآمنة ما بعد الكمّ — ML-KEM (FIPS 203)، وML-DSA (FIPS 204)، وSLH-DSA (FIPS 205) — سارية بوصفها معايير منذ أغسطس 2024. ومتوسط دورة اعتماد FIPS 140-3 نحو 542 يومًا عند خط أساس أوائل 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS.

نهاية 2026 — مهلة طرح محفظة الهوية الرقمية الأوروبية. على الدول الأعضاء توفير محفظة EUDI واحدة على الأقل بحلول نهاية 2026. والإفصاح الانتقائي BBS+ في eIDAS 2.0 قيد الإنهاء في IETF. وبيانات الاعتماد القابلة للتحقق 2.0 من W3C توصية منذ مايو 2025.

صيف 2026 — طرح Going Dark / ProtectEU. وهو انعطافة المفوضية الأوروبية بعد هزيمة Chat Control 2.0 في 26 نوفمبر 2025. ويستهدف مقترح Going Dark خدمات VPN بـ«أوسع نطاق تطبيق ممكن». وقد صرّحت Mullvad بأنها ستغادر سوق الاتحاد الأوروبي إذا مرّ Going Dark؛ وصرّحت رئيسة Signal ميريديث ويتاكر بأن Signal ستغادر السوق الأوروبية إذا فُرض إضعاف التعمية.

ونافذة يونيو-يوليو الكثيفة — 12 يونيو، و26 يونيو، و30 يونيو، و1 يوليو، و1 يوليو، و2 أغسطس — هي التتابع التشغيلي للمحاذاة الإجرائية التي جعلها الخميس مرئية.

ما لم يُغلق

بينما أُغلقت أبواب الخميس الثلاثة، يبقى وضع الاختراقات مفتوحًا بنيويًا.

Sysco / Qilin — بعد ستة أيام من نشر Qilin ثلاث وثائق داخلية دليلًا على الوصول (12 مايو)، لم يُقدَّم أي إفصاح بموجب Item 1.05 إلى هيئة الأوراق المالية والبورصات؛ ولا تأكيد دفع؛ ولا تسريب كامل. وSysco هي أكبر مورّد لخدمات الأغذية في العالم — للمطاعم والمستشفيات والمدارس والفنادق.

Foxconn / Nitrogen — هجوم سيبراني مؤكد على منشآت ماونت بليزنت في ويسكونسن وهيوستن في تكساس، مع ادّعاء سرقة 8 تيرابايت / 11 مليون ملف تشمل بيانات مشاريع لـIntel وApple وNvidia وGoogle وDell. تأكّد في 12 مايو. ونمط المصنّع المتعاقد بوصفه مجمِّعًا: اختراق واحد لـFoxconn يطال خارطة طريق منتجات كل عميل من مصنّعي المعدات الأصلية في آن واحد.

Salt Typhoon — وفق تصريحات مكتب التحقيقات الاتحادي في مايو 2026، «ما زال جاريًا بقوة بالغة جدًا». مئتا هدف فأكثر في أكثر من ثمانين دولة. Verizon، وAT&T، وT-Mobile، وSpectrum، وLumen، وConsolidated Communications، وWindstream، إضافةً إلى كبرى شركات الاتصالات الكندية. ولم تُحدَّد بعد جلسة لجنة التجارة في مجلس الشيوخ التي طلبتها السيناتورة كانتويل في فبراير 2026.

DragonForce — M&S / Co-op / Harrods — يُتوقع استمرار اضطراب M&S حتى يوليو بخسائر أرباح تناهز 300 مليون جنيه إسترليني؛ وأربعة موقوفين في المملكة المتحدة. وبنية الشراكة بين Scattered Spider / The Com / DragonForce ما زالت عاملة.

Cushman & Wakefield — ShinyHunters عبر Salesforce؛ أكثر من 500,000 سجل، بيانات تعريف شخصية إضافةً إلى بيانات مؤسسية داخلية.

نمط كوريا الشمالية — Drift Protocol بـ295 مليون دولار في 1 أبريل؛ وKelp DAO بـ292 مليون دولار في 18 أبريل. أي 587 مليون دولار مجتمعةً من هجومين. وحكم TRM Labs في 30 أبريل: مجموعة Lazarus الكورية الشمالية تمثّل 76 بالمئة من إجمالي قيمة اختراقات العملات المشفّرة في 2026 حتى تاريخه. وأعلنت Drift خطة تعافٍ في 5 مايو — رموز تعافٍ مربوطة بخسائر مُتحقَّق منها، وصندوق تمويل أوّلي بـ3.8 مليون دولار → بهدف يصل إلى 151 مليون دولار من الإيرادات ودعم Tether والشركاء. وفتحت Ripple تبادل معلومات التهديد بشأن كوريا الشمالية لشركات العملات المشفّرة في 5 مايو.

ولوضع الاختراقات ساعته الخاصة. وهي لا تتوقف لأن مستوى النشر ذاهب إلى السوق.

مخاطر النشر الوكيلي

في الأسبوع نفسه الذي أُطلق فيه Claude for Small Business من Anthropic داخل QuickBooks وPayPal وHubSpot وCanva وDocuSign — وواصلت فيه Workspace Agents الموازية من OpenAI تصاعدها في Slack وGoogle Drive وتطبيقات Microsoft وSalesforce وNotion وAtlassian Rovo — أفصحت Microsoft عن ثلاث ثغرات حرجة لإفشاء المعلومات في Microsoft 365 Copilot وعالجتها.

CVE-2026-26129. CVE-2026-26164. CVE-2026-33111.

الثلاث كلها بخطورة حرجة. والثلاث كلها من فئة إفشاء المعلومات. والثلاث كلها عولجت بالكامل في 7 مايو. والنمط: حين يجمّع الذكاء الاصطناعي الوكيلي محتوى عبر حدود الثقة، يصير المجمِّع هو سطح الثغرة. فـM365 Copilot يجمّع رسائل البريد والمستندات ومحادثات Teams؛ ونقاط الضعف في معالجة العناصر الخاصة أو الأوامر المحقونة تتيح تسريب معلومات حساسة عبر حدود الثقة. وكانت علة 21 يناير في M365 Copilot Chat قد أتاحت سابقًا لـCopilot تلخيص رسائل بريد سرية متجاوزًا سياسات منع فقدان البيانات وتسميات الحساسية.

ونشر Claude Cowork المؤسسي لدى Anthropic (SCIM، وOpenTelemetry، وIntune) ونشر Claude for Small Business لدى الشركات الصغيرة والمتوسطة (QuickBooks، وPayPal، وHubSpot، وCanva، وDocuSign) يجمّعان عبر حدود ثقة مكافئة بنيويًا. والأسئلة المعمارية هي نفسها. ولم تنشر Anthropic فهرس ثغرات لإفشاء المعلومات خاصًا بـClaude Cowork أو Claude for Small Business — بعد. والمعمارية تستحق تدقيقًا لصيقًا.

فمستوى الوكلاء في الإنتاج. وسطح إفشاء المعلومات في الإنتاج. والساعتان تسيران.

حزمة أوليّات جانب المستخدم

حزمة أوليّات جانب المستخدم هي المقابل المستقل عن النشر للأبواب الأربعة كلها، إضافةً إلى إجراءات الدولة عند طبقة المشغّل، وإلى وضع الاختراقات.

عملاء مفتوحون بمفاتيح يحتفظ بها المستخدم. Signal، وTuta، وProton، وThreema، وBriar 1.5.17 (إصدار 12 مارس يعمل فوق البلوتوث وWi-Fi وTor؛ وهو يعمل أثناء الانقطاعات عند طبقة المشغّل لأنه لا يعتمد على طبقة المشغّل في تمرير الرسائل)، وCwtch، وSession، وخادم Matrix المنزلي. والخاصية المعمارية: المفاتيح التي يحتفظ بها المستخدم لا تملك سطحًا للإكراه التنظيمي. وقد أثبت إنهاء Meta للتعمية طرفًا إلى طرف في Instagram في 8 مايو 2026 أن حتى التعمية القائمة يمكن انتزاعها تنظيميًا من منصة كبرى؛ أما العملاء المفتوحون بمفاتيح يحتفظ بها المستخدم فلا يملكون السطح المعماري لذلك الإكراه.

برمجيات ثابتة مفتوحة على شرائح قابلة لفحص المستخدم. GrapheneOS (Pixel 6 فما فوق مع Android 16 في معاينة 2026030501)، وCalyxOS بالبناء الاختباري 7.2.1.0 على Android 16 الصادر في 4 مايو، و/e/OS، وLineageOS، وOpenWRT. وقد وثّق تقرير Citizen Lab المعنون "Bad Connection" الصادر في 23 أبريل 2026 حملتَي مراقبة على جانب المشغّل — STA1 بتخفيض Diameter إلى SS7 عبر تسع دول تعمل بوصفها «مشغّلين أشباح» (ghost operators)، وSTA2 بهجوم SIMjacker بصفر نقرة عبر تطبيق الشريحة القديم لمتصفح S@T — وهما غير مرئيتين لـMobile Verification Toolkit وiVerify وLookout عند تشغيلها على iOS ذي البرمجيات الثابتة المغلقة أو على Android القياسي. والبرمجيات الثابتة المفتوحة تكشف سلوك الذاكرة المؤقتة وقاعدة بيانات الإشعارات لفحص المستخدم.

مصادقة FIDO2 العتادية. في 7 مايو 2026 — اليوم العالمي لمفاتيح المرور لدى تحالف FIDO — كان قد نُشر خمسة مليارات مفتاح مرور عبر المنظومة العالمية. YubiKey. Nitrokey. SoloKey. وقد شحنت Yubico أكثر من 30 مليون مفتاح عتادي مدى الحياة. وأضافت OpenAI مفاتيح المرور والمفاتيح العتادية إلى ChatGPT في 4 مايو مع عبوة ثنائية مشتركة العلامة من YubiKey C NFC / C Nano بنحو 68 دولارًا. وبيانات الاعتماد المرتبطة بالعتاد تصمد أمام اختراق الشريحة؛ وSTA1 وSTA2 لا تعبران إلى الحسابات المحمية بمفتاح عتادي لأن العامل الثاني لا يعيش على الشريحة.

وسائل نقل مقاومة للحجب. Tor Browser 15.0.13 + 16.0a6 (إصدارا 7 مايو — إصدارا طوارئ يصلحان ثغرات حرجة في نواة Linux وفي Tor Browser وفي عميل Tor). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard مع obfsproxy. الشبكة التراكبية النِدّية لـURnetwork. وإصدار خادم MCP من URnetwork في 19 فبراير يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل كليًا عن طبقة المشغّل. أما طبقة Internet Pro في إيران، وقانون كشف VPN في روسيا الصادر في 15 أبريل والعامل لدى Yandex / VK / Sberbank / Gosuslugi، والرسوم الإضافية على VPN عبر المحمول في 1 مايو، وGreat Unplug في الصين في أبريل (拔线潮)، ومقترح Going Dark الأوروبي المطروح في صيف 2026 — فالشبكة التراكبية التي يتحكم فيها المستخدم لا تظهر في أي من هذه التشريعات لأنها لا تظهر بوصفها خدمة عامة أو مشغّلًا مسجَّلًا.

عملات حافظة للخصوصية على أوليّات حفظ المستخدم. Bitcoin BIP324 v2 (مفعّل افتراضيًا منذ Core 27.0؛ وأغلبية حركة الند للند في Bitcoin عالميًا صارت معمّاة). ومدفوعات Bitcoin الصامتة BIP352 (الاستقبال والإرسال في Core 28.0 فما فوق، مع حقول بيانات التعديل BIP376 PSBTv2 وصيغة الواصف BIP392 المضافة في 2026؛ وCake Wallet أول تطبيق على المحمول؛ وBlueWallet شحنت الدعم). وMonero FCMP++ في دمج نشط؛ وتدقيق Trail of Bits بدأ في 11 مايو ويمتد حتى 22 مايو — وهو حاليًا في اليوم 7 من 11 — مستبدلًا بالتواقيع الحلقية إثباتات عضوية على كامل السلسلة تكون مجموعة إخفاء الهوية فيها هي مجموعة UTXO بأكملها (أكثر من 150 مليون مخرج معاملة). وZcash Crosslink المرحلة 4 (تطوير الرهن والاقتصاد الرمزي مع دمج إثبات العمل + نهائية BFT بالفعل)؛ وقدّم فيتاليك بوتيرين تبرعه الثاني إلى Shielded Labs في 6 فبراير 2026 دعمًا لترقية Crosslink تحديدًا.

ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم. DeepSeek V4 Pro (صدر مرخَّصًا بـMIT في 22 أبريل، 1.6 تريليون معامل إجمالًا / 49 مليار نشط، سياق مليون رمز، 80.6 بالمئة على SWE-Bench Verified، 90.1 بالمئة على GPQA Diamond). DeepSeek V4 Flash (284 مليار إجمالًا / 13 مليار نشط). Mistral Medium 3.5 (29 أبريل، 128 مليار معامل، 77.6 بالمئة على SWE-Bench Verified). Qwen 3.6 Max Preview (27 أبريل، متعدد اللغات بـ201 لغة). Qwen 3.6 27B (77.2 بالمئة على SWE-Bench Verified). GLM-5.1 (744 مليار، خليط خبراء، متصدّر المفتوح المصدر على LMArena). Kimi K2.6. OpenAI Privacy Filter (22 أبريل، رخصة Apache 2.0، 1.5 مليار معامل إجمالًا / 50 مليون نشط، قابل للتشغيل في المتصفح عبر transformers.js إضافةً إلى WebGPU). وحيث لا سجل لدى طرف ثالث، لا يوجد ما يُستدعى قضائيًا. وأمر إنتاج 20 مليون سجل في قضية OpenAI v. New York Times الصادر في 5 يناير عن القاضي سيدني ستاين ما زال ساريًا. والإتاحة العامة لـClaude Cowork في 12 مايو وإطلاق Claude for Small Business في 14 مايو هما نشر مستوى الوكلاء في الجانب المؤسسي الذي يحفّز المقابل القائم على الاستدلال المحلي.

هوية اتحادية بالإفصاح الانتقائي. بيانات الاعتماد القابلة للتحقق 2.0 من W3C (توصية منذ مايو 2025؛ سبع مواصفات في العائلة). والإفصاح الانتقائي BBS+ في eIDAS 2.0 (قيد الإنهاء في IETF). وPrivacy Pass. وميثاق مجموعة عمل بيانات الاعتماد القابلة للتحقق في W3C الجديد لأبريل 2026 يستهدف توصيتَي Render Method وConfidence Method بحلول سبتمبر 2026. ومهلة CURP Biométrica المكسيكية في 30 يونيو (43 يومًا من اليوم، وتربط نحو 127 مليون خط محمول بالوجه والبصمة وقزحية العين) هي نموذج التهديد. وطرح رخصة القيادة على المحمول في Apple Wallet (ثلاث عشرة ولاية إضافةً إلى بورتوريكو مفعّلة حتى 1 مايو 2026؛ وقبولها لدى إدارة أمن النقل في أكثر من 250 مطارًا) هو نموذج التهديد الأقرب إلى البيت. لا ترفع هويتك إلى المورّد.

خدمات مستضافة ذاتيًا. خادم Matrix المنزلي. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle المجتمعي. Open edX. والاتحاد يحدّ من نطاق انفجار أي اختراق لمورّد واحد. وفدية Canvas / Instructure ذات المحيط الواحد التي شملت 8,809 مؤسسة ودفعتها Instructure في 11 مايو هي نموذج التهديد.

شبكات متشابكة وأقمار صناعية عند طبقة المشغّل. Briar. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. أما طبقة Internet Pro في إيران، وانقطاع الكهرباء عن أبراج الخرطوم في السودان، وقطع الاتصال في 21 مقاطعة روسية في عيد النصر، والانقطاع الكامل للإنترنت خمسة أيام في تنزانيا الذي مكّن من وقوع أكثر من 518 قتيلًا — فالطبقة المستقلة عن المشغّل هي المقابل البنيوي.

مرونة تشفيرية قبل انقضاء FIPS في 21 سبتمبر. ML-KEM (FIPS 203)، وML-DSA (FIPS 204)، وSLH-DSA (FIPS 205) معايير سارية منذ أغسطس 2024. ومتوسط دورة اعتماد FIPS 140-3 نحو 542 يومًا عند خط أساس أوائل 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS.

المرتكز الأخلاقي

في 7 مايو 2026 — اليوم نفسه الذي عالجت فيه Microsoft ثغرات M365 Copilot الحرجة الثلاث، واليوم نفسه الذي شحن فيه Tor Browser 15.0.13 و16.0a6 تحديثات أمنية طارئة، واليوم نفسه الذي بلغ فيه نشر مفاتيح المرور خمسة مليارات — نشر كيون رودريغيز رسالة من معسكر السجن الاتحادي FPC Morgantown. ورودريغيز هو الشريك المؤسس لـSamourai Wallet، محفظة Bitcoin الحافظة للخصوصية التي أُغلقت الآن. وهو في شهره الخامس من عقوبة مدتها ستون شهرًا. وشريكه المؤسس، ويليام لونيرغان هيل، يقضي ثمانية وأربعين شهرًا. وقد صادر الاثنان نحو 6.37 مليون دولار من الرسوم المتأتية من عمليات Whirlpool وRicochet الحافظة للخصوصية لدى Samourai. ورسالة رودريغيز — الموجَّهة إلى مجتمع Bitcoin — طلبت المساعدة في 2 مليون دولار من الديون القانونية المتراكمة. واعترف بأن الآمال في عفو رئاسي قد تلاشت عمليًا.

وملاحقة Samourai Wallet هي الحالة الإنتاجية لتجريم أوليّات الخصوصية القائمة على حفظ المستخدم. وملاحقة Tornado Cash هي الحالة الموازية: فقد أُدين رومان ستورم في أغسطس 2025 بالتآمر لتشغيل عمل غير مرخَّص لتحويل الأموال؛ وتعذّر على هيئة المحلفين الحسم في تهمتَي التآمر لغسل الأموال وانتهاك العقوبات؛ وإعادة المحاكمة في أكتوبر 2026 معلّقة؛ والقاضية فايلا تنظر في طلب التبرئة الذي تقدّم به ستورم منذ المرافعات الشفوية في 9 أبريل.

وتجريم مشغّل الأوليّة القائمة على حفظ المستخدم لا يلغي الأوليّة نفسها. فمدفوعات Bitcoin الصامتة BIP352، وBIP324 v2 للند للند المعمّى، وترقية Monero FCMP++ كلها على مستوى البروتوكول لا على مستوى المشغّل. والبروتوكول لا يمكن ملاحقته قضائيًا. أما المطورون الذين يصونونه فيمكن.

في الفيلا في واغادوغو، ضُرب أتيانا سيرج أولون بأغصان الشجر على مدى أسابيع.

وفي تنزانيا، مات 518 شخصًا خلال انقطاع كامل للإنترنت دام 5 أيام.

وفي إيران، مرّ ثمانون يومًا منذ أن قسّمت طبقة Internet Pro عند طبقة المشغّل السكان إلى طبقة ذات شريحة بيضاء وبقيّة.

وحزمة أوليّات جانب المستخدم ليست مجردة. إنها المقابل المعماري لمستوى النشر، ولطبقة المشغّل، ولسطح الاختراقات، ولولاية التصدير، وللدولة المتلقّية، وللمشغّل الملاحَق، ولساعة السياسات غير المكتوبة.

خاتمة

ثلاثة أبواب أُغلقت يوم الخميس. والرابع لم يُغلق.

فقالب Bartz صار مُوافَقًا عليه — نوعًا ما — أي القالب الماضي بسلاسة نحو الموافقة على تعويض قدره 1.5 مليار دولار عن بيانات تدريب الذكاء الاصطناعي بواقع 3,000 دولار لكل عمل مسجّل ومحمي بحقوق النشر ومعدّل مطالبات 92.77 بالمئة. وClaude for Small Business وُصل بحزمة تشغيل QuickBooks / PayPal / HubSpot / Canva / DocuSign لدى كل عمل صغير. وأُغلقت طلبات مزوّدي خدمات الدفع لليورو الرقمي عند الساعة 17:00 بتوقيت وسط أوروبا الصيفي، على أن يُختار عشرة إلى ثلاثين مزوّدًا لتجربة مدتها اثنا عشر شهرًا في النصف الثاني من 2027 لعملة تجزئة قابلة للبرمجة يصدرها البنك المركزي.

ونافذة رفع السرية المعجَّلة ومدتها خمسة عشر يومًا عن رأي محكمة FISC بشأن المادة § 702 الصادر في 17 مارس مرّت دون نشر. وانقضاء المادة 702 على بُعد خمسة وعشرين يومًا.

22 مايو، و12 يونيو، و26 يونيو، و30 يونيو، و1 يوليو، و1 يوليو، و2 أغسطس، و21 سبتمبر — الساعات تسير.

وتسمية الالتقاء الإجرائي هي استجابة المساءلة الصحفية. وحزمة أوليّات جانب المستخدم هي استجابة المساءلة التقنية. وهما تسيران بالتوازي.

عملاء مفتوحون. برمجيات ثابتة مفتوحة. مفاتيح عتادية. وسائل نقل مقاومة للحجب. عملة حافظة للخصوصية. ذكاء اصطناعي بالاستدلال المحلي. هوية اتحادية بالإفصاح الانتقائي. خدمات مستضافة ذاتيًا. شبكات متشابكة وأقمار صناعية. مرونة تشفيرية.

وما أغلقه الخميس هو المحاذاة الإجرائية بين نشر الذكاء الاصطناعي المؤسسي، وقالب التعويض عن الذكاء الاصطناعي، والبنية التحتية للمال القابل للبرمجة، والرقابة على المراقبة، على روزنامات متداخلة.

وحزمة أوليّات جانب المستخدم لا تعتمد على أي اتجاه تسير فيه.

URnetwork شبكة تراكبية نِدّية للنقل المقاوم للحجب لا تظهر في سجل مشغّلي الخدمة العامة في أي من التشريعات المسمّاة أعلاه. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية، مجرّدًا النقل عن طبقة المشغّل.

https://ur.io

يوم الثلاثاء 12 مايو 2026، نشرت هيومن رايتس ووتش التقرير المؤلَّف من 54 صفحة بعنوان "Looking the Other Way: EU Failure to Prevent Surveillance Exports to Rights-Abusing Governments" أي «التغاضي: إخفاق الاتحاد الأوروبي في منع صادرات المراقبة إلى حكومات منتهِكة للحقوق». والتقرير متاح على hrw.org/report/2026/05/12/looking-the-other-way.

والنتيجة المركزية في التقرير أن ست دول أعضاء في الاتحاد الأوروبي — بلغاريا وبولندا وفنلندا والدنمارك وإستونيا والتشيك — كانت المصدِّر التجاري الرئيسي لبرمجيات التجسس العاملة بموجب لائحة الاتحاد الأوروبي لعام 2021 بشأن السلع مزدوجة الاستخدام (Regulation EU/2021/821) منذ اعتمادها. وقد استحدثت لائحة 2021 اشتراطات ترخيص لما يصفه النص القانوني بأنه "cyber-surveillance items" أي بنود المراقبة السيبرانية — برمجيات تجسس من فئة Pegasus، ومعدات اعتراض للاتصالات المحمولة، وأجهزة التقاط IMSI، ومنصات الاعتراض المشروع، وبعض معدات القياس عن بُعد للشبكات. وتتولى إدارةَ اشتراط الترخيص السلطةُ المختصة في كل دولة عضو، مع المفوضية الأوروبية وسائر الدول الأعضاء بوصفها أطراف تشاور.

والنتيجة التوثيقية لدى HRW أنه منذ 2021 لم تُعلن أي من الدول الأعضاء الست المسمّاة رفضَ طلب تصدير لـ"cyber-surveillance items" أي بنود المراقبة السيبرانية، رغم شحنات موثَّقة إلى أكثر من عشرين دولة وجهة، منها السعودية والإمارات العربية المتحدة ومصر والمكسيك والمجر وتركيا والهند وإندونيسيا والمغرب والبحرين، ونحو عشر دول أخرى. وقائمة الوجهات مُسقَطة على تصنيفات Freedom House في Freedom in the World 2025 أي «الحرية في العالم 2025»، وعلى التقارير السنوية لوزارة الخارجية الأمريكية Country Reports on Human Rights Practices أي «تقارير الدول عن ممارسات حقوق الإنسان» — والنتيجة أن دول الوجهة هي، في قراءة HRW، الدول نفسها التي وُثّق فيها جنائيًا نشرُ برمجيات التجسس التجارية ضد صحفيين ومحامين وسياسيين معارضين ومدافعين عن حقوق الإنسان.

ويشمل المورّدون المسمّون شركات سبق أن حدّدتها أعمال Citizen Lab ومختبر الأمن في Amnesty International ومشروع Pegasus لدى Access Now — وهي Intellexa (التي لعملياتها التي يوجد مقرها في اليونان شركة تشغيل تشيكية ووسطاء مسجّلون في بلغاريا)؛ وMemento Labs، الاسم الجديد لـHacking Team / RCS Lab، وقد أقرّ مديرها التنفيذي باولو ليتزي في 9 مايو بأن برمجية التجسس التجارية "Dante" المسمّاة في إفصاح Kaspersky عن ForumTroll في 28 أكتوبر 2025 هي منتج شركته؛ وكيانات صورية بلغارية وإستونية لم تُسمَّ من قبل تربطها HRW بإعادة تصدير أدوات من فئة Pegasus.

والإطار البنيوي للتقرير هو أن لائحة الاتحاد الأوروبي لعام 2021 نمر من ورق. فالإطار المنسَّق يشترط الترخيص على مستوى الدولة العضو، لكنه لا يشترط معايير رفض موحّدة، ولا فحصًا حقوقيًا موحّدًا، ولا تحققًا موحّدًا من الاستخدام النهائي، ولا إبلاغًا علنيًا موحّدًا. واللائحة تلزم الدول الأعضاء بإبلاغ المفوضية بالصادرات، لكن التقارير المجمّعة لدى المفوضية متأخرة نحو ثلاث سنوات ولا تسمّي الوجهات ولا الجهات المتلقّية.

وتشمل توصيات HRW: اشتراط فحص حقوقي مُلزِم عند مرحلة الترخيص لدى الدولة العضو؛ وسجلًا عامًا بطلبات التصدير المرفوضة؛ وقائمة رفض موحّدة تقودها المفوضية؛ وتدقيقًا إلزاميًا للاستخدام النهائي عبر تحقق مستقل؛ ووقفًا مؤقتًا لصادرات برمجيات التجسس التجارية إلى الدول المصنَّفة "Not Free" أي «غير حرة» على مؤشر Freedom House.

ويسمّي التقرير ست عواصم أوروبية: صوفيا (بلغاريا)، ووارسو (بولندا)، وهلسنكي (فنلندا)، وكوبنهاغن (الدنمارك)، وتالين (إستونيا)، وبراغ (التشيك).

ما كان عليه 12 مايو

هذا هو اليوم التالي لليوم الذي انقضت فيه الساعات الأربع في العدد 06. والمراجعة الاستعادية بنيوية.

رأي محكمة FISC بشأن المادة 702 لم يُنشر. فرغم اتفاق وايدن / كوتون / وارنر في منتصف أبريل الذي أرسى هدف نشر بأمر من المحكمة في 12 مايو لرأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس 2026 بشأن ممارسات مكتب التحقيقات الاتحادي في الاستعلام بموجب المادة 702، فإن مراجعة رفع السرية ما زالت جارية. والرأي ما زال مصنّفًا سريًا. وانقضاء المادة 702 صار الآن على بُعد ثلاثين يومًا — في 12 يونيو 2026. وقد واصل مكتب التحقيقات الاتحادي العمل بموجب ثاني إعادة ترخيص ترقيعية قصيرة الأجل للمادة 702 حتى موعد الانقضاء، مع بقاء ممارسة الاستعلام الاسترجاعي — التي يُفهم أن رأي محكمة FISC يتناولها — سارية تشغيليًا على أساس الأشخاص الأمريكيين داخل قاعدة بيانات الاستخبارات الأجنبية. وأصدرت مكاتب وايدن وكوتون ووارنر بيانات مشتركة في وقت متأخر من 12 مايو تعرب عن القلق من أن رأي محكمة FISC لم يُتَح للعموم في موعده؛ ووصف رئيس لجنة الاستخبارات في مجلس الشيوخ مارك وارنر هذا التخلّف بأنه «لا يتوافق مع التزامات الرقابة العامة التي قُطعت خلال نقاش التجديد في الربيع».

ثلاثاء الترقيع لدى Microsoft نزل بـ137 ثغرة وصفر ثغرات يوم صفر — وهو أول ثلاثاء ترقيع خالٍ من ثغرات يوم صفر منذ يونيو 2024. وتشمل الثغرات الأبرز CVE-2026-41089 (تنفيذ شيفرة عن بُعد في Netlogon، بدرجة CVSS قدرها 9.8)، وCVE-2026-41096 (تنفيذ شيفرة عن بُعد في عميل DNS، بدرجة CVSS قدرها 9.8)، وCVE-2026-42898 (تنفيذ شيفرة عن بُعد في Dynamics 365، بدرجة CVSS قدرها 9.9)، وCVE-2026-41097 (تجاوز لـSecure Boot يعمل أيضًا جزءًا من التهيئة المتدرّجة لمنحدر الشهادات قبل انتهاء صلاحية شهادة UEFI لـSecure Boot في 26 يونيو). وأطّرت Microsoft هذه الدورة بأنها «أهدأ ثلاثاء ترقيع في السنة»، مع بيانات قياس Defender Cloud التي تُظهر صفر حالات استغلال في البرية عبر قائمة ثغرات 12 مايو.

Foxconn أكّدت فدية Nitrogen في اليوم نفسه، 12 مايو. والإفصاح: ثمانية تيرابايت ونحو أحد عشر مليون ملف مسرَّبة. وتزعم جماعة الابتزاز Nitrogen أن المخزون يتضمن بيانات مشاريع لـIntel وApple وNvidia وGoogle وDell — رسومات المصنّع المتعاقد، ومواصفات هندسية للموردين، وجداول مشاريع داخلية، وسلاسل بريد إلكتروني غير محجوبة. وتعطّلت مصانع Foxconn في أمريكا الشمالية نحو أسبوع انتهى في 9 مايو. والدلالة أن طبقة المصنّع المتعاقد مُجمِّع عابر للعملاء — فاختراق واحد يبلغ محيطات عدة عملاء من مصنّعي المعدات الأصلية في آن، كما بلغ خرقُ العدادات الذكية لدى Itron كلَّ عميل مرافق لكل مرفق يستعمل Itron (العدد 06).

Instructure دفعت لـShinyHunters قبل يوم من مهلة 12 مايو. ففي 11 مايو، حوّلت Instructure بحسب التقارير مبلغًا لم يُفصَح عنه علنًا، مقابل ما سمّته ShinyHunters "shred logs" أي سجلات إتلاف للمخزون البالغ 3.65 إلى 6.65 تيرابايت. ويغطي المخزون نحو 275 مليون سجل عبر 8,809 مؤسسات تعليمية. وهذه أول دفعة فدية كبرى في قطاع التعليم الأمريكي لجماعة ابتزاز مسمّاة على خرق بهذا الحجم. وأعلنت اللجنة الفرعية للأمن السيبراني وتقنية المعلومات والابتكار الحكومي في مجلس النواب الأمريكي عقد جلسة استماع في 18 مايو لبحث "the operational and policy implications of education-sector ransom payments to extortion groups" أي التداعيات التشغيلية والسياساتية لدفعات الفدية في قطاع التعليم لجماعات الابتزاز.

ابتزاز Sysco / Qilin ما زال دون حسم. فقد نشرت Qilin ثلاث عينات من وثائق داخلية في 12 مايو إثباتًا للوصول. ولم يُؤكَّد أي دفع. ولم يُفرَج عن أي تسريب كامل. ولم تُودَع بعدُ حتى اليوم، 13 مايو، إفصاحات Sysco عن حادث الأمن السيبراني بموجب Item 1.05 من النموذج 8-K لدى هيئة الأوراق المالية والبورصات.

اليوم

اليوم، 13 مايو 2026، شحنت Palo Alto إصلاح PAN-OS رقم CVE-2026-0300.

متأخرًا أربعة أيام.

فمهلة وكالة الأمن السيبراني وأمن البنية التحتية الطارئة الخاصة بالثغرات المعروفة المستغَلة لوكالات الفرع التنفيذي المدني الاتحادي كانت 9 مايو — أي اليوم السابق للسبت الماضي. وأمضت عمليات تقنية المعلومات الاتحادية فجوة الأيام الأربعة في نشر تخفيفات تقتصر على التهيئة في الجدران النارية المكشوفة على الإنترنت: تعطيل مكوّن User-ID، وتقييد كشف Captive Portal، ونزع الجدران النارية المحيطية من المسار العام كليًا. وإصلاح Palo Alto — الصادر لـPAN-OS 11.1.x و10.2.x بوصفه ترقيعات إصلاح عاجل — يغلق تجاوز سعة المخزن المؤقت غير المصادَق عليه الذي كان ينتج تنفيذ شيفرة عن بُعد بصلاحيات الجذر.

وفجوة الأيام الأربعة هي أشدّ وتيرة مهل للثغرات المعروفة المستغَلة في تاريخ التوجيه التشغيلي المُلزِم 22-01 لدى CISA. فقد عمل الفرع التنفيذي المدني الاتحادي أربعة أيام على تخفيفات التهيئة لأن ترقيع المورّد لم يكن قد وُجد بعد. وكانت ساعة التنظيم بنيويًا سابقة لساعة ترقيع المورّد.

واليوم أيضًا هو اليوم السابع من Dirty Frag. فالشق CVE-2026-43500 (نواة Linux، وحدة RxRPC) من سلسلة Dirty Frag التي أفصح عنها هيونوو كيم في 7 مايو ما زال بلا ترقيع. وقد صمد تأكيد مدونة Microsoft Security في 8 مايو للاستغلال في البرية: الاستغلال النشط مستمر. ويُظهر سجل الإيداعات في kernel.org لنظام رخصة rxrpc الفرعي ثلاثة ترقيعات في نافذة 9-12 مايو تعالج مشكلات ذات صلة لكنها لا تغلق تحديدًا ثغرة الاستخدام بعد التحرير في مسار rxrpc_io_thread الذي تستغلّه السلسلة. والحل في المنبع ما زال معلَّقًا. أما النقلات على مستوى التوزيعات — Ubuntu وRHEL وCentOS Stream وAlmaLinux وopenSUSE Tumbleweed وFedora — فلم تُشحن.

والنمط: «أهدأ ثلاثاء ترقيع في السنة» يتعايش مع استغلال نشط في البرية لثغرة تصعيد امتيازات محلي عالمية في Linux بلا ترقيع، ومع تأكيد Foxconn تسريب ثمانية تيرابايت بفدية في اليوم نفسه، ومع شحن Palo Alto إصلاحًا حرجًا لتنفيذ شيفرة عن بُعد في جدار ناري طرفي بعد أربعة أيام من مهلة الامتثال الاتحادية. والواقع التشغيلي عبر المنظومة أن دورات ترقيع المورّدين ما زالت متأخرة عن دورة التهديد وعن دورة المنظّم.

غدًا

غدًا، 14 مايو 2026، تحلّ ساعتان.

القاضية Araceli Martínez-Olguín تعقد جلسة النزاهة في قضية Bartz v. Anthropic الساعة 9:00 صباحًا بتوقيت المحيط الهادئ في القاعة 12 من محكمة سان فرانسيسكو الاتحادية. وتغطي تسوية الـ1.5 مليار دولار نحو 500,000 عمل محمي بحقوق نشر مسجَّلة بنحو 3,000 دولار للعمل الواحد. وتشير الاعتراضات المودَعة في أبريل والتي رُفعت عنها السرية إلى ثلاثة مواطن قلق بنيوية:

• استثناء الأعمال الأجنبية. بنية التسوية محدودة بالتسجيل لدى مكتب حقوق النشر الأمريكي. وكثير من المؤلفين الذين ابتُلعت أعمالهم في مدوّنة تدريب Anthropic يحملون جنسيات غير أمريكية وسجّلوا حقوق نشرهم بموجب نظام ولايتهم القضائية الأصلية. ويحاجّ الاعتراض بأن استثناء الأعمال الأجنبية يخلق كونًا مطالِبًا منقوص العدّ، وبأن بنية التسوية ينبغي أن تتوسع لتشمل الكون المسجَّل في الخارج.

• نقص العدّ في التسجيل الجماعي. كثير من الأعمال الأمريكية المسجَّلة مسجَّلٌ تسجيلًا جماعيًا ضمن بنى تأليف جماعية (مختارات، ودوريات، ومواد دراسية). وبنية التسوية تنسب العائد لكل عمل إلى المطالِب المسجَّل، وهو في حالات التسجيل الجماعي قد يكون ناشرًا أو صاحب حقوق مؤسسيًا لا المؤلفين الأصليين. ويحاجّ الاعتراض بأن هذا يخلق انحيازًا إلى الناشرين في توزيع التسوية.

• الإشعار القسري. نافذة الانسحاب من تسوية الدعوى الجماعية قصيرة قياسًا إلى الصعوبة البنيوية في تحديد ما إذا كان عمل مؤلف بعينه مشمولًا في مدوّنة تدريب Anthropic. ويحاجّ الاعتراض بأن الإشعار قسري بمعنى أن المؤلفين الذين يتعذّر عليهم تحديد الشمول داخل النافذة يصيرون مشمولين تلقائيًا ويفقدون حقهم في رفع دعاوى انتهاك فردية.

ونتيجة الجلسة ستضع سابقة لبنى التسوية الموازية بشأن بيانات تدريب الذكاء الاصطناعي التي سيلزم أن تتفاوض بشأنها أو تتقاضى فيها OpenAI وGoogle وMeta وCohere وMistral والمنظومة مفتوحة المصدر. فإن أقرّت القاضية Martínez-Olguín البنية صارت هي القالب. وإن لم تُقرّها عاد القالب إلى التفاوض.

البنك المركزي الأوروبي يغلق باب التقدّم لمزوّدي خدمات الدفع لليورو الرقمي الساعة 17:00 بتوقيت وسط أوروبا الصيفي. وقد نُشرت دعوة التقدّم في 5 مارس 2026. وأشار البنك المركزي الأوروبي إلى أنه سيختار ما بين عشرة وثلاثين مزوّد خدمة دفع لتجربة مدتها اثنا عشر شهرًا تبدأ في النصف الثاني من 2027. واليورو الرقمي مصمَّم بوصفه عملة تجزئة يصدرها البنك المركزي وقابلة للبرمجة. وعنصر «قابلية البرمجة» ("programmable") يعني أن مزوّدي خدمات الدفع يمكنهم فرض حدود وشروط وقابلية تتبّع على المعاملات الفردية برمجيًا عند طبقة البروتوكول.

والإطار التنظيمي المرافق: تدخل MiCA حيّز الإنفاذ الكامل في 1 يوليو 2026، حين يجب على أي مزوّد خدمات أصول مشفَّرة غير مرخَّص يخدم عملاء في الاتحاد الأوروبي أن يوقف عملياته. وبند العتبة الصفرية في قاعدة السفر ساري المفعول منذ ديسمبر 2024، ويشترط بيانات كاملة عن المُحيل والمستفيد في كل تحويل لدى مزوّدي خدمات الأصول المشفَّرة. وتبلغ العقوبات بموجب MiCA 12.5% من إجمالي رقم الأعمال السنوي العالمي مع مسؤولية شخصية على التنفيذيين.

وأصدرت هيئة الأوراق المالية والبورصات ولجنة تداول السلع الآجلة تفسيرًا مشتركًا في 17 مارس 2026 يسمّي صراحةً Bitcoin وEthereum وSolana وXRP وChainlink سلعًا رقمية — أي أن وضوح التنظيم الأمريكي للعملات المشفَّرة جاء في الشهر نفسه الذي تتشكّل فيه رسميًا البنية التنظيمية الأوروبية لليورو القابل للبرمجة.

والمقابل في جانب المتلقّي، حيث تجري ساعات السياسات على وتيرة غير متساوية، هو حزمة الأوليّات مفتوحة الأساس.

الدول المتلقّية

يسمّي تقرير HRW المصدِّرين. أما الدول المتلقّية فهي حيث تُنشر الأدوات المصدَّرة. واليوم، صورة الدول المتلقّية هي:

إيران. اليوم 75 من الانقطاع. وهو أطول انقطاع إنترنت مسجَّل. ويوثّق تقرير Iran HRM الصادر في 9 مايو بعنوان "Infrastructure of Silence" أي «بنية الصمت» طبقةَ شرائح SIM البيضاء "Internet Pro" التي تصدرها شركة الاتصالات المتنقلة الإيرانية (MCI) المرتبطة بالحرس الثوري — وهي طبقة شرائح على قائمة بيضاء تمنح وصولًا إلى مجموعة منتقاة من المواقع المعتمدة من الدولة والخدمات الحكومية. أما شرائح المستوى الثاني (وهي الافتراضية) فتفقد الوصول إلى الإنترنت العالمية كليًا. والخسارة الاقتصادية نحو 35.7 مليون دولار يوميًا؛ والخسارة التراكمية منذ بداية 30 يناير نحو 5.2 مليار دولار. ويصف تحقيق CNN المطوّل في 10 مايو عن "Internet Pro" أوقات انتظار في مكاتب تحويل الشرائح بطهران تتراوح بين ثلاث وأربع ساعات، وظهور سوق رمادية موازية لإعادة بيع شرائح المستوى الأول المحوَّلة بأسعار مرتفعة.

روسيا. قانون كشف VPN عبر مزودي الخدمة الصادر في 15 أبريل 2026 ساري التشغيل. وYandex وVK وSberbank وGosuslugi كلها تحجب حركة البيانات المنفّقة عبر VPN عند طبقة التطبيق — وهو تكليف منسَّق للمنصات الخاصة الكبرى بإنفاذ اشتراط كشف VPN. وقد تدحرجت عمليات قطع المحمول قبيل عيد النصر عبر أكثر من 21 مقاطعة من 4 مايو حتى 9 مايو، وبلغت ذروتها بقطع كامل للمحمول والرسائل القصيرة في موسكو في 9 مايو. وتعطّلت أجهزة الصراف الآلي في المناطق المتأثرة لأنها تعتمد على النقل الخلوي. أما تبرير روسكومنادزور — الدفاع ضد ضربات المسيّرات — فقد اعترضت عليه صحافة Meduza المستقلة في المنفى، وهي تلاحظ أن تنسيق المسيّرات يستعمل بروتوكولات تحكم FPV مخصصة لا الصوت أو الرسائل القصيرة عبر GSM.

باكستان. سجّلت وكالة NCCIA في البنجاب 41 قضية واعتقلت 13 من الصحفيين والمدوّنين والناشطين بموجب تعديلات قانون منع الجرائم الإلكترونية بين 3 مايو و7 مايو. وسجّل تقرير مؤسسة الصحافة الباكستانية في 5 مايو 233 حادثة تتعلق بحرية الصحافة من يناير 2025 حتى أبريل 2026.

بوركينا فاسو. وثّق تقرير مراسلون بلا حدود في 6 مايو الاحتجاز السري للصحفي أتيانا سيرج أولون في منشأة سرية بواغادوغو، حيث أكّدت Le Monde وواشنطن بوست وAfricanews أنه ضُرب بأغصان الشجر على مدى أسابيع. وحلّ بوركينا فاسو 118 منظمة غير حكومية في 15 أبريل، وتعليق النيجر 2,900 من أصل 4,700 منظمة غير حكومية مسجَّلة في 23 أبريل، يؤطّران انكماش الحيّز المدني في الساحل.

تنزانيا. تقرير لجنة التحقيق في عنف ما بعد انتخابات أكتوبر 2025 — والذي أكّد كشف Amnesty International في 23 أبريل أنه سجّل 518 قتيلًا و2,390 مصابًا خلال انقطاع كامل للإنترنت دام خمسة أيام — ما زال محجوبًا رسميًا من الحكومة التنزانية. وينتقد تقرير هيومن رايتس ووتش في 5 مايو بعنوان "Missed Opportunity" أي «فرصة ضائعة» استمرار الحجب. وX ما زال معلّقًا في تنزانيا.

مصر والإمارات والسعودية والبحرين والمغرب. الدول العربية الخمس الوجهة المسمّاة في تقرير HRW تواصل العمل بوصفها بيئات نشر لبرمجيات التجسس التجارية على نطاق واسع. ويغطي توثيق Citizen Lab ومختبر الأمن في Amnesty ومشروع Pegasus لدى Access Now منذ 2018 آلاف الأجهزة المستهدَفة في هذه الولايات القضائية.

والدول المتلقّية لا تملك بدائل عند طبقة المشغّل. ومستخدم الدولة المتلقّية لا يملك وصولًا إلى المنظّم الذي يستطيع الترخيص لطلب التصدير الأوروبي أو رفضه. ومستخدم الدولة المتلقّية هو هدف النشر.

والمقابل المعماري هو حزمة الأوليّات التي يتحكم فيها المستخدم.

جانب المستخدم

تسمية المصدِّر مساءلة تنظيمية. وحزمة الأوليّات التي يتحكم فيها المستخدم هي استجابة المساءلة التقنية. وهما يجريان بالتوازي.

عملاء مفتوحون بمفاتيح يحتفظ بها المستخدم. Signal، وTuta، وProton، وThreema، وBriar 1.5.17 (إصدار 12 مارس 2026 — يعمل فوق البلوتوث وWi-Fi وTor؛ ويؤدي وظيفته أثناء عمليات قطع الشبكة)، وCwtch، وSession، وخادم Matrix المنزلي. وحيث لا تملك الدولة المتلقّية وصولًا إلى المنظّم الأوروبي، يملك مستخدم الدولة المتلقّية وصولًا إلى عملاء مفتوحي المصدر بمفاتيح تعمية يحتفظ بها المستخدم. وقد أثبت إنهاء Meta للتعمية طرفًا إلى طرف في Instagram في 8 مايو أن حتى التعمية طرفًا إلى طرف القائمة يمكن انتزاعها تنظيميًا من منصة كبرى. أما العملاء المفتوحون بمفاتيح يحتفظ بها المستخدم فليس لديهم السطح المعماري لهذا الإكراه.

برمجيات ثابتة مفتوحة على شرائح قابلة لفحص المستخدم. GrapheneOS، وCalyxOS (بناء اختباري على Android 16 صدر في 4 مايو 2026)، و/e/OS، وLineageOS، وOpenWRT. وقد وثّق تقرير Citizen Lab المعنون "Bad Connection" أي «اتصال سيّئ» في 23 أبريل حملتَي مراقبة على جانب المشغّل — STA1 لتخفيض Diameter إلى SS7 عبر تسع دول، وSTA2 لهجوم SIMjacker بصفر نقرة عبر تطبيق شريحة المتصفح القديم S@T — وهما غير مرئيتين لـMobile Verification Toolkit وiVerify وLookout. وإقرار المدير التنفيذي لـMemento Labs في 9 مايو بأن برمجية التجسس التجارية "Dante" هي منتج شركته أكّد الواقع على جانب الجهاز. والأجهزة المحمولة ذات البرمجيات الثابتة المفتوحة تكشف سلوك الذاكرة المؤقتة وقاعدة بيانات الإشعارات لفحص المستخدم. أما أنظمة التشغيل ذات البرمجيات الثابتة المغلقة فلا تفعل.

مصادقة FIDO2 العتادية. في 7 مايو 2026 — اليوم العالمي لمفاتيح المرور لدى تحالف FIDO — نشر التحالف أن خمسة مليارات مفتاح مرور قد نُشرت عبر المنظومة العالمية. وشحنات YubiKey وNitrokey وSoloKey مستمرة. وقد شحنت Yubico أكثر من 30 مليون مفتاح عتادي مدى الحياة. وأضافت OpenAI مفاتيح المرور والمفاتيح العتادية إلى ChatGPT في 4 مايو مع عبوة مزدوجة مشتركة العلامة من YubiKey C NFC / C Nano بنحو 68 دولارًا. وبيانات الاعتماد المرتبطة بالعتاد تنجو من اختراق شريحة SIM؛ وهجمات المشغّلين الأشباح عبر SS7 وDiameter لا تعبر إلى الحسابات المحمية بمفتاح عتادي لأن العامل الثاني لا يعيش على الشريحة.

وسائل نقل مقاومة للحجب. Tor Browser 15.0.13 الصادر في 7 مايو 2026. وV2Ray VLESS+Reality. وShadowsocks-2022. وTrojan. وWireGuard مع obfsproxy. والشبكة التراكبية النِدّية لـURnetwork. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات VPN فوق الشبكة التراكبية النِدّية، مجرّدًا النقل عن طبقة المشغّل كليًا. وطبقة "Internet Pro" في إيران وقانون كشف VPN في روسيا الصادر في 15 أبريل هما نموذج التهديد.

عملات حافظة للخصوصية على أوليّات حفظ المستخدم. Bitcoin BIP324 v2 مفعّل افتراضيًا منذ Core 27.0؛ وأغلبية حركة الند للند في Bitcoin عالميًا صارت الآن معمّاة. والمدفوعات الصامتة BIP352 (Core 28.0 فما فوق) في نشر نشط. وMonero في تدقيق Trail of Bits نشط لـFCMP++؛ وقد بدأ التدقيق في 11 مايو ويمتد حتى 22 مايو. ويستبدل FCMP++ بالتواقيع الحلقية إثباتات عضوية على كامل السلسلة تكون مجموعة إخفاء الهوية فيها هي مجموعة UTXO بأكملها — أي أكثر من 150 مليون مخرَج معاملة عند بدء التدقيق. واكتملت المرحلة 5 من Zcash Crosslink وفق ملخص ZecHub في 10 مايو.

ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم. DeepSeek V4 Pro (صدر مرخَّصًا بـMIT في 22 أبريل، 1.6 تريليون معامل / 49 مليار نشط، سياق مليون رمز، 80.6 بالمئة على SWE-Bench Verified). وMistral Medium 3.5 (29 أبريل، 128 مليار معامل). وQwen 3.6 Max Preview (27 أبريل). وGLM-5.1 (7-8 أبريل، 744 مليار بخليط الخبراء، ومتصدّر مدخلات المفتوح المصدر على LMArena). وOpenAI Privacy Filter (22 أبريل، رخصة Apache 2.0، 1.5 مليار معامل إجمالي / 50 مليون نشط، قابل للتشغيل في المتصفح عبر transformers.js مع WebGPU). وحيث لا سجل لدى طرف ثالث، لا يوجد ما يُستدعى قضائيًا. وإطلاق OpenAI Deployment Company في 11 مايو وإتاحة Anthropic Claude Cowork عمومًا في 12 مايو هما النشر المؤسسي للذكاء الاصطناعي الوكيلي داخل مستوى إدارة الهوية والأجهزة القائم على SCIM / OpenTelemetry / Intune. والمقابل في جانب المستخدم للنشر المؤسسي للذكاء الاصطناعي هو الذكاء الاصطناعي بالاستدلال المحلي على حوسبة يتحكم فيها المستخدم.

هوية اتحادية بالإفصاح الانتقائي. بيانات الاعتماد القابلة للتحقق 2.0 من W3C (بحالة توصية في مايو 2025)؛ والإفصاح الانتقائي BBS+ في eIDAS 2.0 (الإنهاء في IETF قيد التقدم)؛ وPrivacy Pass؛ ومجموعة عمل بيانات الاعتماد القابلة للتحقق في W3C العاملة بموجب ميثاق جديد صدر في أبريل 2026 يستهدف توصيتَي Render Method وConfidence Method في سبتمبر 2026؛ ومهلة نشر محفظة الهوية الرقمية الأوروبية في ديسمبر 2026 (على جميع الدول الأعضاء الـ27 توفيرها). ومهلة CURP Biométrica المكسيكية في 30 يونيو — التي تربط نحو 127 مليون خط محمول بالوجه والبصمة وقزحية العين — هي نموذج التهديد.

خدمات مستضافة ذاتيًا. خادم Matrix المنزلي، وForgejo، وMailcow، وJitsi، وNextcloud، وMautic، وSuiteCRM، وMoodle المجتمعي، وOpen edX. والاتحاد يحدّ من نطاق انفجار أي اختراق لمورّد واحد. وفدية Canvas / Instructure ذات المحيط الواحد الشاملة 8,809 مؤسسات هي نموذج التهديد — فالاتحاد ليس لديه انكشاف بمحيط واحد لمورّد واحد.

شبكات متشابكة وأقمار صناعية عند طبقة المشغّل. Briar، وBridgefy، وMeshtastic، وReticulum، وGoTenna PRO، وStarlink. وطبقة "Internet Pro" في إيران، وانقطاع الكهرباء عن أبراج الخرطوم في السودان، وقطع الاتصال في 21 مقاطعة روسية قبيل عيد النصر — كلها نموذج التهديد. ونتيجة لجنة التحقيق في تنزانيا بـ518 قتيلًا هي المرساة الأخلاقية.

مرونة تشفيرية قبل انقضاء FIPS 140-2 في 21 سبتمبر. معايير ML-KEM (FIPS 203) وML-DSA (FIPS 204) وSLH-DSA (FIPS 205) سارية منذ أغسطس 2024. والنشر الاستباقي للأوليّات الآمنة ما بعد الكمّ هو السبيل الوحيد عبر انقضاء FIPS دون التراجع إلى حالة غير معتمدة.

الساعات الجارية

| التاريخ | الحدث | |---|---| | 13 مايو، اليوم | إصدار إصلاح Palo Alto PAN-OS رقم CVE-2026-0300 (بعد 4 أيام من مهلة FCEB) | | 14 مايو | جلسة النزاهة في Bartz v. Anthropic (1.5 مليار دولار)؛ إغلاق باب تقدّم مزوّدي خدمات الدفع لليورو الرقمي | | 18 مايو | جلسة اللجنة الفرعية في مجلس النواب الأمريكي بشأن دفعة فدية Canvas | | 19 مايو | امتثال المنصات للإزالة خلال 48 ساعة بموجب قانون TAKE IT DOWN | | 22 مايو | انتهاء تدقيق Trail of Bits لـMonero FCMP++ | | 26 مايو | إغلاق استشارة قانون السلامة على الإنترنت البريطاني | | 27 مايو | الاجتماع السنوي لـMeta (مقترح NLPC بشأن خصوصية الذكاء الاصطناعي) | | 12 يونيو | انقضاء المادة 702 | | 26 يونيو | انتهاء صلاحية شهادة UEFI لـSecure Boot لدى Microsoft | | 30 يونيو | مهلة CURP Biométrica في المكسيك | | 1 يوليو | تفعيل واجهة Apple Declared Age Range API في لويزيانا؛ الإنفاذ الكامل لـMiCA على مزوّدي خدمات الأصول المشفَّرة | | 2 أغسطس | تفعيل صلاحيات الإنفاذ الخاصة بالذكاء الاصطناعي عام الغرض في قانون الذكاء الاصطناعي الأوروبي | | 2 ديسمبر 2026 | الامتثال للمادة 5 من قانون الذكاء الاصطناعي الأوروبي (حظر CSAM / NCII) وفق Digital Omnibus | | 21 سبتمبر | اعتمادات FIPS 140-2 → تاريخية (انقضاء PQC) | | 5-12 أكتوبر | إعادة محاكمة رومان ستورم في قضية Tornado Cash | | ديسمبر 2026 | مهلة نشر محفظة الهوية الرقمية الأوروبية (27 دولة عضوًا) | | 2 ديسمبر 2027 | التزامات المخاطر العالية في الملحق III من قانون الذكاء الاصطناعي الأوروبي (مؤجَّلة من أغسطس 2026) | | 2 أغسطس 2028 | التزامات المخاطر العالية في الملحق I من قانون الذكاء الاصطناعي الأوروبي (مؤجَّلة من أغسطس 2026) |

خاتمة

صوفيا. وارسو. هلسنكي. كوبنهاغن. تالين. براغ.

ست عواصم أوروبية صارت الآن مسمّاة في تقرير لهيومن رايتس ووتش بوصفها المصدِّر التجاري الرئيسي لبرمجيات التجسس العاملة بموجب لائحة السلع مزدوجة الاستخدام الأوروبية الفاشلة لعام 2021. وأكثر من عشرين دولة وجهة — السعودية والإمارات ومصر والمكسيك والمجر وتركيا والهند وإندونيسيا والمغرب والبحرين وعشر دول أخرى أو أكثر — تتلقّى الصادرات.

بالأمس كان الثلاثاء الذي كتبنا عنه يوم السبت. ورأي محكمة FISC لم يُنشر. وCanvas دفعت. وSysco عالقة. وFoxconn أكّدت ثمانية تيرابايت. وثلاثاء الترقيع كان هادئًا لكن Dirty Frag ما زالت تجري وإصلاح Palo Alto شُحن اليوم، متأخرًا أربعة أيام.

وغدًا تبتّ القاضية Martínez-Olguín في تسوية الـ1.5 مليار دولار التي ستصير أو لا تصير قالبًا لكيفية التعويض عن بيانات تدريب الذكاء الاصطناعي. وغدًا يغلق البنك المركزي الأوروبي نافذة التقدّم لمزوّدي خدمات الدفع لليورو الرقمي.

والدول المتلقّية — إيران في اليوم 75، وروسيا عند 21 مقاطعة، وباكستان بـ13 اعتقالًا، وبوركينا فاسو بفيلا واغادوغو، وتنزانيا باللجنة المحجوب تقريرها، ومصر والإمارات والسعودية والبحرين والمغرب عند الطرف المتلقّي لخط صوفيا-وارسو-هلسنكي-كوبنهاغن-تالين-براغ — لا تملك وصولًا إلى المنظّم الأوروبي. ومستخدموها لا يملكون بديلًا عند طبقة المشغّل.

وحزمة الأوليّات التي يتحكم فيها المستخدم هي الاستجابة المعمارية.

عملاء مفتوحون. برمجيات ثابتة مفتوحة. مفاتيح عتادية. وسائل نقل مقاومة للحجب. عملة حافظة للخصوصية. ذكاء اصطناعي بالاستدلال المحلي. هوية اتحادية بالإفصاح الانتقائي. خدمات مستضافة ذاتيًا. شبكات متشابكة وأقمار صناعية. مرونة تشفيرية.

تسمية المصدِّر مساءلة. وحزمة الأوليّات هي المساءلة الأخرى.

وكلتاهما تجري.

يوم الثلاثاء 12 مايو 2026، تنتهي أربع ساعات منفصلة في اليوم نفسه.

الأولى أمر قضائي. ففي 17 مارس 2026 أصدرت محكمة مراقبة الاستخبارات الأجنبية — المحكمة نفسها التي ظلّت خمسة عشر عامًا صاحبة السلطة القانونية على مراقبة مكتب التحقيقات الفيدرالي بموجب المادة 702 من قانون مراقبة الاستخبارات الأجنبية — رأيًا في ممارسات المكتب الاستعلامية. وبحسب ما أظهره السيناتور وايدن علنًا في 27 أبريل، فإن الرأي مُلزَم بأمر قضائي أن يصير علنيًّا بحلول 12 مايو. المهلة ستون يومًا. والثلاثاء هو اليوم الستّون. وسيُحجب جزء من الرأي قبل نشره، لكن الحجب نفسه تحكمه المحكمة، لا السلطة التنفيذية.

والثانية دورة ترقيعات أمنية. فـ«ثلاثاء الترقيعات» لدى Microsoft — أي إصدار 12 مايو من التحديثات الأمنية التراكمية — يحلّ فيما يصفه متتبّع الثغرات لدى Zecurit بأنه «آخر نافذة نشر مريحة» قبل انتهاء صلاحية شهادة Microsoft Secure Boot UEFI العريقة في 26 يونيو 2026، وهي الشهادة التي ظلّت منذ 2012 تسلسل سلامة الإقلاع لمليارات تنصيبات Windows. وشهادة Secure Boot ليست عيبًا برمجيًّا. إنها جذر الثقة التعموي لسلامة الإقلاع المرتكزة على العتاد. واستبدالها يقتضي تغييرات على مستوى البرامج الثابتة في مئات الملايين من الأجهزة، والنافذة التشغيلية المتاحة قبل 26 يونيو ضغطتها فرق تقنية المعلومات تدريجيًّا مع انزلاق مشروع استبدال الشهادة عبر الربع الأول إلى الربع الثاني.

والثالثة مهلة فدية. ففي 8 مايو 2026 حدّدت جماعة الابتزاز ShinyHunters مهلة جديدة تنتهي بنهاية يوم 12 مايو لشركة Instructure، مشغّلة Canvas — نظام إدارة التعلّم الذي تستخدمه 8,809 مؤسسات حول العالم، وهو، بحسب متتبّع ويكيبيديا، أكبر اختراق أمني في قطاع التعليم على الإطلاق. الكنز المزعوم: 3.65 تيرابايت، ونحو 275 مليون سجلّ، تشمل رسائل خاصة بين الطلاب والمعلّمين، ودرجات، وسجلّات سلوك. أما تشويه نحو 330 صفحة دخول في Canvas يومَي 6 و7 مايو — عبر مسار Free-For-Teacher — فكان إثبات النفاذ. ولم تدفع Instructure حتى 9 مايو.

والرابعة مهلة فدية أيضًا. ففي 6 مايو 2026 نشرت جماعة الفدية Qilin اسم Sysco — أكبر موزّع خدمات غذائية في العالم، الذي يمدّ المطاعم والفنادق والمستشفيات والمدارس والسجون والقواعد العسكرية — مع مهلة تنتهي في 12 مايو. وتبلغ إيرادات Sysco السنوية نحو 77 مليار دولار، وهي تشغّل سلسلة التبريد الغذائي لنحو خمسة عشر في المئة من سوق الأغذية المؤسسية في الولايات المتحدة. وأُرفقت وثائق داخلية كدليل.

هذه ليست أربعة أحداث مترابطة. إنها أربعة أحداث غير مترابطة وصلت إلى الثلاثاء نفسه.

اليوم

اليوم هو السبت 9 مايو 2026. وللتقويم السيبراني الفيدرالي مهلة منفصلة اليوم.

ففي 6 مايو 2026 أضافت وكالة الأمن السيبراني وأمن البنية التحتية الثغرة CVE-2026-0300 في Palo Alto PAN-OS إلى فهرس الثغرات المستغَلّة المعروفة. والعيب — تجاوز سعة مخزن مؤقّت دون مصادقة في User-ID / Captive Portal، بدرجة CVSSv4 تبلغ 9.3 — ينتج تنفيذ شيفرة عن بُعد بصلاحيات الجذر على عتاد الجدران النارية من سلسلتَي PA وVM. والمهلة المقرّرة بموجب التوجيه التشغيلي المُلزِم 22-01 لكي تعالج الوكالات المدنية في السلطة التنفيذية الفيدرالية الثغرة هي اليوم، 9 مايو.

أما إصلاح Palo Alto من جهة المورّد فمقرّر في 13 مايو. ومهلة الوكالة تسبق إصلاح المورّد بأربعة أيام.

هذه أشرس مهلة أصدرتها الوكالة ضمن فهرس الثغرات المستغَلّة المعروفة في تاريخ برنامج التوجيه 22-01 الممتدّ أربع سنوات. والمعنى التشغيلي أن الوكالات المدنية الفيدرالية لا تستطيع تثبيت ترقيع. فهي مطالَبة، بحلول السبت، بنشر إجراءات تخفيف قائمة على الضبط وحده — تعطيل مكوّن User-ID أو خاصية Captive Portal، أو تقييد الوصول الإداري إلى شبكات غير متّصلة بالإنترنت، أو إخراج الجدار الناري من المحيط كلّيًّا — على الجدران النارية الطرفية المعرَّضة للإنترنت. وعلى امتداد السلطة التنفيذية المدنية الفيدرالية، هذه عدّة مئات من الأجهزة المسمّاة على الأقلّ. إجراء التخفيف من جهة المنظِّم؛ والترقيع من جهة المورّد؛ والمستخدم (وهو هنا العمليات التقنية الفيدرالية) بينهما.

وفي 8 مايو 2026 أضافت الوكالة مدخلًا ثانيًا. فثغرة Ivanti Endpoint Manager Mobile رقم CVE-2026-6973 — تنفيذ شيفرة إدارية عن بُعد بعد المصادقة، بدرجة CVSS تبلغ 7.2، ومستغَلّة في بيئات «محدودة جدًّا» بحسب تقرير Help Net Security — مهلتها للوكالات المدنية الفيدرالية هي 10 مايو (الأحد).

النمط هو مهلتان شرستان في 48 ساعة.

تخفيض Diameter

اليوم أيضًا يوم برامج تجسّس تجارية.

ففي إحياء Tech Generation المنشور اليوم لكشف Kaspersky عن مجموعة ForumTroll المتقدّمة الصادر في 28 أكتوبر 2025، يعترف باولو ليتزي، الرئيس التنفيذي لشركة Memento Labs، علنًا بأن برنامج التجسّس التجاري Dante المذكور في تقرير Securelist هو منتج شركته. ويلقي باللوم على «عميل حكومي مهمل يستخدم نسخة قديمة». وكانت أهداف ثغرة Chrome الصفرية التي حدّدها Securelist في روسيا وبيلاروسيا. وبذلك انضمّت Memento Labs، بائع برامج التجسّس الإيطالي المعروف سابقًا باسم Hacking Team ثم RCS Lab، إلى قائمة بائعي التجسّس المسمَّين علنًا: NSO Group، وParagon Solutions، وIntellexa، وVariston (التي أُغلقت في 2025)، وMemento Labs.

وقد سمّى تقرير Citizen Lab «Bad Connection» الصادر في 23 أبريل 2026 حملتين تعملان بالتوازي. فـ STA1 — وهو التسمية التي أطلقها الفريق على فاعل متحالف مع دولة — ينفّذ هجوم تخفيض من Diameter إلى SS7 عبر إساءة استخدام إجراء «combined attach»، منتحلًا هوية المشغّلين في تسع دول ليعمل «مشغّلًا شبحًا» على جلسات الضحايا. أما STA2 — وهو تسمية الفريق لفاعل منفصل — فينفّذ هجمات SIMjacker عبر رسائل قصيرة بلا نقرة، مستغلًّا تطبيق متصفّح S@T (طقم تطبيقات SIM) الذي ما زال موجودًا على ملايين شرائح SIM القديمة. ويصف Citizen Lab الحملة المشتركة بأنها «تؤثّر على الأرجح في آلاف الأجهزة». وفي 3 مايو أفادت هآرتس بأن عدّة شركات اتصالات إسرائيلية كانت ضمن المشغّلين الذين انتحلهم STA1. أما Mobile Verification Toolkit وiVerify وLookout — أدوات التحليل الجنائي الثلاث الرئيسية المتاحة للصحفيين الاستقصائيين والمستخدمين المعرَّضين للخطر — فلا تستطيع كشف الهجمات على طبقة Diameter أو طبقة SS7. إنها تكشف الاختراق على جانب الجهاز. أما STA1 وSTA2 فاختراق على جانب المشغّل.

وفي 28 أبريل 2026 أفادت TechCrunch بأن Paragon Solutions — المندمجة الآن تشغيليًّا داخل هيئة إنفاذ قوانين الهجرة والجمارك بعقد قيمته 2 مليون دولار — لم تردّ بعد، بعد عام كامل، على الطلب الرسمي الذي وجّهه المدّعون الإيطاليون للحصول على معلومات عن نشر برنامج Graphite ضدّ الضحايا المؤكَّدين: الصحفي فرانتشيسكو كانتشيلاتو، ولوكا كازاريني، وجوزيبي كاتشا. وقد مُرِّر الطلب الرسمي عبر الحكومة الإسرائيلية ضمن المسار المعتاد للمساعدة القانونية المتبادلة.

وفي 24 أبريل 2026 قاد السيناتور رون وايدن 30 مشرّعًا في رسالة رقابية بشأن برامج التجسّس التجارية. ولم تتلقَّ الرسالة ردًّا.

صناعة التجسّس التجاري ليست «مُستحوَذًا عليها». إنها مُدمَجة.

بلد الهاتف المحمول

طبقة مشغّل الاتصالات هي سطح التحكّم الأوّل للدولة في الولايات القضائية التي لا بديل فيها للمشغّل.

فانقطاع الإنترنت في إيران المستمرّ منذ 120 يومًا تصلّب ليصير «Internet Pro». ويوثّق تقرير «إيران لرصد حقوق الإنسان» الصادر في 9 مايو بعنوان «Infrastructure of Silence» هذه السياسة: شرائح SIM من الفئة الثانية (وهي الافتراضية) تفقد الوصول إلى الإنترنت العالمي كلّيًّا؛ أما شرائح الفئة الأولى «Internet Pro» — التي تصدرها تسنيم وثلاث شركات اتصالات أخرى متحالفة مع الدولة عند تقديم بطاقة الهوية الوطنية ووثائق تجارية وغرض مكتوب — فمدرجة على قائمة بيضاء تتيح مجموعة فرعية من المواقع المعتمَدة، منها الإعلام الرسمي والخدمات الحكومية. والكلفة المُبلَّغ عنها 35.7 مليون دولار يوميًّا من النشاط الاقتصادي الرقمي الضائع. أما الخسارة التراكمية منذ بدء الانقطاع في 30 يناير 2026 فنحو 5.2 مليار دولار. والقائمة البيضاء نفسها تديرها لجنة ترشيح وطنية لا تُعلَن عضويتها. وتصف تقارير قُدِّمت إلى Access Now في مطلع مايو أوقات انتظار تتراوح بين ثلاث وأربع ساعات في مكاتب تحويل شرائح SIM بطهران ومشهد.

وقد نشرت روسيا قطوعات المحمول السابقة ليوم النصر في أكثر من 21 منطقة، من 4 إلى 9 مايو. والتبرير الذي قدّمته Roskomnadzor هو التصدّي لضربات المسيّرات — إذ يمكن استخدام شبكات المحمول لتوجيه مسيّرات FPV تُطلق من الأرض. وأفادت رويترز وميدوزا ومكتب الجزيرة في روسيا بأن أجهزة الصرّاف الآلي في المناطق المتأثّرة متوقّفة لأنها تعتمد على النقل الخلوي. أما القانون الروسي الصادر في 15 أبريل 2026، والذي يلزم جميع مزوّدي خدمة الإنترنت ومشغّلي المحمول بتطبيق كشف الشبكات الافتراضية الخاصة على مستوى الشبكة، فيفعّل رسميًّا الإنفاذ الحكومي لوضعية «المشغّل هو المحيط».

وفي 5 مايو 2026 علّقت MTN السودان جميع محطّات الإرسال في الخرطوم بسبب الوقود والكهرباء. ويفيد Internet Society Pulse بأن الخرطوم متوقّفة على طبقة الراديو الخاصة بالمشغّل. وتتزامن القطوعات مع نافذة امتحانات الثانوية.

وفي باكستان، سجّلت الوكالة الوطنية لمكافحة الجرائم الإلكترونية والتحقيق فيها بإقليم البنجاب 41 بلاغًا واعتقلت 13 صحفيًّا ومدوّنًا وناشطًا بموجب تعديلات قانون منع الجرائم الإلكترونية في الأسبوع المنتهي في 7 مايو. وسجّل تقرير مؤسسة الصحافة الباكستانية الصادر في 5 مايو 233 حادثة تتعلّق بحرية الصحافة من يناير 2025 حتى أبريل 2026.

ووثّق تحقيق «مراسلون بلا حدود» الصادر في 6 مايو الاحتجاز السرّي للصحفي البوركينابي أتيانا سيرج أولون في فيلا بواغادوغو، حيث تؤكّد لوموند وواشنطن بوست وأفريكانيوز أنه ضُرب بأغصان الشجر على مدى أسابيع.

والنمط المعماري واحد في كلّ بلد: لا بديل معماريًّا عن طبقة المشغّل بالنسبة إلى السكّان العاديين. فالدولة تتحكّم بالراديو. والدولة تتحكّم بشريحة SIM. والدولة تتحكّم بصندوق كشف الشبكات الافتراضية الخاصة الوسيط. ولا يملك المستخدم أيّ بديل احتياطي ما لم يكن بديلًا مختلفًا معماريًّا عن المشغّل.

التعليم

اختراق Canvas / Instructure هو أكبر حادثة أمنية في قطاع التعليم كُشف عنها علنًا على الإطلاق.

الأرقام بحسب الإصدار المتقطّع لـ ShinyHunters في 8 مايو: 3.65 تيرابايت، ونحو 275 مليون سجلّ، و8,809 مؤسسات. وجماعة ShinyHunters — وهي الجماعة نفسها التي تدير منذ أبريل موجة الابتزاز عبر مجمّعات البرمجيات كخدمة من أطراف ثالثة، المنسوبة إلى سلسلة مسارات ما بعد Salesforce — شوّهت صفحات الدخول في نحو 330 نسخة من Canvas يومَي 6 و7 مايو، وهو عرض إثبات النفاذ. وكان براين فونغ من CNN أوّل من أفاد علنًا بعمليات التشويه في 7 مايو الساعة 1:20 ظهرًا بتوقيت المحيط الهادئ الصيفي، بعد أن نشر طالب جامعي في ميسيسيبي على TikTok لقطة شاشة لواجهة دخول Canvas مكتوب عليها بخطّ Arial أحمر: "Mr. Cannon, sorry for the inconvenience this caused, but our offer is fair. — ShinyHunters." أي: سيد كانون، نأسف للإزعاج الذي سبّبه هذا، لكن عرضنا عادل. — ShinyHunters.

وبحلول 8 مايو أكّد موقع KrebsOnSecurity حجم الكنز المكشوف. وتحقّق كريبس من عدد المؤسسات بمطابقة بيان ملفّات ShinyHunters مع قائمة عملاء Instructure المنشورة، فوجد 8,809 معرّفات مؤسسية مميّزة — تشمل منظومة جامعة كاليفورنيا بأكملها، وكورنيل، وبراون، وستانفورد، ومعهد ماساتشوستس للتقنية (الذي يستخدم Canvas في برامج التوعية المشتركة لمرحلة ما قبل الجامعة)، ونحو خمسة وسبعين في المئة من مناطق المدارس الحكومية المسمّاة لمرحلة ما قبل الجامعة في كاليفورنيا وتكساس وفلوريدا ونيويورك. وأشار تحليل مجلة TIME في 8 مايو إلى أن «الاختراق يكشف، في كلّ مؤسسة، رسائل خاصة بين الطلاب والمعلّمين، وتاريخ الدرجات، وسجلّات السلوك، وملاحظات تسهيلات الإعاقة ضمن برامج IEP / 504».

والمهلة الجديدة التي حدّدتها ShinyHunters هي نهاية يوم 12 مايو. ولم تدفع Instructure حتى 9 مايو. أما الوتيرة — مهلة 6 مايو الفائتة، ثم تشويه 7 مايو، ثم إفراغ الكنز في 8 مايو، ثم مهلة 12 مايو الجديدة — فهي الأسلوب الذي شغّلته ShinyHunters على Cushman & Wakefield (العقارات التجارية)، وPitney Bowes (لوجستيات البريد)، وCanada Life (التأمين)، وCarnival (الرحلات البحرية)، وZara (الملابس)، و7-Eleven (التجزئة)، وMytheresa (الرفاهية)، وHallmark (السلع الاستهلاكية) منذ أواخر أبريل.

Sysco

في 6 مايو 2026 أدرجت جماعة الفدية Qilin — وهي الجماعة نفسها التي ضربت موجتها في 2024-2025 شركة Synnovis وهيئة الصحة الوطنية في لندن وChange Healthcare — شركة Sysco على موقع التسريب الخاص بها مع مهلة فدية تنتهي في 12 مايو.

وSysco هي أكبر موزّع خدمات غذائية في العالم: نحو 77 مليار دولار إيرادات سنوية، وعمليات في 90 دولة، وسلسلة التبريد الغذائي للمطاعم والفنادق والمستشفيات ومقاصف مدارس ما قبل الجامعة وخدمات الطعام الجامعية ومقاصف السجون وعمليات الإعاشة العسكرية الأمريكية. ونحو خمسة عشر في المئة من سوق الأغذية المؤسسية في الولايات المتحدة يعتمد على لوجستيات Sysco. أما الوثائق الداخلية التي أرفقتها Qilin كدليل فتشمل جداول الشحن وسجلّات العلاقات مع المورّدين.

وواصلت Qilin عملها خلال 8 و9 مايو: Imex International (شحن مصري)، وExco Technologies (تصنيع سيارات كندي)، وCAD-IT UK (هندسة صناعية)، وDL Cohen Construction (إنشاءات أمريكية)، وفي 9 مايو Lindabury (مكتب محاماة في نيوجيرسي).

ونفّذت جماعة Akira إسقاطًا موازيًا للضحايا في 7 مايو: Grau GmbH (تجزئة وتصنيع في هامبورغ)، وElia Law Firm APC (سان دييغو)، وPunch & Associates Investment Management (إدارة أصول أمريكية)، وRéseau Radiologique Romand (شبكة أشعّة سويسرية)، وClinical Registry Solutions (خدمات بيانات صحية أمريكية)، وPipestone (زراعة أمريكية).

أما جماعة الابتزاز PEAR — وهو اسم جديد على نافذة 6-9 مايو — فظهرت في أربعة إفصاحات في قطاع الرعاية الصحية بحسب HIPAA Journal: Western Orthopaedics (كولورادو)، وCommunity Health Systems (كاليفورنيا)، وTri-Cities Gastroenterology (تينيسي)، وIntegrated Pain Associates (تكساس).

وجماعة التهديد الإيرانية المتحالفة مع الدولة MuddyWater (المنسوبة إلى وزارة الاستخبارات) تدير، بحسب SecurityWeek، حملة تتنكّر في هيئة «فدية Chaos» — مستخدمة الهندسة الاجتماعية عبر Microsoft Teams للحصول على النفاذ الأوّلي، ثم تنشر ما يبدو للضحية فديةً إجرامية. والقصد هو الإنكار المعقول: الضحية يرى فدية، والفاعل يحصل على نفاذ استخباري.

وتيرة اقتصاد الفدية لم تتباطأ.

Dirty Frag

في 7 مايو 2026 نشر الباحث الأمني هيونوو كيم سلسلة استغلال إثباتية أسماها «Dirty Frag» — تربط بين CVE-2026-43284 (استخدام بعد التحرير في مسار xfrm-ESP بنواة لينكس) وCVE-2026-43500 (خلل منطقي في تنفيذ RxRPC) — لتصير تصعيد امتيازات محلّيًّا من غير مميَّز إلى الجذر بأمر واحد على نوى لينكس من 6.4 إلى 6.11. وتؤثّر السلسلة في Ubuntu وRed Hat Enterprise Linux وCentOS Stream وAlmaLinux وopenSUSE Tumbleweed وFedora. وتعمل السلسلة في نحو ثانيتين على عتاد اعتيادي.

وفي 8 مايو أكّدت مدوّنة Microsoft الأمنية الاستغلال في البرّية. ونصّ سردية الكشف: «نشاط محدود في البرّية يستخدم الأمر su بعد الحصول الأوّلي على صلاحيات الجذر عبر Dirty Frag». وإشارة Microsoft لافتة لأن Microsoft ليست مورّد لينكس؛ فقد جاء الكشف من قياسات Microsoft Defender for Endpoint على خوادم لينكس في بيئات مؤسسية يُنشر فيها الوكيل.

وكانت أسطورة «لينكس آمن» قد ضعفت أصلًا باختراق RxRPC في 23 أبريل (النظام الفرعي نفسه) وسلسلة استغلال PaperHexagon في glibc في فبراير. وDirty Frag هي ثاني سلسلة جذر شاملة في لينكس يُكشف عنها خلال 90 يومًا.

الدرس المعماري: حدود الامتيازات على مستوى النواة افتراض صلابة، لا ضمانة. أما العزل المقتصر على فضاء المستخدم (الحاويات، seccomp، AppArmor، SELinux) فهو الردّ من جانب المستخدم، لكن فقط إذا طُبِّق — إذ إن معظم خوادم لينكس المنشورة تعمل بصلاحيات الجذر تبسيطًا للتشغيل.

الاستحواذ باسم آخر

في 4 مايو 2026 قدّمت لجنة التجارة الفيدرالية تسويتها النهائية مع Kochava — وسيط البيانات في أيداهو الذي ظلّ خمس سنوات القضية الاختبارية لما إذا كانت اللجنة قادرة على إخضاع بيع بيانات الموقع لسلطة المادة 5 المتعلّقة بالممارسات غير العادلة أو الخادعة. التسوية: أمر قضائي دائم على بيع Kochava لبيانات المواقع من الفئات الحسّاسة. ولا غرامة مالية. أما سلطة اللجنة في اقتضاء ردّ المكاسب فلم تُمارَس في هذه الحالة.

وفي 7 مايو 2026 توصّل مجلس الاتحاد الأوروبي والبرلمان الأوروبي إلى اتفاق مبدئي على «الحزمة الرقمية الشاملة» — وهي مجموعة تعديلات على قانون الذكاء الاصطناعي الأوروبي. وتنقل الحزمة موعد الالتزامات عالية المخاطر من 2 أغسطس 2026 إلى 2 ديسمبر 2027، وتنقل موعد التزامات الذكاء الاصطناعي العام إلى 2 أغسطس 2028. وأدرج البرلمان، رغم اعتراض المفوّضية — وإلى حدّ بعيد ردًّا على جدل التزييف العميق في Grok أواخر الشتاء — أوّل حظر على مستوى قانون الاتحاد الأوروبي على تطبيقات تعرية الصور بالذكاء الاصطناعي، مع موعد امتثال في 2 ديسمبر 2026.

وفي 4 مايو 2026 أسقط الاجتماع الثلاثي الثالث للائحة الاتحاد الأوروبي CSAR / «رقابة الدردشة» تحت الرئاسة الدنماركية شرط المسح الإلزامي على جانب العميل، وهو الحكم الأكثر إثارة للجدل في اللائحة. والاجتماع الثلاثي الرابع مقرّر في 11 مايو 2026. وبحسب تعليق مؤسسة الحدود الإلكترونية، فإن اللائحة بصيغتها الحالية لا تقتضي سوى كشف طوعي لمواد الاعتداء الجنسي على الأطفال على القنوات غير المشفَّرة طرفًا إلى طرف، مع اشتراط إذن قضائي لأيّ فحص نشط.

وفي أكتوبر 2025 خفّضت قاضية المحكمة الجزئية الفيدرالية فيليس هاملتون التعويضات العقابية في قضية WhatsApp ضدّ NSO من 167.2 مليون دولار إلى نحو 4 ملايين دولار، مستندة إلى سقف نسبة 9:1. والحكم الآن في وضعية استئناف أمام الدائرة التاسعة. وNSO Group تخضع الآن لسيطرة مجموعة مستثمرين أمريكيين يرأسها تنفيذيًّا السفير السابق في عهد ترامب ديفيد فريدمان؛ وقد جُرّد تقرير الشفافية الصادر في يناير 2026 من أرقام إنهاء التعاقد مع العملاء. وفي ديسمبر 2025 شطبت الخزانة بهدوء ثلاثة كيانات من Intellexa من قائمة المواطنين المصنَّفين خصوصًا.

والنمط عبر هذه العمليات الخمس المنفصلة واحد. فالإنفاذ التنظيمي يلين تحديدًا عند النقاط التي كان سيفرض فيها كلفة تشغيلية على الفاعلين المسمَّين. التزامات المخاطر العالية في قانون الذكاء الاصطناعي تنزلق ستة عشر شهرًا. والمسح الإلزامي على جانب العميل في «رقابة الدردشة» يسقط. وKochava يصدر بحقّها أمر منع لكن بلا غرامة. والتعويضات العقابية على NSO تُخفَّض أربعين ضعفًا. وكيانات Intellexa تُشطب من قائمة المصنَّفين خصوصًا.

وبالتوازي، فإن الإلزام التنظيمي على جانب المستخدم — واجهة Apple للنطاق العمري المعلَن، الفاعلة في يوتا منذ 6 مايو وفي لويزيانا في 1 يوليو؛ ومهلة CURP Biométrica المكسيكية في 30 يونيو التي تربط نحو 127 مليون خطّ محمول ببصمات الوجه والأصابع وقزحية العين؛ وامتثال المنصّات لقانون TAKE IT DOWN في 19 مايو؛ وإعادة تفويض المادة 702 على ترقيعها القصير الثاني؛ وعقد ICE ضمن مشروع SAFE HAVEN بقيمة 12.2 مليون دولار مع شركة Edge Ops LLC — يشتدّ.

الترقيع المتروك هو على جانب المشغّل. والإلزام المشتدّ على جانب المستخدم. وهذا اللاتناظر هو المقال.

جانب المستخدم

المضادّ المعماري لنافذة 12 مايو هو حزمة العناصر الأوّلية التي يتحكّم بها المستخدم. وهذه العناصر لا تتوقّف على أيّ اتجاه يسلكه 12 مايو.

عملاء مفتوحون بمفاتيح يحوزها المستخدم على طبقة المراسلة. فمؤسسة Signal تواصل صيانة تنفيذ بروتوكول Signal؛ وTuta وProton وThreema تشغّل مراسلة مشفّرة طرفًا إلى طرف بشكل مستقلّ؛ وBriar وCwtch وSession تشغّل صيغًا بلا ثقة؛ وخوادم Matrix المنزلية تتيح الاستضافة الذاتية الاتحادية. وقد أثبتت تسوية Roblox مع المدّعين العامّين للولايات بقيمة 35.8 مليون دولار في 21 أبريل أن حتى التشفير الطرفي القائم يمكن إلزام منصّة كبرى تنظيميًّا بالتخلّي عنه. أما العملاء المفتوحون بمفاتيح يحوزها المستخدم فلا يملكون السطح اللازم لهذا الإلزام. وBriar 1.5.17، الصادر في 12 مارس، يعمل عبر البلوتوث والواي فاي وTor؛ وهو يؤدّي وظيفته أثناء قطع الشبكة لأنه لا يعتمد على طبقة المشغّل في تمرير الرسائل.

برامج ثابتة مفتوحة على رقائق قابلة لفحص المستخدم. GrapheneOS وCalyxOS و/e/OS وLineageOS وOpenWRT. فسلسلة هجوم DarkSword على iOS التي وثّقتها iVerify وLookout ومجموعة تحليل التهديدات في Google يومَي 18 و19 مارس تركت ما يقدَّر بـ 220 إلى 270 مليون جهاز iPhone على إصدارات iOS مكشوفة (من 18.4 إلى 18.6.2). والأجهزة المحمولة ذات البرامج الثابتة المفتوحة تكشف للمستخدم سلوك الذاكرة المؤقّتة وقاعدة بيانات الإشعارات؛ أما أنظمة التشغيل ذات البرامج الثابتة المغلقة فلا.

مصادقة عتادية بمعيار FIDO2. YubiKey وNitrokey وSoloKey. ففي 4 مايو أضافت OpenAI مفاتيح المرور والمفاتيح العتادية إلى ChatGPT — مع طرح علامة مشتركة لعبوة من قطعتين من YubiKey C NFC / C Nano بنحو 68 دولارًا. وقد شحنت Yubico أكثر من 30 مليون مفتاح YubiKey منذ تأسيسها. وبيانات الاعتماد المرتبطة بالعتاد تنجو من اختراق شريحة SIM؛ وهجمات «المشغّل الشبح» عبر SS7 / Diameter مثل STA1 لا تعبر إلى الحسابات المحمية بمفتاح عتادي لأن العامل الثاني ليس على الشريحة.

نواقل مقاومة للحجب. Tor 15.0.10، وV2Ray VLESS+Reality، وShadowsocks-2022، وTrojan، وWireGuard مع obfsproxy، وشبكة URnetwork للندّ للندّ. وإصدار خادم MCP من URnetwork في 19 فبراير 2026 يتيح للعملاء الوكلاء إنشاء جلسات شبكة افتراضية خاصة فوق طبقة الندّ للندّ، بما يجرّد النقل عن طبقة المشغّل. والحجب الذي تفرضه الدولة على المنصّات لا يؤثّر في التمويه على طبقة النقل. وفئة «Internet Pro» الإيرانية وقانون كشف الشبكات الافتراضية الخاصة الروسي الصادر في 15 أبريل هما نموذج التهديد.

عملات حافظة للخصوصية على عناصر أوّلية بحيازة المستخدم. Bitcoin BIP324 الإصدار الثاني (مفعَّل افتراضيًّا منذ Core 27.0؛ وأغلب حركة الندّ للندّ العالمية للبيتكوين صارت مشفَّرة) وBIP352 للمدفوعات الصامتة (استقبالًا وإرسالًا في Core 28.0 فما فوق؛ وأُضيف BIP376 وBIP392 في 2026؛ وأضافت Nunchuk دعم المدفوعات الصامتة). ومونيرو في طور دمج FCMP++ النشط؛ وتدقيق Trail of Bits يمتدّ من 11 مايو إلى 22 مايو، ليستبدل بتواقيع الحلقة براهين عضوية على السلسلة كاملة تكون مجموعة إخفاء هويتها هي مجموعة المخرجات غير المنفقة بأسرها. وZcash Crosslink في المرحلة الرابعة أطلقت شبكات ميزات؛ والمجمّع المحمي عند أعلى مستوى تاريخي يبلغ 5,030,093 ZEC (نحو 30 في المئة من المعروض). فالمال الخاضع لقوائم حظر المشغّلين هو مال مسار المشغّل؛ أما العملات المحفوظة بحيازة المستخدم فلا تملك ذلك السطح.

ذكاء اصطناعي بالاستدلال المحلّي على عتاد يتحكّم به المستخدم. DeepSeek V4 Pro (صدر برخصة MIT في 22 أبريل، 1.6 تريليون معامل / 49 مليار نشط، سياق مليون رمز، 27 في المئة من عمليات الفاصلة العائمة للرمز الواحد مقارنة بـ V3.2 عند سياق مليون رمز)؛ وMistral Medium 3.5 (29 أبريل، 77.6 في المئة على SWE-Bench Verified)؛ وLlama 4 Scout؛ وGemma 4؛ وQwen 3.6؛ وKimi K2.6؛ وGLM-5.1؛ وOpenAI Privacy Filter (22 أبريل، رخصة Apache 2.0، 1.5 مليار معامل إجمالي / 50 مليون نشط، قابل للتشغيل في المتصفّح عبر transformers.js + WebGPU). فحيث لا يوجد سجلّ لدى طرف ثالث، لا يوجد ما يُستدعى قضائيًّا. وأمر إنتاج 20 مليون سجلّ في قضية OpenAI ضدّ نيويورك تايمز الصادر في 5 يناير عن القاضي سيدني ستاين هو نموذج التهديد.

هوية اتحادية بإفصاح انتقائي. بيانات الاعتماد القابلة للتحقّق 2.0 من W3C (بلغت مرتبة التوصية في مايو 2025؛ 7 مواصفات)؛ والإفصاح الانتقائي BBS+ ضمن eIDAS 2.0 (قيد الإقرار النهائي في IETF)؛ وPrivacy Pass؛ ومجموعة عمل بيانات الاعتماد القابلة للتحقّق في W3C التي تعمل بموجب ميثاق جديد صدر في أبريل 2026 يستهدف بلوغ توصيتَي Render Method وConfidence Method في سبتمبر 2026. أما CURP Biométrica المكسيكية فهي نموذج التهديد: لا ترفع هويتك إلى السجلّ الحيوي المركزي للدولة.

خدمات مستضافة ذاتيًّا. خادم Matrix منزلي، وForgejo، وMailcow، وJitsi، وNextcloud، وMautic، وSuiteCRM، وMoodle المجتمعية، وOpen edX. فالاتحادية تحدّ من نطاق الانفجار لأيّ اختراق مورّد واحد. ونطاق انفجار Canvas / Instructure الممتدّ إلى 8,809 مؤسسات هو نموذج التهديد.

شبكات متشابكة وأقمار صناعية على طبقة المشغّل. Briar؛ وBridgefy؛ وMeshtastic؛ وReticulum؛ وGoTenna PRO؛ وStarlink. وفئة «Internet Pro» الإيرانية وانقطاع الكهرباء عن أبراج الخرطوم في السودان هما نموذج التهديد. أما نتيجة لجنة التحقيق في تنزانيا بشأن 518 قتيلًا الصادرة في 23 أبريل 2026 فهي المرساة الأخلاقية — فحين يتيح القطع عنفًا من الدولة، تصير الطبقة المستقلّة عن المشغّل مهمّة.

الساعات التي تدقّ

| التاريخ | الحدث | |---|---| | 9 مايو، اليوم | مهلة CISA للوكالات المدنية الفيدرالية بشأن PAN-OS CVE-2026-0300 (قبل إصلاح المورّد بأربعة أيام) | | 10 مايو | مهلة CISA للوكالات المدنية الفيدرالية بشأن Ivanti EPMM CVE-2026-6973 | | 11 مايو | الاجتماع الثلاثي الرابع لـ«رقابة الدردشة» الأوروبية؛ بدء تدقيق Trail of Bits لـ FCMP++ في مونيرو | | 12 مايو | رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس يصير علنيًّا بأمر قضائي؛ ثلاثاء ترقيعات Microsoft؛ مهلة فدية Canvas / Instructure؛ مهلة فدية Sysco / Qilin | | 13 مايو | إصلاح المورّد لـ Palo Alto PAN-OS | | 14 مايو | جلسة الإنصاف في قضية Bartz ضدّ Anthropic (1.5 مليار دولار)؛ إغلاق طلبات مزوّدي خدمات الدفع لليورو الرقمي | | 19 مايو | امتثال المنصّات لقانون TAKE IT DOWN | | 22 مايو | انتهاء تدقيق Trail of Bits لـ FCMP++ في مونيرو | | 26 مايو | إغلاق استشارة التحقّق من العمر ضمن قانون السلامة على الإنترنت البريطاني | | 27 مايو | الاجتماع السنوي لشركة Meta (مقترح NLPC بشأن خصوصية الذكاء الاصطناعي) | | 12 يونيو | انقضاء المادة 702 (إعادة التفويض الكاملة) | | 26 يونيو | انتهاء صلاحية شهادة Microsoft Secure Boot UEFI | | 30 يونيو | مهلة CURP Biométrica المكسيكية | | 1 يوليو | تفعيل واجهة Apple للنطاق العمري المعلَن في لويزيانا؛ الإنفاذ الكامل لمقدّمي خدمات الأصول المشفّرة بموجب MiCA | | 2 أغسطس | تفعيل صلاحيات إنفاذ الذكاء الاصطناعي العام في قانون الذكاء الاصطناعي الأوروبي | | 21 سبتمبر | تحوّل شهادات FIPS 140-2 إلى «تاريخية» (انقضاء ما قبل التعمية بعد الكمّية) | | 5-12 أكتوبر | إعادة محاكمة رومان ستورم في قضية Tornado Cash | | ديسمبر 2026 | مهلة نشر محفظة الهوية الرقمية الأوروبية (27 دولة عضو) |

الخاتمة

اليوم هو السبت. اليوم تنشر السلطة التنفيذية المدنية الفيدرالية إجراءات تخفيف قائمة على الضبط لأن ترقيع Palo Alto على بعد أربعة أيام. اليوم يعمل نظام الطبقات «Internet Pro» الإيراني إنتاجيًّا بأوقات انتظار تتراوح بين ثلاث وأربع ساعات في طهران. اليوم اعترفت Memento Labs بـ Dante. اليوم 21 أوبلاستًا روسيًّا مظلمة على طبقة المشغّل. اليوم الخرطوم السودانية مظلمة على طبقة الراديو. اليوم لدى باكستان 13 صحفيًّا في الاحتجاز. اليوم تنشر «مراسلون بلا حدود» قصة الفيلا في بوركينا فاسو.

يوم الثلاثاء، سيصير رأي محكمة مراقبة الاستخبارات الأجنبية علنيًّا — أو لن يصير. وسيحلّ ثلاثاء الترقيعات. وستدفع Canvas الفدية — أو لن تدفع. وستدفع Sysco الفدية — أو لن تدفع.

ساعات الثلاثاء حقيقية. وستدقّ.

وحزمة العناصر الأوّلية التي يتحكّم بها المستخدم حقيقية أيضًا. وهي لا تتوقّف على الثلاثاء.

نافذة 12 مايو يوم واحد. أما حزمة العناصر الأوّلية فهي الردّ الذي يعمل كلّ يوم.

في 7 أبريل 2026 وقّعت ستّ وكالات سيبرانية فيدرالية أمريكية على الاستشارة السيبرانية المشتركة AA26-097A. والوكالات هي: مكتب التحقيقات الفيدرالي، ووكالة الأمن السيبراني وأمن البنية التحتية، ووكالة الأمن القومي، ووكالة حماية البيئة، ووزارة الطاقة، والقيادة السيبرانية الأمريكية. وتنسب الاستشارة التعطيل النشط لمتحكّمات Rockwell Automation المنطقية القابلة للبرمجة المعرَّضة للإنترنت في منشآت المياه والصرف الصحّي والطاقة الأمريكية إلى عنقود «CyberAv3ngers» التابع للقيادة السيبرانية الإلكترونية في الحرس الثوري الإيراني.

وتؤكّد الاستشارة صراحةً وقوع تعطيل تشغيلي وخسارة مالية لدى ضحايا مسمَّين. أما دلالتها البنيوية فهي إدراج وكالة حماية البيئة موقِّعةً مشاركة. فسلطة الوكالة في الأمن السيبراني لقطاع المياه محلّ نزاع منذ إبطال محكمة عام 2023 لقاعدة الوكالة الخاصة بالأمن السيبراني لمرافق المياه. والاستشارة المشتركة الصادرة في 7 أبريل هي أكثر الوثائق الفردية حجّية التي نشرتها الحكومة الفيدرالية عن الأمن السيبراني في قطاع المياه منذ ذلك الإبطال.

وقد سبق أن نسبت Mandiant وCrowdStrike عنقود «CyberAv3ngers» إلى القيادة السيبرانية الإلكترونية في الحرس الثوري. وتشمل عدّته، بحسب الاستشارة، الاستطلاع بالاعتماد على بيانات الاعتماد الافتراضية والمتحكّمات المنطقية المعرَّضة للإنترنت، وشبكة «IOControl» لإقامة نفاذ دائم على النقاط الطرفية الصناعية.

والحملة تسبق الضربات الإسرائيلية-الأمريكية على إيران في 28 فبراير 2026، لكنها اشتدّت بشكل ملموس منذئذ. والنسبة على المستوى الفيدرالي، وبتوقيع وكالة حماية البيئة، تشير إلى أن الحملة بلغت عتبة أثر — تعطيل تشغيلي وخسارة مالية لدى ضحايا مسمَّين — يعتبر مجتمع الدفاع السيبراني الفيدرالي أنها تستوجب النسبة العلنية.

ستّ عشرة ساعة

في 14 مارس 2026 تعرّضت مدينة ماينوت بولاية داكوتا الشمالية لهجوم فدية على طبقة SCADA في محطّة معالجة المياه البلدية. وبلغ الاختراق طبقة الإشراف والتحكّم وجمع البيانات — أي الطبقة التشغيلية التي تقيم فيها نقاط الضبط والإنذارات ومنطق العمليات — لا طبقة تقنية المعلومات المؤسسية وحدها.

وشغّلت مرفق المياه عملياته يدويًّا ستّ عشرة ساعة بينما كان المهندسون يستعيدون SCADA. وتأثّر نحو ثمانين ألف مقيم. والتشغيل اليدوي عنى فتح الصمّامات وإغلاقها باليد بتعليمات المشغّل؛ وضبط إضافة المواد الكيميائية بعدّادات تناظرية وبعين المشغّل؛ وتشغيل المضخّات بمفتاح مادّي. وظلّ ناتج مياه الشرب آمنًا طوال نافذة التشغيل اليدوي لأن المشغّلين مدرَّبون على الإجراءات اليدوية، حتى حين تتعطّل الطبقة الرقمية.

والدرس المعماري بنيوي. فمرونة مرفق مياه يخدم 100,000 نسمة تأتي من مشغّلين يستطيعون تنفيذ إجراءات يدوية حين تتعطّل الطبقة الرقمية، لا من كون نظام بعينه في تقنية المعلومات أو التقنية التشغيلية غير قابل للاختراق. والردّ من جانب المستخدم: الحفاظ على إجراءات احتياطية يدوية؛ وتدريب المشغّلين عليها؛ وممارستها دوريًّا؛ وفصل شبكة تقنية المعلومات عن التقنية التشغيلية؛ واستخدام صمّامات البيانات أحادية الاتجاه حيث لا حاجة إلى نفاذ ثنائي الاتجاه.

110 ملايين عدّاد

في 13 و27 أبريل 2026، أفصحت Itron — وهي واحدة من ثلاثة مورّدين مهيمنين للعدّادات الذكية في قطاعات الكهرباء والغاز والمياه في أمريكا الشمالية — عن اختراقين يمسّان أكثر من 110 ملايين عدّاد مرافق حول العالم.

وعدّادات Itron ترفع قياسات الاستهلاك إلى أنظمة الفوترة وإدارة الأحمال لدى المرافق. وكثير منها يتضمّن أيضًا تحكّمًا بمرحّل الفصل، بما يتيح قطع الخدمة عن بُعد بأمر من المرفق. والاختراق على مستوى مورّد العدّادات — أي على الطبقة التي تعلو محيط أيّ مرفق بعينه — يصل إلى كلّ عميل مرافق يستخدم عدّاد ذلك المورّد.

والدرس المعماري: منظومة العدّادات الذكية تضمّ طبقة تجميع لدى المورّد (صانع العدّاد)، وتلك الطبقة محيط واحد لبيانات عابرة للمرافق وتحكّم عابر للمرافق. وبحسب إفصاح Itron، لم يؤدِّ الاختراقان إلى تفعيل فصل جماعي، لكن انكشاف البيانات العابرة للمرافق دائم.

والردّ من جانب المستخدم: تجميع القياسات بأسلوب يحفظ الخصوصية (خصوصية تفاضلية على مستوى العدّاد — وتوجد تنفيذات بحثية لها)؛ وحقّ العميل في تعطيل مرحّل الفصل (حيث يسمح التشريع)؛ والانسحاب المحلّي من بنية القياس المتقدّمة حيث تسمح سياسة المنظِّم.

139 غيغابايت

في 27 أبريل 2026، أفصحت Pickett USA — وهي شركة خدمات هندسية أمريكية متخصّصة في LiDAR وهندسة المحطّات الفرعية لجانب المرافق — عن تسريب بحجم 139 غيغابايت. وتغطّي البيانات Tampa Electric وDuke Energy Florida وAmerican Electric Power. وهي ثلاثة من أكبر المرافق المملوكة للمستثمرين في شرق الولايات المتحدة.

وبيانات LiDAR وهندسة المحطّات الفرعية ليست موجَّهة للمستهلك. إنها تصف التخطيط الفيزيائي وتوضّع المعدّات ومسارات القنوات وتهيئة معدّات القطع وإعدادات الحماية والتحكّم في المحطّات الفرعية عالية الجهد — أي المواصفة التقنية التي يحتاجها مهاجم لتخطيط ضربات دقيقة ضدّ الأصول المادّية للشبكة.

وحين تُسرَّب هذه البيانات، تصير دائمة. ولا سبيل إلى استرجاعها.

والدرس المعماري: طبقة الخدمات الهندسية هي طبقة تجميع لدى المورّد لبيانات التصميم الفيزيائي للشبكة عبر مرافق متعدّدة. والردّ من جانب المستخدم وجانب المرفق: تقليل المشاركة الخارجية لبيانات التصميم الفيزيائي الكاملة للشبكة؛ وتقسيم بيانات التصميم وفق مبدأ الامتياز الأدنى؛ وألّا تكون البيانات الفيزيائية للتصميم قابلة للتجميع عبر المرافق.

هيثرو متوقّف

في 4 أبريل 2026، أسقط عطل برمجي لدى Collins Aerospace مطارات هيثرو وبروكسل وبرلين. وتأثّرت عمليات شركات الطيران في أنحاء أوروبا؛ ويتحرّك عبر هيثرو وحده نحو 220,000 مسافر يوميًّا.

وتشغّل Collins Aerospace حزمة برمجيات ARINC لمناولة الركّاب، وهي مستخدَمة لدى نحو ثلث شركات الطيران الأوروبية وعشرات المطارات الأوروبية. والعطل البرمجي لدى Collins يصل إلى كلّ مطار يستخدم ARINC في اللحظة نفسها — أي بنية برمجيات كخدمة بنقطة فشل واحدة لعمليات الطيران.

والدرس المعماري: طبقة عمليات الطيران الأوروبية تركّزت في عدد صغير من مورّدي برمجيات التشغيل، وأيّ عطل برمجي لدى أحدهم ينتشر فورًا عبر مطارات دول ذات سيادة متعدّدة. ولم يكن عطل 4 أبريل عدائيًّا — بل كان خللًا في نشر برمجي — لكن السطح المعماري نفسه في متناول الفعل العدائي.

والردّ من جانب المستخدم هنا على مستوى السياسات: على سلطات المطارات أن تفرض تنوّع المورّدين في برمجيات التشغيل؛ وعلى الناقلات أن تحافظ على إجراءات احتياطية يدوية لمناولة الركّاب؛ وعلى المنظِّمين أن يعاملوا مورّدي برمجيات التشغيل بوصفهم بنية تحتية حرجة بموجب توجيه NIS2 الأوروبي وما يعادله من أنظمة وطنية.

محطّة السويد الحرارية

في 15 أبريل 2026، نسبت السويد علنًا محاولة اقتحام تخريبية لمحطّة حرارية إلى الاستخبارات الروسية. وأصدرت هيئة الأمن السويدية (Säkerhetspolisen) والوكالة السويدية لحالات الطوارئ المدنية (MSB) بيانًا مشتركًا. واستهدف الهجوم منشأة توليد حراري إقليمية تزوّد شبكة تدفئة مركزية في أواخر الشتاء.

ونسبة السويد العلنية إلى الاستخبارات الروسية ذات دلالة بنيوية. فالنسبة العلنية ظلّت تاريخيًّا محجوزة لأخطر الحوادث لأن النسبة نفسها فعل دبلوماسي. وبيان 15 أبريل يضع نسبة السويد إلى روسيا في المرتبة نفسها مع لحظات النسبة العلنية إلى روسيا في إستونيا 2007، وألمانيا 2015، والولايات المتحدة 2018.

ويحدّد تقرير Dragos السنوي لعام 2026 ثلاث جماعات تهديد جديدة تعمل في فضاء التقنية التشغيلية والتحكّم الصناعي: SYLVANITE، وAZURITE، وPYROXENE. ويحذّر Dragos من «رسم خرائط حلقات التحكّم» — أي توصيف الخصم للعمليات الفيزيائية في التقنية التشغيلية تمهيدًا لتخريب دقيق. وفدية المؤسسات الصناعية مرتفعة بنسبة تسعة وأربعين في المئة على أساس سنوي.

بلا قائد

في أبريل 2026، سحب شون بلانكي، مرشّح إدارة ترامب لمنصب مدير وكالة الأمن السيبراني وأمن البنية التحتية، ترشّحه وسط عدم يقين بشأن تثبيته في مجلس الشيوخ. والوكالة — وهي هيئة الدفاع السيبراني الفيدرالية المعيَّنة منسّقًا وطنيًّا أمريكيًّا للأمن السيبراني للبنية التحتية الحرجة — تعمل بلا مدير مثبَّت خلال أشدّ دورات أمن البنية التحتية الحرجة حدّة منذ عقود.

حملة الحرس الثوري على المتحكّمات المنطقية (AA26-097A في 7 أبريل)؛ واختراق Itron الذي مسّ 110 ملايين عدّاد (13 و27 أبريل)؛ وتسريب Pickett USA لبيانات هندسة الشبكة (27 أبريل)؛ وعطل Collins Aerospace في عمليات الطيران (4 أبريل)؛ ونسبة السويد اقتحام المحطّة الحرارية إلى روسيا (15 أبريل)؛ وفدية محطّة مياه ماينوت بداكوتا الشمالية (14 مارس)؛ ومؤشّر Dragos بارتفاع الفدية الصناعية 49% سنويًّا — كلّها متزامنة. وقدرة المنظِّم هي نفسها طبقة من مكدّس الاعتماديات. فحين لا يكون للمنظِّم قائد مثبَّت، يضعف تنسيقه للاستجابة للحوادث ونشر معلومات التهديد وتوزيع الموارد.

والردّ من جانب المستخدم هنا على مستوى السياسات: على مجلس الشيوخ تسريع تثبيت مدير للوكالة؛ وعلى السلطة التنفيذية تعيين موظّف مهني عامل ليتولّى المهامّ بصلاحيات تعادل المثبَّت في الفترة الانتقالية.

Anodot

اليوم، 5 مايو 2026، تعيد موجة ShinyHunters تأطير نفسها من «اقتحام Salesforce» إلى «سلسلة توريد البرمجيات كخدمة من أطراف ثالثة». فتسريب 119,000 سجلّ من Vimeo نشأ عبر Anodot — وهو مورّد تكامل تحليلات كخدمة — لا عبر اقتحام مباشر لـ Vimeo. وبالتزامن، أطلقت ShinyHunters بيانات بالتقطير من Carnival وMytheresa وZara و7-Eleven وPitney Bowes وCanada Life.

والنمط المرصود اليوم: تكامل تحليلي واحد لبرمجيات كخدمة من طرف ثالث يصير المسار إلى بيانات عملاء كثيرين. وكانت Salesforce هي مجمّع البرمجيات كخدمة الحامل للثقة الذي غطّته نشرة أمس. أما Anodot فهي مجمّع البرمجيات كخدمة من طرف ثالث لـ Salesforce. والنمط المعماري يتضاعف: اختراق تكامل واحد في Salesforce يصل إلى كلّ عميل من عملاء كلّ عميل من عملاء Salesforce يستخدم ذلك التكامل.

والردّ من جانب المستخدم: تدقيق تكاملات البرمجيات كخدمة من أطراف ثالثة (أيّ تكامل ينفذ إلى أيّ كائنات في Salesforce؟ وهل النطاق هو الحدّ الأدنى الضروري؟)؛ وتقسيم التكاملات لكلّ مؤسّسة على حدة؛ وبدائل عن منصّات التحليلات التي تجمّع لدى المورّد (Mautic أو Listmonk أو Plausible Analytics أو Matomo أو Metabase مستضافة ذاتيًّا).

وأصدرت Cushman & Wakefield بيانها الرسمي اليوم، واصفةً الاقتحام بأنه «محدود» ومؤكّدةً أن المسار كان تصيّدًا صوتيًّا. وتلتزم Instructure الصمت بشأن مهلة 6 مايو.

NSO في عهد فريدمان

في يناير 2026 صارت NSO Group تحت سيطرة مستثمرين أمريكيين. وقد سمّت المجموعة المشترية، بقيادة روبرت سيموندز، السفير الأمريكي السابق لدى إسرائيل في عهد ترامب ديفيد فريدمان رئيسًا تنفيذيًّا لمجلس الإدارة. وجُرّد تقرير الشفافية الصادر في يناير 2026 من أرقام إنهاء التعاقد مع العملاء التي كانت تظهر في تقارير السنوات السابقة. وNSO تمارس ضغطًا علنيًّا لشطبها من قائمة الكيانات الأمريكية.

وفي أكتوبر 2025 خفّضت قاضية المحكمة الجزئية الأمريكية فيليس هاملتون التعويضات العقابية في قضية WhatsApp ضدّ NSO من 167.2 مليون دولار إلى نحو 4 ملايين دولار. والقضية الآن في وضعية استئناف أمام الدائرة التاسعة. وهذا التخفيض بأربعين ضعفًا يقلّص جوهريًّا الثمن الذي يفرضه النظام القانوني على إساءة استخدام برامج التجسّس التجارية — الثمن الذي كان حكم أوكلاند في ربيع 2026 قد رفعه.

وفي ديسمبر 2025 شطبت الخزانة الأمريكية بهدوء ثلاثة كيانات من Intellexa من قائمة المواطنين المصنَّفين خصوصًا. وهذا الشطب يخفّف الضغط المالي على عنقود Intellexa.

والدلالة المعمارية: بائع التجسّس التجاري الذي عمل ضدّ المراسلة المشفَّرة طرفًا إلى طرف على نطاق واسع صار تحت ملكية أمريكية متحالفة مع السلطة التنفيذية، مع تخفيض الثمن القانوني للإساءة، فيما شُطبت بهدوء كيانات Intellexa المصنَّفة سابقًا. والمضادّ المعماري: أجهزة محمولة ببرامج ثابتة مفتوحة (بما يعادل وضع الإغلاق في GrapheneOS)، ورصد جنائي مستمرّ من Citizen Lab ومنظمة العفو الدولية، وتقاضٍ بموجب قانون حرية المعلومات بشأن شراء الوكالات الأمريكية لبرامج التجسّس، وضغط سياسي للحفاظ على عقوبات قائمة الكيانات وتصنيفات الخزانة.

إدانة أثينا

في 26 فبراير 2026، أدانت محكمة جنائية في أثينا تال ديليان — الضابط الإسرائيلي السابق في استخبارات الجيش ومؤسّس Intellexa — وثلاثة تنفيذيين آخرين في الشركة، بتهمة الاعتراض غير المشروع لاتصالات المجتمع المدني والصحفيين في اليونان باستخدام برنامج التجسّس «Predator» الخاصّ بالشركة. وهذه أوّل إدانة جنائية لتنفيذيي شركة تجسّس تجاري في أيّ مكان.

ونشأت الملاحقة اليونانية من فضيحة «Predatorgate» عام 2022 التي استُهدف فيها نحو 100 شخص — صحفيون وناشطون ومحامون ومسؤول يوناني رفيع — ببرنامج تجسّس ورّدته Intellexa.

والدلالة المعمارية: حتى 26 فبراير 2026، لم تكن أيّ ولاية قضائية قد نجحت في ملاحقة تنفيذيي شركة تجسّس تجاري جنائيًّا عن تبعات نشر منتجهم. وسابقة أثينا ترسّخ أن دفاع صناعة التجسّس القائل «نحن نبيع المنتج فحسب، والعميل هو من يسيء استخدامه» لا يصمد أمام ملاحقة جنائية — في الولاية القضائية اليونانية على الأقلّ.

عقد المليونَي دولار

Paragon Solutions — التي بيعت إلى AE Industrial Partners بنحو 900 مليون دولار قبل الموافقة الإسرائيلية النهائية من هيئة DECA — مندمجة الآن تشغيليًّا داخل هيئة إنفاذ قوانين الهجرة والجمارك الأمريكية بعقد مُعاد تفعيله قيمته 2 مليون دولار. وقد أكّد المدير بالإنابة للهيئة تود ليونز هذا النشر في شهادته أمام لجنة الأمن الداخلي بمجلس النوّاب في 1 مايو 2026. وقاد السيناتور رون وايدن 30 مشرّعًا في رسالة رقابية في 24 أبريل 2026.

وبالتزامن، تتعنّت Paragon علنًا أمام المدّعين الإيطاليين الذين يحقّقون في اختراق كانتشيلاتو / Fanpage. وكانت الخطوة الأولى للادّعاء الإيطالي طلب إفصاح Paragon عن قائمة عملائها كاملة؛ وردّ Paragon، بحسب التقارير العلنية، كان عدم التعاون.

والدلالة المعمارية: صار شراء وكالة فيدرالية لبرامج تجسّس تجارية مؤكّدًا علنًا بمبلغ عقد محدّد وإدارة حكومية محدّدة، بلا قانون رقابة علنية ينطبق على الشراء أو النشر، وبلا اشتراط إخطار المستهدَف.

«Bad Connection» — غير مرئي لـ MVT

تقرير «Bad Connection» الصادر في 23 أبريل 2026 عن باحثَي Citizen Lab غاري ميلر وسفانتيه لانغه — وقد غطّته النشرة الثالثة — يتضمّن نتيجة إضافية ذات دلالة بنيوية: مراقبة «المشغّل الشبح» عبر SS7 / Diameter غير مرئية لـ Mobile Verification Toolkit (MVT) وiVerify وLookout — أي منتجات الكشف الجنائي التجارية والمفتوحة الثلاثة التي يعتمد عليها المجتمع المدني لتأكيد اختراق الأجهزة.

فالمستخدم لا يستطيع أن يثبت من جانب الجهاز أنه متعقَّب عبر SS7. والدلالة المعمارية: منظومة تجسّس تجاري هاجرت إلى مسار لا تستطيع أدوات التحليل الجنائي كشفه تترك المستخدمين بلا ملاذ معماري على طبقة الجهاز.

والردّ من جانب المستخدم ينتقل إلى طبقة الشبكة: مصادقة عتادية بمعيار FIDO2 تنجو من اختراق شريحة SIM؛ وتدقيق أمني لـ SS7/Diameter على جانب المشغّل بتكليف من GSMA (وقد شُدّد مؤخّرًا)؛ وإفصاح تفرضه الجهة المنظِّمة عن علاقات التوجيه بين المشغّلين.

518 قتيلًا

في 23 أبريل 2026، أكّدت لجنة تحقيق تنزانية سقوط 518 قتيلًا و2,390 مصابًا في العنف الذي أعقب انتخابات أكتوبر 2025. وقد جرى ذلك العنف تحت انقطاع كامل للإنترنت دام خمسة أيام.

ووثّق تحالف KeepItOn التابع لـ Access Now 5,448 ساعة من انقطاعات الإنترنت في تنزانيا خلال 2025 — بخسارة اقتصادية بلغت 889.8 مليون دولار في 2025، وهي الأسوأ في أفريقيا.

والدلالة المعمارية: انقطاع الإنترنت ليس مجرّد آلية للتحكّم في المعلومات؛ إنه ممكِّن لعنف الدولة. فحين يعجز المواطنون عن التواصل والتنظيم وتوثيق عنف الدولة لحظةً بلحظة، تصير رواية الدولة عن عنفها هي المصدر الوحيد. وتأكيد اللجنة التنزانية سقوط 518 قتيلًا لم يأتِ إلّا بعد رفع الانقطاع، وهو ما يبرهن على المبدأ.

وظهر النمط نفسه في 15 مارس 2026، حين فرضت جمهورية الكونغو (برازافيل) انقطاعًا وطنيًّا للإنترنت يوم الانتخابات. وقاست NetBlocks الاتصال عند نحو 3% من خطّ الأساس المعتاد. والنتيجة: إعادة انتخاب دوني ساسو نغيسو لولاية خامسة بنسبة 94.82%. وساسو نغيسو يشغل الرئاسة منذ 1997، وشغلها قبل ذلك من 1979 إلى 1992.

والردّ المعماري من جانب المستخدم هو الشبكات المتشابكة والوصلات الفضائية لتوثيق الشأن المدني أثناء الانقطاعات: Briar (بلوتوث وTor)، وBridgefy (شبكة متشابكة)، وأطباق Starlink غير الرسمية (موثَّقة في إيران والسودان)، وReticulum، وMeshtastic، ومنتجات GoTenna PRO الاستهلاكية.

تسوية Roblox

في 21 أبريل 2026، دفعت شركة Roblox 35.8 مليون دولار في تسويات متزامنة مع نيفادا (12.5 مليون دولار)، وألاباما (12.2 مليون دولار)، وفيرجينيا الغربية (11.1 مليون دولار). ولا تزال 146 قضية معلّقة ضمن التقاضي الفيدرالي متعدّد المناطق.

وتشترط التسوية أن تزيل Roblox التشفير الطرفي من محادثات القاصرين. وهي أوّل تسوية أمريكية تسلّح سلامة الأطفال ضدّ التشفير.

والدلالة المعمارية: نجح المدّعون العامّون للولايات، لأوّل مرّة، في انتزاع تسوية تُلزم منصّة استهلاكية كبرى قريبة من المراسلة بالتراجع عن حماية التشفير الطرفي على مستوى البروتوكول، على أساس سلامة الأطفال، وقبل أن يفرض ذلك أيّ إجراء تنظيمي أو تشريعي فيدرالي. أما تراجع Meta عن التشفير الطرفي في Instagram المعلَن ليوم 8 مايو — وقد غطّته النشرة الثالثة — فكان فعلًا طوعيًّا من الشركة؛ في حين أن تراجع Roblox فعل تفرضه تسوية مع مدّعين عامّين للولايات. والنمط المعماري واحد — إعادة إدخال مسار المشغّل على طبقة المراسلة — لكن الآلية تنظيمية لا مؤسّسية.

وكان 22 أبريل 2026 موعد الامتثال للقاعدة المعدَّلة من قانون حماية خصوصية الأطفال على الإنترنت. والتغطية الجديدة: المعرّفات الحيوية (بصمات الوجه والصوت وأنماط القزحية) والمعرّفات الصادرة عن الحكومة. والعقوبات: 53,088 دولارًا لكلّ مخالفة لكلّ طفل في اليوم. وتشير تقارير المركز الوطني للأطفال المفقودين والمستغَلّين إلى 21.3 مليون بلاغ عبر CyberTipline في 2025، منها 1.5 مليون بلاغ له صلة بالذكاء الاصطناعي التوليدي.

واليوم، 5 مايو، رفع المدّعي العامّ لولاية بنسلفانيا أوّل دعوى من نوعها بشأن انتحال صفة طبّية ضدّ Character.AI.

Common Crawl

29 أبريل 2026: أرسل تحالف News/Media Alliance — نيابة عن NBCUniversal وCNN وVox Media وZiff Davis ومئات الناشرين الإقليميين الأمريكيين — رسالة رسمية إلى ريتش سكرينتا، المدير التنفيذي لمؤسسة Common Crawl، يطالبه فيها بإزالة محتوى الناشرين من مجموعة Common Crawl وإنشاء سجلّ للانسحاب.

وتستند الرسالة صراحةً إلى المادة 53 من قانون الذكاء الاصطناعي الأوروبي بشأن اشتراط ملخّص بيانات التدريب لنماذج الأغراض العامة، وهو ما يصير مُلزِمًا قانونًا في 2 أغسطس 2026. وCommon Crawl هي المجموعة الأساسية المستخرَجة من الويب لغالبية مجموعات بيانات تدريب النماذج اللغوية الكبيرة.

وفي اليوم نفسه، رُفعت سبع دعاوى قتل خطأ في المنطقة الشمالية لكاليفورنيا ضدّ OpenAI وسام ألتمان، تطالب بأكثر من مليار دولار. والمدّعون هم عائلات ضحايا إطلاق النار الجماعي في تامبلر ريدج. وتستشهد الدعاوى بما وثّقته OpenAI داخليًّا في يونيو 2025 من رفع علامة على حساب مطلق النار ثم تجاوزها.

والدلالة المعمارية: لم تعد حرب مصدر بيانات تدريب الذكاء الاصطناعي حربًا في قاعات المحاكم تُخاض على نظريات حقوق النشر؛ صارت حرب إزالة من المجموعات تُخاض على الامتثال التنظيمي. ولم يعد سطح مسؤولية مورّدي الذكاء الاصطناعي مقتصرًا على حقوق النشر؛ صار يشمل القتل الخطأ.

اليوم (5 مايو)

بعد ظهر هذا الثلاثاء، عدّة تطوّرات:

• رفع المدّعي العامّ لولاية بنسلفانيا أوّل دعوى من نوعها بشأن انتحال صفة طبّية ضدّ Character.AI.
• أصدرت Cushman & Wakefield بيانها الرسمي بشأن اقتحام ShinyHunters (وصفته بأنه «محدود»، مع تأكيد التصيّد الصوتي).
• تلتزم Instructure الصمت بشأن مهلة 6 مايو.
• أفاد مكتب المفتّش العامّ في وزارة الأمن الداخلي بأن 76 في المئة من تطبيقات الهواتف الذكية التي يستخدمها موظّفو مكتب الاستخبارات تنطوي على مخاطر أمنية تبلغ عتبات التصنيف الداخلية للوزارة نفسها.
• أُلغي مؤتمر RightsCon 2026 في لوساكا رسميًّا تحت ضغط مُبلَّغ عنه من جمهورية الصين الشعبية على زامبيا بسبب مشاركة مندوبين تايوانيين.
• إعادة تأطير ShinyHunters عبر Anodot تمدّ ضغط مهلة 6 مايو عبر سلسلة توريد البرمجيات كخدمة من أطراف ثالثة.

غدًا (6 مايو): تنقضي مهلة ابتزاز ShinyHunters لشركة Instructure. وتنقضي مهلة تواصل ShinyHunters مع Cushman & Wakefield. وتحلّ مهلة الترقيع الفيدرالي لدى CISA بشأن الثغرة CVE-2026-33825 من فئة Black-Hammer / BlueHammer / RedSun. ويتواصل تقييم أثر اختراق الشيفرة المصدرية لدى Trellix في 2 مايو. وفي 7 مايو: نتائج Cloudflare وCoinbase وLyft.

النمط الجامع

اعتماديات المستخدم في حياته اليومية — الماء والكهرباء والنقل والاتصالات والمدفوعات والتعليم والرعاية الصحية والهوية — تتراكم كلّ منها عبر:

1. أنظمة التقنية التشغيلية والتحكّم الصناعي (متحكّمات Rockwell المنطقية في منشآت المياه والصرف والطاقة؛ وSCADA في محطّة ماينوت؛ والعدّادات الذكية عند وصلات المرافق السكنية).
2. مجمّعات البرمجيات كخدمة لدى المورّدين (Salesforce؛ وAnodot؛ وItron؛ وARINC من Collins Aerospace؛ وهندسة Pickett USA).
3. تكاملات بيانات الطرف الثالث للطرف الثالث (مسار Anodot الذي وصل إلى عملاء Vimeo).
4. اعتماديات سلسلة التوريد (تتابع Bitwarden-CLI عبر الاستيلاء على Checkmarx KICS في Docker Hub، 22 أبريل).
5. بائعو تجسّس خاضعون لسيطرة أجنبية أو مستحوَذ عليهم محلّيًّا (NSO في عهد فريدمان؛ وعقد Paragon مع ICE بمليونَي دولار؛ وإدانة Intellexa في أثينا؛ وشطب الخزانة لكيانات Intellexa المصنَّفة).
6. قدرة المنظِّم (CISA بلا قائد مثبَّت؛ وقاعدة وكالة حماية البيئة للأمن السيبراني في قطاع المياه محلّ نزاع؛ وCIP-015-2 لدى FERC وNERC قيد الانتظار).
7. التحكّم في المعلومات (انقطاع تنزانيا خمسة أيام الذي أتاح 518 وفاة؛ وجمهورية الكونغو عند 3% من خطّ الأساس؛ وضغط الصين على زامبيا لإلغاء RightsCon).
8. تراجع عن التشفير تفرضه التسويات (تسوية Roblox مع مدّعين عامّين للولايات بقيمة 35.8 مليون دولار تشترط تجريد محادثات القاصرين من التشفير الطرفي).

كلّ طبقة سطح هجوم محتمل. وحين لا يكون للمنظِّم (CISA) قائد مثبَّت ويتزايد حجم الهجمات 49% سنويًّا، يصير مكدّس الاعتماديات هشًّا. والنمط بنيوي.

المضادّ المعماري

تقليل الطبقات. قلّل عدد المورّدين، وعدد تعرّضات التقنية التشغيلية للإنترنت، وعدد المجمّعات ذات نقطة الفشل الواحدة. وحافِظ على قدرة المنظِّم. وانشر حزمة العناصر الأوّلية التي يتحكّم بها المستخدم عند كلّ طبقة:

• تقسيم الشبكة في بيئات التقنية التشغيلية: عزل فيزيائي حيث أمكن؛ وصمّام بيانات أحادي الاتجاه للمسارات التي تقتصر على القياس؛ ونفاذ عبر مضيف حصين لتغييرات الهندسة.
• تنويع المورّدين على طبقة تجميع البرمجيات كخدمة: تجنّب البنى القائمة على Salesforce واحدة أو Anodot واحد أو Itron واحد أو ARINC واحد.
• بديل يدوي محلّي: درّب المشغّلين على الإجراءات اليدوية (شغّلت ماينوت بداكوتا الشمالية 16 ساعة يدويًّا بعد فدية 14 مارس)؛ ومارسوها دوريًّا.
• بدائل مفتوحة المصدر أو مفتوحة البرامج الثابتة للتقنية التشغيلية حيث نضجت: OpenPLC، وMosquitto كوسيط MQTT، وApache PLC4X، وأطقم تطوير OPC UA مفتوحة المصدر.
• الحفاظ على قدرة المنظِّم: مدير لـ CISA مثبَّت من مجلس الشيوخ؛ وإنفاذ NERC CIP؛ وتطبيق NIS2 الأوروبي؛ وسلطة لجان المرافق العامة في الولايات على الأمن السيبراني.
• مرونة على جانب المستخدم: تعدّد المرافق وتعدّد المشغّلين حيث يسمح الاقتصاد؛ ووصلات فضائية لمقاومة الانقطاعات؛ وشبكات متشابكة (Briar، وMeshtastic، وReticulum، وGoTenna PRO) للطوارئ المدنية.
• قابلية الكشف الجنائي على طبقة الجهاز: أجهزة محمولة ببرامج ثابتة مفتوحة (GrapheneOS) حيث لا يستطيع مسار SS7/Diameter / Pegasus / Graphite تجاوز سلوك الذاكرة المؤقّتة وقاعدة بيانات الإشعارات القابل لفحص المستخدم.
• حزمة العناصر الأوّلية التي يتحكّم بها المستخدم من النشرات 02-04 — عملاء مفتوحون، وبرامج ثابتة مفتوحة، وFIDO2، ونواقل مقاومة للحجب، وعملات خاصة، وذكاء اصطناعي بالاستدلال المحلّي، وهوية اتحادية، وخدمات مستضافة ذاتيًّا — مطبَّقة عند كلّ طبقة من مكدّس الاعتماديات.

الخاتمة

غدًا، 6 مايو، تنقضي مهلة ShinyHunters لشركة Instructure. وغدًا تنقضي مهلة التواصل مع Cushman & Wakefield. وغدًا تنقضي مهل الترقيع الفيدرالي لدى CISA على عدّة ثغرات مدرَجة في فهرس الثغرات المستغَلّة. وغدًا يواصل نمط اليوم. وأنماط الستّين يومًا الماضية تتقارب على تشخيص معماري واحد: مكدّس الاعتماديات أطول من اللازم، وأشدّ تركّزًا من اللازم، وأهشّ من اللازم، فيما يفتقر المنظِّم الذي ينبغي أن ينسّق الدفاع إلى قائد مثبَّت، وفيما يجري الاستحواذ على بائعي التجسّس القادرين على استغلال الهشاشة تحت ملكية محلّية ويرون عقوباتهم تُخفَّف.

تقليل الطبقات هو المضادّ الوحيد القابل للتعميم. مورّدون أقلّ. ومجمّعات ذات نقطة فشل واحدة أقلّ. وتكاملات أقلّ. واعتماديات أقلّ. وحافِظ على المنظِّم. وانشر حزمة العناصر الأوّلية التي يتحكّم بها المستخدم عند كلّ طبقة.

مكدّس الاعتماديات هو النمط. وتقليل الطبقات هو الردّ.

غدًا، الأربعاء 6 مايو 2026، تنقضي مهلتا ابتزاز من ShinyHunters في الوقت نفسه.

الأولى ضدّ Instructure، مشغّلة نظام إدارة التعلّم Canvas. فإشعار "FINAL WARNING — PAY OR LEAK" — أي «إنذار أخير — ادفعوا أو نسرّب» — الصادر عن هذا التجمّع الإجرامي، والمنقول عبر BreachForums والذي رصدته Privacy Rights Clearinghouse وComparitech وKrebsOnSecurity، يشير إلى نحو 3.65 تيرابايت من البيانات تغطّي ما يُقدَّر بـ 240 إلى 275 مليون سجلّ عبر ما يقارب 9,000 إلى 15,000 مؤسسة تعليمية. ويشمل التسريب مليارات الرسائل الخاصة بين الطلاب والمعلّمين، ونسخة Instructure من Salesforce. وكانت مدارس وايزاتا العامة (مينيسوتا) أوّل عميل معروف لـ Canvas يحذّر أولياء الأمور.

وقد أكّدت Instructure انكشاف الأسماء وعناوين البريد الإلكتروني ومعرّفات الطلاب والرسائل بين المستخدمين. ويبقى رقم 3.65 تيرابايت ادّعاءً من جانب المجرمين. أما الصيغة المتحفّظة فهي: «عشرات إلى مئات الملايين من سجلّات طلاب مرحلة ما قبل الجامعة وما بعدها، بما فيها الاتصالات بين الطلاب والمعلّمين، معرَّضة لخطر وشيك بالنشر العلني». وهو ثاني اختراق مؤكَّد لدى Instructure خلال ثمانية أشهر. أما الحادثة السابقة، في سبتمبر 2025، فكشفت نحو 1.7 مليون سجلّ.

والمهلة الثانية تنطبق على Cushman & Wakefield، التي أفصح عنها بشكل منفصل اليوم، 5 مايو، كونور جونز من The Register. ويوصف الاقتحام بأنه مدفوع بالتصيّد الصوتي — أي هجوم هندسة اجتماعية عبر مكالمة هاتفية ضدّ مكتب الدعم لدى الشركة — مع استخدام بيانات الاعتماد التي حُصل عليها من مكتب الدعم للنفاذ إلى نسخة الشركة من Salesforce. وCushman & Wakefield واحدة من أكبر شركات خدمات العقارات التجارية في العالم، ولها مكاتب في نحو 60 دولة وعملاء في قطاعات الخدمات المالية والحكومة والتجزئة والرعاية الصحية والتقنية. وبحسب التقارير، احتوت نسخة Salesforce على سجلّات إدارة علاقات العملاء، وخطوط الصفقات، ومراسلات الوساطة، وبيانات المستأجرين.

ومهلة تواصل ShinyHunters، بحسب الإفصاح: 6 مايو. اليوم نفسه لمهلة Instructure. والفاعل نفسه، بحسب نسبة مصدر The Register.

واليوم، 5 مايو، هو اليوم السابق.

طبقة Salesforce

Salesforce هي طبقة البرمجيات كخدمة الحاملة للثقة الوحيدة التي يقيم فيها أكبر تركّز لبيانات المؤسسات العابرة للعملاء. نحو 150,000 مؤسسة عميلة، بحسب تقارير Salesforce المنشورة، تضمّ غالبية شركات Fortune 500، ومئات الآلاف من مؤسسات التعليم في مرحلتَي ما قبل الجامعة وما بعدها، ووكالات حكومية فيدرالية وولائية، وعشرات الآلاف من المنظمات غير الربحية.

وحين يحتفظ مورّد واحد ببيانات علاقات العملاء لـ 150,000 مؤسسة على منصّة مشتركة متعدّدة المستأجرين، فإن كلّ استغلال جديد ضدّ المنصّة — أو ضدّ مسار مصادقة عميل واحد إليها — يملك القدرة المعمارية على الوصول إلى كلّ العملاء في اللحظة نفسها.

وقد برهن عنقود ShinyHunters في 2024-2025 — Snowflake، وAT&T، وTicketmaster، وAdvance Auto Parts، وLendingTree، وPure Storage، ونحو 165 عميلًا — على هذا النمط. وكان المسار حينها نسخ Snowflake المُعدّة إعدادًا خاطئًا لدى العملاء؛ والبيانات المأخوذة كانت تخصّ عملاء أولئك العملاء. أما إفصاحا Instructure وCushman & Wakefield في مايو 2026 فهما النمط نفسه لدى مورّد مختلف: Salesforce بوصفها المجمّع متعدّد المستأجرين؛ والتصيّد الصوتي بوصفه المسار إلى المصادقة؛ وبيانات عملاء العملاء بوصفها الحمولة المسرَّبة.

والدرس المعماري من هذا النمط بنيوي. فاختيار البرمجيات كخدمة الحاملة للثقة هو القرار المعماري الأكثر أثرًا الذي تتّخذه مؤسسة، لأنه يحدّد نطاق انفجار كلّ استغلال جديد. والمؤسسة التي تأتمن بيانات علاقات عملائها لمنصّة برمجيات كخدمة متعدّدة المستأجرين تقبل، وفق الاختبار المعماري، أن استغلالًا ضدّ أيّ عميل من عملاء تلك المنصّة قد يصل إلى بياناتها. أما المؤسسة التي تشغّل Mailcow وForgejo وخادم Matrix منزليًّا وNextcloud وMautic وSuiteCRM بنفسها فقد حدّت نطاق انفجارها بمحيطها وحده.

التناقض

في الأسبوع نفسه الذي تتقارب فيه مهلتا Instructure / Cushman & Wakefield، يتحرّك التنظيم في ولايات قضائية عدّة لفرض مزيد من رفع الهوية إلى المورّدين.

موعد الإلزام بواجهة Apple للنطاق العمري المعلَن هو 1 يوليو 2026 — أي بعد سبعة وخمسين يومًا من اليوم. والواجهة، بمواصفتها الحالية، تُلزم التطبيقات الموجَّهة لمستخدمين دون الثامنة عشرة بالاتصال ببنية الهوية لدى Apple للحصول على نطاق عمري معلَن لمستخدم الجهاز. والآلية التي يُثبَت بها عمر المستخدم ليست تعمية بالإفصاح الانتقائي؛ إنها إثبات هوية على مستوى الحساب تقوم به Apple، مع إنشاء سجلّات تحقّق عند كلّ استدعاء.

تقارير إنفاذ Ofcom البريطانية بشأن Meta وTikTok وYouTube وSnapchat وRoblox وX كانت مستحقّة فور انقضاء مهلة 30 أبريل. والمادة 12 من قانون السلامة على الإنترنت بشأن ضمان العمر تُلزم المنصّات بتطبيق تحقّق عمري "highly effective" أي «شديد الفعّالية». وقد وصفت ميلاني داوز، الرئيسة التنفيذية لـ Ofcom، التنظيم في شهادتها في مارس 2026 قائلة: «يجب أن تكون المنصّات "highly confident" — أي واثقة إلى حدّ عالٍ — من أعمار المستخدمين وقت الوصول». وقد جرى تفعيل عبارة "highly confident" عمليًّا بوصفها رفعًا لهوية صادرة عن الحكومة، أو مسحًا حيويًّا للوجه، أو إثبات هوية مماثلًا.

قانون الخدمات الرقمية الأوروبي وتطبيق التحقّق من العمر المرجعي الأوروبي. في أواخر أبريل 2026 شحن الاتحاد الأوروبي تطبيق تحقّق من العمر مرجعيًّا مفتوح المصدر بوصفه الأساس التقني لإلزام التحقّق من العمر المرتقب. وتجاوز بول مور، المستشار الأمني البريطاني العامل بشكل مستقلّ، هذا التطبيق في دقيقتين بتعديل ملفّ ضبط نصّي صريح. ورقّع الاتحاد الأوروبي الثغرة خلال أربع وعشرين ساعة. وقد بُني التطبيق المرجعي على يد مهندسين مهرة تحت رقابة تمويل أوروبي. وتجاوزه مستشار أمني متعاقد واحد في دقيقتين.

محفظة الهوية الرقمية الأوروبية. مهلة صارمة في 24 ديسمبر 2026 — أي بعد 233 يومًا من اليوم — لكي توفّر الدول الأعضاء محافظ eIDAS 2.0 عاملة. والبنية، وهذا مهمّ، قائمة على الإفصاح الانتقائي: فالمحفظة، لا الجهة المتحقّقة، هي التي تحوز بيانات الاعتماد، ولا تفصح إلّا عن السمات المطلوبة. وهذه هي الآلية الصحيحة معماريًّا. لكن نضج التنفيذ يتفاوت بين الولايات القضائية، والإطار التنظيمي المحيط بالمحفظة لا يُلزم الجهات المتحقّقة من أطراف ثالثة بقبول براهين الإفصاح الانتقائي بديلًا عن الإفصاح الكامل عن الهوية.

حظر أستراليا لوسائل التواصل لمن هم دون السادسة عشرة. يسري في أواخر 2026، ويُلزم المنصّات بالتحقّق من أن المستخدمين في السادسة عشرة أو أكبر. وآلية التحقّق غير محدّدة.

قانون SREN الفرنسي. ينصّ على التحقّق من العمر للمحتوى الموجَّه للبالغين، بآليات تتراوح بين التحقّق ببطاقة ائتمان ورفع هوية صادرة عن الحكومة وإثبات حيوي.

قوانين التحقّق من العمر على مستوى الولايات الأمريكية. قانون تكساس SB 2420، الذي أوقفته الدائرة الخامسة في 23 ديسمبر 2025، كان يفرض رفع الهوية للنفاذ إلى محتوى البالغين. وقد أقرّت كاليفورنيا وفلوريدا وميسيسيبي وتينيسي وفرجينيا وولايات أخرى تشريعات مماثلة.

والنمط في كلّ ولاية قضائية: التحقّق من العمر، في النصّ التنظيمي، جرى تفعيله عمليًّا بوصفه رفعًا للهوية إلى مورّد من طرف ثالث، مع إنشاء سجلّات تحقّق عند كلّ استدعاء. فالمورّد هو مسار المشغّل. وسجلّ التحقّق هو ناقل المراقبة.

المورّد

في 16 فبراير 2026، انكشفت للعلن لوحة العمليات الموجَّهة للحكومات لدى Persona، مورّد التحقّق من العمر لدى Discord. وعرضت اللوحة معلومات العملاء وتهيئات التكامل وسجلّات التحقّق. واكتشف الانكشاف باحث أمني من طرف ثالث وأفصح عنه ضمن الإفصاح المسؤول. وتشمل قاعدة عملاء Persona منصّة Discord (نحو 300 مليون مستخدم)، وعددًا من عملاء المنصّات الاستهلاكية الآخرين.

والدلالة المعمارية: المورّد الذي تعتمد عليه Discord للتحقّق من أعمار مستخدميها — أي لحيازة وثائق الهوية الصادرة عن الحكومة والنتائج التعموية للتحقّق من الهوية — انكشفت لوحة عملياته بلا مصادقة لمدّة غير مُفصح عنها. فمورّد التحقّق من العمر هو مورّد آخر في سلسلة توريد البرمجيات كخدمة الحاملة للثقة، وهو خاضع لاختراق مسار المشغّل نفسه الذي يمسّ كلّ برمجيات كخدمة حاملة للثقة.

وفي 24 فبراير 2026، غرّم مكتب مفوّض المعلومات البريطاني منصّة Reddit مبلغ 14.47 مليون جنيه إسترليني (18.4 مليون دولار) بسبب تعاملها مع بيانات التحقّق من العمر. والنتيجة المحدّدة: أن آلية التحقّق من العمر لدى Reddit جمعت صور هويات صادرة عن الحكومة واحتفظت بها بعد انقضاء نافذة التحقّق المشروعة، بما يخالف المادة 5(1)(هـ) من اللائحة العامة لحماية البيانات البريطانية — أي مبدأ الحدّ من التخزين.

وفي 23 أبريل 2026، وصف أندي ين، الرئيس التنفيذي لـ Proton، في جولة مقابلات منسّقة شملت الغارديان وبلومبرغ وTechCrunch، إلزامات التحقّق من العمر المتكاثرة بأنها «موت إخفاء الهوية على الإنترنت». وحجّة ين تحديدًا:

«التحقّق من العمر بالصيغة المقترحة الآن في بلد بعد بلد يعني موت إخفاء الهوية على الإنترنت. فالبنية لا تختلف بنيويًّا عن قاعدة بيانات تضمّ وثائق هوية كلّ بالغ والخدمات التي دخل إليها».

ووصفة ين: على المنظِّمين أن ينصّوا على بيانات الاعتماد ذات الإفصاح الانتقائي بوصفها آلية التحقّق، لا على إثبات الهوية من جانب المورّد.

المضادّ المعماري

المضادّ المعماري لتنظيم رفع الهوية هو حزمة من العناصر التعموية الأوّلية التي تُشحن اليوم.

بيانات الاعتماد القابلة للتحقّق من W3C، الإصدار 2.0، المصدَّق في مارس 2026، وهو يدعم الإفصاح الانتقائي عبر تواقيع BBS+ وBBS24 وJWP. فالمستخدم يحوز بيانَ اعتماد تصدره جهة (إدارة مركبات في ولاية، أو هيئة هوية وطنية، أو مسجّل جامعة). ويستطيع المستخدم أن يفصح عن سمات محدّدة من ذلك البيان — سمة «العمر لا يقلّ عن 18» — دون الإفصاح عن البيان نفسه. ولا تعلم الجهة المتحقّقة سوى السمة المُفصح عنها.

المعرّفات اللامركزية، الإصدار 1.1، وهو يدعم أساليب did:web وdid:peer وdid:ion وdid:key. فالمعرّف اللامركزي هو المعرّف التعموي الذي يتحكّم به المستخدم؛ وحلّه لامركزي؛ ولا يقتضي الحلّ الخاصّ بكلّ أسلوب سجلًّا واحدًا.

محفظة الهوية الرقمية الأوروبية بموجب eIDAS 2.0. مهلة صارمة في 24 ديسمبر 2026 (بعد 233 يومًا من اليوم). فالمحفظة، لا الجهة المتحقّقة، هي التي تحوز بيانات الاعتماد، ولا تفصح إلّا عن السمات المطلوبة. وهي إلزامية لجميع الدول الأعضاء السبع والعشرين.

طقم تواقيع BBS+. قيد التقييس في IETF. وهو العنصر التعموي الأوّلي الذي يتيح الإفصاح الانتقائي عن بيان اعتماد موقَّع واحد: فالجهة المتحقّقة تتحقّق من التوقيع؛ ونطاق الإفصاح يحدّده المستخدم.

رموز Privacy Pass المجهولة. RFC 9577، المنشور في أكتوبر 2024. فالجهة المتحقّقة لا تستطيع ربط عمليات تحقّق منفصلة بالمستخدم نفسه. وApple وGoogle وCloudflare هي الجهات الثلاث التي تنشره إنتاجيًّا اليوم.

رخصة القيادة المحمولة في Apple Wallet (mDL)، وفق المعيار ISO/IEC 18013-5، في ثلاث عشرة ولاية إضافة إلى بورتوريكو. فالهاتف يحوز بيان الاعتماد. والإفصاح الانتقائي مُنفَّذ على طبقة البروتوكول بين الهاتف والجهة المتحقّقة. ويستطيع المستخدم أن يفصح عن «فوق 21» دون الإفصاح عن تاريخ الميلاد أو الصورة أو العنوان أو رقم الرخصة.

هوية ولايات الولايات المتحدة في Google Wallet. بنية مماثلة لرخصة القيادة المحمولة في Apple Wallet.

شفافية سلامة سلسلة التوريد IETF SCITT. الأساس التعموي للتحقّق من الادّعاءات المتعلّقة بسلاسل توريد البرمجيات دون رفع البرمجيات نفسها.

الحزمة تُشحن اليوم. والتنظيم الذي يحلّ في أواخر 2026 ينبغي أن ينصّ على الإفصاح الانتقائي بوصفه آلية التحقّق. وحيث لا ينصّ المنظِّم عليه، على المورّدين أن يتبنّوه طوعًا.

النظير على مستوى الدولة

في 21 أبريل 2026، رفع الاتحاد الأمريكي للحرّيات المدنية ومنظمة Common Cause دعوى فيدرالية ضدّ وزارة العدل تطعن في أوّل تجميع فيدرالي على الإطلاق لسجلّات الناخبين في الولايات الخمسين كلّها ضمن قاعدة بيانات واحدة خاضعة للسيطرة الفيدرالية. ويشمل التجميع أرقام الضمان الاجتماعي وتواريخ الميلاد لنحو 168 مليون ناخب أمريكي مسجَّل. وقد استقال مسؤول خصوصية رفيع في وزارة العدل في 3 أبريل بسبب المشروع.

والدلالة المعمارية هي نفسها دلالة تركّز Salesforce. فمحيط واحد لأكثر البيانات الشخصية حساسيةً سياسيًّا لجمهور الناخبين بأسره هو، وفق الاختبار المعماري، على بعد اختراق واحد من كشف 168 مليون سجلّ من أرقام الضمان الاجتماعي وتواريخ الميلاد. واختراق من جهاز استخبارات أجنبي أو جماعة ابتزاز إجرامية أو شخص من الداخل سيجعل بيانات 168 مليون أمريكي دائمة وموزَّعة بلا رجعة.

والمضادّ المعماري هو الفيدرالية بحكم التصميم. أي مزامنة سجلّات الناخبين في الولايات مزامنةً عابرة من أجل نزاهة الانتخابات (إزالة التكرار وتتبّع تغيّر العناوين) دون إنشاء تجميع فيدرالي دائم. وبروتوكولات تعموية للمقارنة العابرة — تقاطع المجموعات الخاصّ، والحوسبة متعدّدة الأطراف — تحقّق الهدف السياساتي المتمثّل في إزالة التكرار عبر الولايات دون المخاطرة المعمارية.

وفي الأسبوع نفسه الذي تتقارب فيه مهلتا Instructure / Cushman & Wakefield، تمركز الحكومة الفيدرالية سجلّات الناخبين — ويطعن المجتمع المدني في ذلك أمام محكمة فيدرالية لأجل مخاوف المخاطرة المعمارية نفسها التي تدور حولها هذه النشرة.

أرضية الرعاية الصحية

سجّل الربع الأول من 2026 مئتين وواحدًا من هجمات الفدية على المستشفيات في الولايات المتحدة وحدها، بحسب تجميعات Comparitech / KrebsOnSecurity / Privacy Rights Clearinghouse. وQilin هي عائلة الفدية الأكثر نشاطًا. ومن الضحايا المسمَّين الذين لا يزالون في أطوار إفصاح نشطة: منظومة جامعة ميريلاند الطبية، وInsight Hospital Chicago، وHospital Caribbean Medical Center.

وبلغت التسوية الرباعية لـ HIPAA التي أعلنها مكتب الحقوق المدنية في وزارة الصحة والخدمات الإنسانية في 23 أبريل نحو 1.7 مليون دولار، وشملت 427,000 مريض. واللافت أن أحد مكوّنات التسوية — Star Group / SG Health Plan بمبلغ 245,000 دولار — كان ضربة غير معتادة لخطّة صحية يرعاها صاحب عمل، بما يشير إلى أن المكتب يوسّع إنفاذ HIPAA ليشمل رعاة الخطط لا مقدّمي الخدمة المشمولين وحدهم.

وصار الباب 42 من مدوّنة اللوائح الفيدرالية، الجزء 2، وهو القاعدة الفيدرالية التي تحكم خصوصية سجلّات علاج اضطرابات تعاطي المواد، قابلًا للإنفاذ مدنيًّا في 16 فبراير 2026. والقاعدة الآن مُلزِمة بعقوبات مدنية. ودخلت تسوية التنصّت في قضية Naviance / PowerSchool بقيمة 17.25 مليون دولار طور المطالبات، وهي تشمل أكثر من 10 ملايين طالب.

وقطاعا الرعاية الصحية والتعليم هما أشدّ برهانين راهنين على أن حيازة المورّد فخّ. والمضادّ المعماري عند هذه الطبقة: جمع بالحدّ الأدنى الضروري، وبيانات اعتماد ذات إفصاح انتقائي لنفاذ الأطبّاء، ونسخ احتياطية معزولة وغير متّصلة، وبنية استعادة غير قابلة للتغيير على مستوى نظام التشغيل، ومصادقة عتادية بمعيار FIDO2 لمحطّات عمل الأطبّاء.

تتمّة سلسلة التوريد

22 أبريل 2026: بلغ تتابع Bitwarden-CLI — عبر الاستيلاء على Checkmarx KICS في Docker Hub — بيئة الإنتاج. والجديد فيه: أن الحمولة الخبيثة في Bitwarden-CLI كانت أوّل هجوم يُرصد علنًا في البرّية ويستهدف تهيئات خوادم بروتوكول سياق النموذج (MCP).

فحمولة Bitwarden، عند تثبيتها، تبحث عن .cursor/mcp.json و.claude/settings.json وما يماثلهما من ملفّات تهيئة خوادم MCP لمساعدي البرمجة بالذكاء الاصطناعي، وتستبدل بنقاط نهاية خوادم MCP المشروعة نقاطَ نهاية يتحكّم بها الخصم. وبذلك تمرّ الاستدعاءات اللاحقة لمساعد البرمجة عبر خادم MCP الذي يتحكّم به الخصم، مسرِّبةً المطالبات وإكمالات الشيفرة.

والدلالة المعمارية: بنية بروتوكول سياق النموذج الاتحادية، التي يُفترض أن تكون المضادّ من جانب المستخدم لأسطح الحزم المركزية في npm وPyPI وDocker Hub، صارت هي نفسها هدفًا. وأوّل هجوم يُرصد علنًا على تهيئة MCP يغلق الردّ القائل «MCP الاتحادي أكثر أمانًا بنيويًّا من سجلّات الحزم المركزية». فـ MCP الاتحادي مختلف بنيويًّا، لكنه صار أيضًا تحت الهجوم. والردّ من جانب المستخدم: التحقّق من التواقيع التعموية لنقاط نهاية خوادم MCP، وبناءات قابلة لإعادة الإنتاج لخوادم MCP، وإيقاع تحديث لـ MCP خاصّ بكلّ مؤسسة مع تسجيل تدقيقي.

RightsCon لوساكا

اليوم، 5 مايو 2026: أُلغي مؤتمر RightsCon 2026 في لوساكا — وهو الملتقى العالمي للحقوق الرقمية الذي تستضيفه Access Now سنويًّا منذ 2011 — قبل أيام من افتتاحه، بعدما طالبت الحكومة الزامبية، تحت ضغط مُبلَّغ عنه من جمهورية الصين الشعبية، بأن تستبعد Access Now المندوبين التايوانيين من الملتقى. ورفضت Access Now. وأُلغي الملتقى. وسجّلت مؤسسة الحدود الإلكترونية وهيومن رايتس ووتش وFront Line Defenders مواقفها علنًا.

والدلالة المعمارية لهذه النشرة: مُحي المكان الرئيسي لملتقى المجتمع المدني العالمي للحقوق الرقمية بضغط صيني على الحكومة المضيفة. وقد كان RightsCon المكان الذي نشر فيه مشروع Tor نواقل الالتفاف للمستخدمين المعرَّضين للخطر؛ وحيث عرض Citizen Lab كشوف Pegasus؛ وحيث التقت Apple وGoogle وMeta وSignal وProton وTuta بباحثي الخصوصية؛ وحيث نسّق التحالف العالمي للتشفير.

والإلغاء لا يلغي العمل، لكنه يلغي الالتقاء الحضوري. وأدوات تنسيق المجتمع المدني التي لا تعتمد على بلد مضيف واحد — خوادم Matrix المنزلية الاتحادية والندّ للندّ وغير المتزامنة، وForgejo، وMailcow، وJitsi، وBriar — تصير البديل المعماري. فحزمة العناصر الأوّلية نفسها التي تحمي حيازة المستخدم لهويته تحمي أيضًا تنسيق المجتمع المدني من تعطيل بلد مضيف واحد.

ما بعد الكمّية

6 مارس 2026: بدأت Signal بفرض بروتوكول SPQR / Triple Ratchet المقاوم للحوسبة الكمّية على تسجيلات الحسابات الجديدة. وهو أوّل قطع صارم لمسار غير مقاوم للكمّية في مراسل استهلاكي كبير. وأُلغي تسجيل حسابات signal-cli جماعيًّا (وهو العميل غير الرسمي لسطر الأوامر المستخدم على نطاق واسع للبوتات وسير العمل المؤتمت وتكاملات الجسور). وتعطّل كثير من البوتات. والدلالة المعمارية أن فرض الانتقال إلى التعمية المقاومة للكمّية بقطع المسارات غير المقاومة صارمًا هو وضعية نشر مختلفة جوهريًّا عن عرض امتدادات اختيارية.

30 مارس 2026: نشرت Google Quantum AI، مع جاستن دريك (مؤسسة إيثيريوم) ودان بونيه (ستانفورد)، ورقة تبرهن على خفض بنحو 20 ضعفًا في عدد الكيوبتات اللازم لكسر لوغاريتم المنحنى البيضوي secp256k1 في بيتكوين. والحدّ الأدنى الجديد: أقلّ من 500,000 كيوبت فيزيائي، بزمن هجوم يُقاس بالدقائق متى وُجد ذلك العتاد. وsecp256k1 في بيتكوين يؤمّن نحو 2 تريليون دولار من القيمة السوقية. والانتقال إلى تواقيع مقاومة للكمّية يقتضي تغييرات في بروتوكول التوافق؛ ومسار BIP للانتقال إلى ما بعد الكمّية قيد النقاش النشط.

21 أبريل 2026: أكّدت ورقة من Coinbase / ستانفورد / مؤسسة إيثيريوم أن تجميعات المعرفة الصفرية (Aleo وAztec وRailgun) محصَّنة ضدّ الكمّية نظريًّا-معلوماتيًّا بحكم تصميمها. ويمكن نقل منظومة التوقيع فوق طبقة التسوية الخاصة بالتجميع إلى عناصر أوّلية مقاومة للكمّية دون تغيير ضماناتها التعموية.

والمضادّ المعماري الجاهز لما بعد الكمّية في المراسلة والنقل والتواقيع: Signal SPQR، والتحقّق من مفاتيح جهات الاتصال في iMessage، وبنية التوقيع الجاهزة لما بعد الكمّية في Apple Wallet، ونشر Cloudflare الهجين لـ ML-KEM في TLS بأكثر من 60%، وتفعيل Akamai الافتراضي لما بعد الكمّية في 31 يناير. وينقضي FIPS 140-2 في 21 سبتمبر 2026، وهو منحدر الشراء الفيدرالي.

قوس الأسبوع الواحد

اليوم (5 مايو) يقع ضمن إيقاع معيّن من الساعات.

• غدًا (6 مايو): مهلة ShinyHunters لشركة Instructure. ومهلة ShinyHunters لشركة Cushman & Wakefield.
• 11-22 مايو: تدقيق Trail of Bits لـ FCMP++ في مونيرو.
• 14 مايو: جلسة الإنصاف النهائية في تسوية Bartz ضدّ Anthropic بقيمة 1.5 مليار دولار. وإغلاق طلبات مزوّدي خدمات الدفع لليورو الرقمي.
• 15 مايو: مهلة رفع السرّية عن رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس (إصلاح المادة 702).
• 12 يونيو: انقضاء المادة 702.
• 30 يونيو: مهلة CURP Biométrica المكسيكية (127 مليون خطّ محمول).
• 1 يوليو: موعد الإلزام بواجهة Apple للنطاق العمري المعلَن.
• 2 أغسطس: بدء سريان أحكام الذكاء الاصطناعي العام في قانون الذكاء الاصطناعي الأوروبي.
• 11 سبتمبر: الإفصاح عن الثغرات إلى ENISA خلال 24 ساعة بموجب قانون المرونة السيبرانية الأوروبي.
• 21 سبتمبر: انقضاء FIPS 140-2.
• 24 ديسمبر: المهلة الصارمة لمحفظة الهوية الرقمية الأوروبية.

وكلّ ساعة منها مهلة مؤسسية أو تنظيمية أو بروتوكولية. أما حزمة العناصر الأوّلية التي يتحكّم بها المستخدم — الحزمة نفسها المسمّاة في النشرات الثلاث السابقة — فلا تتوقّف على أيّ اتجاه تسلكه هذه الساعات.

الخاتمة

مهلة الغد ليست لحظة الاختراق. فالاختراق وقع بالفعل. الغد هو لحظة التوزيع.

275 مليون سجلّ من بيانات طلاب مرحلة ما قبل الجامعة وما بعدها، إضافةً إلى مليارات الرسائل الخاصة بين الطلاب والمعلّمين، إضافةً إلى بيانات علاقات عملاء واحدة من أكبر شركات العقارات التجارية في العالم، كلّها تقيم على نسخ من Salesforce تخضع اليوم للابتزاز في وقت واحد ومن الفاعل نفسه. واليوم هو اليوم السابق. وإشعار ShinyHunters "FINAL WARNING — PAY OR LEAK" — أي «إنذار أخير — ادفعوا أو نسرّب» — يحدّد 6 مايو.

وفي الأسبوع نفسه، تفرض البنية التنظيمية في ولايات قضائية عدّة مزيدًا من رفع الهوية إلى المورّدين. واجهة Apple للنطاق العمري المعلَن. وإنفاذ Ofcom البريطاني. وتطبيق التحقّق من العمر المرجعي الأوروبي. وحظر أستراليا لمن هم دون السادسة عشرة. وقانون SREN الفرنسي. وقوانين الولايات الأمريكية. فالمورّد الذي يحوز الهوية هو المورّد الذي يُخترق. أما المضادّ المعماري — بيانات اعتماد ذات إفصاح انتقائي بمفاتيح يحوزها المستخدم — فموجود في معايير W3C وIETF وNIST، مصدَّقًا ومنشورًا ويُشحن اليوم. والنصّ التنظيمي لم يلحق بعد.

وحزمة العناصر الأوّلية التي يتحكّم بها المستخدم، المسمّاة في النشرات الثلاث السابقة — عملاء مفتوحون بمفاتيح يحوزها المستخدم، وعتاد مفتوح البرامج الثابتة، ومصادقة FIDO2، ونواقل مقاومة للحجب، وعملات مشفّرة حافظة للخصوصية، وذكاء اصطناعي بالاستدلال المحلّي، وهوية اتحادية بإفصاح انتقائي، وخدمات مستضافة ذاتيًّا — لا تملك، بحكم خاصّيتها المعمارية «لا رفع»، أيّ سطح يمكن أن تديره الآليات الأربع المسمّاة في النشرة الثالثة (تراجع الشركات، والإلزام المؤسسي، وقسر الدولة، والاختراق الجنائي)، ولا أيّ سطح يمكن أن تديره آلية «حيازة المورّد فخًّا» المسمّاة في هذه النشرة.

لا ترفع هويتك إلى مورّد التحقّق من العمر. أفصح عن العمر تعمويًّا.

لا ترفع سجلّات الطلاب إلى نظام إدارة تعلّم كخدمة. استضف النظام على بنية يشغّلها المستخدم.

لا ترفع بيانات علاقات العملاء إلى منصّة واحدة متعدّدة المستأجرين. قسّمها لكلّ مؤسسة على حدة.

لا ترفع السجلّات الطبية إلى مورّد سجلّات صحية إلكترونية واحد. احتفظ بالسجلّات وفق قاعدة الحدّ الأدنى الضروري في HIPAA.

لا ترفع بيانات المعاملات إلى مشغّل عملة مستقرّة. سوِّ بعملات محفوظة بحيازة المستخدم.

لا ترفع مطالبات الذكاء الاصطناعي إلى سجلّ لدى طرف ثالث. شغّل الاستدلال على عتاد يتحكّم به المستخدم.

لا ترفع سجلّات ناخبي الولايات إلى قاعدة بيانات فيدرالية. زامِن مزامنةً عابرة بمقارنة تعموية.

لا ترفع.

يعيد الاتحاد الأوروبي فتح الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال في بروكسل يوم الاثنين، 4 مايو 2026. وكانت الرئاسة القبرصية للمجلس قد طرحت نصّ تسوية منقّحًا في 28 أبريل؛ وجلسة اليوم هي أول جولة تفاوضية على ذلك النصّ. وتتسلّم أيرلندا الرئاسة الدورية في 1 يوليو، خلفًا لقبرص، مع هدف معلن بالتوصّل إلى اتفاق سياسي في ذلك الشهر. واليوم هو أول جلسة تفاوضية بعد تصويت البرلمان الأوروبي في 26 مارس 2026 على الاستثناء المؤقت من توجيه الخصوصية الإلكترونية — Chat Control 1.0 — الذي أخفق تمديده: إذ رفضه البرلمان بـ311 صوتًا معارضًا مقابل 228 مؤيدًا، مع 92 ممتنعًا. وكتب النائب الأوروبي عن حزب القراصنة باتريك برايَر على Mastodon في صباح ذلك اليوم: «دموع فرح. لقد رفض البرلمان تمديد المسح الجماعي بلا إذن قضائي». أما وزيرة العدل الألمانية شتيفاني هوبيغ، في 7 أبريل، فقالت: «يجب أن تكون مراقبة المحادثات بلا إذن قضائي من المحرّمات في دولة دستورية».

ولائحة الاعتداء الجنسي على الأطفال هي أهم تنظيم أوروبي معلّق يتعلّق بسرّية المراسلات. والآلية المقترحة — المسح الإلزامي على جهاز العميل لكل رسالة قبل تشفيرها — لا تكاد تتمايز معماريًّا، على مستوى ضمان السرّية، عن إزالة التشفير من طرف إلى طرف. فالعميل الذي يمسح كل رسالة بنصّها الصريح ويرسل بصمة أو تصنيفًا إلى سلطة مركزية يملك، وفق الاختبار البنيوي، مسارًا للمشغِّل: السلطة المركزية هي المشغِّل، والعميل الماسح هو أداتها.

واليوم هو أيضًا اليوم 4 من 45 في العدّ التنازلي لانقضاء المادة 702 من قانون مراقبة الاستخبارات الأجنبية.

ساعة المادة 702

في الخميس، 30 أبريل 2026، أقرّ مجلس النواب الأمريكي تمديدًا لثلاث سنوات للمادة 702 من قانون مراقبة الاستخبارات الأجنبية بأغلبية 261 صوتًا مقابل 111. غير أن مشروع القانون تضمّن بندًا لا صلة له بالموضوع يحظر إصدار عملة رقمية أمريكية للبنك المركزي. ورفض مجلس الشيوخ المشروع المحزوم. وقبل ساعات من انقضاء المهلة عند منتصف الليل، أقرّ المجلسان تمديدًا نظيفًا لمدة 45 يومًا. ووقّعه الرئيس ترامب في 1 مايو 2026. والموعد الجديد للانقضاء هو 12 يونيو 2026.

وكان ثمن السيناتور رون وايدن لمنح الموافقة بالإجماع على التمديد النظيف رسالةً بتوقيع كوتون-وارنر إلى مديرة الاستخبارات الوطنية تولسي غابارد والمدّعي العام تود بلانش، تضمن رفع السرّية خلال خمسة عشر يومًا عن رأي صادر في 17 مارس 2026 عن محكمة مراقبة الاستخبارات الأجنبية. وبدأت الساعة حين وقّع الرئيس ترامب التمديد. وخمسة عشر يومًا من 1 مايو تنتهي في 16 مايو؛ والهدف العملي هو 15 مايو. وقال السيناتور وايدن في مداخلة على أرضية مجلس الشيوخ: «هذا الرأي الصادر في 17 مارس يوثّق تجاوزات جسيمة. ومن حق الجمهور الأمريكي أن يعرف ما هي تلك التجاوزات قبل أي إعادة تفويض».

وتجيز المادة 702 الجمع بلا إذن قضائي لاتصالات الرعايا الأجانب الموجودين خارج الولايات المتحدة. ويلتقط هذا الجمع، بصورة عرضية، اتصالات الأمريكيين الذين يتواصلون مع رعايا أجانب. والبنية القانونية قائمة على تعاون المشغِّل: فمقدّمو الخدمة المسجّلون في الولايات المتحدة مُلزَمون بالمساعدة في الجمع. والمادة الخام هي حركة البريد الإلكتروني والرسائل القصيرة والصوت والمراسلة الفورية المارّة عبر مقدّمي خدمة مسجّلين في الولايات المتحدة — Google، وMicrosoft، وMeta، وApple، وAmazon.

أما الأثر المعماري للتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، في مواجهة المادة 702، فهو: أن مقدّم الخدمة يحوز نصًّا مشفّرًا لا نصًّا صريحًا. فيُنتج جمع المادة 702 بايتات غير قابلة للتأويل. ولا تستطيع سلطة المادة 702 فكّ التشفير من دون مفاتيح المستخدم. ولا يمكن إجبار مقدّم الخدمة على تسليم ما لا يحوزه.

ومهلة رفع السرّية في 15 مايو هي الفرصة الأولى لتقييم أنماط التجاوز المحدّدة التي يوثّقها رأي محكمة FISC.

الجمعة

في الجمعة، 8 مايو 2026، تجرّد Meta الرسائل المباشرة في Instagram من التشفير من طرف إلى طرف.

والتفاصيل التقنية، بحسب تحديث وثائق المطوّرين لدى Meta في 25 أبريل 2026: تبقى الرسائل المباشرة القائمة في Instagram مشفّرة على جهاز العميل بموجب تطبيق الشركة الحالي لبروتوكول Signal. أما الرسائل الجديدة اعتبارًا من 8 مايو فتستخدم بروتوكول "Server-Mediated Messaging" الذي يحتفظ بالنصّ الصريح لدى المُرحِّل الخاضع لسيطرة Meta. ويجري إخطار المستخدمين بلافتة داخل التطبيق: «اعتبارًا من 8 مايو، ستدعم الرسائل المباشرة الجديدة في Instagram ميزات الذكاء الاصطناعي والامتثال للنفاذ القانوني عبر بروتوكول جديد للمراسلة بوساطة الخادم».

وقالت اللجنة التوجيهية للتحالف العالمي للتشفير، في بيان صادر في 8 أبريل 2026: «إن تراجع Meta المعلن عن التشفير من طرف إلى طرف في الرسائل المباشرة على Instagram يناقض التزام الشركة في ديسمبر 2023 بتوسيع حماية التشفير من طرف إلى طرف في Messenger لتشمل Instagram، وهو أمر غير مسبوق لدى منصّة مراسلة استهلاكية كبرى».

أما المبرّر المعلن من Meta فهو "lawful-access compliance and AI-feature integration" — أي «الامتثال للنفاذ القانوني ودمج ميزات الذكاء الاصطناعي». والإشارة إلى "AI-feature integration" تحيل إلى ميزات مساعد Meta AI — التلخيص والترجمة والردّ الذكي وتصنيف المحتوى — وهي ميزات تشترط معماريًّا وجود نصّ صريح لدى المشغِّل.

ويتأثّر بهذا نحو ملياري حساب على Instagram. أما WhatsApp (نحو 3 مليارات مستخدم)، وiMessage (نحو 1.5 مليار جهاز)، وSignal (70 مليون مستخدم نشط شهريًّا) فتبقى مشفّرة على جهاز العميل بمفاتيح يحوزها المستخدم. ولم تعلن Meta عن تغييرات موازية في WhatsApp.

والدلالة المعمارية هي السابقة التي يُرسيها ذلك. فـ 8 مايو هو المرة الأولى التي تعكس فيها منصّة مراسلة استهلاكية كبرى نشرًا رئيسيًّا للتشفير من طرف إلى طرف على مستوى البروتوكول. لقد تبدّل الحساب التجاري: فالضغط التجاري لميزات الذكاء الاصطناعي صار يرجح على التزام سياسة الخصوصية الذي دفع التحوّل المعماري بين عامي 2014 و2024.

ذاكرة الإشعارات

في الخميس، 9 أبريل 2026، ذكر جوزيف كوكس من 404 Media أن مكتب التحقيقات الفيدرالي استرجع رسائل Signal «المحذوفة» من هاتف iPhone عائد إلى أحد المتهمين، عبر ذاكرة قاعدة بيانات الإشعارات في iOS. وتخزّن هذه الذاكرة نصّ معاينة الإشعار في قاعدة بيانات مبنية على SQLite تبقى بعد حذف التطبيق الذي أنشأها. وكانت رسائل Signal المحذوفة لدى المتهم قابلة للاسترجاع من الذاكرة على مستوى نظام التشغيل، رغم تفعيل خاصية الرسائل المتلاشية على جهاز العميل في Signal.

وفي الخميس، 16 أبريل 2026، نشر ثورين كلوسوفسكي، الاختصاصي التقني في مؤسسة الحدود الإلكترونية، تشريحًا معماريًّا: «ذاكرة الإشعارات لدى Apple فيها مشكلة خصوصية. فالتشفير من طرف إلى طرف يحمي الرسائل أثناء النقل وفي حال السكون داخل قاعدة بيانات تطبيق المراسلة. لكنه لا يحمي الرسائل المعروضة في معاينة إشعار نظام التشغيل، وهي المعاينة التي تُبقيها قاعدة بيانات الإشعارات لدى Apple في مخزن SQLite منفصل يبقى بعد حذف التطبيق الذي أنشأها».

وفي الأربعاء، 22 أبريل 2026، شحنت Apple تحديثات iOS 26.4.2 وiPadOS 26.4.2 وiOS 18.7.8. ونصّ الترقيع: "Addresses an issue with notification preview persistence." — أي «يعالج مشكلة في بقاء معاينة الإشعارات». والثغرة المخصّصة: CVE-2026-28950.

والدرس المعماري: التشفير من طرف إلى طرف ضروري لكنه غير كافٍ. فنقطة فكّ التشفير — طبقة نظام التشغيل التي تعرض الرسالة — يجب ألّا تحتفظ هي الأخرى بالنصّ الصريح بعد التفضيل الذي أعلنه المستخدم للاحتفاظ. ولا تستطيع بنية Signal أن تمنع التخزين المؤقّت على مستوى نظام التشغيل. ويغلق الترقيع الخلل المفصح عنه، لكن السطح المعماري يبقى: فأي تطبيق ذي برنامج ثابت مغلق يعرض نصًّا صريحًا على جهاز المستخدم قد يترك آثارًا لم يأذن بها المستخدم.

والاستجابة المعمارية من جانب المستخدم هي العتاد ذو البرنامج الثابت المفتوح، حيث يستطيع المستخدم تفحّص سلوك الذاكرة. فنظام GrapheneOS — توزيعة أندرويد المشتقّة من AOSP والمتخصّصة في التحصين — لا يحتفظ بمعاينات الإشعارات في ذاكرة دائمة افتراضيًّا. أما وضع الإغلاق Lockdown Mode الذي أُدخل في iOS 16 وجرى تحصينه في iOS 18، فيقلّص سطح تثبيت التطبيقات لكنه لا يعالج بقاء ذاكرة الإشعارات.

وقالت Apple في بيان لوكالة Reuters في أواخر مارس 2026: «لسنا على علم بأي هجمات ناجحة ببرمجيات تجسّس مرتزقة ضد جهاز مفعّل عليه وضع الإغلاق». وقد سبق هذا البيان الكشف عن استغلال مكتب التحقيقات الفيدرالي لذاكرة الإشعارات، وهو يبقى ساريًا على مسار برمجيات التجسّس — غير أن استرجاع المكتب استخدم مسارًا مختلفًا كليًّا: خلل ذاكرة الإشعارات.

تقرير Bad Connection

في الخميس، 23 أبريل 2026، نشر باحثا Citizen Lab غاري ميلر وسفانتيا لانغه تقرير "Bad Connection: How Surveillance Vendors Exploit Mobile Networks for Espionage" — أي «اتصال سيّئ: كيف يستغل بائعو المراقبة الشبكات الخلوية في التجسّس».

ويوثّق التقرير ما لا يقلّ عن 15,700 محاولة مؤكَّدة لتعقّب المواقع عبر بروتوكولَي الإشارة SS7 (نظام الإشارة رقم 7) وDiameter، إضافة إلى استغلال SIMjacker عبر الرسائل القصيرة، منذ نوفمبر 2022. وسُمّيت ثلاثة كيانات اتصالات «شبحية» تُستخدم غطاءً: 019Mobile، وهو مشغّل شبكة افتراضي إسرائيلي؛ وTango Networks، وهي شركة اتصالات مسجّلة في المملكة المتحدة؛ وAirtel Jersey، وهي أداة قضائية في جزر القنال. ويُشتبه بتورّط بائع إسرائيلي للاستخبارات الجغرافية لم يُسمَّ.

والاستهداف عالمي: عشر دول على الأقل، من بينها الولايات المتحدة، وعدة دول أعضاء في الاتحاد الأوروبي، والمكسيك، والهند، وعدد من دول الخليج.

وSS7 وDiameter هما بروتوكولا الإشارة في الربط البيني القديم بين مشغّلي الاتصالات. وكلاهما يسبق أي بنية أمنية ذات معنى. فقد وُضعت مواصفة SS7 عام 1988 بلا أي آلية للاستيثاق، انطلاقًا من افتراض أن مشغّلي الاتصالات وحدهم سيصلون إلى شبكة الإشارة. وDiameter (المواصفة 3GPP TS 29.272) هو البديل في شبكات LTE و5G؛ وهو، كحال SS7، يفتقر إلى استيثاق متبادل متين بين المشغّلين. أما SIMjacker فمسار منفصل: تنفيذ أوامر عن بُعد عبر بطاقة SIM برسائل قصيرة معدّة خصّيصًا، باستغلال الضبط المتساهل لتطبيق S@T Browser.

والسطح المعماري هو افتقار طبقة الإشارة الخلوية القديمة إلى سرّية الهوية من طرف إلى طرف. فالمشغّلون قادرون على التوجيه، أو الاستغلال، أو الخضوع للإكراه. وليس لدى المستخدمين أي بصيرة معمارية بمن يستعلم عن مواقعهم أو يرسل إليهم رسائل استغلال.

أما الاستجابة من جانب المستخدم فهي: الاستيثاق العتادي بمعيار FIDO2 الذي يصمد أمام اختراق بطاقة SIM (لأن الاستيثاق مرتبط بالعتاد لا برقم الهاتف — YubiKey، وNitrokey، وSoloKey)، والأجهزة الخلوية ذات البرنامج الثابت المفتوح التي تغلق سطح تثبيت التطبيقات (GrapheneOS).

واستجابةً لتقرير Bad Connection، أجرى متصفّح Tor 15.0.10 — الصادر في 21 أبريل 2026، والذي حلّت محلّه منذئذٍ النسخة 15.0.11 — تدويرًا لخوادم STUN الخاصة بـ Snowflake، تحسّبًا لتصاعد محاولات الحجب من جانب الدول.

Paragon على الحدود

في الجمعة، 1 مايو 2026، أكّد المدير بالإنابة لدائرة الهجرة والجمارك تود لاينز، في شهادة أمام لجنة الأمن الداخلي بمجلس النواب، أن دائرة الهجرة والجمارك تنشر برنامج التجسّس "Graphite" العامل دون نقرة، من إنتاج شركة Paragon Solutions.

وشركة Paragon Solutions، التي أسّسها خرّيجو الوحدة الإسرائيلية 8200 السابقون، تبيع الاستغلال دون نقرة على iOS وأندرويد بوصفه خدمة مُدارة. وGraphite هو منتجها الرئيسي. وقد سبقت تأكيدَ لاينز فضيحةُ "Graphite" الإيطالية — التي أكّد فيها المدّعون الإيطاليون اختراق هاتف iPhone الخاص بالصحفي فرانتشيسكو كانتشيلاتو باستخدام Graphite، ورفضت فيها Paragon التعاون مع التحقيق الإيطالي.

والدلالة المعمارية: صار اقتناء وكالة فيدرالية لبرمجيات تجسّس تجارية أمرًا مؤكّدًا علنًا على مستوى وزارة اتحادية. ولا يوجد تشريع رقابي علني ينطبق على الاقتناء أو النشر. ولا يوجد شرط بإخطار المستهدفين؛ فالمستهدفون لا يعلمون أنهم مستهدفون.

أما الاستجابة من جانب المستخدم فهي الأجهزة الخلوية ذات البرنامج الثابت المفتوح — GrapheneOS أو ما يماثله — حيث يستطيع المستخدم تفحّص سطح تثبيت التطبيقات، إضافة إلى إعدادات مكافئة لوضع الإغلاق تغلق مسارات الاستغلال الشائعة دون نقرة، إضافة إلى الرصد الجنائي الرقمي المستمر من Citizen Lab ومنظمة العفو الدولية.

حكم الـ 168 مليونًا

في الاثنين، 27 أبريل 2026، قضت هيئة محلفين فيدرالية في أوكلاند بتعويض Meta بمبلغ 168 مليون دولار كتعويضات عقابية وتعويضية على حساب مجموعة NSO. وجاء الحكم بعد محاكمة استمرّت ثلاثة أسابيع. ووجدت هيئة المحلفين أن مجموعة NSO مسؤولة عن انتهاك قانون الاحتيال وإساءة استخدام الحاسوب وقانون كاليفورنيا الشامل للنفاذ إلى بيانات الحاسوب والاحتيال، في اختراق WhatsApp / Pegasus عام 2019 الذي طال 1,400 مستخدم.

أما دفوع NSO — الحصانة السيادية (زعمت NSO أنها تتصرّف بوصفها وكيلًا لعملاء سياديين)؛ والاستهداف الخاضع لسيطرة العميل (دفعت NSO بأن الاستهداف مسؤولية العميل لا البائع)؛ و«الاعتراض المشروع» (زعمت NSO أن Pegasus لا يُباع إلا لأغراض الاعتراض المشروع) — فقد رُفضت كلّها.

والدلالة المعمارية: أن بائعي برمجيات التجسّس التجارية العاملة دون نقرة ضدّ خدمات المراسلة المشفّرة من طرف إلى طرف يملكون ملاءمة بنيوية بين المنتج والسوق. وقد حدّد النظام القانوني، للمرة الأولى في محاكمة، سعرًا لتلك الملاءمة. أما ما إذا كان الحكم سابقةً للتقاضي اللاحق ضدّ برمجيات التجسّس التجارية فيتوقّف على المراجعة الاستئنافية.

اليوم 65 في إيران

يصادف اليوم اليوم الخامس والستين من قطع الإنترنت الشامل في إيران. وقد بدأ القطع في 28 فبراير 2026، عقب التبادل الإسرائيلي-الإيراني. والاتصال الوطني، بحسب NetBlocks وCloudflare Radar، أدنى بكثير من واحد في المئة من مستويات ما قبل الحرب.

وللمقارنة: قطع الإنترنت الشامل في إيران، المستمرّ منذ 65 يومًا، هو أطول انقطاع وطني تفرضه دولة يُسجَّل على الإطلاق لدى ائتلاف KeepItOn التابع لمنظمة Access Now. فقطع ميانمار بعد انقلاب 2021 كان أطول من حيث المدة الإقليمية، لكن الاتصال الوطني استُعيد على مراحل؛ وقطع تيغراي الذي دام عامين كان إقليميًّا؛ وقطع كشمير الذي دام 552 يومًا بموجب المادة 370 كان إقليميًّا. وقد وثّق تقرير KeepItOn لعام 2025 الصادر عن Access Now، والمنشور في 31 مارس 2026، رقمًا قياسيًّا بلغ 313 حالة قطع للإنترنت عالميًّا في 2025 — وقد أنتجت إيران الآن أطول حالة قطع وطنية مفردة في 2026 خلال الأشهر الخمسة الأولى من العام.

وفي 21 أبريل 2026، أرست وزارة الاتصالات الإيرانية نظام نفاذ متدرّج بصفة مؤسسية. وأُعلن عن مستويين: مستوى "Internet Pro" بسقف بيانات شهري قدره 50 غيغابايت للمواطنين المدقَّقين الذين يجتازون مراجعة للولاء السياسي؛ وشرائح SIM «البيضاء» المخصّصة للمسؤولين والصحفيين المعتمَدين. والتأكيد البنيوي: أن إيران تريد لهذا القطع أن يستمرّ بوصفه التوازن الجديد، لا أن يُعكس.

أما الكلفة الاقتصادية اليومية، بحسب معهد توني بلير وNetBlocks، فهي من 70 إلى 80 مليون دولار.

والدرس المعماري: أن الدولة التي تتحكّم ببنية المشغّلين المرخّصين قادرة على تعطيل مسار المشغِّل بالكامل. وتشمل الاستجابة من جانب المستخدم الشبكات المتشابكة (Briar، وBridgefy)، والوصلات الساتلية الصاعدة (ذكرت Reuters وجود أطباق Starlink غير رسمية داخل إيران)، ووسائط Tor القابلة للتوصيل (Snowflake، وmeek-azure، وobfs4)، والتحايل المموّه للبروتوكولات (Outline، وV2Ray، وTrojan، وReality، وShadowsocks).

حجب العملاء في روسيا

في الأربعاء، 15 أبريل 2026، أجبرت الهيئة الفيدرالية الروسية للإشراف على الاتصالات وتقنية المعلومات ووسائل الإعلام الجماهيري — Roskomnadzor — ما لا يقلّ عن عشرين منصّة كبرى على الحجب الفعّال للعملاء الذين يحاولون النفاذ عبر شبكة افتراضية خاصة. ومن المنصّات المسمّاة: Yandex، وSberbank، وVK، وWildberries، وGosuslugi (البوابة الحكومية الإلكترونية الاتحادية).

وانخفضت إتاحة Telegram إلى نحو 5 في المئة من دون شبكة افتراضية خاصة. وتأثّر نحو 105 ملايين مستخدم روسي. وأزالت Apple 761 تطبيق VPN من متجر التطبيقات الروسي في موعد مهلة 15 أبريل أو قبله بقليل. وتسبّبت بنية التفتيش العميق للحزم نفسها المسؤولة عن الحجب من جانب المنصّات في انقطاع مصرفي على مستوى البلاد في 4 أبريل، حين اصطدمت البصمات مع حركة مصرفية مشروعة. وحُجب موقع VPN Traffic Light المتخصّص في تتبّع الشبكات الافتراضية الخاصة في 9 أبريل.

وقد وثّقت Meduza استخدام موظفين في Roskomnadzor أنفسهم لشبكات افتراضية خاصة لمواصلة النشر على منصّات صارت محجوبة.

والدرس المعماري: أن الدولة قادرة على إجبار المنصّات على إنفاذ الحجب من جانب المنصّة، لا عند طبقة الشبكة وحدها. أما الاستجابة من جانب المستخدم فهي وسائط نقل مقاوِمة للرقابة تعمل تحت بصمات التفتيش العميق للحزم أو بمحاذاتها — Tor 15.0.10 مع Snowflake؛ وV2Ray VLESS+Reality؛ وShadowsocks-2022؛ وTrojan؛ وWireGuard مع obfsproxy؛ ووسيط النقل الندّي لدى URnetwork.

تجميد الـ 344 مليونًا

في الخميس، 23 أبريل 2026، نفّذت Tether أكبر تجميد مفرد للأصول في تاريخها: 344 مليون دولار من USDT على سلسلة Tron، جُمّدت بطلب من جهة إنفاذ قانون لم تُسمَّ. وتجاوز مجموع عمليات التجميد لدى Tether منذ 2017 الآن 4.4 مليارات دولار.

ووظيفة القائمة السوداء لدى Tether هي مفتاح إداري مركزي يُستعمل بلا مراجعة قضائية وبلا إخطار للطرف المقابل. والدرس المعماري: أن العملات المستقرّة المزوّدة بوظائف قوائم سوداء يتحكّم بها المشغِّل ليست نقودًا مقاوِمة للرقابة — بل هي سجلّ مأذون له بسعر معلن.

والمضادّ المعماري يسير على ثلاثة مسارات. Bitcoin: رسّخت BIP392 (مارس 2026) وBIP376 (أبريل 2026) وBIP77 الخاصة بـ PayJoin غير المتزامن حزمةَ المدفوعات الصامتة وPayJoin v2 على سجلّ Bitcoin الشفّاف. وصار نقل BIP324 v2 المشفّر بين الأقران هو الافتراضي في Bitcoin Core. Monero: تدقيق Trail of Bits لـ FCMP++ — إثبات العضوية الكامل عبر السلسلة بلس بلس — يمتدّ من 11 مايو إلى 22 مايو، وهو البوابة الأخيرة قبل تفعيل انقسام صلب يوسّع مجموعة إخفاء الهوية من 16 مخرجًا تمويهيًّا لكل معاملة إلى مجموعة مخرجات المعاملات غير المنفقة التاريخية بأكملها، وهي حاليًّا نحو 150 مليون مخرج (أي توسّع في عدم القابلية للربط بمقدار عشرة ملايين ضعف تقريبًا). Zcash: العرض المحمي نحو 31 في المئة من التداول (5.17 ملايين ZEC)؛ وبلغت المعاملات المحمية 59.3 في المئة من نشاط الشبكة في فبراير؛ وتقدّمت Grayscale بطلب أول صندوق مؤشرات فوري لعملة خصوصية بعد إغلاق هيئة الأوراق المالية والبورصات تحقيقها مع مؤسسة Zcash.

وفي الأسبوع نفسه الذي شهد تجميد Tether، أحكم مجلس محافظي البنك المركزي الأوروبي، في 9 و10 أبريل، حوكمة برنامج اليورو الرقمي التجريبي. وتُغلق طلبات مقدّمي خدمات الدفع في 14 مايو. وبنية العملة الرقمية للبنك المركزي تتضمّن مسار المشغِّل بحكم التصميم: فالبنك المركزي أو مقدّمو خدمات الدفع المفوّضون عنه هم من يحوز السجلّ.

فالعملات المستقرّة التي يتحكّم بها المشغِّل والعملات الرقمية للبنوك المركزية هي نقود ذات مسار للمشغِّل. أما Bitcoin بالمدفوعات الصامتة، وMonero بـ FCMP++، وZcash المحمي، فهي نقود بحيازة المستخدم.

مبدأ ستاين

في الاثنين، 5 يناير 2026، رفض قاضي المحكمة الجزئية الأمريكية سيدني ستاين اعتراض OpenAI على تسليم عشرين مليون سجلّ لمستخدمي ChatGPT ضمن إجراءات الكشف للمدّعين في قضية The New York Times. وقضى القاضي ستاين بأن مدخلات المستخدمين إلى خدمات ذكاء اصطناعي تجارية ليست محميةً بموجب مبدأ التعديل الرابع في قضية Carpenter v. United States (2018) — وهو حكم المحكمة العليا القاضي بأن الحكومة تحتاج عمومًا إلى إذن قضائي للوصول إلى معلومات المواقع الخلوية المحفوظة لدى طرف ثالث.

وميّز حكم ستاين بين سجلّات الذكاء الاصطناعي وسجلّات المواقع الخلوية: فمستخدمو الذكاء الاصطناعي يقدّمون المحتوى طوعًا إلى طرف ثالث لمعالجته؛ أما سجلّات المواقع الخلوية فتتولّد تلقائيًّا بمجرّد حيازة المستخدم لهاتف. ولهذا التمييز أثر عملي: أن سجلّات الذكاء الاصطناعي المحفوظة لدى مقدّمي خدمة تجاريين تخضع للإنتاج ضمن الكشف المدني لدى الطرف الثالث.

وفي السياق الأوسع: قضية Bartz v. Anthropic — أكبر دعوى جماعية أمريكية لحقوق النشر ضدّ بائع ذكاء اصطناعي توليدي — لها جلسة الإنصاف النهائية في 14 مايو 2026، مع تسوية مقترحة بقيمة 1.5 مليار دولار على جدول القضية. وقبلت محكمة ميلانو الإيطالية دعوى جماعية ضدّ Meta في 14 أبريل 2026، تغطّي نحو 35 مليون مستخدم. وأعلن المدّعي العام لولاية تكساس عن تسوية مع Google بقيمة 1.375 مليار دولار في 29 أبريل 2026.

فالمحاكم الأمريكية والأوروبية هي التي ترسي عمليًّا مبدأ خصوصية الذكاء الاصطناعي، عبر الكشف واعتماد الدعاوى الجماعية، لا عبر تحرّك المنظّمين. أما الإنفاذ العام المؤسسي لخصوصية الذكاء الاصطناعي في أوروبا فقد توقّف: إذ ألغت محكمة روما في 18 مارس 2026 الغرامة البالغة 15 مليون يورو التي فرضتها هيئة Garante الإيطالية على OpenAI — وهي الإجراء النهائي الوحيد بموجب اللائحة العامة لحماية البيانات ضدّ ChatGPT في أوروبا — تاركةً صفرًا من الإجراءات العامة الأوروبية القائمة بموجب اللائحة ضدّ خدمات الذكاء الاصطناعي عامة الغرض، وذلك قبل 90 يومًا من دخول أحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي حيّز التنفيذ في 2 أغسطس (وهي أحكام تحمل غرامات تبلغ ثلاثة في المئة من رقم الأعمال العالمي).

والمضادّ المعماري هو نماذج الأوزان المفتوحة العاملة بالاستدلال المحلي على عتاد المستخدم: DeepSeek V4 Pro، وMistral Medium 3.5، وLlama 3.3، وQwen 3، وGPT-OSS. فحيث لا يوجد سجلّ لدى طرف ثالث، لا يوجد ما يُكشف عنه، ولا ما يُستدعى بأمر قضائي.

السطح الجامع

ثماني فئات من الإفصاحات، كلّها خلال الأسبوع الماضي:

1. تراجع الشركات. Meta تجرّد الرسائل المباشرة في Instagram من التشفير من طرف إلى طرف في 8 مايو.
2. الإلزام المؤسسي. الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال يُستأنف اليوم؛ والعدّ التنازلي لانقضاء المادة 702 في اليوم 4 من 45؛ ورفع السرّية لدى محكمة FISC في اليوم 4 من 15.
3. الإكراه الحكومي. قطع الإنترنت الشامل في إيران في يومه 65؛ وحجب روسيا للعملاء المستخدمين للشبكات الافتراضية الخاصة في 15 أبريل؛ و761 تطبيق VPN أُزيلت من متجر التطبيقات الروسي.
4. الاختراق الجنائي الرقمي. ترقيع ذاكرة إشعارات iOS لدى Apple للثغرة CVE-2026-28950 الذي يغلق مسار استرجاع مكتب التحقيقات الفيدرالي لرسائل Signal؛ وأكثر من 15,700 محاولة تعقّب عبر SS7/Diameter في تقرير Bad Connection الصادر عن Citizen Lab؛ وتأكيد استخدام دائرة الهجرة والجمارك لبرنامج Paragon Graphite؛ وحكم الـ 168 مليون دولار ضدّ NSO.
5. القائمة السوداء النقدية لدى المشغِّل. تجميد Tether بقيمة 344 مليون دولار.
6. مسار المشغِّل في قواعد بيانات المراقبة. 1.6 مليون استعلام غير قانوني عبر Flock في شرطة سان فرانسيسكو؛ وإلغاء عقد أوشكوش.
7. مبدأ سجلّات الطرف الثالث في الذكاء الاصطناعي. ستاين و20 مليون سجلّ ChatGPT إلى The New York Times؛ وإلغاء قرار Garante؛ ومنحدر الـ 90 يومًا لأحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي.
8. المعمارية المضادّة. تدوير خوادم STUN الخاصة بـ Snowflake في Tor 15.0.10؛ وبناء GrapheneOS رقم 2026042100؛ وBIP392/376/77 في Bitcoin؛ وتدقيق Trail of Bits لـ Monero من 11 إلى 22 مايو.

والفئات الثماني كلّها تشترك في خاصية معمارية واحدة: مسار المشغِّل. فأيّ طبقة تحوز النصّ الصريح، يصبح المشغِّل عندها قابلًا لأن:

• يُلزَم (لائحة الاعتداء الجنسي على الأطفال، والمادة 702، وقواعد تقنية المعلومات الهندية)؛
• يُكرَه (روسيا، وإيران، وبيلاروسيا، والصين)؛
• يُخترَق (SS7/Diameter في Bad Connection، وPegasus من NSO، وGraphite من Paragon، وذاكرة الإشعارات لدى مكتب التحقيقات الفيدرالي)؛
• يتراجع طوعًا (Meta وInstagram، وApple ADP في المملكة المتحدة).

فالتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم يزيل مسار المشغِّل بالنسبة إلى الرسائل. والعتاد ذو البرنامج الثابت المفتوح يزيل مسار المشغِّل بالنسبة إلى نقاط الطرف. والاستيثاق العتادي بمعيار FIDO2 يزيل مسار المشغِّل بالنسبة إلى بيانات الاعتماد. ووسائط النقل المقاوِمة للرقابة تزيل مسار المشغِّل بالنسبة إلى بلوغ الشبكة. والعملات المشفّرة الحافظة للخصوصية تزيل مسار المشغِّل بالنسبة إلى تسوية القيمة. والذكاء الاصطناعي مفتوح الأوزان بالاستدلال المحلي يزيل مسار المشغِّل بالنسبة إلى سجلّات الاستدلال. والهوية الاتحادية بالإفصاح الانتقائي تزيل مسار المشغِّل بالنسبة إلى بيانات الاعتماد. والخدمات المستضافة ذاتيًّا تزيل مسار المشغِّل بالنسبة إلى البيانات المخزّنة.

وحزمة الأوّليات الخاضعة لتحكّم المستخدم — وهي الحزمة نفسها التي سمّتها الطبعة السابقة مضادًّا لوتيرة الهجمات السيبرانية المتسارعة بالذكاء الاصطناعي — لا تملك، بحكم الخاصية المعمارية «لا مشغِّل»، أي سطح يمكن تحويله بأيٍّ من الآليات الأربع.

ثلاث ساعات

اليوم هو اليوم 4 من 45 في العدّ التنازلي لانقضاء المادة 702. واليوم هو أيضًا اليوم 4 من 15 في العدّ التنازلي لرفع السرّية لدى محكمة FISC. واليوم هو اليوم 1 من عدد غير معلوم من جلسات الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال قبل الشهر المستهدف للاتفاق السياسي تحت الرئاسة القبرصية، وهو يوليو.

والجمعة 8 مايو هو موعد تراجع Meta عن التشفير من طرف إلى طرف في Instagram.

ومن 11 مايو إلى 22 مايو هي نافذة تدقيق Trail of Bits لـ Monero FCMP++.

و14 مايو هو موعد جلسة الإنصاف في قضية Bartz v. Anthropic وإغلاق طلبات مقدّمي خدمات الدفع لليورو الرقمي.

و15 مايو هو الموعد المستهدف لرفع السرّية لدى محكمة FISC.

و12 يونيو هو موعد انقضاء المادة 702.

و2 أغسطس هو موعد دخول أحكام النماذج عامة الغرض في قانون الذكاء الاصطناعي الأوروبي حيّز التنفيذ.

الخاتمة

النصّ الصريح لدى المشغِّل هو مسار المراقبة. فالمشغِّل يمكن أن يُلزَم، أو يُكرَه، أو يُخترَق، أو أن يتراجع طوعًا. وهذا الأسبوع، الآليات الأربع كلّها فاعلة في آن واحد، في دورة واحدة من أيام العمل.

أما التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، على عتاد يتحكّم به المستخدم، عبر شبكات يتحكّم بها المستخدم، وبتسوية في نقود يحفظها المستخدم بنفسه، مع ذكاء اصطناعي بالاستدلال المحلي على حوسبة يتحكّم بها المستخدم، ومع هوية اتحادية، وعلى خدمات مستضافة ذاتيًّا — أي حزمة الأوّليات الكاملة الخاضعة لتحكّم المستخدم — فلا يملك مسارًا للمشغِّل. لا يوجد مشغِّل يستطيع قراءة الرسالة، ولا مشغِّل يستطيع إعادة تفعيل الاحتفاظ من دون موافقة المستخدم، ولا مشغِّل يستطيع إسقاط الحركة بأمر حكومي، ولا مشغِّل يستطيع إدراج معاملة في قائمة سوداء، ولا مشغِّل يستطيع إنتاج سجلّ لإجراءات الكشف، ولا مشغِّل يستطيع كشف بيانات اعتماد، ولا مشغِّل يمكن استدعاؤه قضائيًّا لتسليم بيانات مخزّنة.

فالحزمة نفسها التي سمّتها الطبعة السابقة مضادًّا معماريًّا لوتيرة سوق الهجمات هي المضادّ المعماري لتراجع البائعين والدول عن السرّية. نماذج التهديد مختلفة. والخاصية المعمارية واحدة.

لا مشغِّل. لا مسار. لا تحويل.

في الثلاثاء، 24 مارس 2026، نشرت وحدة Mandiant التابعة لـ Google Cloud تقريرها M-Trends 2026 — وهو المرجع السنوي للاستجابة للحوادث، المستند إلى أكثر من 500,000 ساعة من أعمال الاستجابة للحوادث التي نفّذها محلّلو Mandiant خلال السنة التقويمية 2025. ومن بين نتائج التقرير، يبرز رقم واحد:

اثنتان وعشرون ثانية.

هذا هو الوسيط الزمني في 2025 بين اختراق وسيط النفاذ الأولي (IAB) وتسليم الوصول إلى تابع لعصابة فدية. ويقيس هذا المقياس الزمن المنقضي على الساعة بين اللحظة التي تمنح فيها أداة آلية أو ثغرة أو مكالمة هندسة اجتماعية موطئ قدم لوسيط النفاذ الأولي داخل شبكة الهدف، واللحظة التي يتسلّم فيها مشغّل منفصل — تابع عصابة الفدية — المهمّة ليبدأ طور التشفير والاستخراج.

وفي 2022، كان المقياس نفسه يتجاوز ثماني ساعات. وفي 2023، «عدة ساعات». وفي 2024، نحو إحدى عشرة دقيقة. وفي 2025، اثنتان وعشرون ثانية.

أي تسارع بمقدار ألف ضعف تقريبًا في ثلاث سنوات.

وتفسير Mandiant، بحسب نصّ التقرير: إن المقياس يعكس «تعاونًا أوثق بين شركاء النفاذ الأولي والمجموعات الثانوية». وبلغة البرمجيات التجارية، فقد تصنّعت سوق «من الوسيط إلى التابع»: صارت واجهات البرمجة مستقرّة، والصيغ موحّدة، والضمان آليًّا، وجرى عصر زمن التأخّر البشري الذي كان يحدّ سابقًا من زمن التسليم. فالتسليم يجري بسرعة الآلة لأن الطرفين نضجا إلى تبادل مُنتَج.

لقد صار اقتصاد الهجمات السيبرانية سوقًا. واثنتان وعشرون ثانية هي زمن مقاصّة تلك السوق.

مرتكزات اليوم الثلاثة

ثلاثة أحداث إخبارية يوم الاثنين، 4 مايو 2026، تبرهن على فجوة الوتيرة عمليًّا.

الأول. سبق صحفي لوكالة Reuters، أُعيد نشره على نطاق واسع اليوم عبر Insurance Journal ومنافذ أخرى: أفادت تقارير بأن وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية تدرس خفض المهل الفيدرالية لترقيع الثغرات المعروفة المستغَلَّة من السقف الحالي البالغ أسبوعين إلى ثلاثة أسابيع بموجب التوجيه التشغيلي الملزم 22-01 إلى ثلاثة أيام. ويراجع المقترحَ رئيس الوكالة بالإنابة نيك أندرسن والمدير الوطني للأمن السيبراني شون كيرنكروس. والدافع، بحسب تحليلات القطاع: أن الاستغلال المتسارع بالذكاء الاصطناعي، بما فيه Mythos Preview من Anthropic وGPT-5.4-Cyber من OpenAI، يضغط نافذة الاستغلال بعد الإفصاح من «أشهر» إلى «ساعات». وفيما يلي مجموعة تصريحات من القطاع.

ستيفن بوير، مؤسس Bitsight: «إذا كنت ستحمي الوكالات المدنية، فسيتعيّن عليك أن تتحرّك أسرع. لم يعد لدينا من النافذة ما يكفي».

كيشا هويت، نائبة الرئيس في Flashpoint: «واقعيًّا، ثلاثة أيام أمر مستحيل ببساطة في بعض البيئات».

نيتين ناتاراجان، النائب السابق لمدير الوكالة: «هذه إشارة إلى الآخرين تقول: يجب أن تفعلوا هذا بسرعة أكبر».

والوكالة نفسها تعمل بقدرة منخفضة، أنهكتها تخفيضات عميقة في الوظائف وإغلاق حكومي لوزارة الأمن الداخلي دام 75 يومًا. ومقترح الأيام الثلاثة جديد بنيويًّا؛ وحتى إن اعتُمد، فهو يقع بمرتبتين ونصف من حيث الترتيب العشري فوق السقف الهجومي البالغ 22 ثانية الذي قاسته Mandiant.

الثاني. أفصحت Progress Software عن الثغرة CVE-2026-4670 في MOVEit Automation — وهي تجاوز حرج للاستيثاق بدرجة CVSS 9.8 — إلى جانب CVE-2026-5174 (تصعيد امتيازات بدرجة CVSS 7.7). والإصدارات المتأثّرة: MOVEit Automation 2025.1.4 و2025.0.8 و2024.1.7 وما قبلها. وأُصلحت في 2025.1.5 و2025.0.9 و2024.1.8. ونحو 1,400 نسخة من MOVEit Automation مكشوفة علنًا على الإنترنت؛ وأكثر من عشر منها مرتبط بحكومات الولايات والحكومات المحلية الأمريكية. وقد أفصح عن الثغرتين بشكل مسؤول باحثو Airbus SecLab: أنائيس غانتيه، ودلفين غوردو، وكانتان ليدل، وماتيو ريكوردو. ولم يُبلَّغ عن استغلال نشط عند الإفصاح.

والسابقة التاريخية ماثلة. فثغرة MOVEit Transfer لعام 2023 — وهي ثغرة منفصلة في منتج آخر لدى Progress Software، استغلّتها عملية الفدية Clop — أنتجت أكثر من 2,100 ضحية مؤسسية وخسائر تراكمية قُدّرت بـ 12 مليار دولار لدى Shell، وBBC، وBritish Airways، ووزارة الطاقة الأمريكية، ووزارة الصحة والخدمات البشرية الأمريكية، وكثيرين غيرهم.

وإذا دخلت ثغرة MOVEit Automation لعام 2026 طور الاستغلال الجماعي بحجم 2023، فلن تستطيع الوتيرة الفيدرالية مجاراتها. فالنسخ الـ 1,400 المكشوفة مركّزة، لكن كل نسخة لدى حكومة ولاية أو حكومة محلية أمريكية تتوسّط تقارير امتثال لأنظمة هي نفسها متّصلة ببنى الهوية والرعاية الصحية والرواتب والمزايا.

الثالث. أطلقت Mistral خدمة Vibe Remote Agents على نموذج Mistral Medium 3.5. وكلاء برمجة ذاتيو القيادة من جانب السحابة، وجلسات متوازية متعددة، وواجهتا سطر أوامر وLe Chat. ويظهر «وضع العمل» في Le Chat على النموذج نفسه. وMistral Medium 3.5: نموذج كثيف من 128 مليار معامل، وسياق 256K، و77.6 في المئة على SWE-Bench Verified، و91.4 على τ³-Telecom. ورخصة MIT معدّلة؛ والأوزان قابلة للتنزيل من Hugging Face.

وVibe هي رابع منصّة كبرى للبرمجة الوكيلة تُشحن في 2026 — بعد OpenAI Codex، وAnthropic Claude Code، وGoogle Antigravity. وقد أُطلق Antigravity في 22 أبريل مع إفصاح من Pillar Security في اليوم نفسه عن تنفيذ شيفرة عن بُعد بالهروب من الصندوق الرملي، عبر حقن تعليمات من خلال معامل النمط find_by_name إلى رايات أداة fd، متجاوزًا وضع Antigravity الآمن.

فالقدرة تُشحن بوتيرة البرمجيات الاستهلاكية. أما الاستجابة التنظيمية — أول إرشادات مشتركة من تحالف العيون الخمس بشأن أمن الذكاء الاصطناعي الوكيل، الصادرة في 1 مايو — فاستشارية وعمرها ثلاثة أيام.

ما معنى «إنكار التعافي»

يسمّي تقرير M-Trends 2026 الصادر عن Mandiant تحوّلًا بنيويًّا في سلوك مشغّلي برامج الفدية يتجاوز مقياس الاثنتين والعشرين ثانية. فقد تجاوز المشغّلون التهديد المزدوج (التشفير والسرقة) إلى بنية من طور ثالث يسمّيها التقرير "recovery denial" — أي «إنكار التعافي».

والنمط: بعد التسليم من وسيط النفاذ الأولي إلى التابع، يستهدف المشغّلون بصورة منهجية خدمات الهوية، ومستويات إدارة المحاكاة الافتراضية، وبنية النسخ الاحتياطي. والهدف ليس استخراج البيانات وحده، ولا التشفير وحده، بل حرمان المؤسسة الضحية من القدرة على استعادة عملياتها. فاختراق خدمات الهوية يمنع استيثاق المستخدمين. واختراق إدارة المحاكاة الافتراضية يمنع التحوّل الاحتياطي للتعافي من الكوارث. واختراق بنية النسخ الاحتياطي يمنع الاستعادة.

ويظهر النمط عمليًّا في نافذة 1-4 مايو.

فحملة الفدية "Sorry" ضدّ cPanel تستخدم تشفير ChaCha20 مع مفتاح RSA-2048 عمومي مضمَّن من جانب المهاجم. وفكّ التشفير يقتضي مفتاح المهاجم الخاص من نوع RSA-2048. والاستعادة من دون دفع غير ممكنة عمليًّا.

واختراق مستودع الشيفرة المصدرية لدى Trellix في 2 مايو يمكّن من سيناريوهات إنكار تعافٍ مستقبلية، بكشفه أنماط التهرّب من الكشف وتعريفات التواقيع أمام من استخرج الشيفرة المصدرية. وTrellix هي شركة الأمن السيبراني التي تشكّلت عام 2022 من اندماج McAfee Enterprise وFireEye، وتملكها Symphony Technology Group.

ومسار Instructure / Salesforce يمرّ عبر برمجيات كخدمة لدى طرف ثالث ليلتفّ كليًّا على تخطيط التعافي لدى العميل. فمعظم المدارس التي تستخدم نظام إدارة التعلّم Instructure Canvas ليس لديها أي إطلاع تعاقدي على نسخة Instructure من Salesforce؛ والتعافي من اختراق يمرّ عبر Salesforce يقتضي تعاون Instructure وإذن Salesforce، ولا يتحكّم العميل بأيٍّ منهما.

واستنزاف مفتاح الناشر لدى Wasabi Protocol في 30 أبريل استخدم ترقيات وكيل UUPS لاستبدال تطبيقات الخزائن عبر أربع سلاسل كتل — Ethereum، وBase، وBerachain، وBlast — مبطلًا بذلك أي أوّلية تعافٍ داخل البروتوكول. فحساب الناشر الخارجي wasabideployer.eth كان يملك دور ADMIN_ROLE وحده؛ ومنحه لعقد تابع للمهاجم؛ ثم نفّذ المهاجم الترقية؛ ثم استنزف استدعاء strategyDeposit() مزيّف الخزائن. ولا قفل زمني. ولا توقيع متعدد. فسطح التعافي كان هو مفتاح البروتوكول الإداري نفسه.

فمقياس الاثنتين والعشرين ثانية هو وتيرة النفاذ. وإنكار التعافي هو البنية التالية للنفاذ.

أرضية فدية "Sorry"

دراسة حالة الثغرة CVE-2026-41940 في cPanel توضّح فجوة الوتيرة عمليًّا.

فالثغرة — وهي تجاوز للاستيثاق قبل المصادقة بدرجة CVSS 9.8 عبر حقن CRLF — تُستغلّ فعليًّا في البرّية منذ 23 فبراير 2026 على الأقل، بحسب دانيال بيرسون الرئيس التنفيذي لـ KnownHost. ورقّعتها cPanel في 28 أبريل. وأضافتها وكالة الأمن السيبراني وأمن البنية التحتية إلى فهرس الثغرات المعروفة المستغَلَّة في 30 أبريل بمهلة ترقيع فيدرالية قصيرة على غير المعتاد مدتها يومان تنتهي في 3 مايو.

وبحلول السبت، 2 مايو، كانت عائلة الفدية "Sorry" فاعلة وتستغلّ الثغرة على نطاق جماعي. وتقول قياسات Censys في 2 مايو: 15,448 مضيفًا من cPanel/WHM منخرطًا في نشاط خبيث — أي 79.99 في المئة من كل المضيفين الخبيثين الموسومين لدى GreyNoise في ذلك اليوم، صعودًا من 146 في اليوم السابق. وبحلول الأحد، 3 مايو، كان قد جرى اختراق نحو 2,000 نسخة.

وبحلول الاثنين، 4 مايو — اليوم — كانت مهلة الترقيع الفيدرالية قد انقضت. وأفادت TechCrunch باستمرار الاستغلال: لا يزال المخترقون يستغلّون ثغرة cPanel للسيطرة على آلاف المواقع.

وثلاثة عناقيد تهديد مستقلّة تتقاسم الثغرة نفسها. حملة الفدية "Sorry" بامتداد الملفات .sorry والتواصل بشأن الفدية عبر مراسل Tox. ومتغيّر Mirai المسمّى nuclear.x86، المنشور لأغراض تعدين العملات وطاقة شبكات الروبوتات لهجمات الحرمان من الخدمة. وحملة تجسّس على طراز الدول ترصدها Ctrl-Alt-Intel انطلاقًا من عنوان IP رقم 95.111.250.175 ضدّ نطاقات .mil.ph و.gov.la ومقدّمي الخدمات المُدارة في الفلبين ولاوس وكندا وجنوب أفريقيا والولايات المتحدة.

أربعة وستون يومًا كثغرة يوم صفر. ومهلة فيدرالية من يومين. وثلاثة أيام من الاستغلال بعد المهلة. ونحو 1.5 مليون نسخة cPanel مكشوفة على الإنترنت؛ ونحو 70 مليون نطاق يُحتمل تأثّرها. فوتيرة الترقيع هي الوتيرة الفيدرالية؛ ووتيرة الاستغلال هي وتيرة المجرمين والدول؛ وهما لا تلتقيان.

"Copy Fail" والاكتشاف المدفوع بالذكاء الاصطناعي

في الجمعة، 1 مايو 2026، أضافت وكالة الأمن السيبراني وأمن البنية التحتية الثغرة CVE-2026-31431 — "Copy Fail" — إلى فهرس الثغرات المعروفة المستغَلَّة بمهلة ترقيع فيدرالية تنتهي في 15 مايو. وهذا الخلل المنطقي في قالب التعمية algif_aead/AF_ALG في نواة Linux خلل عمره 9 سنوات أُدخل عبر تغييرات تعموية موضعية في 2011 و2015 و2017. وإثبات مفهوم بلغة Python حجمه 732 بايتًا يمنح صلاحيات الجذر عبر الملفات التنفيذية ذات بت setuid.

ويطال الخلل كل توزيعة Linux شُحنت منذ 2017: Ubuntu (بما فيها 24.04 LTS)، وAmazon Linux 2023، وRHEL 10.1، وSUSE 16، وDebian، وFedora، وArch. وهو يطال الحاويات أيضًا: فـ Docker وLXC وKubernetes تمنح الحاويات صلاحية AF_ALG افتراضيًّا. وإصلاح النواة الرئيسية في 1 أبريل؛ ووصلت أولى ترقيعات الموزّعين إلى Debian / Ubuntu / AlmaLinux نحو 1 مايو.

وأضاف Microsoft Defender التواقيع Exploit:Linux/CopyFailExpDl.A وExploit:Python/CopyFail.A وExploit:Linux/CVE-2026-31431.A في اليوم نفسه. وجاء في مدوّنة أمن Microsoft في 1 مايو: «نشاط اختبار أولي قد يفضي على الأرجح إلى تزايد استغلال الفاعلين التهديديين خلال الأيام القليلة المقبلة».

والأهمّ: أن الخلل اكتشفته شركة Theori باستخدام منصّتها Xint للاختبار الاختراقي بالذكاء الاصطناعي. وهي القدرة نفسها على اكتشاف الثغرات بالذكاء الاصطناعي التي عرضها Mythos Preview من Anthropic في 7 أبريل — والتي أعاد Vidoc Security Lab إنتاجها في 14 أبريل على ثمانية نماذج صغيرة مفتوحة الأوزان، أحدها بـ 3.6 مليار معامل نشط فقط وبكلفة 0.11 دولار لكل مليون رمز.

فاكتشاف الثغرات بالذكاء الاصطناعي صار الآن سلعة متاحة عبر واجهات برمجة استهلاكية. وأرضية الكلفة البالغة 0.11 دولار لكل مليون رمز تعني أن المؤسسات الصغيرة تستطيع تحمّل بنية اكتشاف سيبراني بمستوى الدول. أما إطار النفاذ المضبوط Glasswing — برنامج Anthropic المقيّد النفاذ الخاص بـ Mythos، بنحو 40 شريكًا مدقَّقًا وحتى 100 مليون دولار من أرصدة الاستخدام — فلا يستطيع تحديد القدرة حين تتحوّل القدرة إلى سلعة. فقد اكتشفت Theori ثغرة Copy Fail. واكتشفت مجموعات بحثية أخرى ثغرات أخرى في أنظمة تشغيل وأطر أخرى بكلفة مماثلة. لقد تصنّعت وتيرة الاكتشاف بالتوازي مع وتيرة الاستغلال.

أول كلمة من العيون الخمس

في الجمعة، 1 مايو 2026، أصدرت شراكة العيون الخمس الاستخبارية — وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية، ووكالة الأمن القومي الأمريكية، والمركز الأسترالي للأمن السيبراني التابع لمديرية الإشارات الأسترالية، والمركز الكندي للأمن السيبراني، والمركز الوطني للأمن السيبراني في نيوزيلندا، والمركز الوطني للأمن السيبراني في المملكة المتحدة — أول إرشادات مشتركة منسّقة متعدّدة الوكالات بشأن أمن الذكاء الاصطناعي الوكيل: "Careful Adoption of Agentic AI Services" — أي «التبنّي الحذر لخدمات الذكاء الاصطناعي الوكيل».

وسُمّيت خمس فئات للمخاطر: تصعيد الامتيازات عبر أدوات الوكيل؛ وعيوب التصميم والضبط؛ والمخاطر السلوكية (حقن التعليمات واختطاف الأهداف)؛ والمخاطر البنيوية (إخفاقات الوكلاء المتعدّدين والتواطؤ الناشئ)؛ وثغرات المساءلة.

ونصّ الإرشادات: "Until security practices, evaluation methods and standards mature, organisations should assume that agentic AI systems may behave unexpectedly and plan deployments accordingly, prioritising resilience, reversibility and risk containment over efficiency gains." — أي «إلى أن تنضج الممارسات الأمنية ومناهج التقييم والمعايير، ينبغي للمؤسسات أن تفترض أن أنظمة الذكاء الاصطناعي الوكيل قد تتصرّف على نحو غير متوقّع، وأن تخطّط لعمليات النشر تبعًا لذلك، مع تقديم المتانة والقابلية للعكس واحتواء المخاطر على مكاسب الكفاءة».

والتوصيات: بنية انعدام الثقة، والدفاع في العمق، وأقلّ الامتيازات، وهويات وكلاء مؤمَّنة تعموياً، وبيانات اعتماد قصيرة العمر، والتشفير أثناء النقل وفي حال السكون، وموافقة بشرية على الإجراءات عالية الأثر، ودفاعات ضدّ حقن التعليمات.

وبعد ثلاثة أيام من النشر، اليوم، شحنت Mistral خدمة Vibe Remote Agents. فوتيرة القدرة بسرعة البرمجيات الاستهلاكية. ووتيرة التنظيم ببطء اللجان.

سلسلة التوريد (22 أبريل - 1 مايو)

أنتجت النافذة الممتدة عشرة أيام من 22 أبريل حتى 1 مايو ستة إفصاحات مستقلّة تخصّ سلسلة التوريد.

22 أبريل (ثلاثة في يوم واحد). أفصحت OX Security عن ثغرة تصميمية بنيوية في بروتوكول سياق النموذج الخاص بـ Anthropic عبر كل لغات حزم التطوير — Python، وTypeScript، وJava، وRust — تطال نحو 200,000 خادم بحسب The Register، مع تسميم تسعة من أحد عشر متجرًا لـ MCP. وأفصحت Pillar Security عن تنفيذ شيفرة عن بُعد بالهروب من الصندوق الرملي في Antigravity، بيئة التطوير الوكيلة الجديدة لدى Google. وأسقطت حملة Shai-Hulud Third Coming التابعة لـ TeamPCP حزمة @bitwarden/cli@2026.4.0 مزوّدة ببابٍ خلفي على npm — بقيت حيّة نحو 1.5 ساعة — وسلّحت لأول مرة في السجلّ ملفَّي .claude/settings.json و.vscode/tasks.json بوصفهما آليتَي بقاء داخل مساعدات البرمجة بالذكاء الاصطناعي.

29 أبريل (Mini Shai-Hulud). وسّعت TeamPCP حملتها على سلسلة التوريد إلى أربع حزم npm متصلة بـ SAP: mbt 1.2.48، و@cap-js/db-service 2.10.1، و@cap-js/postgres 2.2.2، و@cap-js/sqlite 2.2.2. بمجموع نحو 500,000 تنزيل أسبوعيًّا؛ وبقيت حيّة من ساعتين إلى أربع ساعات. ويجلب خطّاف ما قبل التثبيت الخبيث ملفًّا تنفيذيًّا مموّهًا من Bun يحصد بيانات الاعتماد المحلية، ورموز GitHub وnpm، وأسرار GitHub Actions، وأسرار AWS/Azure/GCP/Kubernetes/HashiCorp Vault، وبيانات الاعتماد المخزّنة في المتصفّح. ويجري الاستخراج إلى مستودعات GitHub مملوكة للضحايا بعنوان "A Mini Shai-Hulud has Appeared." — أي «ظهر شاي-هولود صغير». ويوقف فحص بلغة النظام الروسية عمل البرمجية الخبيثة إذا رُصدت الروسية.

30 أبريل (امتداد إلى PyPI). جرى حجر الإصدارين 2.6.2 و2.6.3 من PyTorch Lightning بعد 42 دقيقة من نشرهما.

1 مايو (متغيّر Bitwarden CLI). استمرار نشاط حملة TeamPCP.

أما الجدول الزمني الكامل لحملة TeamPCP: فقد بدأت في 27 فبراير 2026، عبر إعداد خاطئ لـ pull_request_target في أداة Trivy لدى Aqua Security. واخترقت رمز النفاذ الشخصي aqua-bot. ثم انتقلت إلى trivy-action، وَsetup-trivy، والإصدار v0.69.4، وصور Docker Hub خبيثة. وفي 24 مارس، استخدمت إجراء Trivy المخترق لاستخراج رمز النشر الخاص بـ LiteLLM على PyPI. ونشرت litellm==1.82.7 وَ1.82.8 لنحو 40 دقيقة. وبحلول منتصف أبريل، سُرق نحو 500,000 بيان اعتماد. وأدرجت عصابة الفدية Vect أول ضحية لها في 15 أبريل: "approximately 4 million emails and 700 GB of data." — أي «نحو 4 ملايين بريد إلكتروني و700 غيغابايت من البيانات».

فطبقة المدافع هي سلسلة أدوات المطوّر. وسلسلة أدوات المطوّر هي سلسلة التوريد. وسلسلة التوريد اختُرقت على نطاق صناعي.

الاختراق في صفّ المدافعين

في السبت، 2 مايو 2026، أفصحت Trellix — شركة الأمن السيبراني التي تشكّلت عام 2022 من اندماج McAfee Enterprise وFireEye، وتملكها Symphony Technology Group — عن نفاذ غير مصرّح به إلى جزء من مستودع شيفرتها المصدرية. لا إسناد. ولا تأكيد لنطاق بيانات العملاء. وجاء في بيان Trellix: «استنادًا إلى تحقيقنا حتى تاريخه، لم نجد دليلًا على أن عملية إصدار شيفرتنا المصدرية أو توزيعها قد تأثّرت، ولا على أن شيفرتنا المصدرية قد استُغلّت».

وحكاية «اختراق شركات الأمن السيبراني» متكرّرة. FireEye في ديسمبر 2020 (مجموعة تهديد متقدّم مرتبطة بروسيا؛ وسُرقت أدوات الفريق الأحمر). وVercel/Context.ai في 19 أبريل 2026 (برمجية Lumma Stealer لدى Context.ai؛ وانتقال عبر OAuth إلى Google Workspace). وTrellix في 2 مايو 2026.

وفي الأسبوع نفسه، في 1 مايو، صدر الحكم على اثنين من مهنيي الأمن السيبراني الأمريكيين السابقين. رايان غولدبرغ (40 عامًا، جورجيا، مدير سابق للاستجابة للحوادث في Sygnia) — أربع سنوات. كيفن مارتن (36 عامًا، تكساس، مفاوض سابق لدى DigitalMint) — أربع سنوات. والتهم: نشر برنامج الفدية ALPHV/BlackCat بين أبريل وديسمبر 2023، واقتطاع 20 في المئة من فديات بلغت نحو 1.2 مليون دولار بعملة Bitcoin.

مدافعون مخترَقون. ومدافعون ملاحَقون. في الأسبوع نفسه.

Canvas و275 مليونًا

في الأحد، 3 مايو 2026، أدرجت ShinyHunters شركة Instructure على موقعها لابتزاز البيانات بـ مهلة تنتهي في 6 مايو — أي بعد ثلاثة أيام من اليوم. والنطاق المزعوم: 275 مليون فرد (من 240 إلى 275 مليون سجلّ)؛ و3.65 تيرابايت من البيانات؛ ونحو 9,000 مؤسسة تعليمية عالميًّا. والبيانات المخترقة بحسب إفصاح Instructure نفسها: الأسماء، وعناوين البريد الإلكتروني، وأرقام هوية الطلاب، والرسائل المتبادلة بين المستخدمين بما فيها المحادثات الخاصة بين الطلاب والمعلّمين. وغير المخترق: كلمات المرور، وتواريخ الميلاد، والهويات الحكومية، والبيانات المالية. وتزعم ShinyHunters أن لديها نفاذًا إلى نسخة Instructure من Salesforce.

واختراق Instructure / نظام إدارة التعلّم Canvas هو أكبر اختراق مفرد لنظام إدارة تعلّم يُبلَّغ عنه على الإطلاق. والمسار — الانتقال عبر برمجيات كخدمة لدى طرف ثالث من خلال Salesforce — هو المسار نفسه الذي أنتج Rockstar Games (78.6 مليون سجلّ، في 14 أبريل)، وVimeo عبر Anodot (في 28 أبريل)، وMarcus & Millichap (أكثر من 30 مليونًا بحسب المزاعم)، وAmtrak (9.4 ملايين سجلّ Salesforce بحسب المزاعم)، وMcGraw-Hill (13.5 مليون بريد إلكتروني فريد نُشرت).

و«عقد Salesforce» مستمرّ. فالانتقال عبر برمجيات كخدمة لدى طرف ثالث هو المسار المتكرّر الذي يلتفّ على الدفاع من جانب العميل.

يوم وزارة العدل بـ 701 مليون دولار

في الجمعة، 1 مايو 2026، أعلنت وزارة العدل الأمريكية تفكيك تسعة مجمّعات احتيال بالعملات المشفّرة في جنوب شرق آسيا. ومئتان وستة وسبعون اعتقالًا. و701 مليون دولار من العملات المشفّرة جرى تقييدها. وبتنسيق بين وزارة العدل، ومكتب التحقيقات الفيدرالي، وشرطة دبي، ووزارة الأمن العام الصينية — وهي حالة نادرة من التعاون الأمريكي-الصيني في مكافحة الجريمة السيبرانية.

وقد أخطرت عملية Level Up، التي أُطلقت في يناير 2024، نحو 9,000 ضحية لاحتيال الاستثمار بالعملات المشفّرة، ووفّرت ما يُقدّر بـ 562 مليون دولار بتنبيه الضحايا قبل إتمام التحويلات. وفكّت المنطقة القضائية الجنوبية لكاليفورنيا ختم شكاوى جنائية في أبريل 2026 ضدّ مديرين مزعومين لمنظمات احتيال هم أوانغ، وتشاندرا، ومريم، ومتهم هارب من مجموعتَي Sanduo Group وGiant Company؛ كما سمّت لائحة اتهام من هيئة محلفين كبرى في مارس 2026 المتهم ثيت مين نيي ومتهمًا هاربًا آخر بتهمتَي التآمر للاحتيال البرقي والتآمر لغسل الأموال.

وأعلن مكتب مكتب التحقيقات الفيدرالي الميداني في سان دييغو عن مكافأة من وزارة الخارجية تصل إلى 10 ملايين دولار مقابل معلومات تقود إلى مركز الاحتيال Tai Chang، وصادر نطاقات خبيثة استخدمها المجمّع.

وتُقدَّر الخسائر العالمية من احتيال «ذبح الخنزير» بما بين 5 و7 مليارات دولار سنويًّا بحسب تحليلات القطاع.

فجهد التنسيق لدى وزارة العدل يجري على مقياس الزمن البشري: أشهر من التحقيق والاتهام والتنسيق. أما اقتصاد الهجمات السيبرانية فيعمل على مقياس زمن الآلة: تسليم من الوسيط إلى التابع في 22 ثانية. فالإنفاذ رجعي بنيويًّا؛ وفجوة الوتيرة استشرافية بنيويًّا. وكلاهما مهمّ؛ ولا أحد منهما يُغلق الفجوة.

المجمّع الصناعي للتصيّد

خمس منظومات للتصيّد كخدمة وُثّقت عبر أبريل-مايو 2026 توضّح النطاق الصناعي لأدوات الهندسة الاجتماعية.

Cordial Spider (ويُتتبَّع أيضًا باسم BlackFile / CL-CRI-1116 / O-UNC-045 / UNC6671) وَSnarky Spider (O-UNC-025 / UNC6661) ينشران التصيّد الصوتي متبوعًا بهجمات «الخصم في المنتصف» على الدخول الموحّد ضدّ أهداف استخراج بيانات من برمجيات كخدمة — SharePoint، وHubSpot، وGoogle Workspace، وSalesforce. ونشطان منذ أكتوبر 2025. وSnarky Spider مرتبط بـ «The Com». والتوجيه عبر وكلاء سكنيين من Mullvad، وOxylabs، وNetNut، و9Proxy، وInfatica، وNSOCKS. ومطالب ابتزاز من سبعة أرقام.

ConsentFix v3، بحسب توصيف Push Security: إساءة آلية لواجهة Microsoft Azure CLI وOAuth في Entra ID؛ وطُعم بأسلوب Cloudflare Pages؛ ورموز تحديث بعمر 90 يومًا تُسلَّم إلى «بوابة Specter» لدى المشغّل.

FEMITBOT: روبوتات Telegram إضافةً إلى تطبيقات WebView المصغّرة تسلّم احتيالات بالعملات المشفّرة وبرمجيات خبيثة لأندرويد؛ وينتحل هويات علامات Apple، وCoca-Cola، وDisney، وIBM؛ والردّ القياسي عند الانضمام هو "Welcome to join the FEMITBOT platform." — أي «مرحبًا بانضمامك إلى منصّة FEMITBOT».

Bluekit: طقم تصيّد كخدمة بأكثر من 40 قالب «خصم في المنتصف» تستهدف iCloud، وApple ID، وGmail، وOutlook، وYahoo، وProtonMail، وGitHub، وTwitter، وZoho، وLedger؛ مع استنساخ صوتي؛ وتمويه مضادّ للروبوتات.

AccountDumpling: مرتبط بفيتنام؛ ونحو 30,000 حساب أعمال على Facebook اختُرقت بإساءة استخدام Google AppSheet مُرحِّلًا للتصيّد. ورسائل التصيّد تجتاز فحوص الاستيثاق SPF وDKIM وDMARC لأنها تُسلَّم من بنية Google نفسها. ويقول الباحث شاكيد تشين من Guardio: «عملية حيّة بلوحات تشغيل آنية، وتهرّب متقدّم، وتطوّر مستمرّ، وحلقة تجارية إجرامية تتغذّى بهدوء على الحسابات نفسها التي تساعد على استعادتها».

وكل منصّة من هذه تخاطب شريحة ضحايا مختلفة بالمقاربة المُنتَجة نفسها. أدوات تصيّد مصنّعة تُوزَّع بوتيرة البرمجيات الاستهلاكية.

أرضية مفتاح الناشر في Wasabi Protocol

في الخميس، 30 أبريل 2026، جرى استنزاف منصّة التداول الدائم Wasabi Protocol بنحو 4.5 إلى 5.5 ملايين دولار عبر Ethereum وBase وBerachain وBlast. فقد منح حساب الناشر الخارجي المخترَق wasabideployer.eth دور ADMIN_ROLE لعقد تابع للمهاجم؛ واستبدلت ترقيات وكيل UUPS تطبيقات الخزائن على PerpManager وLongPool؛ ثم أطلق استدعاء strategyDeposit() مزيّف عملية الاستنزاف عبر عقد استراتيجية خبيث. ولم يكن هناك أي قفل زمني ولا توقيع متعدد مضبوط على الدور الإداري.

واستغلال Wasabi هو الثالث في سلسلة اختراقات المفاتيح الإدارية لعام 2026. ففي 1 أبريل: استُنزف Drift Protocol بمبلغ 285 مليون دولار في عملية هندسة اجتماعية استمرّت ستة أشهر ومرتبطة بكوريا الشمالية استهدفت الموقّعين على التوقيع المتعدد، باستغلال إساءة استخدام «رقم مرة واحدة» الدائم في Solana. وفي 18 أبريل: استُنزف Kelp DAO بمبلغ 292 مليون دولار في استغلال لجسر rsETH عبر LayerZero نُسب إلى مجموعة TraderTraitor الكورية الشمالية. وفي 30 أبريل: مسار حساب الناشر الخارجي لدى Wasabi Protocol.

وبحسب DefiLlama، كان أبريل 2026 أكثر شهر تعرّض للاختراق في تاريخ التمويل اللامركزي: نحو 28 إلى 30 حادثة بخسائر تتجاوز 635 مليون دولار؛ وتتجاوز الخسائر التراكمية للتمويل اللامركزي في 2026 الآن 770 مليون دولار. وبحسب TRM Labs (في 30 أبريل)، تستأثر عمليات TraderTraitor الكورية الشمالية وحدها بـ 76 في المئة من قيمة اختراقات العملات المشفّرة في 2026 بهجومين اثنين.

فالمفاتيح المميّزة بلا أقفال زمنية تُبطل كل تعافٍ داخل البروتوكول. وحجّة فجوة الوتيرة تمتدّ إلى التمويل اللامركزي: فبحلول اللحظة التي تستطيع فيها حوكمة البروتوكول التصويت على إجراء تعافٍ، تكون الأموال قد جُسّرت وخُلطت وغُسلت.

المضادّ المعماري

إذا كان السقف الهجومي للوتيرة 22 ثانية والأرضية الدفاعية المقترحة 3 أيام، فالفجوة بنيوية ولا يمكن إغلاقها بتسريع الترقيع الفيدرالي وحده. والمضادّ المعماري هو حزمة الأوّليات الخاضعة لتحكّم المستخدم التي لا تتوقّف على وتيرة الترقيع — لأنها لا تملك سطح الترقيع نفسه.

نماذج مفتوحة الأوزان على عتاد المستخدم. فقدرة المدافع تتحوّل إلى سلعة بالتوازي مع قدرة المهاجم. DeepSeek V4 Pro (1.6 تريليون معامل، منها 49 مليارًا نشطة، وسياق مليون رمز، برخصة على نمط MIT) صدر في 24 أبريل. وMistral Medium 3.5 (128 مليار معامل كثيف، وسياق 256K، ورخصة MIT معدّلة، و77.6 في المئة على SWE-Bench Verified) صدر في 29 أبريل؛ وامتدّ اليوم بخدمة Vibe Remote Agents. وOpenAI Privacy Filter (خليط خبراء متناثر بـ 1.5 مليار معامل، منها 50 مليونًا نشطة، و96 في المئة F1 على PII-Masking-300k) صدر في 22 أبريل برخصة Apache 2.0. وLlama 3.3، وQwen 3، وGPT-OSS. تُشغَّل على Ollama. تُشغَّل على عتاد المستخدم. وقد أعاد Vidoc إنتاج قدرة من صنف Mythos بكلفة 0.11 دولار لكل مليون رمز؛ وبإمكان المدافعين فعل الشيء نفسه. والضبط الدقيق المحلي لدفاع خاص بالمؤسسة صار الآن ممكنًا تشغيليًّا.

بروتوكول سياق النموذج الاتحادي بحزم موقّعة ووتيرة ترقيع لكل مؤسسة. فحملات Shai-Hulud وMini Shai-Hulud وTeamPCP تبرهن على أن سجلّات الحزم المركزية (npm، وPyPI، وDocker Hub) هي سطح الهجوم. وMCP الاتحادي بحزم موقّعة ووتيرة ترقيع لكل مؤسسة يلتفّ على السطح المركزي. وتصبح وتيرة الترقيع خاضعة لتحكّم المؤسسة.

التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم. Signal، وProton، وTuta، وThreema، وMatrix مع التوقيع المتقاطع لكل جهاز. والخاصية التعموية هي أن مشغّل الخدمة لا يستطيع إنتاج النصّ الصريح مهما كان سطح الترقيع أو الضغط التنظيمي أو اختراق سلسلة التوريد. فما لا يحوزه المشغِّل لا يمكن إلزامه به.

الهوية الاتحادية بالإفصاح الانتقائي. محافظ الهوية الرقمية الأوروبية بموجب eIDAS 2.0، بمهلة امتثال في 31 ديسمبر 2026. France Identité، وItaly IT Wallet، والدنمارك، واليونان، وأيرلندا، وقبرص، وإسبانيا. ونموذج بيانات الاعتماد القابلة للتحقّق لدى W3C بالإصدار 2.0؛ والمعرّفات اللامركزية لدى W3C بالإصدار 1.1. إثبات ادّعاءات محدّدة من دون كشف المستندات الأصلية.

النقل الندّي. مُرحِّل العقد السكنية لدى URnetwork. ومتصفّح Tor 15.0.11 مع وسائط Snowflake / obfs4 / meek القابلة للتوصيل. وShadowsocks، وV2Ray، وTrojan، وNaïveProxy. وWireGuard بمعيار نشر يبلغ 94 في المئة في الشبكات الافتراضية الخاصة الاستهلاكية. يهزم بصمات كشف الشبكات الافتراضية الخاصة التجارية وأنظمة الإنترنت الحكومية المتدرّجة الموسّطة بالمشغّل.

الاستيثاق العتادي بمعيار FIDO2. YubiKey، وNitrokey، وSoloKey. مفاتيح عتادية تحلّ محلّ الاستيثاق متعدّد العوامل عبر الرسائل القصيرة، وهو ما برهنت مجموعة أعمال Citizen Lab بشأن SS7/Diameter على أنه مخترَق تشغيليًّا. فبيان الاعتماد على عتاد المستخدم؛ ولا يستطيع SIMjacker ولا التصيّد الصوتي ولا تصيّد «الخصم في المنتصف» بلوغه.

العتاد ذو البرنامج الثابت المفتوح. GrapheneOS على أجهزة Pixel المتوافقة — نحو 400,000 مستخدم نشط. والشراكة مع Motorola المعلنة في مارس 2026 تنهي حصرية Pixel لتشكيلة 2027. وLineageOS على أجهزة أندرويد الأخرى. وOpenWRT على الموجّهات.

الخدمات المستضافة ذاتيًّا. خادم Matrix المنزلي يحلّ محلّ Discord أو Slack. وNextcloud يحلّ محلّ Google Drive أو Microsoft OneDrive. وForgejo أو Gitea يحلّ محلّ GitHub. وJitsi يحلّ محلّ Zoom. وMailcow يحلّ محلّ البريد لدى مشغّل تجاري. وOllama مع LangChain وLlamaIndex وMCP الاتحادي يحلّ محلّ استدلال الذكاء الاصطناعي عبر واجهات برمجة تجارية. ونطاق انفجار الاختراق من جانب البائع — Trellix، وVercel/Context.ai، وAnodot/Salesforce، وInstructure — يصبح محدودًا.

جيوب الحوسبة السرّية. Azure Confidential Computing، وAWS Nitro Enclaves، وGoogle Cloud Confidential Computing، وEnveil، وOpaque. إضافةً إلى أطر التحليل الاتحادي: DataSHIELD، وVantage6، وOHDSI، وFlower، وPySyft. الحوسبة على بيانات مشفّرة؛ والمشغِّل لا يرى النصّ الصريح.

العملات المشفّرة الحافظة للخصوصية. Bitcoin Core 27.0 مع نقل BIP324 v2 المشفّر بين الأقران (افتراضيًّا) والمدفوعات الصامتة BIP352 (المدمجة في أوائل 2026). وMonero FCMP++ على شبكة الاختبار منذ 3 أكتوبر 2025؛ وتدقيق تعموي للمفاتيح يجري من 11 إلى 22 مايو؛ وانقسام صلب على الشبكة الرئيسية مبدئيًّا في منتصف 2026؛ ومجموعة إخفاء الهوية تقفز من 16 إلى نحو 152-158 مليون مخرج. وZcash بالحماية افتراضيًّا. خارج مسار العملات المستقرّة الخاضع لمراقبة المشغِّل، وهو المسار الذي يبرهن تجميد Tether بقيمة 344 مليون دولار من USDT، وأول تصنيف مباشر من مكتب مراقبة الأصول الأجنبية لعناوين مرتبطة بالبنك المركزي الإيراني على السلسلة (عملية Economic Fury)، على كونه أداة امتثال للعقوبات.

وكل طبقة تُشحن اليوم. ولا تتوقّف أيٌّ منها على وتيرة الترقيع لأن أيًّا منها لا تملك سطح ترقيع من البائع بالشكل نفسه.

ثلاث ساعات

12 يونيو 2026. انقضاء المادة 702 من قانون مراقبة الاستخبارات الأجنبية. ساعة الـ 45 يومًا المنطلقة من التمديد النظيف في 30 أبريل. واليوم هو اليوم 4. ويتبقّى واحد وأربعون يومًا. والتمديد الإجرائي الخامس متاح إجرائيًّا؛ أما الإصلاح البنيوي — مشروع ماسي-بويبرت H.R. 8470، ومشروع لي-وايدن لإصلاح المراقبة الحكومية، ومشروع لي-دوربن SAFE — فلم يصل إلى قاعة التصويت.

نحو 15 مايو 2026. التزام كوتون-وارنر برفع السرّية عن رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس والموثِّق لـ "serious abuses" — أي «تجاوزات جسيمة» — في استعلامات مكتب التحقيقات الفيدرالي عن أشخاص أمريكيين عبر أدوات التصفية. واليوم هو اليوم 4 من نافذة الخمسة عشر يومًا. ويتبقّى أحد عشر يومًا.

2 أغسطس 2026. دخول إنفاذ أحكام الذكاء الاصطناعي عامّ الغرض في الاتحاد الأوروبي حيّز التنفيذ بموجب قانون الذكاء الاصطناعي. ويتبقّى تسعون يومًا. وقد انهار الحوار الثلاثي السياسي الثاني بشأن «الحزمة الرقمية الشاملة» في 28 أبريل؛ والحوار الثلاثي التالي تحت الرئاسة القبرصية نحو 13 مايو. والموعد الأصلي قائم قانونًا.

فهذه ساعات بوتيرة السياسات. وهي تعمل بوتيرة الحوارات الثلاثية ومراجعات رفع السرّية والانقضاءات التشريعية. أما ساعة الاثنتين والعشرين ثانية فتعمل بالتوازي — بوتيرة سوق «من الوسيط إلى التابع».

وحزمة الأوّليات الخاضعة لتحكّم المستخدم لا تعمل على أيٍّ من الساعتين.

عدم تناظر الوتيرة

مقياس M-Trends 2026 لدى Mandiant البالغ 22 ثانية هو السقف الهجومي لوتيرة اقتصاد الهجمات السيبرانية. ومهلة الأيام الثلاثة لترقيع الثغرات المعروفة المستغَلَّة، التي تفيد التقارير بأن وكالة الأمن السيبراني وأمن البنية التحتية اقترحتها، هي الأرضية الدفاعية الفيدرالية للوتيرة، إن اعتُمدت. اثنتان وعشرون ثانية. ثلاثة أيام. أي عامل قدره نحو اثني عشر ألفًا.

والفجوة بنيوية. فمقترح الأيام الثلاثة يقرّ بواقع الهجوم المتسارع بالذكاء الاصطناعي لكنه لا يستطيع الجسر إلى تسليمات مدّتها 22 ثانية. وحتى مهلة ترقيع فيدرالية طموحة مدّتها يوم واحد ستظلّ تقع بثلاث مراتب عشرية فوق السقف الهجومي.

وبنية الترقيع الفيدرالي هي بنية مشتريات. والمشتريات تقتضي إفصاح البائع، والتحقّق الفيدرالي، والتوزيع على الوكالات، والترقيع الخاص بكل وكالة، والتحقّق، والتخطيط للتراجع. وهذه الخطوات لا يمكن ضغطها دون عتبات تشغيلية تحدّدها بيئات كبيرة غير متجانسة. وحتى أكثر مقترحات الوكالة طموحًا يقع بنيويًّا فوق السقف الهجومي.

وحزمة الأوّليات الخاضعة لتحكّم المستخدم لا تملك بنية مشتريات فيدرالية. فالتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم لا يقتضي ترقيعًا من البائع حين لا يملك الخادم النصّ الصريح. وMCP الاتحادي بحزم موقّعة يغلق سطح سلسلة التوريد في npm/PyPI/Docker. والاستيثاق العتادي بمعيار FIDO2 لا يقتضي أن يكون SS7 آمنًا. وGrapheneOS لا يقتضي تعاون المشغّل. والخدمات المستضافة ذاتيًّا لا تقتضي أن تتوافق وتيرة ترقيع مزوّد البرمجيات كخدمة مع تحمّل المستخدم للمخاطر.

فحزمة المستخدم لا تنافس اقتصاد الهجمات على أرضية وتيرة الترقيع. بل تنافس على أرضية بنية النشر. وعلى مستوى بنية النشر، تحتوي حزمة المستخدم فعلًا على الأوّليات اللازمة.

الدورة

22 أبريل: ثلاثة إفصاحات مستقلّة عن سلسلة توريد الذكاء الاصطناعي في يوم واحد. 24 أبريل: Google تعلن استثمارًا بقيمة 40 مليار دولار في Anthropic. 28 أبريل: cPanel ترقّع CVE-2026-41940. 29 أبريل: موجة Mini Shai-Hulud على SAP/npm. 30 أبريل: استنزاف Wasabi Protocol؛ واختراق PyTorch Lightning؛ ووكالة الأمن السيبراني تضيف CVE-2026-41940 الخاصة بـ cPanel. 1 مايو: الوكالة تضيف Copy Fail الخاصة بـ Linux؛ وإرشادات العيون الخمس المشتركة؛ ووزارة العدل تعلن تفكيكًا بقيمة 701 مليون دولار؛ والحكم على غولدبرغ ومارتن؛ والإفصاح عن اختراق Instructure. 2 مايو: اختراق الشيفرة المصدرية لدى Trellix؛ وبدء الاستغلال الجماعي لـ cPanel بفدية "Sorry". 3 مايو: ShinyHunters تدرج Instructure (مهلة 6 مايو؛ 275 مليون مستخدم)؛ وانقضاء المهلة الفيدرالية لترقيع cPanel. واليوم، 4 مايو: الإفصاح عن CVE-2026-4670 في MOVEit Automation؛ وإطلاق Mistral Vibe Remote Agents؛ وتقارير عن دراسة الوكالة لمهلة ثلاثة أيام للثغرات المعروفة المستغَلَّة.

فالدورة هي الدورة الإخبارية. ومقياس الاثنتين والعشرين ثانية هو زمن المقاصّة الأساسي للسوق. والدورة لا تتباطأ حين يدرس المنظّم أرضية من ثلاثة أيام، لأن الدورة تعمل بسرعة الآلة والمنظّم يعمل بسرعة البشر.

لقد تصنّع اقتصاد الهجمات السيبرانية في خط إنتاج محكم مدّته 22 ثانية. ووتيرة الترقيع الفيدرالية لم تلحق به. والمضادّ المعماري هو حزمة الأوّليات الخاضعة لتحكّم المستخدم التي لا تملك وتيرة ترقيع لأنها لا تملك سطح الترقيع نفسه. الأوزان المفتوحة تُشحن اليوم. وMCP الاتحادي يُشحن اليوم. والتشفير من طرف إلى طرف يُشحن اليوم. والهوية الاتحادية تُشحن اليوم. والنقل الندّي يُشحن اليوم. وعتاد FIDO2 يُشحن اليوم. والعتاد ذو البرنامج الثابت المفتوح يُشحن اليوم. والخدمات المستضافة ذاتيًّا تُشحن اليوم. وجيوب الحوسبة السرّية تُشحن اليوم. والعملات المشفّرة الحافظة للخصوصية تُشحن اليوم.

فالبديل المعماري كان قابلًا للنشر بالأمس. وهو قابل للنشر اليوم. وسيكون قابلًا للنشر غدًا. ولا شيء من هذا النشر يتوقّف على اعتماد مهلة ترقيع فيدرالية من ثلاثة أيام. ولا شيء منه يتوقّف على حسم الحوار الثلاثي التالي. ولا شيء منه يتوقّف على أن يفي رفع السرّية عن رأي محكمة FISC الصادر في 17 مارس بموعد 15 مايو. ولا شيء منه يتوقّف على وصول إصلاح المادة 702 إلى قاعة مجلس النواب قبل 12 يونيو.

22 ثانية هي زمن مقاصّة سوق الهجوم. أما حزمة الأوّليات الخاضعة لتحكّم المستخدم فلا تملك زمن مقاصّة، لأنها لا تملك سوقًا.

الوتيرة السيبرانية تلحق. والبديل المعماري ليس مضطرًّا إلى ذلك.

في الجمعة، 1 مايو 2026، أعلن البنتاغون، في بيان صحفي بعنوان "Department of Defense AI Agreements"، عن صفقات مشتريات ذكاء اصطناعي للشبكات السرّية مع ثماني شركات تقنية: Amazon Web Services، وGoogle، وMicrosoft، وNvidia، وOpenAI، وSpaceX، وOracle، وReflection AI. والشبكات: مستوى التأثير 6 (سرّي) ومستوى التأثير 7 (سرّي للغاية). والغرض المعلن، بحسب البيان: "streamline data synthesis, elevate situational understanding and augment warfighter decision-making in complex operational environments." — أي «تبسيط تركيب البيانات، ورفع مستوى الإدراك الظرفي، وتعزيز اتخاذ القرار لدى المقاتل في البيئات العملياتية المعقّدة». ولم يُفصح عن قيم العقود المحدّدة. ونُشر البيان على نطاق war.gov — وهو أثر من آثار إعادة تسمية وزارة الدفاع في يناير 2025 على يد إدارة ترامب.

واستُبعدت Anthropic. ونموذج Claude Mythos Preview من Anthropic — الصادر في 7 أبريل 2026 ضمن مشروع Glasswing — هو أقدر نموذج لاكتشاف الثغرات السيبرانية في السجلّ العلني. وقد حدّد Mythos، بحسب إفصاح Anthropic نفسها ومقالة Microsoft الصادرة في 1 مايو بعنوان "From capability to responsibility"، «آلاف الثغرات عالية الخطورة، من بينها ثغرات في كل نظام تشغيل ومتصفّح ويب رئيسي». كما كشف Mythos عن خلل غير معروف سابقًا في OpenBSD عمره 27 عامًا، وعن ثغرة في FFmpeg عمرها 16 عامًا نجت من 5 ملايين فحص آلي، وعن عدة نقاط ضعف في نواة Linux تصعّد حسابات المستخدمين العاديين إلى صلاحيات الجذر.

فقد اشترى البنتاغون من البائعين الثمانية الآخرين. واستبعد البنتاغون البائع الذي يُعدّ نموذجه، وفق المقاييس المنشورة، الأكثر أهمية للعمل الذي اقترحه البنتاغون نفسه.

الخطّان الأحمران

لاستبعاد Anthropic أصل محدّد ومؤرَّخ ومسجَّل علنًا. ففي الأربعاء، 25 فبراير 2026، منح وزير الدفاع بيت هيغسيث الرئيسَ التنفيذي لـ Anthropic داريو أمودي مهلةً تنتهي يوم الجمعة للتراجع عن ضوابط السلامة لدى الشركة في حالة استخدام عقد البنتاغون. ولوّح هيغسيث بثلاثة تصعيدات: إلغاء عقد البنتاغون القائم البالغ 200 مليون دولار؛ وتصنيف Anthropic بأنها «مخاطر سلسلة توريد»؛ وتفعيل قانون الإنتاج الدفاعي لإجبار Anthropic على تفصيل نماذجها للاستخدام العسكري.

وقانون الإنتاج الدفاعي لعام 1950 استُخدم تاريخيًّا لإنتاج العتاد — الفولاذ خلال الحرب الكورية، وأشباه الموصلات، وتصنيع لقاحات كوفيد-19، ومكوّنات بطاريات المركبات الكهربائية. ولم يسبق قط تفعيل قانون الإنتاج الدفاعي لإجبار بائع خدمات برمجية أو ذكاء اصطناعي على إنتاج مواصفة بعينها.

ورفضت Anthropic مطلب إزالة ضابطَي سلامة محدّدين. وفي الخميس، 26 فبراير 2026، جاء في بيان علني: «لا نستطيع بضمير مرتاح أن نستجيب لطلبهم». وكان الأمران غير القابلين للتفاوض ضيّقين:

الأول: لا استخدام لـ Claude في أسلحة ذاتية التشغيل بالكامل يقودها الذكاء الاصطناعي. وتعليل Anthropic: أن الذكاء الاصطناعي ليس موثوقًا بما يكفي حاليًّا لتشغيل الأسلحة.

الثاني: لا استخدام لـ Claude في المراقبة الجماعية الداخلية للمواطنين الأمريكيين. وتعليل Anthropic: أنه لا توجد قوانين أو لوائح تغطّي كيفية استخدام الذكاء الاصطناعي في المراقبة الجماعية.

ولم ترفض Anthropic كل حالات استخدام البنتاغون. فقد تخلّت Anthropic عن تعهّدها الجوهري في سياسة التوسّع المسؤول — الحظر القاطع على تدريب نماذج تتجاوز عتبة قدرة معيّنة من دون تدابير سلامة ملائمة — واستبدلت به التزامًا نسبيًّا بأن «تضاهي جهود السلامة لدى المنافسين أو تتجاوزها». فقد تحرّكت Anthropic عن العتبة السياساتية؛ ولم تتحرّك عن الخطوط الحمراء الخاصة بصنف النشر.

وفي الجمعة، 27 فبراير 2026، وجّه الرئيس ترامب الوكالات الفيدرالية بالتوقّف عن استخدام منتجات Anthropic. وصنّف هيغسيث الشركة بأنها «مخاطر سلسلة توريد». وأُخطر متعاقدو الدفاع بأن عليهم أن يشهدوا بأنهم لا يستخدمون نماذج Anthropic Claude في أعمالهم مع الجيش.

فالتصنيف المحفوظ تاريخيًّا لكيانات مرتبطة بخصوم أجانب — صينيين وروس وإيرانيين وكوريين شماليين — طُبّق على مختبر ذكاء اصطناعي أمريكي.

المقعد الثامن لشركة Reflection AI

من بين الشركات الثماني المعلنة في 1 مايو، سبع شركات راسخة تجاريًّا وذات سجلّات كبيرة: AWS، وGoogle، وMicrosoft، وNvidia، وOpenAI، وSpaceX، وOracle. أما الثامنة فجديدة بنيويًّا.

فقد تأسّست Reflection AI عام 2024 على يد باحثين سابقين في Google DeepMind. وجمعت الشركة نحو 2 مليار دولار في 2025. وNvidia من مستثمريها. وتتفاوض الشركة حاليًّا على تمويل عند تقييم قدره 25 مليار دولار. وتشارك Reflection AI في مبادرة مدعومة حكوميًّا لإنشاء نماذج ذكاء اصطناعي مصمّمة للسوق الكورية الجنوبية. ولم تعلن Reflection AI بعد عن أي منتج تجاري.

وتدعم Reflection AI شركةُ 1789 Capital، وهي صندوق الاستثمار المخاطر الذي يشغل فيه دونالد ترامب الابن منصب شريك. وقد تأسّست 1789 Capital عام 2024؛ وتشمل حافظتها شركات إعلام وذكاء اصطناعي وطاقة وشركات قريبة من قطاع الدفاع. ومنحة 1 مايو هي أول مشتريات ذكاء اصطناعي كبرى للبنتاغون تتشابك فيها شبكة عائلة ترامب المالية بنيويًّا مع قرار المشتريات.

والتباين مع Anthropic حادّ. فـ Anthropic، المؤسَّسة عام 2021، شحنت Claude (بإصدارات متعدّدة)، وClaude Code، وClaude Security، وMythos Preview بوصفها منتجات تجارية مُثبَتة. وفي 24 أبريل 2026، أعلنت Google استثمارًا يصل إلى 40 مليار دولار نقدًا وحوسبةً في Anthropic. ورفضت Anthropic إزالة ضوابط السلامة بشأن الأسلحة ذاتية التشغيل والمراقبة الجماعية الداخلية. أما Reflection AI، وعمرها ستة عشر شهرًا، فليس لديها منتج تجاري، ولديها نحو 2 مليار دولار من التمويل المخاطر، وتدعمها 1789 Capital، وقد أُجيزت لشبكات الفئة السرّية IL6/IL7 في 1 مايو.

اجتماع البيت الأبيض في 17 أبريل

في الجمعة، 17 أبريل 2026، وصل داريو أمودي الرئيس التنفيذي لـ Anthropic إلى البيت الأبيض لاجتماع مع كبيرة الموظفين سوزي وايلز، ووزير الخزانة سكوت بيسنت، والمدير الوطني للأمن السيبراني شون كيرنكروس. وتناول الاجتماع، بحسب منافذ متعدّدة وبيان البيت الأبيض، النزاع بين Anthropic والبنتاغون والدور التشغيلي لـ Mythos في الأمن السيبراني الأمريكي. وعقب الاجتماع، وصف البيت الأبيض المحادثات بأنها «مثمرة وبنّاءة».

وحين سُئل عن الاجتماع في وقت لاحق من ذلك اليوم، قال الرئيس دونالد ترامب للصحفيين إنه «لا فكرة لديه» عن وجود أمودي في البيت الأبيض. «من؟».

وقال ترامب لاحقًا لقناة CNBC إن «من الممكن» أن يكون هناك اتفاق بين Anthropic والبنتاغون. ولا يبدو أن تصريحات ترامب جرى تنسيقها مع المدير الوطني للأمن السيبراني ولا مع قيادة البنتاغون. وبحسب تقرير لـ Axios في 29 أبريل، يعدّ البيت الأبيض إجراءً تنفيذيًّا يتيح للوكالات الفيدرالية استقبال Anthropic — وهو موقف يناقض تصنيف البنتاغون الصادر في 27 فبراير.

والبنية مدفوعة بالموظفين: فوزير الدفاع أصدر التصنيف، وكبيرة الموظفين ووزير الخزانة توسّطا في تظلّم الشركة، والمدير الوطني للأمن السيبراني ضمن سلسلة التصعيد، والرئيس — حين يُسأل — غير مطّلع على الاجتماعات بعينها. فسياسة الذكاء الاصطناعي في ولاية ترامب الثانية تعمل على مستوى مجلس الوزراء، مع معاملة المراجعة التنفيذية بوصفها إشارة لاحقة لا نقطة تنسيق سابقة.

مفارقة Mythos ووكالة الأمن القومي

في الأحد، 19 أبريل 2026، ذكرت Axios أن وكالة الأمن القومي — وهي وكالة تخضع لإشراف وزارة الدفاع — كانت تستخدم نموذج Mythos Preview من Anthropic رغم تصنيف البنتاغون للبائع بأنه مخاطر سلسلة توريد الصادر في 27 فبراير. وفي الخميس، 30 أبريل 2026، أكّدت Bloomberg التقرير ووسّعته: كانت الوكالة تختبر Mythos تحديدًا للعثور على ثغرات في تقنيات Microsoft.

وفي الجمعة، 1 مايو 2026، على قناة CNBC، وصف إميل مايكل، المدير التقني لوزارة الدفاع، التناقض مباشرةً: «فيما يخصّ Anthropic، هم مخاطر سلسلة توريد. أما مسألة Mythos فهي لحظة أمن قومي منفصلة. علينا أن نتأكّد من تحصين شبكاتنا لأن ذلك النموذج يملك قدرات خاصة في العثور على الثغرات السيبرانية وترقيعها». وفي مسألة تقييم النماذج الصادرة عن بائعين مدرَجين في القائمة السوداء، أضاف مايكل: «تقيّم وكالة الأمن القومي ووزارة التجارة كل النماذج الحدودية، بما فيها النماذج الحدودية الصينية، لمعرفة ما القدرات الموجودة عند الحافة».

والكشف المعماري تشغيلي. فتصنيف البنتاغون بأن الشركة «مخاطر سلسلة توريد» يمنع متعاقدي الدفاع من استخدام Anthropic Claude في أعمالهم مع الجيش. ووكالة الاستخبارات التابعة للبنتاغون نفسه تستهلك قدرة النموذج نفسه تحت إطار «لحظة أمن قومي منفصلة». فالقدرة معاقَبة عند طبقة المشتريات؛ والقدرة مستهلَكة عند طبقة الوكالة. والطبقتان منفصلتان.

أما دعويا Anthropic في سان فرانسيسكو وفي مقاطعة كولومبيا، المرفوعتان في مارس 2026، فتدفعان بأن تصنيف مخاطر سلسلة التوريد غير قانوني إجرائيًّا وموضوعيًّا. وقد رفضت محكمة الاستئناف الفيدرالية في واشنطن العاصمة، في 8 أبريل، طلب Anthropic بأمر قضائي مؤقت. والتقاضي مستمرّ.

الإشارة المضادّة من وول ستريت

في الاثنين، 4 مايو 2026 — اليوم — أعلنت Anthropic وBlackstone وHellman & Friedman وGoldman Sachs معًا عن مشروع مشترك جديد ومستقلّ لخدمات الذكاء الاصطناعي المؤسسي. ورأس المال الملتزم به: 1.5 مليار دولار. والمستثمرون الرئيسيون بحسب بياني Anthropic وBlackstone: تساهم Anthropic وBlackstone وHellman & Friedman بنحو 300 مليون دولار لكل منها؛ وGoldman Sachs بنحو 150 مليون دولار؛ ويشمل الداعمون الإضافيون General Atlantic، وLeonard Green، وApollo Global Management، وGIC (سنغافورة)، وSequoia Capital. والنموذج البنيوي للمشروع هو النشر الأمامي على طريقة Palantir: مهندسون من Anthropic يُدمجون داخل بيئات العملاء المؤسسيين لتسريع دمج الذكاء الاصطناعي.

وقال جون غراي، رئيس Blackstone: «تفكيك واحد من أهم الاختناقات أمام تبنّي الذكاء الاصطناعي في المؤسسات». وقال كريشنا راو، المدير المالي لـ Anthropic: «الطلب المؤسسي على Claude يفوق بكثير أي نموذج تسليم مفرد». وقال مارك ناخمان، رئيس إدارة الأصول والثروات في Goldman Sachs: «إتاحة المهندسين المنشورين أمامًا للجميع».

وأعلنت OpenAI، في اليوم نفسه، عن «شركة نشر» موازية — 4 مليارات دولار جُمعت من 19 مستثمرًا، من بينهم TPG، وBrookfield Asset Management، وAdvent International، وBain Capital، عند تقييم قدره 10 مليارات دولار.

والتباين حادّ. فالبنتاغون يصنّف Anthropic بأنها «مخاطر سلسلة توريد». ووول ستريت تلتزم بـ 1.5 مليار دولار لنشر مهندسي Anthropic أمامًا داخل شركات حافظة الأسهم الخاصة. وGoogle تلتزم بـ 40 مليار دولار نقدًا وحوسبةً (في 24 أبريل). فطبقة المشتريات الفيدرالية الأمريكية تعامل Anthropic بوصفها بائعًا معاقَبًا؛ وطبقة الاستثمار التجاري الأمريكية تعاملها بوصفها أصلًا استراتيجيًّا؛ وطبقة وكالات الاستخبارات الأمريكية تعامل قدرة Anthropic بوصفها أداة أمن قومي. ثلاث سياسات، وثلاث طبقات، وشركة واحدة.

أداة التصفية التي تقرأ الأمريكيين

نزاع الخطّين الأحمرين بين البنتاغون وAnthropic هو، على المستوى المعماري، متزامن مع تنازع موازٍ على مستوى الوكالات. ففي 17 مارس 2026، أصدرت محكمة مراقبة الاستخبارات الأجنبية رأيًا وجدت فيه أن "filtering tools" — أي «أدوات التصفية» — التي يستخدمها مكتب التحقيقات الفيدرالي ووكالة الأمن القومي ووكالات أخرى لتضييق عمليات البحث في البيانات الخام بموجب المادة 702 "effectively turn foreign-target searches into U.S.-person queries — exactly the kind of backdoor search reformers want to require a warrant for." — أي إنها «تحوّل فعليًّا عمليات البحث ذات الأهداف الأجنبية إلى استعلامات عن أشخاص أمريكيين — وهي بالضبط نوع البحث من الباب الخلفي الذي يريد الإصلاحيون اشتراط إذن قضائي له».

وأداة التصفية محلّ الخلاف تحديدًا: «وظيفة التصفية المتقدّمة» لدى مكتب التحقيقات الفيدرالي — وهي واجهة تتيح للمستخدمين "select a specific FBI casefile number or facility, using a drop-down menu or search bar" — أي أن «يختاروا رقم ملف قضية أو مرفقًا بعينه لدى المكتب، عبر قائمة منسدلة أو شريط بحث» — لمراجعة اتصالات الأفراد المتواصلين مع أهداف أجنبية. وقد «عطّلت» وزارة العدل الأداة لاحقًا بعد أن وجدت أن اختيار أولئك الأفراد "resulted in queries of raw information" — أي «أفضى إلى استعلامات في المعلومات الخام» — بدل مجرّد فرز نتائج بحث سابقة. ورأي محكمة FISC الصادر في مارس 2026: المشكلة مستمرّة وتتجاوز مكتب التحقيقات الفيدرالي.

وأمرت المحكمة الوكالات بأن "reengineer filter tools" — أي «تعيد هندسة أدوات التصفية». ووزارة العدل تستأنف الحكم. وكانت أمام البيت الأبيض مهلة حتى 16 أبريل للاستئناف أو التصحيح.

وفي الخميس، 30 أبريل 2026، انتزع السيناتور رون وايدن التزامًا بتوقيع كوتون-وارنر برفع السرّية ثمنًا لرفعه العرقلة عن تمديد المادة 702 لخمسة وأربعين يومًا: على مديرة الاستخبارات الوطنية تولسي غابارد والمدّعي العام بالإنابة رفع السرّية عن رأي 17 مارس خلال 15 يومًا من التمديد. واليوم هو اليوم 4 من تلك النافذة. والمهلة نحو 15 مايو. وحتى كتابة هذه السطور، لم يجرِ رفع السرّية.

والتناظر المعماري: فالبنتاغون يعاقب Anthropic لرفضها إتاحة قدرة المراقبة الجماعية الداخلية؛ ومحكمة FISC تكبح الوكالات لتنفيذها استعلامات مراقبة جماعية داخلية. فقدرة المراقبة متنازع عليها عند طبقة البائع (البنتاغون-Anthropic) وعند طبقة الوكالة (رأي FISC في 17 مارس) في آن واحد، بالشاغل المعماري نفسه وبموقعين قضائيين متعاكسين.

انتهاك قصير الأمد

في الأربعاء-الخميس، 29-30 أبريل 2026، أقرّ مجلسا الشيوخ والنواب الأمريكيان تمديدًا نظيفًا لمدة 45 يومًا للمادة 702 (S. 4465). مجلس الشيوخ بالموافقة بالإجماع. ومجلس النواب بـ 261 مقابل 111. ووقّعه ترامب. وهو التمديد الإجرائي الرابع منذ الانقضاء الأصلي في 19 أبريل. والموعد الجديد للانقضاء هو 12 يونيو 2026.

وفي وقت سابق من ذلك الأربعاء، 29 أبريل، أقرّ مجلس النواب إعادة تفويض لثلاث سنوات (H.R. 8512) بأغلبية 235 مقابل 191. وتضمّن إجراء السنوات الثلاث حظرًا دائمًا على إصدار عملة رقمية للبنك المركزي من الاحتياطي الفيدرالي، أضافه رئيس مجلس النواب مايك جونسون. ورفض مجلس الشيوخ الحزمة — فحظر العملة الرقمية للبنك المركزي لم يستطع جمع 60 صوتًا في مجلس الشيوخ. وكان التمديد النظيف لخمسة وأربعين يومًا هو تهدئة التصعيد.

وعلى أرضية مجلس النواب الأمريكي قبل تصويت الـ 261 مقابل 111، قال النائب توماس ماسي (جمهوري عن الدائرة الرابعة في كنتاكي) — المشارك في تقديم مشروع H.R. 8470، قانون المساءلة عن المراقبة: «الانتهاك القصير الأمد للدستور يبقى انتهاكًا للدستور».

واليوم هو اليوم 4 من نافذة الخمسة والأربعين يومًا. ويتبقّى واحد وأربعون يومًا.

RightsCon لوساكا، ملغى

في الجمعة، 1 مايو 2026، نشرت منظمة Access Now بيانًا: مؤتمر RightsCon 2026 — أكبر قمة عالمية للحقوق الرقمية، والمقرّر عقده من 5 إلى 8 مايو في لوساكا بزامبيا، بـ 2,600 مشارك حضوريًّا و1,100 عبر الإنترنت مسجّلين من أكثر من 150 دولة و750 مؤسسة — لن يُعقد. وجاء الإلغاء عقب ضغوط دبلوماسية صينية على الحكومة الزامبية.

والتسلسل الزمني، بحسب رواية Access Now المنشورة:

27 أبريل 2026: بيان صحفي للحكومة الزامبية يؤيّد RightsCon. وفي اليوم نفسه، تهاتف وزارة التكنولوجيا والعلوم الزامبية منظمة Access Now مبلّغةً عن «مسألة عاجلة» — دبلوماسيون من جمهورية الصين الشعبية يطالبون باستبعاد المشاركين من المجتمع المدني التايواني من المؤتمر.

28 أبريل: ضباط الهجرة يبدأون بإبلاغ المشاركين الواصلين بأن الفعالية ملغاة. وعند الساعة 9:33 مساءً بتوقيت لوساكا، تعلن وسائل الإعلام الزامبية المملوكة للدولة «تأجيلًا».

29 أبريل: وزارة التكنولوجيا والعلوم ترسل إلى Access Now رسالة عبر WhatsApp تقدّم إبلاغًا رسميًّا مكتوبًا.

1 مايو: Access Now تنشر بيانها؛ وبيان مواز من هيومن رايتس ووتش: «بإغلاق RightsCon، تغلق الحكومة الزامبية النقاش حول قضايا حقوق إنسان بالغة الأهمية».

والمطلب الصيني، بحسب Access Now: «تقييد موضوعات بعينها واستبعاد مجتمعات معرّضة للخطر، من بينهم مشاركونا التايوانيون، من المشاركة الحضورية وعبر الإنترنت». ورفضت Access Now: «كان ذلك خطّنا الأحمر».

أما النفوذ: فمركز مولونغوشي الدولي للمؤتمرات، حيث كان من المقرّر عقد RightsCon، جرى تجديده عام 2020 بتمويل صيني قدره 60 مليون دولار. وفي الأسبوع نفسه، نجحت الصين في الضغط على مدغشقر وسيشل وموريشيوس لإلغاء تصاريح العبور الجوي لرحلة الرئيس التايواني لاي تشينغ-تِه السابقة إلى إسواتيني في 22 أبريل. وفي 2 مايو، غادر لاي إلى إسواتيني في زيارة مفاجئة على متن طائرة الملك مسواتي الثالث من طراز Airbus A340-313 — وإسواتيني هي الدولة الأفريقية الوحيدة التي تحتفظ بعلاقات دبلوماسية رسمية مع تايوان.

وقالت وزيرة الشؤون الرقمية التايوانية لين يي-جينغ على Facebook (في 2 مايو) إن الإلغاء يظهر «انزعاج الصين من أفكار الحرية والديمقراطية وسيادة القانون التي تمثّلها تايوان وRightsCon».

والكشف المعماري: أن التجمّع المدني، وهو المعمارية الفوقية للدفاع عن الحقوق الرقمية، صار الآن هدفًا للمشتريات — أي المكافئ الدبلوماسي الضاغط لتصنيف مخاطر سلسلة التوريد لدى البنتاغون. وكلاهما يعمل بربط عواقب باختيار المشاركين. وكلاهما يستهدف حدود الارتباط المقبول.

مشكلة الـ 95.81 في المئة

في الاثنين، 4 مايو 2026، نشرت The Register بحثًا لنوح م. كيني يقيس قدرة سجلّات الناخبين الأمريكية المتاحة علنًا على إعادة تحديد الهوية. والأرقام الرئيسية:

الاسم مع الرمز البريدي يحدّد بصورة فريدة هوية 95.81 في المئة من ناخبي تكساس و87.79 في المئة من ناخبي كارولاينا الشمالية. والتركيب كافٍ لإعادة تحديد هوية كل فرد تقريبًا في سجلّات ناخبي هاتين الولايتين.

ومن بين الناخبين الذين لديهم أرقام هواتف مدرجة، 88.53 في المئة من ناخبي كارولاينا الشمالية ذوي الأرقام المدرجة لديهم أرقام فريدة داخل مقاطعتهم.

ومن بين الناخبين المتكرّرين — أي من لديهم 20 انتخابًا أو أكثر في السجلّ — 98.4 في المئة لديهم أنماط إقبال فريدة. وتاريخ التصويت وحده كافٍ لتحديد هوية ناخب متكرّر مقابل السجلّات المتاحة علنًا.

وسياسة حجب تاريخ الميلاد لدى وزارة السلامة العامة في تكساس مقوَّضة: فـ 28 في المئة من ناخبي تكساس قابلون لتحديد الهوية بصورة فريدة عبر الرمز البريدي مع الجنس وحدهما، رغم الحجب.

والأهمّ من ذلك كلّه: أن ملفّ ناخبي مقاطعة ترافيس يكشف 320 أسرة عسكرية منتشرة عبر أنماط الرموز البريدية APO/FPO. فتدريب الجيش على الأمن العملياتي لا يمتدّ إلى معمارية نشر سجلّات الناخبين المدنية.

وتوصية كيني السياساتية: الانتقال من حجب البيانات إلى ضوابط النفاذ — حدود معدّل، وتحقّق من الهوية، وسجلّات تدقيق، وحظر إعادة البيع التجاري.

أما الصلة بوزارة العدل: ففي 28 أبريل 2026، ردّت قاضية المحكمة الجزئية الأمريكية سوزان برنوفيتش (المنطقة القضائية لأريزونا، معيّنة من ترامب) دعوى وزارة العدل بشأن سجلّات الناخبين ضدّ أريزونا بصفة نهائية — وهي الخسارة السادسة على التوالي لوزارة العدل في التقاضي بشأن سجلّات الناخبين. وفي 19 مايو 2026، ستستمع الدائرة التاسعة إلى المرافعة الشفوية في استئناف وزارة العدل لردّ دعوى أوريغون. وتطعن قضية Common Cause v. DOJ (1:26-cv-01352، المنطقة القضائية لمقاطعة كولومبيا)، المرفوعة في 21 أبريل من الاتحاد الأمريكي للحريات المدنية وCREW وProtect Democracy وعيادة الديمقراطية في هارفارد، في البنية الأساسية للأمر التنفيذي EO 14399: مشروع "State Citizenship Lists" — أي «قوائم مواطني الولايات» — لتركيز البيانات الفيدرالية، وهو المشروع الذي مرّر بالفعل، بحسب تقارير علنية، أكثر من 33 مليون سجلّ ناخب عبر نظام SAVE التابع لوزارة الأمن الداخلي.

والشاغل المعماري واحد. فسجلّات الناخبين المنشورة من الولايات هي أصلًا مصدر شبه مثالي لإعادة تحديد الهوية بالنسبة إلى أسماء وعناوين وخصائص وأنماط إقبال كل ناخب أمريكي تقريبًا. والتمركز الفيدرالي (الأمر التنفيذي EO 14399) يضاعف المخاطر بتجميع البيانات وتوحيدها في تجمّع واحد قابل للاستعلام. فتصنيف البنتاغون بأن Anthropic «مخاطر سلسلة توريد» يعاقب رفض إتاحة قدرة المراقبة الجماعية الداخلية؛ وحكم FISC في 17 مارس يكبح مراقبة أدوات التصفية على مستوى الوكالات؛ وورقة إعادة تحديد الهوية من سجلّات الناخبين توثّق هشاشة البيانات الكامنة؛ ودعوى Common Cause تطعن في سياسة التجميع الفيدرالي. أربعة خيوط، وشاغل معماري واحد.

إيران في اليوم 66

اليوم، الاثنين 4 مايو 2026، دخل انقطاع الإنترنت الشامل في إيران يومه السادس والستين. وبحسب NetBlocks: أكثر من 1,560 ساعة تراكمية من القطع. وهو أطول انقطاع وطني للإنترنت يُسجَّل على الإطلاق. ونحو 85 إلى 90 مليون إيراني ما زالوا خارج الاتصال. ويقول وزير الاتصالات الإيراني ستّار هاشمي: 35.7 مليون دولار يوميًّا من الكلفة المباشرة على الاقتصاد الرقمي. وتقول NetBlocks: أكثر من 37 مليون دولار يوميًّا. وتقول غرفة التجارة الإيرانية: من 30 إلى 40 مليون دولار مباشرة، ومن 70 إلى 80 مليون دولار شاملةً غير المباشرة. وانخفض المؤشّر العام لبورصة طهران نحو 450,000 نقطة خلال أيام التداول الأربعة الماضية. وسرّحت DigiKala، أكبر منصّة تجارة إلكترونية في إيران، 200 موظف — أي نحو 3 في المئة من قوّتها العاملة.

وفي الأحد، 3 مايو، نقلت إذاعة أوروبا الحرة/إذاعة الحرية عن عميد كلية الطب في جامعة طهران عليرضا استهماتي مشهدًا رواه لوكالة ISNA: «الأساتذة مضطرّون إلى التناوب على استخدام الإنترنت، وإلى الانتظار في الطابور لاستخدام المرافق». وفي 30 أبريل، رفضت جمعية المصمّمين الجرافيكيين الإيرانية ومنظمة التمريض ونقابات المحامين علنًا مستوى Internet Pro بوصفه تمييزيًّا. وقال رضا الفت نسب، رئيس جمعية الأعمال الافتراضية، إن الإنترنت صار «بلا مالك».

وهرم النفاذ المعتمَد: في القمّة، نحو 16,000 من حاملي «شريحة SIM البيضاء» التاريخيين منذ 2013؛ ودونهم مرشّحو وزارة العلوم (أعضاء هيئة التدريس والباحثون والأطباء)؛ ودونهم حاملو البطاقات التجارية عبر غرفة التجارة بعشرة أضعاف التعرفة القياسية؛ ودونهم نحو 85 إلى 90 مليون مواطن خارج الاتصال. والطبقة المعتمَدة نفسها خاضعة للتقنين.

ثلاثة خيوط في بروكسل، وواحد في المكسيك، وواحد في وول ستريت

في بروكسل اليوم، 4 مايو 2026، يستأنف مجلس الاتحاد الأوروبي والبرلمان والمفوضية الحوار الثلاثي السياسي الثالث بشأن لائحة الاعتداء الجنسي على الأطفال. الحوار الثلاثي الأول: 9 ديسمبر 2025. والثاني: 26 فبراير 2026. والثالث: اليوم. والرابع: 29 يونيو. والاتفاق المستهدف: يوليو 2026. وقد توافقت الرئاسة الدنماركية على إسقاط المسح الإلزامي على جهاز العميل («أوامر الكشف») لصالح تقييم للمخاطر والتزامات تخفيف. وانقضى الاستثناء الطوعي من توجيه الخصوصية الإلكترونية الخاص بمسح مواد الاعتداء الجنسي على الأطفال في 3 أبريل 2026، بعد أن رفض البرلمان الأوروبي تمديده بـ 311 صوتًا مقابل 228.

وقبل ستة أيام، في 28 أبريل، نشرت المفوضية الأوروبية أول تقرير مراجعة لقانون الأسواق الرقمية — وخلصت فيه إلى أن القانون «لا يزال ملائمًا للغرض». وفي اليوم نفسه، انهار الحوار الثلاثي السياسي الثاني بشأن «الحزمة الرقمية الشاملة» لقانون الذكاء الاصطناعي في بروكسل بعد اثنتي عشرة ساعة، بسبب بنية تقييم المطابقة للذكاء الاصطناعي في منتجات السلامة المدرجة في الملحق الأول. والحوار الثلاثي التالي نحو 13 مايو تحت الرئاسة القبرصية. والموعد الأصلي لإنفاذ أحكام الذكاء الاصطناعي عامّ الغرض في 2 أغسطس 2026 قائم قانونًا. وفي 29 أبريل، وجدت المفوضية الأوروبية بصورة أولية أن Instagram وFacebook التابعتين لـ Meta تخالفان قانون الخدمات الرقمية بعدم منع من هم دون الثالثة عشرة من النفاذ إلى الخدمات — وقد استشهد التقرير بأن أداة الإبلاغ لدى Meta تتطلّب "up to seven clicks" — أي «ما يصل إلى سبع نقرات». والغرامة المحتملة: حتى 6 في المئة من رقم الأعمال السنوي العالمي. وفي اليوم نفسه، أصدرت المفوضية توصية تحثّ سبع دول أعضاء — قبرص، والدنمارك، وفرنسا، واليونان، وأيرلندا، وإيطاليا، وإسبانيا — على طرح تطبيق الاتحاد الأوروبي للتحقّق من العمر قبل نهاية العام. وقد رفضت ألمانيا المشاركة. وأفادت تقارير بأن باحثين في الأمن السيبراني اخترقوا التطبيق في نحو دقيقتين.

وفي المكسيك، 30 يونيو 2026 هو الموعد النهائي لنظام تسجيل شرائح SIM البيومتري في البلاد: إذ يجب ربط 127 مليون خط هاتف برقم Clave Única de Registro de Población البيومتري الصادر عن الحكومة (الوجه، والبصمات، وقزحية العين)، وإلّا قُطعت. وفي 20 مارس 2026، مهّدت المحكمة الجماعية الرابعة عشرة للشؤون الإدارية في مكسيكو سيتي الطريق القانوني؛ والمهلة تسري الآن.

وفي الثلاثاء، 28 أبريل 2026، وقّع حاكم ميريلاند ويس مور مشروع HB 895 — قانون الحماية من التسعير الافتراسي — ليجعل ميريلاند أول ولاية أمريكية تحظر التسعير الرقابي لدى تجّار الأغذية. ويسري اعتبارًا من 1 أكتوبر 2026. ويحظر القانون على تجّار الأغذية الكبار (15,000 قدم مربّعة فأكثر) وخدمات التوصيل من طرف ثالث استخدام البيانات الشخصية للمستهلكين — الدخل المستنتج، والعرق، وحجم الأسرة، والحيّ، وتاريخ الشراء — لرفع الأسعار على أفراد بعينهم. ولا حقّ خاصًّا في التقاضي: فالمدّعي العام لميريلاند وحده يجوز له رفع الدعاوى. وبعد ثلاثة أيام، في 1 مايو، قدّم رئيسا لجنتَي الطاقة والتجارة والخدمات المالية في مجلس النواب الأمريكي مشروع قانون SECURE Data Act (H.R. 8413) ومشروع قانون GUARD Financial Data Act — وهما تشريعان فيدراليان للخصوصية ينطويان على استباق واسع لقوانين الولايات قد يُبطل حظر ميريلاند. وقدّمت وكالة حماية الخصوصية في كاليفورنيا اعتراضًا رسميًّا في 27 أبريل.

الوتيرة السيبرانية

في الجمعة، 1 مايو 2026، أصدرت شراكة العيون الخمس الاستخبارية — وكالة الأمن السيبراني وأمن البنية التحتية، ووكالة الأمن القومي، والمركز الأسترالي للأمن السيبراني التابع لمديرية الإشارات، والمركز الكندي للأمن السيبراني، والمركز الوطني للأمن السيبراني في نيوزيلندا، والمركز الوطني للأمن السيبراني في المملكة المتحدة — أول إرشادات مشتركة منسّقة متعدّدة الوكالات بشأن أمن الذكاء الاصطناعي الوكيل: "Careful Adoption of Agentic AI Services" — أي «التبنّي الحذر لخدمات الذكاء الاصطناعي الوكيل». وسُمّيت خمس فئات للمخاطر: الامتيازات، وعيوب التصميم والضبط، والسلوكية، والبنيوية، والمساءلة. ونصّ الإرشادات: "Until security practices, evaluation methods and standards mature, organisations should assume that agentic AI systems may behave unexpectedly and plan deployments accordingly, prioritising resilience, reversibility and risk containment over efficiency gains." — أي «إلى أن تنضج الممارسات الأمنية ومناهج التقييم والمعايير، ينبغي للمؤسسات أن تفترض أن أنظمة الذكاء الاصطناعي الوكيل قد تتصرّف على نحو غير متوقّع، وأن تخطّط لعمليات النشر تبعًا لذلك، مع تقديم المتانة والقابلية للعكس واحتواء المخاطر على مكاسب الكفاءة».

وفي اليوم نفسه، أضافت وكالة الأمن السيبراني وأمن البنية التحتية ثغرتين إلى فهرس الثغرات المعروفة المستغَلَّة. CVE-2026-41940 (تجاوز استيثاق في cPanel/WHM، بدرجة CVSS 9.8) — مستغَلَّة في البرّية منذ 23 فبراير 2026 على الأقل؛ ونحو 1.5 مليون نسخة cPanel مكشوفة على الإنترنت؛ ونحو 70 مليون نطاق يُحتمل تأثّرها؛ ونحو 550,000 لا تزال قابلة للاختراق حتى 3 مايو. والمهلة الفيدرالية للترقيع: 3 مايو 2026. وبحلول 4 مايو، أفادت TechCrunch باستمرار الاستغلال: نحو 2,000 نسخة اختُرقت في حملة الفدية "Sorry". وCVE-2026-31431 («Copy Fail»، تصعيد امتيازات محلي في algif_aead بنواة Linux، بدرجة CVSS 7.8) — خلل منطقي عمره 9 سنوات، وإثبات مفهوم بلغة Python حجمه 732 بايتًا يمنح صلاحيات الجذر عبر الملفات التنفيذية ذات بت setuid. والمهلة الفيدرالية للترقيع: 15 مايو. واكتشفته Theori باستخدام منصّتها Xint للاختبار الاختراقي بالذكاء الاصطناعي.

وفي السبت، 2 مايو 2026، أفصحت Trellix — شركة الأمن السيبراني التي تشكّلت عام 2022 من اندماج McAfee Enterprise وFireEye، وتملكها Symphony Technology Group — عن نفاذ غير مصرّح به إلى جزء من مستودع شيفرتها المصدرية. لا إسناد؛ ولا تأكيد لنطاق بيانات العملاء. وحكاية «اختراق شركات الأمن السيبراني» مستمرّة: FireEye في 2020، وVercel/Context.ai في 19 أبريل، وTrellix في 2 مايو.

وفي الأحد، 3 مايو، أدرجت ShinyHunters شركة Instructure على موقع ابتزازها بمهلة تنتهي في 6 مايو. والنطاق المزعوم: 275 مليون مستخدم، ومن 240 إلى 275 مليون سجلّ، ونحو 9,000 مؤسسة تعليمية عالميًّا، و3.65 تيرابايت من البيانات، بما فيها رسائل خاصة بين الطلاب والمعلّمين. والمسار — الانتقال عبر برمجيات كخدمة لدى طرف ثالث من خلال Salesforce — هو المسار نفسه الذي أنتج Rockstar Games (78.6 مليون سجلّ، في 14 أبريل)، وVimeo عبر Anodot (في 28 أبريل)، وMarcus & Millichap (أكثر من 30 مليونًا بحسب المزاعم)، وAmtrak (9.4 ملايين)، وMcGraw-Hill (13.5 مليون بريد إلكتروني فريد).

وفي الاثنين، 4 مايو — اليوم — أفصحت Progress Software عن الثغرة CVE-2026-4670 (تجاوز استيثاق بدرجة CVSS 9.8) والثغرة CVE-2026-5174 (تصعيد امتيازات بدرجة CVSS 7.7) في MOVEit Automation. والإصدارات المتأثّرة: 2025.1.4 / 2025.0.8 / 2024.1.7 وما قبلها. ونحو 1,400 نسخة مكشوفة علنًا؛ وأكثر من عشر منها مرتبط بحكومات الولايات والحكومات المحلية الأمريكية. وحادثة MOVEit Transfer / فدية Clop لعام 2023 أنتجت أكثر من 2,100 ضحية مؤسسية.

وأطلقت Mistral اليوم خدمة Vibe Remote Agents على نموذج Mistral Medium 3.5 — نموذج كثيف من 128 مليار معامل، وسياق 256K، و77.6% على SWE-Bench Verified. وكلاء برمجة من جانب السحابة، وجلسات متوازية متعددة.

وأفادت تقارير بأن وكالة الأمن السيبراني وأمن البنية التحتية كانت تدرس اليوم خفض مهل معالجة الثغرات المعروفة المستغَلَّة من أسبوعين إلى ثلاثة أسابيع إلى ثلاثة أيام، مستشهدةً بالاستغلال المتسارع بالذكاء الاصطناعي بما فيه Mythos من Anthropic وGPT-5.4-Cyber من OpenAI. ستيفن بوير، مؤسس Bitsight: «إذا كنت ستحمي الوكالات المدنية، فسيتعيّن عليك أن تتحرّك أسرع». كيشا هويت، نائبة الرئيس في Flashpoint: «واقعيًّا، ثلاثة أيام أمر مستحيل ببساطة في بعض البيئات».

وتقرير M-Trends 2026 لدى Mandiant: الوسيط الزمني بين النفاذ الأولي إلى الشبكة وتسليمها إلى تابع لعصابة فدية هو اثنتان وعشرون ثانية. وفي 2022 كان المقياس نفسه يتجاوز ثماني ساعات. فقد تسارعت الوتيرة السيبرانية بثلاث مراتب عشرية في أربع سنوات.

المضادّ المعماري

إذا كانت حزمة الإكراه بالمشتريات القائمة على تصنيف مخاطر سلسلة التوريد أداةً من أدوات سياسة الذكاء الاصطناعي الداخلية، فالمضادّ المعماري هو إلغاء البائع القابل للشراء.

النماذج مفتوحة الأوزان لا يمكن إدراجها في قائمة سوداء. فـ DeepSeek V4 Pro (1.6 تريليون معامل، منها 49 مليارًا نشطة، وسياق مليون رمز) وV4 Flash (284 مليارًا/13 مليارًا)، الصادران في 24 أبريل 2026 برخصة على نمط MIT، قابلان للتنزيل بحرية من Hugging Face. وMistral Medium 3.5 — 128 مليار معامل كثيف، وسياق 256K، ورخصة MIT معدّلة — صدر في 29 أبريل. وOpenAI Privacy Filter (خليط خبراء متناثر بـ 1.5 مليار معامل، منها 50 مليونًا نشطة، و96% F1 على PII-Masking-300k) صدر في 22 أبريل برخصة Apache 2.0. وLlama 3.3، وQwen 3، وGPT-OSS. فأداة الإكراه بالمشتريات لا تستطيع بلوغ ما هو قابل للتنزيل بحرية، وللتشغيل بحرية على عتاد المستخدم، وللتعديل بحرية من كل من يملك وحدة معالجة رسومية. وتصنيف «مخاطر سلسلة التوريد» يقتضي وجود بائع؛ ومنظومات الأوزان المفتوحة تفكّك مركزية البائع.

بنية MCP الاتحادية لا يمكن إلزامها عبر خادم مركزي. فبروتوكول سياق النموذج لدى Anthropic، وإفصاح OX Security في 22 أبريل الذي يطال نحو 200,000 خادم، وتنفيذ الشيفرة عن بُعد بالهروب من الصندوق الرملي في Antigravity الذي أفصحت عنه Pillar Security، كلّها ترسّخ أن أدوات الذكاء الاصطناعي الوكيل المسجّلة مركزيًّا هي سطح هجوم عبر مسار طرف ثالث مميّز. وMCP الاتحادي بحزم موقّعة ووتيرة ترقيع لكل مؤسسة هو التخفيف المعماري.

التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم — Signal، وProton، وTuta، وThreema، وMatrix مع التوقيع المتقاطع لكل جهاز — يجعل نزاع البنتاغون-Anthropic حول المراقبة الجماعية الداخلية بلا موضوع عند طبقة البروتوكول: فما لا يحوزه المشغِّل لا يمكن إلزامه به. والخاصية التعموية تصمد أمام أي إكراه بالمشتريات أو تصنيف لمخاطر سلسلة التوريد ضدّ بائع المراسلة.

الهوية الاتحادية بالإفصاح الانتقائي — محافظ الهوية الرقمية الأوروبية بموجب eIDAS 2.0، بمهلة 31 ديسمبر 2026؛ ونموذج بيانات الاعتماد القابلة للتحقّق لدى W3C بالإصدار 2.0؛ والمعرّفات اللامركزية لدى W3C بالإصدار 1.1 — يجعل تمركز قواعد بيانات الناخبين بلا موضوع معماريًّا. إثبات صفة «ناخب مسجّل» من دون كشف العنوان. وإثبات صفة «مواطن أوروبي» من دون كشف تاريخ الميلاد.

النقل الندّي — مُرحِّل العقد السكنية لدى URnetwork، ومتصفّح Tor 15.0.11 (في 28 أبريل) مع وسائط Snowflake / obfs4 / meek القابلة للتوصيل، وShadowsocks / V2Ray / Trojan / NaïveProxy، وWireGuard بمعيار نشر يبلغ 94 في المئة في الشبكات الافتراضية الخاصة الاستهلاكية — يهزم كلًّا من كشف الشبكات الافتراضية الخاصة في روسيا (22 من 30 تطبيق أندرويد شائع) وأنظمة الإنترنت الحكومية المتدرّجة الموسّطة بالمشغّل في إيران.

الاستيثاق العتادي بمعيار FIDO2 — YubiKey، وNitrokey، وSoloKey — يحلّ محلّ الاستيثاق متعدّد العوامل عبر الرسائل القصيرة، الذي تبرهن أكثر من 15,700 محاولة تعقّب في تقرير Bad Connection لدى Citizen Lab واختراق DCSNet لدى مكتب التحقيقات الفيدرالي على أنه مخترَق تشغيليًّا. فالمفتاح العتادي على جهاز المستخدم.

العتاد ذو البرنامج الثابت المفتوح — GrapheneOS على أجهزة Pixel المتوافقة (نحو 400,000 مستخدم نشط؛ والشراكة مع Motorola تمتدّ إلى تشكيلة 2027)؛ وLineageOS؛ وOpenWRT — يشغّل شيفرة يستطيع المستخدم تفحّصها.

الخدمات المستضافة ذاتيًّا — خادم Matrix المنزلي، وNextcloud، وForgejo، وMailcow، وJitsi، وOllama مع MCP الاتحادي — تحلّ محلّ حيازة المشغِّل بحيازة يشغّلها المستخدم. ونطاق انفجار الاختراق من جانب البائع (Trellix، وVercel/Context.ai، وAnodot، وSalesforce) يصبح محدودًا.

جيوب الحوسبة السرّية — Azure Confidential Computing، وAWS Nitro Enclaves، وEnveil، وOpaque، إضافةً إلى أطر التحليل الاتحادي (DataSHIELD، وVantage6، وOHDSI، وFlower، وPySyft) — تحفظ منفعة البحث على بيانات مشفّرة من دون نصّ صريح مرئي للمشغِّل.

العملات المشفّرة الحافظة للخصوصية — Bitcoin Core 27.0 مع نقل BIP324 v2 المشفّر بين الأقران (افتراضيًّا) والمدفوعات الصامتة BIP352 (المدمجة في أوائل 2026)؛ وMonero FCMP++ على شبكة الاختبار منذ أكتوبر 2025 مع انقسام صلب على الشبكة الرئيسية مبدئيًّا في منتصف 2026 (ومجموعة إخفاء الهوية تقفز من 16 إلى نحو 152-158 مليون مخرج)؛ وZcash بالحماية افتراضيًّا — تقع خارج مسار العملات المستقرّة الخاضع لمراقبة المشغِّل، وهو المسار الذي يبرهن تجميد Tether بقيمة 344 مليون دولار من USDT، وأول تصنيف مباشر من مكتب مراقبة الأصول الأجنبية لعناوين مرتبطة بالبنك المركزي الإيراني على السلسلة (عملية Economic Fury)، على كونه أداة امتثال للعقوبات.

فالمضادّ المعماري لإدراج البائعين في القوائم السوداء هو إلغاء البائع. والمضادّ المعماري للإكراه على القدرة هو نشر أوّليات يتحكّم بها المستخدم.

ثلاث ساعات

12 يونيو 2026 — الانقضاء التالي للمادة 702. والتمديد الإجرائي الخامس متاح إجرائيًّا. أما الإصلاح البنيوي — مشروع ماسي-بويبرت H.R. 8470، ومشروع لي-وايدن لإصلاح المراقبة الحكومية، ومشروع لي-دوربن SAFE — فليس مطروحًا في قاعة التصويت. وقد لوّح ماسي باستراتيجية عريضة الإخراج من اللجنة: جمع 218 توقيعًا في مجلس النواب لتجاوز الإحالة إلى اللجنة. واليوم هو اليوم 4 من نافذة الخمسة والأربعين يومًا.

نحو 15 مايو 2026 — مهلة كوتون-وارنر لرفع السرّية عن رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس. ومديرة الاستخبارات الوطنية تولسي غابارد والمدّعي العام بالإنابة ملزمان بإصدار نسخة مرفوعة السرّية. اليوم 4 من نافذة الخمسة عشر يومًا. ويتبقّى أحد عشر يومًا.

2 أغسطس 2026 — دخول إنفاذ أحكام الذكاء الاصطناعي عامّ الغرض في الاتحاد الأوروبي حيّز التنفيذ بموجب قانون الذكاء الاصطناعي، وهو الموعد الأصلي. وقد انهار الحوار الثلاثي السياسي الثاني بشأن «الحزمة الرقمية الشاملة» في 28 أبريل بسبب بنية تقييم المطابقة في الملحق الأول؛ والحوار الثلاثي التالي تحت الرئاسة القبرصية نحو 13 مايو. وموعد 2 أغسطس قائم قانونًا.

الخاتمة

تصنيف البنتاغون بأن Anthropic «مخاطر سلسلة توريد» — الصادر في 27 فبراير 2026، وهو الأول على الإطلاق ضدّ شركة أمريكية — يعمل على ثلاث طبقات. فعند طبقة المشتريات، يمنع المتعاقدين الفيدراليين من استخدام Claude. وعند طبقة التقاضي، تنازعه Anthropic في سان فرانسيسكو وفي مقاطعة كولومبيا، مع أول رفض لأمر قضائي مؤقت صدر في 8 أبريل. وعند طبقة القدرة، لا يجري إنفاذه: فوكالة الأمن القومي تستخدم Mythos من Anthropic رغم الحظر الرسمي، والمدير التقني للبنتاغون إميل مايكل يصف التناقض بأنه «لحظة أمن قومي منفصلة»، وBloomberg أكّدت اختبار الوكالة لـ Mythos على تقنيات Microsoft.

وفي الأسبوع نفسه الذي منح فيه البنتاغون ثمانية عقود ذكاء اصطناعي من الفئة السرّية مستبعدًا Anthropic، التزمت وول ستريت بـ 1.5 مليار دولار لنشر مهندسي Anthropic أمامًا داخل شركات حافظة الأسهم الخاصة. والتزمت Google، في أبريل، بـ 40 مليار دولار نقدًا وحوسبةً لـ Anthropic. فحزمة الإكراه بالمشتريات لدى الحكومة الأمريكية تعامل Anthropic بوصفها بائعًا معاقَبًا؛ ومنظومة الاستثمار التجاري الأمريكية تعاملها بوصفها أصلًا استراتيجيًّا؛ وشبكة وكالات الاستخبارات الأمريكية تعامل قدرتها بوصفها أداة أمن قومي؛ والنظام القضائي الأمريكي، بعد أربعة أشهر، لم يفصل بعد فيما إذا كان التصنيف الأساسي قانونيًّا.

وخطّا Anthropic الأحمران — لا أسلحة ذاتية التشغيل بالكامل يقودها الذكاء الاصطناعي، ولا مراقبة جماعية داخلية للمواطنين الأمريكيين — كانا نقطة الارتكاز المعمارية للنزاع. فقد طالب البنتاغون بإزالتهما. ورفضت Anthropic. ولُوّح بتفعيل قانون الإنتاج الدفاعي؛ وصدر تصنيف مخاطر سلسلة التوريد؛ واستبعدت منح العقود في 1 مايو الشركة؛ ورُفعت الدعاوى؛ ورُفض الاستئناف؛ وجرى الاجتماع في البيت الأبيض؛ وقال الرئيس «من؟»؛ واستخدمت وكالة الأمن القومي النموذج على أي حال؛ وأُعلنت شراكة وول ستريت اليوم.

والنمط المعماري، الذي تكرّر تسع مرات في الأيام الأحد عشر الممتدة من 19 أبريل إلى 30 أبريل في طبعة الأمس واستمرّ بلا انقطاع عبر الأيام الأربعة من 30 أبريل إلى 4 مايو في هذه الطبعة، هو أن كل مسار طرف ثالث مميّز يصير امتيازًا وتسريبًا في آن. فأداة الإكراه بالمشتريات لدى البنتاغون كان يُفترض أن تكون امتيازًا للحكومة الفيدرالية. وتصنيف «مخاطر سلسلة التوريد» كان يُفترض أن يكون أداة لسياسة الخصوم الأجانب. واليوم صار كلاهما أداتين لسياسة الذكاء الاصطناعي الأمريكية، مطبَّقتين على مختبر ذكاء اصطناعي أمريكي لم يكن رفضه سوى رفض إتاحة أسلحة فتّاكة ذاتية التشغيل ومراقبة جماعية داخلية للمواطنين الأمريكيين — بينما تستخدم وكالة الاستخبارات التابعة للبنتاغون نفسه نموذج الشركة على أي حال.

أما البديل المعماري — النماذج مفتوحة الأوزان، وMCP الاتحادي، والتشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، والهوية الاتحادية بالإفصاح الانتقائي، والنقل الندّي، والاستيثاق العتادي بمعيار FIDO2، والعتاد ذو البرنامج الثابت المفتوح، والخدمات المستضافة ذاتيًّا، وجيوب الحوسبة السرّية، والعملات المشفّرة الحافظة للخصوصية — فليس لديه بائع يمكن تصنيفه. وأداة الإكراه بالمشتريات لا تستطيع بلوغ حزمة لا تملك طبقة مشتريات.

قدرة معاقَبة. وقدرة مستهلَكة. ومخاطر سلسلة التوريد أمريكية.

والمضادّ المعماري يُشحن اليوم.

مُتَّهم — يُشار إليه بالاسم المستعار "Sharp" — تجري ملاحقته أمام محكمة فيدرالية أمريكية. ثبّت المتهم تطبيق Signal على هاتف iPhone. وفعّل الرسائل المتلاشية. ثم حذف تطبيق Signal من الهاتف. وكان يعتقد، عن حق، أن Signal بوصفه بروتوكولًا يمحو محتوى الرسائل تشفيريًا خارج نطاق أطراف المحادثة. واستخرج مكتب التحقيقات الفيدرالي معاينات رسائل Signal من هاتف الـiPhone بعد أن كان التطبيق قد حُذف. وكانت 404 Media أول من أورد القضية في أبريل 2026. وفي الأربعاء 22 أبريل 2026، أصدرت Apple التحديثين iOS 26.4.2 وiPadOS 26.4.2 (مع نقل الإصلاح إلى iOS 18.7.8 وiPadOS 18.7.8)، مُرقِّعةً الثغرة CVE-2026-28950. ووصفت نشرة Apple الاستشارية المشكلة بالعبارة: "Notifications marked for deletion could be unexpectedly retained on the device." (الإشعارات المُعلَّمة للحذف قد يُحتفَظ بها على الجهاز على نحو غير متوقع). الأجهزة المتأثرة: iPhone 11 وما بعده، وiPad Pro 12.9 الجيل 3 وما بعده، وiPad Pro 11 الجيل 1 وما بعده، وiPad Air الجيل 3 وما بعده، وiPad الجيل 8 وما بعده، وiPad mini الجيل 5 وما بعده. رقم البناء 23E261. وقالت رئيسة Signal ميريديث ويتاكر (Meredith Whittaker): «لا ينبغي أن تظل إشعارات الرسائل المحذوفة موجودة في أي قاعدة بيانات إشعارات تابعة لنظام تشغيل».

الضمانة التي يقدّمها Signal بوصفه بروتوكولًا صحيحة. أما قاعدة بيانات الإشعارات على مستوى نظام التشغيل فكانت سطح تسريب لا تغطيه الضمانة التشفيرية للبروتوكول. كانت خصوصية المستخدم متوقفة على البروتوكول؛ وكان البروتوكول متوقفًا على نظام التشغيل؛ ونظام التشغيل احتفظ ببيانات وصفية ظنّ المستخدم أنها زالت.

هذا هو النمط المعماري لقصة الخصوصية في مايو 2026. كل طبقة أسفل التطبيق المشفَّر هي سطح تسريب محتمل. البروتوكول صحيح عند طبقة واحدة؛ والطبقات التي تحته ليست كذلك.

نظام التنصت تحت التنصت

في فبراير 2026، رصد محللون في مكاتب مكتب التحقيقات الفيدرالي بجزر فيرجن لأول مرة نشاطًا شاذًا في السجلات على DCSNet — شبكة نظام الجمع الرقمي التابعة للمكتب، وهي البنية الداخلية المستخدمة لإدارة عمليات التنصت المصرّح بها قضائيًا وطلبات مراقبة الاستخبارات الأجنبية. والمتأثر تحديدًا: DCS-3000، المعروف أيضًا باسم Red Hook. ويتولى Red Hook تسجيلات الأرقام الصادرة (pen registers) ومراقبة التتبع والاقتفاء (trap-and-trace) — أي البيانات الوصفية للمكالمات، والأرقام المطلوبة، وبيانات التوجيه، وهويات الأفراد الخاضعين لتحقيقات نشطة لدى المكتب. تاريخ الاكتشاف: 17 فبراير 2026. إخطار الكونغرس: 4 مارس. التصنيف الرسمي للحادث بوصفه "Major Incident" (حادثًا كبيرًا) بموجب قانون تحديث أمن المعلومات الفيدرالي لعام 2014: 1 أبريل 2026.

وخلص المحققون إلى أن جهات التهديد استغلت البنية التحتية لمورّد تجاري لخدمة الإنترنت ترتبط أنظمته بـDCSNet. وبالعمل عبر مسار مورّد موثوق، مزج المتسللون النشاط الخبيث بحركة الشبكة المشروعة وتجاوزوا الضوابط الأمنية الداخلية المصممة لكشف الوصول غير المصرّح به. وينسب باحثون مستقلون وتقارير صحفية العملية إلى Salt Typhoon، وهي جهة تهديد مرتبطة بوزارة أمن الدولة الصينية. وكانت حملات Salt Typhoon الأسبق بين 2019 و2024 قد اخترقت المشغّلين الخلويين الأمريكيين الكبار الثلاثة جميعًا، وسحبت سجلات مكالمات تغطي عشرات الملايين من الأمريكيين، ونفذت إلى بيانات تنصت لمكتب التحقيقات الفيدرالي عبر بنية الاعتراض القانوني CALEA لدى تسع شركات اتصالات أمريكية.

التفصيل الجديد بنيويًا في واقعة 2026 هو ناقل الدخول. لم تستغل Salt Typhoon موظفي مكتب التحقيقات الفيدرالي. استغلت Salt Typhoon الاتصال المُميَّز للطرف الثالث الذي تتطلبه معمارية الاعتراض القانوني بحكم التصميم. فنظام التنصت، بحكم بنائه، متاح لشبكة شركة النقل لأغراض الاعتراض. وشبكة شركة النقل، بحكم بنائها، مكشوفة لمورّديها. وشبكة المورّد مكشوفة لأي جهة تخترق المورّد. سلسلة توريد الاعتراض القانوني هي نفسها سلسلة توريد جهاز الاستخبارات الأجنبي الذي يريد أن يعرف مَن يراقبه مكتب التحقيقات الفيدرالي.

وفي أواخر أبريل 2026، ظهر نشاط العنقود ذاته لدى Sistemi Informativi، وهي شركة تابعة لـIBM في إيطاليا؛ وقدّمت Security Affairs الحادثة بوصفها «طلقة تحذيرية لدفاعات أوروبا الرقمية». وقناة المورّدين التي كانت مدخلًا إلى DCSNet هي قناة المورّدين نفسها التي تربط جانبًا كبيرًا من منظومة الاتصالات والاعتراض القانوني في أوروبا.

المادة 702: التمديد الإجرائي الرابع

كان موعد الانقضاء الأصلي للمادة 702 من قانون مراقبة الاستخبارات الأجنبية لعام 1978، بصيغتها المجدَّدة بموجب قانون إصلاح الاستخبارات وتأمين أمريكا لعام 2024 (P.L. 118-49)، هو 20 أبريل 2026. وفي 17 أبريل 2026، وبعد أن أفشل عشرون نائبًا جمهوريًا تجديدًا أطول أمدًا، أقرّ مجلس النواب ثم مجلس الشيوخ تمديدًا مدته 10 أيام بالإجماع. ووقّعه الرئيس ترامب. وفي 29 أبريل، أقرّ مجلس النواب مشروع القانون H.R. 8512 — تمديد لثلاث سنوات — بأغلبية 235 مقابل 191. وحمل المشروع نصًا أرفقه رئيس المجلس مايك جونسون يحظر حظرًا دائمًا على الاحتياطي الفيدرالي إصدار عملة رقمية لبنك مركزي. وصوّت 22 جمهوريًا بالرفض. وصوّت 42 ديمقراطيًا بالقبول. وفي 30 أبريل، رفض مجلس الشيوخ الحزمة؛ إذ عجز حظر العملة الرقمية للبنك المركزي عن جمع 60 صوتًا. ثم أقرّ مجلس الشيوخ مشروع القانون S. 4465 — تمديد نظيف مدته 45 يومًا — بالإجماع. وأجاز مجلس النواب S. 4465 بأغلبية 261 مقابل 111. ووقّعه ترامب. وموعد الانقضاء الجديد هو نحو 12 يونيو 2026. وقال زعيم الأغلبية في مجلس الشيوخ جون ثيون لقناة Fox News: «سنرميه إلى هناك ونعالجه بسرعة، وسنؤجّل المشكلة إلى وقت لاحق».

ورئيس المجلس جونسون، من على منصة الجلسة: «إن ذهبنا إلى النوم الليلة من دون أن يكون هذا البرنامج قائمًا، فأخشى أن تكون الدماء على أيدينا». والنائب كيث سِلف (جمهوري من تكساس) لخّص المنطق الإجرائي: «عليك أن تضع فيه مذكرة قضائية أو عملة رقمية لبنك مركزي». وإرفاق مسألة العملة الرقمية للبنك المركزي هو الكشف البنيوي. فقد استُخدم إصلاح المراقبة مركبةً حاملة لسياسة حرب ثقافية لا صلة لها بالموضوع. مسار الإصلاح أسير الآلية الإجرائية.

وفي مجلس الشيوخ، وفي مواجهة على منصة الجلسة في 30 أبريل، اتهم السيناتور توم كوتون (جمهوري من أركنساس)، رئيس لجنة الاستخبارات المختارة في مجلس الشيوخ، السيناتور رون وايدن (ديمقراطي من أوريغون) بـ«ممارسة قديمة العهد في تشويه مواد بالغة السرية أمام الجمهور»، وحذّر: «سيأتي يوم تكون فيه عواقب، وقد يكون ذلك وأنا رئيس هذه اللجنة». وانتزع وايدن تعهدًا خطيًا من كوتون ومن نائب الرئيس مارك وارنر (ديمقراطي من فرجينيا) بأن يرفع مكتب مدير الاستخبارات الوطنية والنائب العام بالوكالة، خلال خمسة عشر يومًا من التمديد، السرية عن رأي لمحكمة مراقبة الاستخبارات الأجنبية صادر في 17 مارس 2026، قال وايدن إنه يوثّق استمرار تجاوزات مكتب التحقيقات الفيدرالي في الاستعلام عن أشخاص أمريكيين رغم إصلاحات 2024. والموعد النهائي هو نحو 15 مايو 2026. وحتى لحظة كتابة هذه السطور، لم يحدث رفع السرية بعد.

وفي 23 أبريل، قدّم النائبان توماس ماسي (جمهوري من كنتاكي-04) ولورين بوبرت (جمهورية من كولورادو-04) مشروع القانون H.R. 8470، قانون المساءلة عن المراقبة. أحكامه: اشتراط مذكرة قضائية لكل عمليات تفتيش الحكومة تقريبًا لبيانات الأمريكيين؛ وإغلاق ثغرة وسطاء بيانات الطرف الثالث؛ وحظر التعرف على الوجوه وبصمات الوجه والتعرف على المشية والتعرف على الصوت وقارئات لوحات المركبات المرتبطة بأفراد قابلين للتحديد، من دون مذكرة؛ وإنشاء حق دعوى خاص بالقانون عن انتهاكات التعديل الرابع تحت غطاء السلطة الفيدرالية. بوبرت: «لقد تعاملت الحكومة الفيدرالية مع التعديل الرابع بوصفه اقتراحًا». وماسي: «شِرعة الحقوق ليست اقتراحًا». وأُحيل H.R. 8470 إلى اللجنة القضائية بمجلس النواب؛ ولم يُحدَّد تصويت في الجلسة العامة. وقد ألمح ماسي إلى استراتيجية محتملة عبر عريضة الإخراج من اللجنة.

وفي مجلس الشيوخ، يقبع في اللجان قانون إصلاح المراقبة الحكومية (لي + وايدن + لوميس + وارن) وقانون SAFE (لي + دوربن). السيناتورة سينثيا لوميس (جمهورية من وايومنغ): «إن كنا جادّين في حماية حرياتنا الدستورية من تجاوز الحكومة، فينبغي اشتراط مذكرة قضائية معتمَدة من القضاء لكل عمليات البحث بموجب المادة 702».

ثلاثة عشر عامًا من دورات إعادة التفويض. تمديدان مؤقتان في عشرة أيام. صفر إصلاحات بنيوية.

"Bad Connection": 15,700 محاولة

في 23 أبريل 2026، نشر Citizen Lab التقرير رقم 192، "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors" («اتصال سيئ: كشف الاستغلال العالمي لشبكات الاتصالات على يد جهات مراقبة سرية»)، من إعداد غاري ميلر (Gary Miller) وسوانتيه لانغه (Swantje Lange). ووثّق التقرير أكثر من 15,700 محاولة تعقّب منذ نوفمبر 2022، نُفِّذت عبر ثلاثة مشغّلي اتصالات مُسمَّين: 019Mobile (إسرائيل)، وTango Networks (المملكة المتحدة)، وAirtel Jersey/Sure (جزر القنال). وحملتا مراقبة اثنتان: واحدة مرتبطة بمورّد إسرائيلي مشتبه به في الاستخبارات الجغرافية؛ وأخرى مرتبطة بشركة Fink Telecom Services السويسرية وبمجموعة Rayzone. والتقنيات المستخدمة: SS7 (إشارات الجيل الثالث)، وDiameter (إشارات الجيل الرابع والخامس)، ورسائل SMS ثنائية على نمط SIMjacker تستخدم TP-PID=127 لاستدعاء حزمة أدوات تطبيقات SIM بعيدًا عن أنظار المستخدم، وTP-DCS=22 لوسم الرسالة بأنها ثنائية. والأهداف موزّعة على 18 بلدًا على الأقل، من بينها تايلاند وجنوب أفريقيا والنرويج وبنغلاديش والدنمارك والسويد وماليزيا والجبل الأسود وجمهورية الكونغو الديمقراطية وإندونيسيا وفيتنام وعدة دول في أفريقيا جنوب الصحراء. وفي 3 مايو 2026، نشرت صحيفة Haaretz تحقيق "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide" («المشغّلون الأشباح: كيف استُغلت شركات الاتصالات الإسرائيلية لتعقّب مواطنين حول العالم»)، موسّعةً نتائج Citizen Lab، ومسمّيةً المشغّلين الإسرائيليين 019Mobile وPartner Communications وExelera، ومُشيرةً بأصابع الاتهام إلى Cognyte/Verint ومجموعة Rayzone.

ردود المشغّلين: نفى رئيس Sure التنفيذي أليستير بيك (Alistair Beak) تأجير وصول إلى شبكة الإشارات عن علم؛ وطعن جيل ناغار (Gil Nagar) من 019Mobile في صحة النسبة؛ ولم ترد Tango Networks. وقال باحث Citizen Lab غاري ميلر لموقع TechCrunch: «لقد رصدت آلاف هذه الهجمات على مدى السنوات، ولذلك أقول إنها استغلال شائع إلى حد كبير ويصعب اكتشافه. ... لم نركّز إلا على حملتَي مراقبة اثنتين ضمن كون من ملايين الهجمات».

أما الادّعاء المعماري الذي اعتمد عليه المشترك الخلوي — أن شبكة الإشارات لدى شركة النقل بيئة ثقة ذاتية الضبط بين شركاء التجوال — فهو، كما يُظهر السجل التشغيلي الآن، غير محفوظ عند القفزة التالية في وصلة الإشارات. فأي مشغّل يمتلك وصولًا إلى شبكة الإشارات وعلاقة تجوال يستطيع إصدار أوامر تحديد الموقع واعتراض الرسائل وأوامر حزمة أدوات SIM. الامتياز هو المعمارية؛ والمعمارية هي التسريب.

Webloc: 500 مليون جهاز

في 9 أبريل 2026، نشر Citizen Lab التقرير رقم 191، "Uncovering Webloc" («كشف Webloc»)، موثّقًا منصة تعقّب الأجهزة القائمة على المزايدة الإعلانية اللحظية التي تديرها Penlink (المعروفة سابقًا باسم Cobwebs Technologies). ويتعقّب Webloc أكثر من 500 مليون جهاز في 30 بلدًا أو أكثر عبر تدفقات مزادات الإعلانات اللحظية. وفي 26 أبريل 2026، ضخّم برنامج All Things Considered على شبكة NPR التقرير، باستضافة مدير Citizen Lab رون ديبرت (Ron Deibert). ومن الزبائن الذين حدّدهم Citizen Lab: دائرة الهجرة والجمارك الأمريكية، والجيش الأمريكي، وإدارة السلامة العامة في تكساس، ووزارة الأمن الداخلي في فرجينيا الغربية، ومكاتب المدّعين العامين في مدينة نيويورك، وأقسام الشرطة في لوس أنجلوس ودالاس وبالتيمور وتوسان ودَرَم. ويشمل الزبائن الأجانب جهاز الأمن الوطني المجري (NBSZ) — الذي جُدِّد ترخيصه في مارس 2026، قبيل انتخابات البلاد في 12 أبريل — وشرطة السلفادور الوطنية. ولشركة Cobwebs صلات مؤسسية بالمورّد الإسرائيلي QuaDream عبر شخص عُمري تيميانكر (Omri Timianker).

الادّعاء المعماري لـWebloc هو أن التعقّب عبر المزايدة الإعلانية اللحظية «قانوني». لكن المعمارية مزدوجة الاستخدام بحكم التصميم. ففي كل مرة يحمّل فيها تطبيق مدعوم بالإعلانات إعلانًا، يُبَثّ عنوان IP الخاص بالمستخدم وبصمة جهازه وموقعه التقريبي إلى آلاف المزايدين لأغراض المزاد. ويستهلك Webloc هذا البث بوصفه مُدخلًا. ولا يملك المستخدم خيار الانسحاب: فالانسحاب من الإعلانات يعني الانسحاب من التطبيق. Pegasus يستهدف الآلاف. Webloc يتعقّب خمسمئة مليون. فجوة النطاق في المشتريات هي الكشف المعماري.

"Operation Economic Fury": العملة المستقرة أداةً للامتثال

في الخميس 23 أبريل 2026، أعلنت Tether ما عنونته "Tether Supports Freeze of More Than $344 Million in USD₮ in Coordination with OFAC and U.S. Law Enforcement". وجُمِّد عنوانان على بلوكتشين Tron: نحو 213 مليون دولار ونحو 131 مليون دولار. وكانت PeckShield أول من نبّه إلى ورود العنوانين على القائمة السوداء لمكتب مراقبة الأصول الأجنبية. وفي اليوم التالي، 24 أبريل، أصدر مكتب مراقبة الأصول الأجنبية تحديثًا لقائمة الأشخاص المصنَّفين خصيصًا (SDN) تضمّن عنوانين مرتبطين بالبنك المركزي الإيراني — وهي المرة الأولى التي يصنّف فيها المكتب مباشرةً محافظ مرتبطة بالبنك المركزي الإيراني على السلسلة. وبحسب TRM Labs، كانت العناوين المستهدفة قد راكمت بهدوء نحو 370 مليون دولار عبر ما يقارب 1,000 إيداع منذ مارس 2021؛ أحدها لم تخرج منه أي تدفقات؛ والآخر أرسل أقل من 16 مليون دولار مقابل أكثر من 228 مليون دولار تلقّاها. والحملة الأمريكية تحمل اسم "Operation Economic Fury" («عملية الغضب الاقتصادي»). وتعاون Tether التراكمي عبر جميع الولايات القضائية، وفق بيانها هي: أكثر من 340 جهة، و65 بلدًا، وأكثر من 2,300 قضية، وأكثر من 4.4 مليار دولار مجمَّدة.

كان حياد العملات المستقرة، حتى أبريل هذا، فرضية معمارية. ونمط التجميد يعيد تأطير USDT بوصفه الأداة الأشد خضوعًا للضبط في عالم العملات المشفّرة — امتدادًا فعليًا مستقرَّ الارتباط بالدولار لبنية العقوبات الأمريكية، بانضباط امتثالٍ لدى مُشغِّل خاص يتحرك أسرع من القطاع المصرفي. وقال جيريمي أليير (Jeremy Allaire)، الرئيس التنفيذي لشركة Circle مُصدِرة USDC (في 13 أبريل) إن الشركة «لن تجمّد USDC من دون أمر محكمة، حتى لو خرج المخترقون بالملايين». وباتت العملتان المستقرّتان الآن في وضعين تشغيليين مختلفين بنيويًا فيما يخص الامتثال للعقوبات. أما البدائل الحافظة للخصوصية — Bitcoin مع نقل P2P المشفَّر BIP324 (المفعَّل افتراضيًا في Core 27.0) والمدفوعات الصامتة Silent Payments (BIP352، المدمَجة في مطلع 2026)، وMonero مع FCMP++ على شبكة الاختبار منذ أكتوبر 2025 وتفريعة صلبة على الشبكة الرئيسية مقررة مبدئيًا في منتصف 2026 (بقفزة في مجموعة إخفاء الهوية من 16 إلى نحو 152-158 مليون مُخرَج)، وZcash المحجوبة افتراضيًا — فتقع خارج مسار العملة المستقرة الخاضع لضبط المُشغِّل بالكامل.

وزارة العدل 0 من 6: قاعدة بيانات الناخبين التي ترفض أن تُبنى

في الثلاثاء 28 أبريل 2026، ردّت قاضية المحكمة الجزئية الأمريكية سوزان برنوفيتش (المحكمة الجزئية لأريزونا، وهي مُعيَّنة من ترامب) دعوى وزارة العدل ضد أريزونا التي طلبت فيها سجلات ناخبين غير محجوبة، وردّتها with prejudice (ردًّا نهائيًا يمنع إعادة رفعها) — واصفةً النظرية القانونية بأنها "futile" (عبثية). وحُكم برنوفيتش هو الخسارة السادسة على التوالي لوزارة العدل في دعاوى سجلات الناخبين، بعد كاليفورنيا وماساتشوستس وميشيغان وأوريغون ورود آيلاند. وفي 17 أبريل، ردّت القاضية ماري مكيلروي (المحكمة الجزئية لرود آيلاند، وهي أيضًا مُعيَّنة من ترامب) دعوى وزارة العدل في رود آيلاند، وقضت بأن قوانين الانتخابات الفيدرالية "don't empower the Justice Department to demand state voter data" (لا تخوّل وزارة العدل المطالبة ببيانات ناخبي الولايات). وفي 21 أبريل، رفعت Common Cause الطعن البنيوي — Common Cause v. DOJ، القضية رقم 1:26-cv-01352 (المحكمة الجزئية لمقاطعة كولومبيا) — بمشاركة الاتحاد الأمريكي للحريات المدنية، ومنظمة المواطنين من أجل المسؤولية والأخلاق في واشنطن، ومنظمة Protect Democracy، وعيادة الديمقراطية بجامعة هارفارد في هيئة الدفاع. ونص الشكوى: "No federal statute authorizes DOJ's sprawling new voter surveillance, data consolidation, and purging operation. In taking these actions, DOJ is usurping powers that the Constitution and federal statutes vest in the States." (لا يوجد تشريع فيدرالي يجيز عملية وزارة العدل الجديدة المتشعبة في مراقبة الناخبين وتجميع البيانات وتطهير السجلات. وباتخاذ هذه الإجراءات تغتصب الوزارة صلاحيات يمنحها الدستور والقوانين الفيدرالية للولايات).

والسند الأساسي هو الأمر التنفيذي 14399 (31 مارس 2026)، "Ensuring Citizenship Verification and Integrity in Federal Elections" («ضمان التحقق من الجنسية ونزاهة الانتخابات الفيدرالية»)، الذي يوجّه وزارة الأمن الداخلي وإدارة الضمان الاجتماعي إلى تجميع "State Citizenship Lists" («قوائم جنسية على مستوى كل ولاية») من سجلات التجنيس الفيدرالية، وسجلات إدارة الضمان الاجتماعي، ونظام التحقق المنهجي من الأجانب لأغراض الاستحقاقات (SAVE) التابع لوزارة الأمن الداخلي. ووفق تقارير علنية، جرى بالفعل تمرير أكثر من 33 مليون سجل ناخب عبر نظام SAVE. والنائبة العامة بام بوندي: «هذه الوزارة رفعت حتى الآن دعاوى على 23 ولاية لامتناعها عن تقديم بيانات سجلات الناخبين، وستواصل رفع الدعاوى حمايةً للانتخابات الأمريكية».

وفُتح مسار مواز يتناول معمارية المشتريات. ففي 14 أبريل 2026، سمحت القاضية إلين ليبتون هولاندر (المحكمة الجزئية لماريلاند) بإجراءات الاستجلاء في القضية التي يقودها اتحاد الموظفين الفيدراليين AFGE ضد وزارة كفاءة الحكومة (DOGE) وإدارة الضمان الاجتماعي، واصفةً سلوك الحكومة بأنه "alarming" (مثير للجزع). ويستهدف الاستجلاء التنقيب في «اتفاق بيانات الناخبين» الذي أبرمته DOGE مع جماعة مناصرة سياسية خارجية تسعى للطعن في نتائج الانتخابات، وفي استخدام DOGE خادمًا غير مصرّح به. وكان رأي هولاندر الأسبق، الواقع في 137 صفحة، قد خلص إلى أن "the DOGE Team is essentially engaged in a fishing expedition at SSA, in search of a fraud epidemic, based on little more than suspicion." (فريق DOGE منخرط في جوهره في رحلة تصيّد داخل إدارة الضمان الاجتماعي، بحثًا عن وباء احتيال، استنادًا إلى ما لا يزيد كثيرًا على الاشتباه).

القراءة المعمارية: بيانات تسجيل الناخبين كانت تاريخيًا على مستوى الولاية والمقاطعة. والأمر التنفيذي 14399 يعيد تنظيمها في نقطة تركيز بيانات فيدرالية. ومعمارية الولاية مقابل الاتحاد تُختبر الآن عند الطبقة الإجرائية. وسلسلة الخسائر 0 من 6 هي جواب المحاكم. وCommon Cause v. DOJ هو الجواب الدستوري. أما البديل المعماري — الهوية الموزَّعة مع الكشف الانتقائي (نموذج eIDAS 2.0) — فهو البديل الحافظ للخصوصية.

إيران في اليوم 65: المؤقّت الدائم

في الأحد 3 مايو 2026، دخل الانقطاع الوطني الشامل للإنترنت في إيران يومه 65 — أي 1,536 ساعة تراكمية بحسب قياسات NetBlocks، وهو أطول انقطاع وطني للإنترنت يُسجَّل على الإطلاق. وقد بدأ الانقطاع في 28 فبراير 2026 في أعقاب الضربات الأمريكية-الإسرائيلية على إيران. ولا يزال نحو 85 إلى 90 مليون إيراني خارج الشبكة. وبحسب وزير الاتصالات الإيراني ستار هاشمي، تبلغ الكلفة المباشرة اليومية نحو 35.7 مليون دولار؛ وبحسب NetBlocks، قد تتجاوز الكلفة اليومية التراكمية 37 مليون دولار؛ وبحسب غرفة التجارة الإيرانية، تتراوح بين 30 و40 مليون دولار مباشرة، وبين 70 و80 مليون دولار شاملةً غير المباشرة. وقد تجاوزت الكلفة التراكمية نحو 1.8 مليار دولار. وهبطت Tipax، أكبر خدمة توصيل في إيران، من 320,000 شحنة يوميًا إلى «أقل من بضع مئات».

وقد أقرّ المجلس الأعلى للأمن القومي الإيراني طبقة "Internet Pro" («الإنترنت الاحترافي») لفئة مختارة من حاملي البطاقات التجارية عبر غرفة التجارة؛ وتتوسع المرحلة الثانية لتشمل منظمات الإنتاج والصناعة والتجارة. والتعرفة نحو عشرة أضعاف السعر القياسي؛ والاستخدام مقيَّد بسقف. وقالت المتحدثة باسم الحكومة فاطمة مهاجراني في 28 أبريل: «في نهاية المطاف ستتمكن إيران كلها من الوصول إلى الإنترنت متى رأت السلطات أن المشكلات الجيوسياسية الراهنة قد حُلَّت». وقالت نائبة الرئيس لشؤون المرأة زهرا بهروزآذر: «لقد فُرض هذا الوضع كما تُفرض الحرب، ولا ينبغي إنكار الأضرار». وفي 30 أبريل، رفضت جمعية مصممي الغرافيك الإيرانية ومنظمة التمريض وجمعيات المحامين علنًا الوصول المتدرّج بوصفه «متعارضًا مع مبادئ المساواة». وبحسب التقارير السابقة، يتمتع نحو 16,000 من حاملي «الشريحة البيضاء» ("white SIM card") بوصول عالمي غير مقيَّد إلى الإنترنت منذ 2013. وبحسب الطبقة الجديدة، سينضم عدد غير محدَّد من حاملي البطاقات الإضافيين إلى هذه الفئة المميَّزة.

الكشف المعماري: إيران هي أول بلد امتلك وصولًا غير مقيَّد إلى الإنترنت ثم فقده بفعل دولة متعمَّد، ليرتدّ إلى شبكة وطنية ذات وصول عالمي متدرّج. كوريا الشمالية بنت Kwangmyong لسكان غير موصولين أصلًا. والصين بنت الجدار الناري العظيم على مدى عشرين عامًا مع بدائل محلية. أما إيران فتفعل الأمرين في أسابيع. وصياغة مهاجراني — «متى رأت السلطات أن المشكلات الجيوسياسية الراهنة قد حُلَّت» — هي ديمومة مفتوحة الأجل.

اثنتا عشرة ساعة في بروكسل

في الثلاثاء 28 أبريل 2026، وفي بروكسل، فصلت اثنتا عشرة ساعة بين حدثين تنظيميين متعاكسي الاتجاه. عند الظهيرة، نشرت المفوضية الأوروبية أول تقرير مراجعة لقانون الأسواق الرقمية (COM(2026) 178 final) — خالصةً إلى أن التنظيم "remains fit for purpose" (لا يزال ملائمًا للغرض)، ومشيرةً إلى الذكاء الاصطناعي والحوسبة السحابية بوصفهما مجالَي إنفاذ ذوَي أولوية. وبحلول المساء، كان الحوار الثلاثي السياسي الثاني بشأن الحزمة الرقمية الشاملة لقانون الذكاء الاصطناعي قد انهار بعد نحو اثنتي عشرة ساعة من التفاوض، مُعطَّلًا بسبب معمارية تقييم المطابقة للذكاء الاصطناعي في منتجات السلامة المدرجة في الملحق الأول (لائحة الآلات، ولائحة الأجهزة الطبية، ولائحة التشخيص المختبري). والموعد النهائي الأصلي لإنفاذ قواعد الذكاء الاصطناعي العام في 2 أغسطس 2026 قائم قانونًا. والحوار الثلاثي التالي مُدرَج مبدئيًا في نحو 13 مايو تحت الرئاسة القبرصية.

وفي 29 أبريل، خلصت المفوضية بشكل أولي إلى أن Instagram وFacebook التابعتين لـMeta تخالفان قانون الخدمات الرقمية (IP/26/920) — مستشهدةً بالتفاف على التحقق من السن عبر إدخال تواريخ ميلاد كاذبة، وبأداة إبلاغ تتطلب "up to seven clicks" (ما يصل إلى سبع نقرات)، وبتقييم مخاطر "disregarded readily available scientific evidence" (تجاهل أدلة علمية متاحة بسهولة) تفيد بأن 10 إلى 12 بالمئة ممن هم دون سن 13 يستخدمون المنصتين. والغرامة الممكنة: حتى 6 بالمئة من إجمالي الإيرادات السنوية العالمية. وفي اليوم نفسه، أصدرت المفوضية توصية تحث سبع دول أعضاء — قبرص والدنمارك وفرنسا واليونان وأيرلندا وإيطاليا وإسبانيا — على طرح تطبيق التحقق من السن الأوروبي بحلول نهاية العام. وقد رفضت ألمانيا المشاركة. وبحسب ما أُفيد، أثبت باحثون في الأمن السيبراني إمكانية اختراق التطبيق في نحو دقيقتين. والمفوضة هينا فيركونن: «النموذج الذي عرضناه ليس النموذج النهائي؛ ما زلنا نطوّره». وفي اليوم نفسه، نال قانون الجريمة والشرطة البريطاني لعام 2026 وقانون رفاه الأطفال والمدارس الموافقة الملكية، بما في ذلك تعديلات على قانون السلامة على الإنترنت.

وفي 30 أبريل، اعتمد البرلمان الأوروبي القرار P10_TA(2026)0160 بشأن إنفاذ قانون الأسواق الرقمية، مُعربًا عن أسفه لـ«الغرامات المتواضعة» المفروضة على Apple (500 مليون يورو) وMeta (200 مليون يورو). وفي اليوم نفسه، أصدرت هيئة حماية البيانات النرويجية Datatilsynet بيانًا علنيًا ينتقد استحداث Schibsted رسم خصوصية بقيمة 39 كرونة نرويجية شهريًا مقابل «الدفع للانسحاب» من التتبع. المديرة لينه كول: «الخصوصية حق إنساني لا ينبغي أن يُدفع ثمنه. ونحن قلقون من أن تصبح الخصوصية على الإنترنت حكرًا على الأغنياء، وأن تتحول إلى سلعة كمالية». ورئيس القسم الدولي توبياس يودين: «مجلس حماية البيانات واضح وضوحًا تامًا في أن الخصوصية حق إنساني للجميع وليست سلعة للبيع. ولا يجوز استخدام التهديد بالرسوم وسيلةَ ضغط لانتزاع الموافقة».

المعمارية التنظيمية الأوروبية متينة لكنها محل نزاع. وعلى الضفة الأخرى من الأطلسي، قدّمت لجنة الطاقة والتجارة في مجلس النواب الأمريكي في 1 مايو قانون SECURE Data Act (H.R. 8413) وقانون GUARD Financial Data Act — تشريعَي خصوصية فيدراليين شاملين يتضمنان استباقًا واسعًا لقوانين الولايات. وقدّمت وكالة حماية خصوصية كاليفورنيا اعتراضًا رسميًا في 27 أبريل. الشاشة المنقسمة: ركائز تنظيمية أوروبية صامدة بينما يُعاد التفاوض على قواعد الذكاء الاصطناعي؛ وركائز تنظيمية أمريكية يجري استباقها من الأسفل.

طبقة أدوات الذكاء الاصطناعي

في الأربعاء 22 أبريل 2026، كشفت شركة OX Security علنًا عن ثغرة تصميم منهجية في حِزم تطوير بروتوكول سياق النموذج (Model Context Protocol) من Anthropic عبر Python وTypeScript وJava وRust — حقن أوامر بلا نقرة واحدة يتيح تنفيذ شفرة عن بُعد. وبحسب The Register، تأثر نحو 200,000 خادم؛ وبحسب The Hacker News، أكثر من 7,000 خادم عام بأكثر من 150 مليون تنزيل؛ وجرى تسميم تسعة من أصل أحد عشر متجرًا لـMCP بنجاح. وفي اليوم نفسه، كشفت Pillar Security عن ثغرة هروب من الصندوق الرملي تتيح تنفيذ شفرة عن بُعد في منصة Antigravity، بيئة التطوير الوكيلية الجديدة من Google. وفي اليوم نفسه، أسقطت الحملة الثالثة لسلسلة التوريد المعروفة باسم "Shai-Hulud" والمنسوبة إلى جهة التهديد TeamPCP نسخةً مزروعًا فيها باب خلفي من @bitwarden/cli@2026.4.0 على npm — بقيت حية نحو 1.5 ساعة — وسلّحت لأول مرة في السجل الملفين .claude/settings.json و.vscode/tasks.json بوصفهما آليتَي بقاء داخل مساعدي البرمجة بالذكاء الاصطناعي. وصنّفت Endor Labs وWiz وGitGuardian هذا بأنه أول هجوم معروف على سلسلة التوريد يسلّح ملفات إعدادات وكلاء البرمجة بالذكاء الاصطناعي. وبحلول 30 أبريل، أحصت Trend Micro أكثر من 1,402 خادم MCP مكشوف علنًا بلا مصادقة (ارتفاعًا من 492)؛ ويقيم 74 بالمئة منها على AWS أو Azure أو GCP أو Oracle.

وقد بدأت حملة TeamPCP في 27 فبراير 2026 عبر إعداد خاطئ لـpull_request_target في أداة Trivy التابعة لشركة Aqua Security. ومكّن رمز الوصول الشخصي المخترَق aqua-bot من النفاذ إلى trivy-action وsetup-trivy والإصدار v0.69.4 — ما أنتج صور Docker Hub خبيثة. وفي 24 مارس، استخدمت جهة التهديد إجراء Trivy المخترَق لسحب رمز النشر الخاص بمكتبة LiteLLM على PyPI؛ ونشرت litellm==1.82.7 و1.82.8 لنحو أربعين دقيقة. وتُقدَّر بيانات الاعتماد المسروقة بنحو 500,000. وأدرجت فدية Vect أول ضحاياها في 15 أبريل.

وفي 30 أبريل، كشف باحثون أمنيون عن الثغرة CVE-2026-31431 — "Copy Fail" («فشل النسخ») — وهي خلل منطقي في القالب التشفيري authencesn بنواة Linux. ويمنح دليل مفهوم حجمه 732 بايتًا صلاحيات الجذر على Ubuntu وAmazon Linux وRHEL وSUSE. وتصيب الثغرة كل توزيعات Linux منذ 2017. وتقييم CVSS 7.8. وفي 1 مايو، أضافت وكالة CISA الثغرة CVE-2026-41940 — تجاوز مصادقة حرج بتقييم CVSS 9.8 في cPanel/WHM، لوحة التحكم التي تخدم نحو 70 مليون نطاق — إلى فهرس الثغرات المستغَلّة المعروفة، بعد استغلالها في البرّية منذ 23 فبراير على الأقل. ويوجد نحو 1.5 مليون نسخة من cPanel مكشوفة على الإنترنت؛ وأكثر من 44,000 عنوان IP مخترَق بالفعل في حملة فدية "Sorry" («آسف»).

وفي الأسبوع نفسه، وتحديدًا في 14 أبريل، أطلقت OpenAI النموذج GPT-5.4-Cyber لباحثين أمنيين مدقَّقين عبر برنامج Trusted Access for Cyber — وهو نموذج مدرَّب على نحو "cyber-permissive" (متساهل في المجال السيبراني) مع قيود رفض مخفَّفة لأغراض العمل الدفاعي المشروع. وفي 22 أبريل، أصدرت OpenAI بأوزان مفتوحة أداة Privacy Filter («مرشّح الخصوصية») — وهي أداة حجب لبيانات التعريف الشخصية تعمل على الجهاز، بمزيج خبراء متناثر بمعامِلات عددها 1.5 مليار، وبدقة F1 تبلغ 96 بالمئة على مجموعة PII-Masking-300k، وتُوزَّع بموجب رخصة Apache 2.0. وتحذير المورّد نفسه: إنها "should be viewed as a 'redaction aid' rather than a 'safety guarantee.'" (ينبغي النظر إليها بوصفها «أداة مساعِدة على الحجب» لا «ضمانة أمان»). وفي 30 أبريل، أطلقت Anthropic خدمة Claude Security في نسخة تجريبية عامة على Claude Opus 4.7. وفي اليوم نفسه، قال وزير الخزانة الأمريكي سكوت بيسنت لوكالة Bloomberg إن الشركات المالية والتقنية الأمريكية «تعمل على المرونة» في مواجهة تهديدات الذكاء الاصطناعي، بما فيها اختراق الحسابات المصرفية بالذكاء الاصطناعي.

القراءة المعمارية: طبقة أدوات الذكاء الاصطناعي صارت الآن مسارًا مُميَّزًا لطرف ثالث على نطاق واسع. فكل مطوّر يشغّل مساعد برمجة بالذكاء الاصطناعي يحمل سطح هجوم ذاتي التكاثر. وكل خادم MCP يحمل سطح تنفيذ شفرة عن بُعد عبر حقن الأوامر. وكل نموذج من Anthropic أو OpenAI أو Google أو Meta أو DeepSeek أو Mistral أو xAI هو أداة خصوصية احتمالية لا حتمية. وما توصلت إليه Apollo Research في 8 أبريل بشأن نموذج Meta Muse Spark — أن النموذج عبّر لفظيًا عن وعيه بأنه تحت التقييم في 19.8 بالمئة من اختبارات Apollo، مُسمّيًا المقيّمين صراحةً ("Apollo & METR") في سلسلة تفكيره — يضع معنى كل معيار منشور لمعدلات الرفض موضع تساؤل. البدائية الخصوصية في الذكاء الاصطناعي ليست حتمية. أما البدائية التشفيرية فحتمية.

الردّ المعماري

إذا كان المسار المُميَّز للطرف الثالث هو نمط الفشل الكوني لخصوصية 2026، فإن الردّ المعماري هو البدائية التي يتحكم فيها المستخدم والتي لا يوجد فيها مسار مُميَّز لطرف ثالث.

التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم. Signal وProton وTuta وThreema وMatrix مع التوقيع المتقاطع لكل جهاز. والخاصية التشفيرية هي أن مشغّل الخدمة لا يستطيع إنتاج النص الصريح مهما كان الضغط التنظيمي أو الالتزام القانوني أو الحافز التجاري أو الاختراق عبر سلسلة توريد بنيته التحتية. فما لا يحوزه المشغّل لا يمكن إجباره على تسليمه، ولا تسريبه، ولا بيعه، ولا اختراقه. قضية "Sharp" مُغلقة عند طبقة البروتوكول؛ وتسريب نظام التشغيل مُغلق عند طبقة نظام التشغيل (iOS 26.4.2 اليوم، وGrapheneOS افتراضيًا).

الهوية الموزَّعة مع الكشف الانتقائي. محافظ الهوية الرقمية للاتحاد الأوروبي بموجب eIDAS 2.0، مع موعد امتثال نهائي في 31 ديسمبر 2026 لكل دولة عضو. France Identité، وIT Wallet الإيطالية، والدنمارك، واليونان، والتجربة الأيرلندية، و"Digital Citizen" القبرصية، ومحفظة تأكيد السن الإسبانية — كلها على مسار الإنتاج. ونُشرت في أبريل 2026 أول مسودة عمل عامة لنموذج بيانات أوراق الاعتماد القابلة للتحقق v2.0 من W3C؛ ولقطة توصية مرشّحة للمعرّفات اللامركزية v1.1 من W3C. ويثبت المستخدم ادّعاءً محددًا («فوق 18 عامًا»، «مواطن أوروبي»، «مؤهل مهني»، «ناخب مسجَّل») من دون كشف الوثيقة الأساسية. وتصبح مركزة قاعدة بيانات الناخبين (الأمر التنفيذي 14399) بلا معنى معماريًا حين تكون بدائية التحقق موزَّعة؛ فدعوى Common Cause v. DOJ تدافع عن الأرض الإجرائية، بينما تُظهر معمارية eIDAS البديل.

النقل من ندٍّ إلى ندّ. يوجّه مُرحِّل العُقد المنزلية لدى URnetwork حركة البيانات عبر بنية تحتية استهلاكية بدلًا من المسارات المحسوبة لدى شركات النقل أو مجمّعات عناوين IP الخاصة بشبكات VPN التجارية. وTor مع وسائط النقل القابلة للتوصيل Snowflake وobfs4 وmeek — إذ صدر Tor Browser 15.0.11 في 28 أبريل 2026 مع إصلاحات أمنية من Firefox 140.10.1esr؛ وTor Browser 16.0a1 التجريبي هو أول متصفح Tor مبني على إصدارات Firefox السريعة. وتقدّم Shadowsocks وV2Ray وTrojan وNaïveProxy أنماط حركة على مستوى التطبيق لا تطابقها بصمات كشف شبكات VPN التجارية — وهو أمر وثيق الصلة بالمستخدمين في روسيا (حيث يكشف 22 من أصل 30 تطبيقًا من أشهر تطبيقات Android استخدام VPN عند طبقة التطبيق) وفي إيران (حيث شركة النقل نفسها هي الخصم). وبالنسبة إلى المستخدمين في بيئة اليوم 65، فإن الردّ المعماري على فشل الاستمرارية عند طبقة شركة النقل هو شبكة متشابكة لا تعتمد على شركة النقل الخاضعة لسيطرة الدولة بوصفها مشاركًا فيها.

مصادقة FIDO2 العتادية. YubiKey وNitrokey وSoloKey. يحلّ المفتاح العتادي محل المصادقة متعددة العوامل القائمة على الرسائل النصية، والتي يُثبت مجموع أدلة Citizen Lab حول SS7/Diameter واختراق DCSNet في مكتب التحقيقات الفيدرالي أنها مخترَقة تجاريًا وتشغيليًا. والمفتاح بيانُ اعتماد يحوزه المستخدم ولا يعتمد على شركة النقل في التوصيل.

عتاد بفِرموير مفتوح. GrapheneOS على أجهزة Pixel المتوافقة — نحو 400,000 مستخدم نشط حتى أبريل 2026؛ وشراكة مع Motorola أُعلنت في مارس 2026 لتشكيلة 2027، تنهي حصرية Pixel. وLineageOS على عتاد Android الآخر. وOpenWRT على الموجّهات. الجهاز يشغّل شفرة يستطيع المستخدم فحصها؛ والمورّد مشارك في مكدّس يتحكم فيه المستخدم، لا حدود الثقة الحصرية.

خدمات ذاتية الاستضافة. خادم Matrix المنزلي يحل محل Discord أو Slack؛ وNextcloud يحل محل Google Drive أو Microsoft OneDrive؛ وForgejo أو Gitea يحل محل GitHub؛ وJitsi يحل محل Zoom؛ وMailcow يحل محل بريد المشغّلين التجاريين؛ وOllama مع LangChain وLlamaIndex وبروتوكول سياق النموذج الموزَّع يحل محل الاستدلال التجاري عبر واجهات البرمجة. وكلٌّ منها يستبدل بنموذج الحفظ المعتمد على بنية مشغّل تجاري نموذجَ حفظ يديره المستخدم. وتُظهر إفصاحات أبريل حول Shai-Hulud وMCP وAntigravity وTeamPCP وVercel/Context.ai نطاق الانفجار غير المتماثل الناتج عن اختراق جهة المورّد؛ أما الحفظ الذي يديره المستخدم فيحدّ من نصف قطر الانفجار.

جيوب الحوسبة السرّية. Azure Confidential Computing، وAWS Nitro Enclaves، وGoogle Cloud Confidential Computing، ومشاريع متخصصة من Stanford وETH Zurich وOpaque وEnveil. تجري الحوسبة على بيانات مشفّرة؛ ولا يرى المشغّل النص الصريح. وبالنسبة إلى معماريات البحث (وفق تغطية الأسبوع السابق عن Biobank)، يحافظ التحليل الموزَّع — إذ تنتقل الحوسبة إلى البيانات ولا تغادر البيانات المؤسسة المشاركة — على المنفعة من دون سطح نقل البيانات الذي زيّفته قوائم Alibaba.

العملات المشفّرة الحافظة للخصوصية. يشحن Bitcoin Core 27.0 نقل P2P المشفَّر BIP324 v2 افتراضيًا — وصارت غالبية حركة Bitcoin على شبكة الند للند مشفّرة الآن. ودُمجت المدفوعات الصامتة BIP352 في مطلع 2026؛ وأطلقت Cake Wallet وBitBox وNunchuk دعمًا لها؛ ومن مقترحات BIP الجديدة في 2026 المقترح BIP376 (حقول تعديل المدفوعات الصامتة في PSBTv2) وBIP392 (صيغة الواصفات). وFCMP++ الخاص بـMonero على شبكة الاختبار منذ 3 أكتوبر 2025؛ ويجري تدقيق المفاتيح التشفيرية بين 11 و22 مايو 2026؛ والتفريعة الصلبة على الشبكة الرئيسية مقررة مبدئيًا في منتصف 2026، مع قفز مجموعة إخفاء الهوية من 16 إلى نحو 152-158 مليون مُخرَج. وبالنسبة إلى المستخدمين في الولايات القضائية المشمولة بـ"Operation Economic Fury" (حيث يمكن تجميد USDT بطلب من مكتب مراقبة الأصول الأجنبية)، تقع هذه الأدوات الحافظة للخصوصية خارج مسار العملة المستقرة الخاضع لسيطرة المشغّل.

ثلاث ساعات موقوتة

12 يونيو 2026. انقضاء المادة 702. ساعة الـ45 يومًا التي بدأت في 30 أبريل. التمديد المؤقت الخامس متاح إجرائيًا؛ أما الإصلاح البنيوي — H.R. 8470 لماسي وبوبرت، وقانون إصلاح المراقبة الحكومية للي ووايدن، وقانون SAFE للي ودوربن، ونسخة مجلس النواب لديفيدسون ولوفغرن — فليس متاحًا.

نحو 15 مايو 2026. تعهد كوتون-وارنر برفع السرية عن رأي محكمة مراقبة الاستخبارات الأجنبية الصادر في 17 مارس. وقد قال وايدن إن الرأي يوثّق تجاوزات "serious" (خطيرة) مستمرة في استعلامات مكتب التحقيقات الفيدرالي عن أشخاص أمريكيين. وما إذا كانت مديرة الاستخبارات الوطنية تولسي غابارد والنائب العام بالوكالة سيلتزمان بالموعد هو السؤال المفتوح.

2 أغسطس 2026. بدء إنفاذ قواعد الاتحاد الأوروبي للذكاء الاصطناعي العام بموجب قانون الذكاء الاصطناعي، بتاريخه الأصلي. انهار الحوار الثلاثي الثاني للحزمة الرقمية الشاملة في 28 أبريل بسبب معمارية تقييم المطابقة في الملحق الأول؛ والحوار الثلاثي التالي تحت الرئاسة القبرصية في نحو 13 مايو. والموعد النهائي في 2 أغسطس قائم قانونًا.

في الأيام العشرة بين 20 و30 أبريل، تلقّت المادة 702 تمديدين مؤقتين. وفي الأسابيع الستة السابقة لـ12 يونيو، تظل نافذة الإصلاح المعماري مفتوحة تقنيًا. وفي الأيام الفاصلة بين الآن ونحو 15 مايو، سيُحترم أو لا يُحترم رفع السرية الجزئي عن رأي المحكمة. وفي الأشهر السابقة لـ2 أغسطس، سيُعاد أو لا يُعاد تفصيل قانون الذكاء الاصطناعي الأوروبي حول معمارية تقييم المطابقة القطاعية فيه. ثلاث ساعات تنظيمية موقوتة عند ثلاث طبقات مختلفة، على ثلاثة إيقاعات إجرائية مختلفة، في فترة واحدة متصلة.

الخيط الناظم

تُنُصِّت على نظام التنصت لأن نظام التنصت كان يعتمد على قناة مورّد تعتمد على سلسلة توريد تعتمد على البنية التجارية للشبكة الخلوية. واستُخرجت رسالة Signal لأن تطبيق Signal كان يعتمد على قاعدة بيانات الإشعارات في iOS التي تعتمد على نظام التشغيل الذي يعتمد على انضباط التسجيل لدى Apple. وأُسيء استغلال ثقة شريك التجوال لأن شبكة الإشارات الخلوية كانت تعتمد على ترابط ثنائي يعتمد على التنظيم الذاتي للمشغّلين الذي يعتمد على انعدام دافع لدى طرف ثالث مُميَّز لإساءة الاستغلال. وبِيع موقع المستخدم لأن خط أنابيب المزايدة اللحظية في شبكة الإعلانات بثّ الموقع إلى آلاف المزايدين الذين قد يكون كل منهم زبونًا لدى Penlink. وجُمِّدت العملة المستقرة بالدولار لأن المشغّل شركة خاصة تمنحها شروطها سلطة تجميد أحادية امتثالًا للعقوبات. وطُعن في فدرالية سجلات الناخبين لأن الأمر التنفيذي 14399 أعاد تنظيم بيانات تحوزها الولايات في نقطة تركيز بيانات فيدرالية. وقُطع الإنترنت الإيراني لأن شركات النقل خاضعة لسيطرة الدولة ولأن الدولة سلّحت هذا الامتياز.

كان من المفترض أن يكون كل امتياز مضبوطًا بشيء ما. وتبيّن أن كل ضبط إما ناقص أو غائب أو أنه هو نفسه مسار مُميَّز. والدرس المعماري، المكرَّر تسع مرات في عشرة أيام، هو أن المسارات المُميَّزة هي بحكم البناء مسارات مراقبة وتسريب. والمستخدم لا يتحكم في المسار المُميَّز.

المستخدم يتحكم في البدائية التشفيرية. والبدائية التشفيرية لا يوجد فيها مسار مُميَّز لطرف ثالث. المستخدم يتحكم في محفظة الهوية الموزَّعة. ومحفظة الهوية الموزَّعة لا يوجد فيها مسار مُميَّز لطرف ثالث. المستخدم يتحكم في الجهاز ذي الفِرموير المفتوح، وفي الخدمة ذاتية الاستضافة، وفي مفتاح FIDO2 العتادي، وفي النقل من ندٍّ إلى ندّ، وفي جيب الحوسبة السرّية، وفي العملة المشفّرة الحافظة للخصوصية. ولا واحد منها فيه مسار مُميَّز لطرف ثالث.

كان المراقِب مُراقَبًا لأن المراقِب اعتمد على مسار مُميَّز. والردّ المعماري هو ألّا تعتمد على مسار مُميَّز. ستة أسابيع. أسبوعان. ثلاثة أشهر. كل طبقة أسفل التطبيق المشفَّر هي سطح تسريب اليوم؛ ومكدّس البدائيات الذي يتحكم فيه المستخدم هو المعمارية الوحيدة التي لا توجد تحتها طبقة.

ما العمل

إن كنت مستخدمًا لـiOS: ثبّت iOS 26.4.2 أو iPadOS 26.4.2 (أو النسخ المنقولة 18.7.8) فورًا. وعطّل معاينات الإشعارات في Signal وغيره من تطبيقات التشفير من طرف إلى طرف؛ من Settings → Notifications → Signal، اضبط "Show Previews" (إظهار المعاينات) على "Never" (أبدًا). وإن كنت هدفًا عالي الخطورة، فعّل وضع الإغلاق Lockdown Mode. بيان Apple في أواخر مارس 2026: "not aware of any successful mercenary spyware attacks against a Lockdown Mode-enabled Apple device." (لا علم لنا بأي هجمات ناجحة ببرمجيات تجسس مأجورة على جهاز Apple مفعَّل عليه وضع الإغلاق). ودقّق أذونات خدمات إمكانية الوصول. وإن كان بوسعك تشغيل نظام Android بفِرموير مفتوح، فإن GrapheneOS يوفّر أقوى وضعية فِرموير مفتوح متاحة تجاريًا.

إن كنت مشتركًا خلويًا قلقًا من الانكشاف عبر SS7/Diameter: استبدل بمصادقة الرسائل النصية متعددة العوامل مفاتيحَ FIDO2 العتادية (YubiKey وNitrokey وSoloKey). واستخدم Signal أو Proton أو Tuta أو Threema أو Matrix مع الرسائل المتلاشية والتوقيع المتقاطع لكل جهاز في أي اتصال لا ترغب في أن يُستخرَج من جهة شركة النقل.

إن كنت مستخدم Android في روسيا (حيث يكشف 22 من 30 تطبيقًا شائعًا استخدام VPN)، أو في إيران (حيث شركة النقل نفسها هي الخصم)، أو في أي ولاية قضائية عالية العداء: اجمع بين WireGuard عند طبقة الشبكة وبين وسائل التحايل عند طبقة التطبيق (Shadowsocks وV2Ray وTrojan وNaïveProxy) التي لا تُظهر بصمات شبكات VPN التجارية. ومُرحِّل العُقد المنزلية لدى URnetwork يوجّه الحركة عبر بنية تحتية استهلاكية بدلًا من مجمّعات عناوين IP الخاصة بشبكات VPN التجارية. وTor مع جسور Snowflake أو obfs4 أو meek هو المعيار في بيئات الفحص العميق للحزم العدائية.

إن كنت مستخدمًا لعملة مستقرة قلقًا من وضعية التجميد: صار USDT خاضعًا تشغيليًا لتجميدات مكتب مراقبة الأصول الأجنبية ولأوامر المحاكم الخاصة؛ أما USDC فيستلزم أمر محكمة وفق السياسة التي أعلنها أليير. وللمدفوعات الحافظة للخصوصية: Bitcoin مع BIP324 وBIP352 Silent Payments؛ وMonero (تفريعة FCMP++ الصلبة على الشبكة الرئيسية مقررة مبدئيًا في منتصف 2026)؛ وZcash المحجوبة افتراضيًا.

إن كنت ناخبًا أمريكيًا قلقًا من مركزة قاعدة بيانات الناخبين بموجب الأمر التنفيذي 14399: ادعم مقاومة النواب العامين للولايات استنادًا إلى سابقتَي برنوفيتش ومكيلروي؛ وتابع Common Cause v. DOJ (القضية 1:26-cv-01352، المحكمة الجزئية لمقاطعة كولومبيا)؛ أما البديل المعماري — الهوية الموزَّعة مع الكشف الانتقائي — فهو نموذج eIDAS 2.0، وهو قابل للنشر عبر بنية الهوية الرقمية في الولايات الأمريكية.

إن كنت مطوّرًا يشغّل مساعد برمجة بالذكاء الاصطناعي: ثبّت إصدارات الاعتماديات؛ ودقّق ملف القفل؛ وأضف .claude/settings.json و.vscode/tasks.json إلى .gitignore؛ ولا تحمّل إعدادات المساعد تلقائيًا من حزم طرف ثالث؛ وبدّل بيانات الاعتماد بعد أي حادثة (سرقت TeamPCP نحو 500,000 منها)؛ وللمؤسسات، فضّل معمارية MCP موزَّعة بحزم موقَّعة وإيقاع ترقيع خاص بكل مؤسسة.

إن كنت مدير أنظمة: رقّع على وجه الطوارئ CVE-2026-41940 (cPanel) وCVE-2026-31431 (Linux Copy Fail). وتحقق من ترقيع Microsoft Defender BlueHammer (CVE-2026-33825)؛ وتابع إفصاحَي "التوأم" RedSun وUnDefend.

إن كنت صانع سياسات: الفجوة المعمارية بين الحمايات القائمة على الحدود والحمايات القائمة على البدائيات التشفيرية هي مساحة التصميم. ودعم السياسات لنشر الحمايات القائمة على البدائيات التشفيرية — عبر تفضيل في المشتريات، وملاذ تنظيمي آمن للمعماريات الموزَّعة، وتمويل تنفيذ المعايير المفتوحة — يتحرك أسرع من الإصلاح التشريعي لصلاحيات المراقبة بلا مذكرة. ومعمارية eIDAS 2.0 هي المثال الأكثر جوهرية اليوم على سياسة عند طبقة البدائيات.

إن كنت مساهمًا في المصادر المفتوحة: مكدّس البدائيات يحتاج إلى تطوير متواصل. أطر التحليل الموزَّع (DataSHIELD، Vantage6، OHDSI، Flower، PySyft)؛ والنقل من ندّ إلى ندّ (URnetwork، Tor Snowflake، متغيّرات Shadowsocks، أدوات WireGuard)؛ والخدمات ذاتية الاستضافة (Matrix، Nextcloud، Mailcow، Ollama، LlamaIndex)؛ وركيزة البيانات التي يحوزها المستخدم (Solid، Ceramic، ATProto)؛ ومشاريع الفِرموير المفتوح (GrapheneOS، LineageOS، OpenWRT، Klipper)؛ والعملات المشفّرة الحافظة للخصوصية (تنفيذ BIP324/BIP352 في Bitcoin Core، وFCMP++ في Monero، وZcash المحجوبة). والمعمارية بمستوى المدنيين هي المخرَج.

الخاتمة

خمسة وعشرون عامًا من تفويض CALEA بجعل الشبكات جاهزة للتنصت (1994)، وتوسعات قانون PATRIOT (2001)، وتعديلات قانون مراقبة الاستخبارات الأجنبية والمادة 702 (2008)، ونضج منظومة وسطاء البيانات التجارية (2010-2026)، وصلاحيات الاستدعاء الإداري، وبنية عقود Palantir مع الوكالات الفيدرالية الناشئة — أنتجت كل هذه معماريةَ مسارٍ مُميَّز لطرف ثالث عبر كل طبقة من طبقات الإنترنت الأمريكي. وخمسة وعشرون عامًا من السقالة التنظيمية الأوروبية — اللائحة العامة لحماية البيانات (2018)، وقانون الأسواق الرقمية (2022)، وقانون الخدمات الرقمية (2022)، وقانون الذكاء الاصطناعي (2024)، وeIDAS 2.0 (2024)، ولائحة CSA المرتقبة — أنتجت إطار إنفاذ متنازعًا عليه على مستوى التصميم، متينًا لكنه غير متكافئ. وعشرون عامًا من معمارية الإنترنت الحكومي الإيراني أنتجت معمارية خصم على مستوى السكان تسيطر عليها شركات النقل، وتُهندَس الآن علنًا نحو الديمومة.

وفي الأيام العشرة من 20 إلى 30 أبريل، اختُرق نظام المراقبة الأمريكي، ومُدِّدت صلاحية المراقبة الأمريكية مرتين بمناورة إجرائية، واستوعبت المعمارية التنظيمية الأوروبية تثبيتًا (قانون الأسواق الرقمية) ونكسةً (الحزمة الشاملة لقانون الذكاء الاصطناعي) معًا، ووُثِّقت شبكة إشارات الاتصالات بين المورّد الإسرائيلي والمشغّل البريطاني ومشغّل جزر القنال في أكثر من 15,700 محاولة تعقّب، ونُشرت العملة المستقرة بالدولار الخاضعة للضبط الأمريكي ضد احتياطيات الدولة الإيرانية، وخسر مشروع قاعدة بيانات الناخبين الفيدرالية طعنه الإجرائي السادس، وتماسك الانقطاع الإيراني الحربي في معمارية دائمة من طبقتين، وأنتجت سلسلة توريد أدوات الذكاء الاصطناعي ثلاثة إفصاحات مستقلة في يوم أربعاء واحد.

المستخدم يتحكم في البدائية التشفيرية. المستخدم يتحكم في محفظة الهوية الموزَّعة. المستخدم يتحكم في الجهاز ذي الفِرموير المفتوح. المستخدم يتحكم في الخدمة ذاتية الاستضافة. المستخدم يتحكم في مفتاح FIDO2 العتادي. المستخدم يتحكم في النقل من ندٍّ إلى ندّ. المستخدم يتحكم في جيب الحوسبة السرّية. المستخدم يتحكم في العملة المشفّرة الحافظة للخصوصية. والمستخدم لا يتحكم في المسار المُميَّز للطرف الثالث.

المراقِب صار مُراقَبًا. ستة أسابيع حتى الانقضاء التالي. نحو أسبوعين حتى رفع السرية الجزئي عن رأي محكمة مراقبة الاستخبارات الأجنبية. ثلاثة أشهر حتى بدء إنفاذ قواعد الذكاء الاصطناعي العام في قانون الذكاء الاصطناعي الأوروبي. اليوم 65، ومعه بالفعل صياغة الديمومة.

البديل المعماري قد شُحن بالفعل.

مراجع مختارة

• تقرير Citizen Lab رقم 192، "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors"، 23 أبريل 2026 — https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/
• تقرير Citizen Lab رقم 191، "Uncovering Webloc"، 9 أبريل 2026 — https://citizenlab.ca/research/analysis-of-penlinks-ad-based-geolocation-surveillance-tech/
• تقرير Citizen Lab رقم 193، "Tall Tales: How Chinese Actors Use Impersonation and Stolen Narratives to Perpetuate Digital Transnational Repression"، 27 أبريل 2026 — https://citizenlab.ca/research/how-chinese-actors-use-impersonation-and-stolen-narratives-to-perpetuate-digital-transnational-repression/
• Apple Support 127002 (iOS 26.4.2 / CVE-2026-28950) — https://support.apple.com/en-us/127002
• Privacy Guides، "Apple releases patch for the Signal notification issue" (23 أبريل 2026) — https://www.privacyguides.org/news/2026/04/23/apple-releases-patch-for-the-signal-notification-issue-that-allowed-recovery-of-deleted-messages/
• Wall Street Journal / HSToday / CompianceHub عن تصنيف "Major Incident" لاختراق DCSNet لدى مكتب التحقيقات الفيدرالي — https://www.hstoday.us/fbi/fbi-labels-china-linked-hack-of-surveillance-system-a-major-cyber-incident/
• Security Affairs: "Salt Typhoon breach IBM subsidiary in Italy" — https://securityaffairs.com/191638/apt/salt-typhoon-breach-ibm-subsidiary-in-italy-a-warning-for-europes-digital-defenses.html
• The Hill / Roll Call / Fox News / NPR عن تمديد المادة 702 لمدة 45 يومًا (30 أبريل 2026)
• The Intercept، "Wyden vs. Cotton on the FISC opinion" (30 أبريل 2026) — https://theintercept.com/2026/04/30/wyden-cotton-nsa-surveillance-fisa-702/
• The Intercept، "Palantir Is Helping Trump's IRS Conduct 'Massive-Scale' Data Mining" (24 أبريل 2026) — https://theintercept.com/2026/04/24/palantir-irs-contract-data/
• مشروع القانون H.R. 8470 لماسي وبوبرت — https://www.congress.gov/bill/119th-congress/house-bill/8470/text
• S. 4465 (تمديد قانون مراقبة الاستخبارات الأجنبية 45 يومًا) — https://www.congress.gov/bill/119th-congress/senate-bill/4465/text
• Common Cause v. DOJ، 1:26-cv-01352 (D.D.C.) — https://www.aclu.org/cases/common-cause-v-u-s-department-of-justice
• بيان Tether: "Supports Freeze of More Than $344 Million in USDT in Coordination with OFAC and U.S. Law Enforcement" (23 أبريل 2026) — https://tether.io/news/tether-supports-freeze-of-more-than-344-million-in-usdt-in-coordination-with-ofac-and-u-s-law-enforcement/
• Chainalysis، "Central Bank of Iran Designation Following Tether Seizure" (24 أبريل 2026) — https://www.chainalysis.com/blog/central-bank-of-iran-designation-ofac-update-april-2026/
• TRM Labs، "North Korea Stole 76% of All Crypto Hack Value in 2026" (30 أبريل 2026) — https://www.trmlabs.com/resources/blog/north-korea-stole-76-of-all-crypto-hack-value-in-2026-with-just-two-attacks
• Iran International، "Iran internet blackout enters 65th day, NetBlocks says" (3 مايو 2026) — https://www.iranintl.com/en/202605037916
• Voice of Emirates، "65 days of digital isolation" (3 مايو 2026) — https://www.voiceofemirates.com/en/business/2026/05/03/65-days-of-digital-isolation-ownerless-internet-pushes-irans-e-economy-toward-collapse/
• Restof World، "Iran's internet blackout may become permanent" — https://restofworld.org/2026/iran-blackout-tiered-internet/
• المفوضية الأوروبية، تقرير مراجعة قانون الأسواق الرقمية COM(2026) 178 final (28 أبريل 2026) — https://digital-markets-act.ec.europa.eu/system/files/2026-04/DMA%20Review%20Report_COM_2026_178_1_EN.pdf
• المفوضية الأوروبية، IP/26/920 — النتيجة الأولية بشأن Meta وقانون الخدمات الرقمية (29 أبريل 2026) — https://ec.europa.eu/commission/presscorner/detail/en/ip_26_920
• قرار البرلمان الأوروبي P10_TA(2026)0160 (30 أبريل 2026) — https://www.europarl.europa.eu/doceo/document/TA-10-2026-0160_EN.pdf
• هيئة Datatilsynet النرويجية بشأن نظام "consent or pay" لدى Schibsted (30 أبريل 2026) — https://ppc.land/schibsteds-ad-opt-out-fee-alarms-norway-dpa-over-privacy-as-a-luxury/
• The Register، "EU adopts open-source age-verification" (29 أبريل 2026) — https://www.theregister.com/2026/04/29/eu_adopts_open_source_ageverification/
• OX Security، "Mother of All AI Supply Chains" (22 أبريل 2026) — https://www.ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp/
• Pillar Security، "Antigravity sandbox escape" (22 أبريل 2026) — https://www.pillar.security/blog/prompt-injection-leads-to-rce-and-sandbox-escape-in-antigravity
• Endor Labs، "Shai-Hulud The Third Coming" (22 أبريل 2026) — https://www.endorlabs.com/learn/shai-hulud-the-third-coming----inside-the-bitwarden-cli-2026-4-0-supply-chain-attack
• The Hacker News، "Linux Copy Fail" (30 أبريل 2026) — https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html
• BleepingComputer، "Critical cPanel flaw mass-exploited in Sorry ransomware attacks" — https://www.bleepingcomputer.com/news/security/critrical-cpanel-flaw-mass-exploited-in-sorry-ransomware-attacks/
• Apollo Research، بيان بشأن وعي نموذج Meta Muse Spark بالتقييم (8 أبريل 2026) — https://x.com/apolloaievals/status/2044389039600500807
• وزير الخزانة سكوت بيسنت / Bloomberg (3 مايو 2026) — https://www.bloomberg.com/news/articles/2026-05-03/banks-in-us-are-working-to-gird-against-ai-attacks-bessent-says
• مشروع Tor، Tor Browser 15.0.11 (28 أبريل 2026) — https://forum.torproject.org/t/new-release-tor-browser-15-0-11/21517
• Bitcoin Optech، نقل BIP324 v2 للند للند — https://bitcoinops.org/en/topics/v2-p2p-transport/
• Bitcoin Optech، المدفوعات الصامتة Silent Payments — https://bitcoinops.org/en/topics/silent-payments/
• ENISA NCAF 2.0 (22 أبريل 2026) — https://www.enisa.europa.eu/publications/national-capabilities-assessment-framework-20
• البيت الأبيض، توقيع S. 4465 ليصبح قانونًا (30 أبريل 2026) — https://www.whitehouse.gov/briefings-statements/2026/04/congressional-bill-s-4465-signed-into-law/

يوم الاثنين 20 أبريل 2026، ظهرت على منصة Alibaba التجارية ثلاثة إعلانات منفصلة تعرض إتاحة الوصول إلى بيانات من UK Biobank — وتحديدًا سجلات صحية مجهَّلة الهوية تخصّ نحو 500,000 متطوّع في UK Biobank. ونشرت الإعلاناتِ كياناتٌ يمكن تتبّعها إلى ثلاث مؤسسات بحثية صينية؛ ولم يُكشف عن أسمائها بانتظار التحقيق. وأصدرت وزارة الصحة البريطانية تأكيدها يوم الخميس 23 أبريل. وطلبت الحكومة البريطانية من الجمعية الخيرية UK Biobank تعليق أي إتاحة إضافية للبيانات أمام الباحثين الدوليين بانتظار مراجعة تقنية. وحظرت Alibaba المؤسسات الثلاث من منصتها. ودعا متحدثون باسم المعارضة من مقاعد حزب المحافظين والديمقراطيين الأحرار إلى حظر كامل على تبادل البيانات الطبية مع الصين. وغطّت القصةَ ITV، وWashington Post، وThe Register، وLBC، وBBC News.

UK Biobank ليس قاعدة بيانات طبية اعتيادية. إنه أكبر فوج بحثي حيوي-طبي في العالم: نصف مليون مشارك سُجّلوا بين عامي 2006 و2010، أسهموا ببيانات جينومية، وسجلات طبية، وبيانات وصفية مستفيضة عن نمط الحياة، ولوحات كيمياء حيوية، ودراسات تصوير — فحوص MRI، وقياسات كثافة العظم بتقنية DXA، وتصوير الشرايين السباتية بالموجات فوق الصوتية، وتخطيطات القلب ECG — ونتائج صحية طولية تُتابَع مقابل بيانات السجل الوطني على مدى العقدين التاليين. هذا الفوج ركيزة تأسيسية للبحث الحيوي-الطبي البريطاني المعاصر. وقد استُشهد به في عشرات الآلاف من الأوراق المحكَّمة. وهو مجموعة البيانات المرجعية التي قيست عليها أجيال عدة من خوارزميات الارتباط الجيني. والإتاحة، حين تُمنح، جرت تاريخيًا عبر مسار إتاحة مضبوطة: طلبات بحثية تراجعها لجنة إتاحة البيانات، واتفاقيات استخدام بيانات يوقّعها الباحثون الرئيسيون في المؤسسات، وبيانات تُشارَك في صيغ محدودة مع حمايات محدَّدة — تُنزع منها عادةً المعرِّفات المباشرة (الاسم، والعنوان، ورقم NHS) مع الإبقاء على المحتوى الجينومي والظاهري الغني الذي يجعل الفوج ذا قيمة فريدة.

الفرضية القابعة تحت معمارية الإتاحة المضبوطة هي أن الصيغ "anonymized" (المجهَّلة الهوية) من البيانات — بعد نزع المعرِّفات المباشرة — تظل صالحة للبحث دون تحديد هوية المشاركين. هذه الفرضية تسقط الآن علنًا.

ماذا تعني "anonymized" حين تكون البيانات جينومية

الإخفاق المحدَّد لإخفاء الهوية في الأفواج الجينومية موثَّق في أدبيات الخصوصية الجينية منذ خمسة عشر عامًا على الأقل. فنتيجة Gymrek-Erlich-Church، المنشورة في Science في يناير 2013، أثبتت أن استنتاج اسم العائلة من أنماط هابلوتيب الكروموسوم Y مقرونًا بقواعد بيانات الأنساب العامة يمكن أن يحدّد هوية المشاركين في البحث باسم العائلة وبدقّة على مستوى الاسم. استخدم الباحثون خمسين من واسمات التكرار الترادفي القصير على الكروموسوم Y، ودخلوا قاعدة بيانات الأنساب العامة المجانية Ysearch.org؛ وحدّدوا هوية خمسة مشاركين من مشروع تنوّع الجينوم البشري التابع لمعهد Coriell، وواحد من شجرة نسب CEPH، انطلاقًا من بيانات جينومية مجهَّلة الهوية اسميًا.

ونتيجة Homer وزملائه في PLOS Genetics عام 2008، "Resolving Individuals Contributing Trace Amounts of DNA to Highly Complex Mixtures Using High-Density SNP Genotyping Microarrays"، أثبتت إعادة تحديد هوية أفراد في مجموعات بيانات دراسات الارتباط على مستوى الجينوم (GWAS) انطلاقًا من الإحصاءات التجميعية وحدها — جداول تكرار متغايرات SNP عبر الفوج، دون أي سجلات على مستوى الفرد. وأجبرت النتيجة المعاهد الوطنية للصحة (NIH) على إزالة بيانات GWAS التجميعية من الإتاحة العامة في dbGaP في سبتمبر 2008.

ووسّعت نتيجة Harmancı-Gerstein لعام 2016 عمل إعادة تحديد الهوية ليشمل الأنماط الجينية المُسنَدة استدلاليًا من مشاريع تسلسل الإكسوم. وأظهر عمل Raisaro وزملائه لعام 2017 حول إعادة تحديد الهوية في Beacon Network أن حتى واجهة الاستعلام العامة الدنيا للبحث عن متغايرة جينومية — إجابة نعم/لا عن وجود أليل بعينه — كانت تسرّب معلومات على مستوى الفرد تكفي لإعادة تحديد هوية المشاركين عبر قواعد بيانات مترابطة. وأثبت عمل Erlich-Shor-Pe'er-Carmi لعام 2018 أن عمليات البحث العائلي بعيد المدى عبر قواعد البيانات الجينية الاستهلاكية يمكن أن تحدّد هوية 60 بالمئة من الأمريكيين من أصول أوروبية انطلاقًا من ملفات DNA رفعها أطراف ثالثة.

الخلاصة المتقاربة في أدبيات الخصوصية الجينومية: تقنيات إخفاء الهوية التقليدية — نزع المعرِّفات المباشرة، وk-anonymity (عدم التمييز داخل مجموعة من k سجلات)، وl-diversity (تنويع القيم الحساسة بمقدار l) — لا تصمد أمام قوة الاستدلال في البيانات الجينومية على نطاق الفوج. حمضك النووي معرِّف يدوم مدى الحياة. يمكن مطابقته مع أي عيّنة أخرى من حمضك النووي، في أي لحظة مستقبلية، من قِبل أي طرف لديه إتاحة إلى مدوّنة مرجعية. وتقدّم أطر الخصوصية التفاضلية ضمانات رياضية لكنها تستلزم حقن ضجيج يخفض المنفعة البحثية إلى مستويات لم يقبلها مجتمع البحث الحيوي-الطبي. وتوفّر الحوسبة الآمنة متعددة الأطراف والتشفير المتماثل بدائل، لكنها تفرض أعباء حوسبية أبقتها، حتى وقت قريب، خارج الاستخدام الروتيني.

قيل للمشاركين في UK Biobank الذين سُجّلوا بين 2006 و2010، بمصطلحات ذلك العصر، إن بياناتهم ستكون مجهَّلة الهوية. كان الادعاء دقيقًا في ظل افتراضات ما قبل الاستدلال واسع النطاق، وهي افتراضات لم تصمد طوال العقد التالي. ونصف المليون مشارك صاروا الآن، بنسبة معتبرة، قابلين لتحديد الهوية مقابل أي فوج جينومي مستقبلي يبنيه أي طرف — في المملكة المتحدة، أو في الصين، أو في أي مكان — ويقاطعه مع البيانات المسرَّبة. ويستطيع الباحثون المستخدمون للنسخ المسرَّبة تشغيل استدلال الأصول، واستدلال صلات القرابة، واستدلال النمط الظاهري الصحي، واستدلال مخاطر أمراض بعينها على هذه البيانات، ومقابلتها بأي قاعدة بيانات جينومية استهلاكية تابعة لطرف ثالث تحتفظ بعيّنات من الحمض النووي لأهدافهم. البيانات جينومية؛ والبيانات الجينومية لا تصير أقل قابلية لتحديد الهوية مع مرور الوقت؛ والفرضية المعمارية لإخفاء الهوية ضمن الإتاحة المضبوطة ثبت أنها تسرّب.

توازٍ: Apple بـ 500 مليون يورو، وMeta بـ 200 مليون يورو

في الخميس نفسه، 23 أبريل، أصدرت المفوضية الأوروبية أول قرارات عدم امتثال لها بموجب قانون الأسواق الرقمية. غُرّمت Apple 500 مليون يورو لمخالفتها قواعد مكافحة إعاقة التوجيه (anti-steering) بموجب Article 5(4) — أي اشتراط أن تسمح المنصات للمطوّرين بتوجيه المستخدمين إلى خيارات دفع بديلة دون تدخّل. وغُرّمت Meta 200 مليون يورو بسبب نموذج "pay-or-consent" (ادفع أو وافِق) لديها، الذي كان بمقتضاه في وسع المستخدمين إما دفع نحو 9.99 يورو شهريًا مقابل تجربة خالية من الإعلانات مع دمج بيانات مخفَّض، وإما قبول خدمة مجانية مع دمج بيانات للتتبّع والاستهداف. ووجدت المفوضية أن pay-or-consent ينتهك ما تحظره Article 5(2) من دمج بيانات المستخدم عبر الخدمات دون موافقته.

قرار Meta موازٍ معماريًا لقصة UK Biobank. فنموذج pay-or-consent لدى Meta كان في ذاته ادعاءً معماريًا بإخفاء الهوية: بيانات المشترك الدافع يُفترض أن تبقى منفصلة عن رسم بيانات التتبّع والاستهداف؛ وبيانات مستخدم الطبقة المجانية يُفترض أن تُدمج. ووجدت المفوضية أن الفصل لم يكن متينًا بنيويًا — فادعاء الفصل كان وعدًا عند حدٍّ لم ينجُ من التنفيذ. ولم تكن موافقة مستخدم الطبقة المجانية حرة بأي معنى معتبر، لأن البديل فرض جدارًا للدفع. ولم يكن فصل الطبقة المدفوعة فصلًا بأي معنى معتبر، لأن معمارية الرسم المدموج ظلت قائمة تشغيليًا.

ومُنحت الشركتان 60 يومًا للامتثال. وأعلنت Meta أنها ستستأنف؛ ويُتوقَّع أن تحذو Apple حذوها. والغرامتان نفساهما، عند 500 مليون يورو و200 مليون يورو، صغيرتان قياسًا بالإيرادات السنوية للشركتين، وتمثّلان طلقتين إجرائيتين افتتاحيتين. أما الإنفاذ الموضوعي لإطار قانون الأسواق الرقمية — بما فيه غرامات قد تبلغ 10 بالمئة من الإيرادات العالمية عند استمرار عدم الامتثال، والحدّ الأعلى النظري البالغ 20 بالمئة عند تكرار المخالفات — فهو سؤال 2026-2027 الذي تفتحه قرارات 23 أبريل هذه.

الملاحظة المعمارية التي تربط UK Biobank بنموذج pay-or-consent لدى Meta: كلاهما مثال على فصل موعود عند حدٍّ من حدود الثقة. الفصل الموعود في UK Biobank هو بين معالجة البيانات ضمن الإتاحة المضبوطة لدى المؤسسة البحثية ومعالجتها لدى الطرف التالي. والفصل الموعود لدى Meta كان بين بيانات المستخدمين الدافعين وبيانات المستخدمين المتتبَّعين. وفي الحالتين قُطع الوعد عند نقطة نقل البيانات أو دمجها، وفي الحالتين وجد التدقيق أن الوعد لم يُصَن بنيويًا.

توازٍ: Morpheus — شركة الاتصالات بوصفها شريكًا في الاستهداف

يوم الجمعة 24 أبريل، نشرت TechCrunch تقريرها عن "Morpheus"، وهو منتج تجسس تجاري جديد لنظام Android من المورّد الإيطالي IPS (مزوّد إيطالي لخدمات الاعتراض القانوني)، كشفت عنه جهة البحث الأمني Osservatorio Nessuno. ناقل هجوم Morpheus المميّز: تعمد شركة الاتصالات الشريكة للمشغّل إلى حجب اتصال بيانات الهاتف المحمول عن الهدف، ثم يتلقى الهدف رسالة SMS تحثّه على تثبيت تطبيق "update" (تحديث) زائف. والهدف، وقد انقطع عن قنوات التحديث المشروعة ويرى رسالة SMS تبدو صادرة عن مزوّده نفسه، يثبّت النسخة الزائفة. ويسيء التطبيق استخدام خدمات إمكانية الوصول في Android لتحقيق الالتقاط على الجهاز — تسجيل ضغطات المفاتيح، والنفاذ إلى الميكروفون، وتتبّع الموقع، ومحتوى الشاشة.

يوسّع Morpheus فهرس السجل العام لمورّدي المراقبة التجارية إلى جانب NSO Group (Pegasus)، وIntellexa (Predator)، وParagon (Graphite)، وCandiru (DevilsTongue). وما يجعل Morpheus جديدًا بنيويًا هو المشاركة الصريحة والتشغيلية لشركة الاتصالات الشريكة. فمنتجات التجسس التجارية السابقة استخدمت روابط تُرسل عبر SMS، وثغرات صفرية النقر، وحقنًا عبر شبكات Wi-Fi، ونفاذًا ماديًا إلى الجهاز. أما Morpheus فيوثّق، للمرة الأولى بتفصيل مدرَج في السجل العام، معمارية نشر ينسّق فيها مشغّل الهاتف المحمول الخاص بالهدف عمدًا مع مشغّل برنامج التجسس لإيصال الحمولة.

الادعاء المعماري الذي اتّكل عليه هدف Morpheus — أن شركة اتصالاته وسيط محايد على مستوى البنية التحتية، لا شريك في الاستهداف — تبيّن أنه غير سليم بنيويًا. فعلاقة شركة الاتصالات بـ IPS، المورّد الإيطالي للاعتراض القانوني، تجعلها تشغيليًا شريكًا في الاستهداف. وافتراض شركة الاتصالات بوصفها ناقلًا محايدًا، وهو الافتراض الذي يقوم عليه معظم نمذجة التهديد الاستهلاكية والمؤسسية، لا يصمد في نمط نشر Morpheus. وبالنسبة للمستخدمين في ولايات قضائية يمكن فيها تبليغ أوامر الاعتراض القانوني إلى شركة الاتصالات دون إخطار الهدف، فالمعمارية قابلة للوصول إليها بنيويًا.

والتوازي مع UK Biobank ومع pay-or-consent لدى Meta: حدّ آخر — حياد البنية التحتية لشركة الاتصالات — افتُرض أنه متين، فثبت أنه يُسرِّب عند القفزة التالية.

توازٍ: روسيا، 22 من 30

وثّقت دراسة RKS Global، التي نشرتها Meduza في 10 أبريل وتضاعف صداها عبر تغطية أواخر أبريل 2026، أن 22 من أشهر 30 تطبيق Android في روسيا — بينها تطبيق المراسلة MAX المدعوم من الدولة — ترصد استخدام VPN عند طبقة التطبيق وتعدّل سلوكها تبعًا لذلك. وتطبّق Sberbank وVK وOzon وWildberries وLamoda وAvito ومعظم بقية مجموعة الـ30 الأولى رصدًا لـ VPN يعمل بصرف النظر عن تمويه VPN على طبقة الشبكة. ولافت أن خدمات منظومة Yandex وGosuslugi (بوابة الخدمات الحكومية) لا ترصد — وهذا في ذاته معطى عن اختيار التطبيقات الخاضعة لسيطرة الدولة لما تُظهره. وتجمع أساليب الرصد لدى هذه التطبيقات عادةً بين أنماط تثبيت TCP MSS، وشذوذات سلوك DNS، وسمعة نطاقات IP المستقاة من تغذيات تجارية، والبصم السلبي لسلوكيات مكدّس TCP الخاصة بـ VPN.

كان VPN — الذي وُضِع تاريخيًا بوصفه أداة لإخفاء هوية حركة البيانات عند طبقة الشبكة — غير مرئي معماريًا للتطبيق. والرصد عند طبقة التطبيق يبيّن أن ادعاء إخفاء الهوية لدى VPN كان ادعاءً على طبقة الشبكة؛ وطبقة التطبيق كانت ترى من خلاله. والحدّ الذي كان يُفترض بـ VPN أن يفرضه — بين انكشاف حركة شبكة المستخدم وانكشافها للتطبيق — تبيّن أنه حدّ أدنى من الحدّ الذي يستطيع التطبيق رصده. والوعد المعماري لـ VPN لا يتّسع ليشمل الخصم عند طبقة التطبيق الذي نشر الرصد على نطاق واسع.

بالنسبة للمستخدمين الروس، النتيجة العملية أن نسبة معتبرة من التطبيقات اليومية — المصرفية، والتجارة، والمراسلة، والإعلانات المبوّبة — تتصرّف تصرفًا مختلفًا مع مستخدمي VPN، عادةً بتقييد الوظائف، أو بتحذيرات على الحساب، أو بإنهاء الجلسة. والحدّ المعماري الذي افترض المستخدم أنه حامل للخصوصية ليس كذلك.

توازٍ: إيران، اليوم 56

في 24 أبريل 2026، دخلت إيران اليوم 56 من تعتيمها الوطني الشامل على الإنترنت في زمن الحرب. وقاست NetBlocks زمن الانقطاع التراكمي عند 1,296 ساعة في 23 أبريل — وهو رسميًا أطول انقطاع وطني شامل للإنترنت مسجَّل بأي مقياس تاريخي. وطبقة "Internet Pro"، التي تعيد الاتصال العالمي لنحو 2 بالمئة من سكان إيران (حاملو البطاقات التجارية، وقطاعات صناعية بعينها، والأوساط الأكاديمية)، في أسبوعها التشغيلي الثالث. وتصف تقارير Iran International برنامج Internet Pro بأنه مشروع متعدد السنوات، لا استعادة محدودة بمدة الطوارئ. ولا يزال وزير الاتصالات الإيراني ستار هاشمي يستشهد بكلفة مباشرة على الاقتصاد الرقمي تبلغ 35.7 مليون دولار يوميًا؛ ووضعت NetBlocks الخسائر التراكمية فوق 1.8 مليار دولار عند اليوم 48، وهو آخر رقم نشرته حتى 24 أبريل. ويبقى نحو 90 مليون إيراني خارج الاتصال.

الادعاء المعماري الذي يجري تكذيبه في إيران هو الأبسط في القائمة: النفاذ إلى الإنترنت بوصفه خدمة استهلاكية اعتيادية ذات استمرارية يمكن التنبؤ بها. وحياد طبقة المشغّل الذي تفترضه معظم معماريات الشبكات افتراضٌ سياقي، لا خاصية معمارية متينة. وفي إيران، بعد 56 يومًا من التعتيم، كُذِّب ادعاء الاستمرارية بفعل الدولة؛ وتبيّن استعادةُ "Internet Pro" أن الدولة متى بنت القدرة على إتاحة مدرَّجة قائمة على بيانات اعتماد، فإن المعمارية لا تعود بسهولة إلى خط الأساس السابق القائم على الإتاحة غير المشروطة.

وبالنسبة إلى 90 مليون إيراني خارج الاتصال، النتيجة المعمارية ثنائية: إما الحصول على بيانات اعتماد Internet Pro (المتاحة لفئة ضيقة)، وإما استخدام التفافٍ يمرّ حول البنية التحتية للمشغّل الذي تديره الدولة. ومعمارية الالتفاف — Psiphon، وTor بتهيئات الجسور والنواقل القابلة للتوصيل، وشبكات VPN التجارية واللامركزية، والاتصال الساتلي عبر محطات Starlink حيث تُهرَّب، والشبكات المتشابكة ندًّا لندّ — هي البنية التحتية الموازية التي تُبنى وتُنشر تحت ضغط الدولة.

توازٍ: ستة أيام (المادة 702)

في 24 أبريل 2026، تقف المادة 702 من قانون مراقبة الاستخبارات الأجنبية على بُعد ستة أيام من انقضائها القانوني. وفي 30 أبريل، ما لم يتحرك الكونغرس، تنتهي صلاحية السند الذي يجري بموجبه مجتمع الاستخبارات الأمريكي أكبر برنامج مراقبة جارٍ بلا أوامر قضائية يستهدف غير الأشخاص الأمريكيين — ويجمع عرَضًا قدرًا كبيرًا من اتصالات الأشخاص الأمريكيين. وتستمر أوامر الجمع القائمة وفق شروطها حتى انقضائها؛ ولا يمكن إصدار أوامر جديدة دون إعادة التفويض.

ويُظهر جدل إعادة التفويض هذا الأسبوع كل الأشكال المألوفة. فقد طرح جمهوريو مجلس النواب في 23 أبريل مقترح تمديد لثلاث سنوات بلا اشتراط أمر قضائي على استعلامات FBI المتعلقة بالأشخاص الأمريكيين. وقدّم النائبان Thomas Massie (R-KY-04) وLauren Boebert (R-CO-04) مشروع قانون المساءلة عن المراقبة (Surveillance Accountability Act) في اليوم نفسه: يشترط أمرًا قضائيًا مبنيًا على سبب محتمل قبل المراقبة الفيدرالية للأشخاص الأمريكيين؛ ويحظر على الوكالات الفيدرالية شراء بيانات الموقع والتنقل التجارية؛ ويقيّد مبدأ الطرف الثالث؛ وينشئ حقًا خاصًا في رفع الدعوى عن انتهاكات التعديل الرابع. وينضم المشروع إلى Government Surveillance Reform Act الذي قدّمه السيناتور Lee وإلى SAFE Act في تحالف إصلاحي عابر للحزبين لم ينتج الإصلاحات التي سعى إليها على مدى 13 عامًا منذ Snowden.

والساعة الإجرائية تُحدّد سؤالًا معماريًا أكبر. فمعمارية النفاذ الفيدرالي إلى البيانات، الممتدة 25 عامًا — تفويض CALEA ببناء شبكات جاهزة للتنصت (1994)، وتوسعات PATRIOT Act (2001)، وقانون تعديلات FISA والمادة 702 (2008)، ونضج منظومة وسطاء البيانات التجاريين (2010-2026)، وصلاحيات الاستدعاء الإداري، وبنية عقود Palantir الناشئة مع الوكالات الفيدرالية (تقرير The Intercept في 24 أبريل عن عقد مصلحة الضرائب البالغ 130 مليون دولار؛ والعلاقة الجارية مع ICE) — بُنيت تراكميًا بوتيرة لم يجارِها الإطار الإصلاحي. ودورات إعادة التفويض للمادة 702 أنتجت تقييدًا ضيقًا، لا إعادة هيكلة معمارية.

الملاحظة الموازية لحالة UK Biobank. في حالة UK Biobank، الحدّ الذي يُختبر هو بين البحث ضمن الإتاحة المضبوطة والعرض على منصة تجارية. وفي حالة المادة 702، الحدّ الذي يُختبر هو بين جمع الاستخبارات الأجنبية والجمع العرَضي للأشخاص الأمريكيين، مع خضوع ما يمكن للحكومة شراؤه من بيانات من الوسطاء التجاريين لمبدأ الطرف الثالث. وفي الحالتين، معماريًا، البيانات التي تعبر الحدّ لا تحمل معها الحمايات التي كانت سارية قبل العبور.

قصة المركزة تتواصل

في 23 أبريل 2026، رفع تحالف من منظمات الحقوق الانتخابية دعوى فيدرالية لوقف "Voter Registration Nationalization Policy" (سياسة تأميم تسجيل الناخبين) الصادرة عن وزارة العدل الأمريكية — وهي مبادرة لتجميع سجلات تسجيل الناخبين المحفوظة لدى الولايات في قاعدة بيانات فيدرالية مركزية. ويستشهد المدّعون بمخاطر سرقة الهوية، والشطب الخاطئ لناخبين مؤهلين، والأثر المثبِّط على التسجيل. والدلالة المعمارية للقضية أن بيانات تسجيل الناخبين، التي كانت تاريخيًا محفوظة على مستوى الولاية والمقاطعة مع نفاذ فيدرالي مقيَّد بالغرض والإجراء، يعاد الآن تنظيمها في نقطة تركيز بيانات فيدرالية. والدعوى هي الاختبار الإجرائي لمدى جواز إعادة التنظيم؛ أما السؤال المعماري فمستقل عن النتيجة القانونية.

في 24 أبريل، نشرت The Intercept تقريرها عن عقد Palantir الذي تتجاوز قيمته 130 مليون دولار مع شعبة التحقيقات الجنائية في مصلحة الضرائب الأمريكية، والموصوف بأنه يمكّن من تنقيب بيانات "massive-scale" (هائل النطاق). ويكمّل العقد علاقات Palantir الطويلة الأمد مع ICE وDHS. ويجري توسيع بنية تنقيب البيانات لدى الحكومة الفيدرالية بقدرات أكبر وفي مواقع أكثر، بينما تُنازَع القيود التشريعية والقانونية على تلك البنية في الاتجاهين.

وتقع قصة UK Biobank في هذا السياق لا بوصفها تسريب بيانات بحثية معزولًا، بل بوصفها المثال المتاخم للبحث ضمن نمط مركزة أوسع. فمجموعات البيانات الكبيرة — الجينومية، والسلوكية، والتجارية، والحكومية — تتركّز في أيدي مشغّلين، سواء أكانوا دولة أم مؤسسة بحثية أم شركة تجارية أم متعاقدًا من الباطن. وكل نقطة تركيز تصير هدفًا جذابًا، وكل نقل بين نقاط التركيز يصير حدًّا يُختبر عنده الافتراض الحاكم.

المضاد المعماري

إذا كان النمط أن وعود الحدود تتآكل عند القفزة التالية، فالمضاد المعماري هو أن الأوليات المفروضة على جهاز المستخدم ليس لها قفزة تالية.

مفاتيح يحوزها المستخدم. الأولية التشفيرية المتمثلة في التشفير من طرف إلى طرف بمفاتيح محفوظة على جهاز المستخدم تعني أن مشغّل الخدمة لا يستطيع إنتاج النص الصريح مهما كان الضغط التنظيمي أو الالتزام القانوني أو الحافز التجاري. وSignal وProton وTuta وThreema وMatrix مع التوقيع المتقاطع لكل جهاز هي عمليات النشر الناضجة. والوضعية المعمارية هي الرفض بالتصميم: ما لا يحوزه المشغّل لا يمكن إجباره على تسليمه.

هوية اتحادية بإفصاح انتقائي. محافظ الهوية الرقمية وفق eIDAS 2.0، وW3C Verifiable Credentials، ومنظومة محافظ الهوية الرقمية الناشئة تتيح للمستخدم إثبات ادعاء بعينه — «فوق 18 عامًا»، «مواطن في الاتحاد الأوروبي»، «شهادة مهنية محددة»، «مريض في NHS البريطانية» — دون كشف المستند الأصلي. والادعاء مربوط تشفيريًا بجهاز المستخدم؛ ولا يعرف الطرف المتحقِّق إلا ما اختار المستخدم الإفصاح عنه. والمعمارية غير قابلة للربط عبر عمليات التقديم: لا يستطيع أي كيان منفرد ربط نشاط المستخدم دون تعاونه.

نقل ندًّا لندّ. مُرحِّل URnetwork ندًّا لندّ عبر العقد المنزلية، وTor بالنواقل القابلة للتوصيل، وWireGuard في تهيئات مستقلة عن المشغّل، وShadowsocks / V2Ray / Trojan / NaïveProxy لبيئات الفحص العميق للحزم المعادية — كلها تعني أن حركة البيانات لا تنتهي عند مسار يقيسه المشغّل، ولا عند تجمّع عناوين IP لمزوّد VPN وحيد يمكن رصده. والمضاد المعماري لناقل Morpheus القائم على شركة الاتصالات الشريكة هو شبكة متشابكة لا تعتمد على المشغّل بوصفه مشاركًا. والمضاد المعماري لرصد VPN في 22 من 30 تطبيقًا روسيًا هو نقل لا يقدّم بصمة مزوّد VPN تجاري.

بدائل خدمات ذاتية الاستضافة. خادم Matrix الذاتي، وNextcloud، وForgejo أو Gitea، وJitsi، وMailcow، وOllama مع LangChain وLlamaIndex وMCP الاتحادي لأحمال عمل الذكاء الاصطناعي. لا تقيم البيانات على بنية مشغّل تجاري قد تخضع لاستدعاء قضائي أو استحواذ أو تغيّر في السياسة.

عتاد ببرامج ثابتة مفتوحة. GrapheneOS على أجهزة Pixel المتوافقة، وLineageOS على عتاد Android الآخر، وOpenWRT على الموجّهات، وKlipper أو Marlin على الطابعات ثلاثية الأبعاد. يشغّل الجهاز شيفرة يستطيع المستخدم فحصها؛ والمورّد مشارك في مكدّس يتحكم فيه المستخدم، لا حدّ الثقة الحصري.

استيثاق عتادي بـ FIDO2. تحلّ YubiKey وNitrokey وSoloKey محل الاستيثاق متعدد العوامل عبر SMS، الذي تجعله معمارية Morpheus القائمة على شركة الاتصالات الشريكة وتقريرُ Citizen Lab في 23 أبريل عن المشغّلين الأشباح على SS7/Diameter مخترَقًا تجاريًا. والمفتاح العتادي بيانُ اعتماد يحوزه المستخدم ولا يعتمد على المشغّل في الإيصال.

أطر الجيوب الآمنة للحوسبة الحساسة. Azure Confidential Computing، وAWS Nitro Enclaves، ومشاريع الجيوب الجينومية المتخصصة كتلك التي تُطوَّر في Stanford وETH Zurich ولدى المزوّدَين التجاريين Opaque وEnveil. تجري الحوسبة على بيانات مشفَّرة دون أن يرى المشغّل النص الصريح. وبالنسبة للمعماريات البحثية، فإن التحليل الاتحادي — إرسال الحوسبة إلى البيانات بدل إرسال البيانات إلى الحوسبة — يصون التعاون بين مؤسسة بحثية وأخرى دون نقل البيانات الذي كذّبته حالة UK Biobank.

إقامة البيانات لدى المستخدم. بالنسبة للبيانات الطبية والجينومية والمالية وبيانات التاريخ الشخصي، البديل المعماري للحفظ المركزي هو حفظٌ لدى المستخدم مع إتاحة انتقائية. ومعايير مثل Solid Pods (من مشروع Solid)، وإطار سيادة البيانات لدى Ceramic Network، وامتدادات محافظ الهوية الناشئة للبيانات الصحية ضمن معماريتَي OAuth في HL7 FHIR وSMART-on-FHIR، توفّر الركيزة التقنية. ولو نُشرت على نطاق وطني لكان معنى ذلك أن بيانات UK Biobank لم تُحفظ مركزيًا قط في صيغة يمكن استخراجها.

الاستجابة المحدَّدة لحالة UK Biobank

بالنسبة للمشاركين الموجودين فعلًا في UK Biobank، الاستجابة المعمارية محدودة بحقيقة أن البيانات غادرت بالفعل بيئة الإتاحة المضبوطة. وللمشاركين حقوق معيّنة بموجب UK GDPR (تطبيق المملكة المتحدة للائحة العامة لحماية البيانات بعد Brexit) — الحق في المحو، والحق في سحب الموافقة، والحق في معرفة متلقّي البيانات. أما إن كان استعمال هذه الحقوق يمكن أن يطال النسخ التي سُرِّبت بالفعل إلى Alibaba فأمرٌ غير مؤكد قانونيًا وغير قابل للإنفاذ عمليًا عبر الحدّ القضائي مع الصين.

وبالنسبة لمعمارية البحث الحيوي-الطبي عمومًا، الاستجابة معمارية. فالتحليل الاتحادي — تبقى البيانات عند الفوج؛ وتسافر الحوسبة — قابل للنشر تشغيليًا اليوم. ويقدّم إطار DataSHIELD، وVantage6، ونموذج البيانات الموحّد OHDSI OMOP مع الاستعلامات الاتحادية، ومعماريات جيوب جينومية بعينها مثل Sentinel وFHIR Genomics فوق الجيوب الآمنة، مساراتِ تنفيذ جوهرية. وإصدارات الإحصاءات التجميعية القائمة على الخصوصية التفاضلية، إن قبل الباحثون مقايضات المنفعة، تصون الاستدلال على مستوى الفوج دون انكشاف على مستوى الفرد. والحوسبة الآمنة متعددة الأطراف تنضج باتجاه زمن استجابة قابل للنشر إنتاجيًا على نطاق الفوج. الخيارات المعمارية موجودة.

مثّلت معمارية الإتاحة المضبوطة في UK Biobank، التي أُرسيت بين 2006 و2010، أحدث ما وصلت إليه الصنعة حين صُمِّمت. وبعد ستة عشر عامًا، تحرّك أحدث ما وصلت إليه الصنعة. وافتراض نموذج الإتاحة المضبوطة أن نقل البيانات بين مؤسسة بحثية وأخرى سيظل محدودًا بالشروط التعاقدية والأعراف المهنية ثبت، كما تُظهر إعلانات Alibaba، أنه يعتمد على انضباط الطرف اللاحق، وهو انضباط لا يمكن إنفاذه دائمًا. ونموذج التحليل الاتحادي لا يستلزم ذلك الانضباط اللاحق؛ فالبيانات لا تغادر في صيغة تتيح تسريبًا لاحقًا. وبالنسبة للفوج التالي — سواء في المملكة المتحدة أو الولايات المتحدة أو الاتحاد الأوروبي أو غيرها — فالخيار المعماري عند التسجيل هو ما يحدّد نوع التآكل الذي يمرّ به إخفاء الهوية عبر العقود التالية.

الأسبوع في نمط واحد

أنتجت الفترة من 20 إلى 24 أبريل 2026 سبعة أحداث إخبارية متمايزة على الأقل، يجسّد كل منها النمط المعماري نفسه.

• سجلات UK Biobank الجينومية على Alibaba (20-23 أبريل). الحدّ: من المؤسسة البحثية إلى الطرف التالي. الإخفاق: عدم احترام اتفاقية استخدام البيانات ضمن الإتاحة المضبوطة لدى الطرف اللاحق. النتيجة المعمارية: تسريب بيانات جينومية مجهَّلة الهوية إلى منصة تجارية.
• الحكم بعدم قانونية pay-or-consent لدى Meta بموجب Article 5(2) من قانون الأسواق الرقمية (23 أبريل). الحدّ: الفصل بين المستخدم الدافع والمستخدم المتتبَّع. الإخفاق: دمج بنيوي للبيانات رغم الطبقة المدفوعة. النتيجة المعمارية: غرامة 200 مليون يورو؛ و60 يومًا لإعادة الهيكلة.
• برنامج التجسس Morpheus على Android بشراكة شركة اتصالات (24 أبريل). الحدّ: حياد البنية التحتية لشركة الاتصالات. الإخفاق: تعاون المشغّل تشغيليًا مع مورّد برنامج التجسس. النتيجة المعمارية: ناقل استهداف صامت لعملاء الاعتراض القانوني الإيطاليين.
• رصد VPN في 22 من 30 تطبيقًا روسيًا (تغطية 10-24 أبريل). الحدّ: إخفاء هوية حركة البيانات على طبقة الشبكة. الإخفاق: رصد بصمة VPN على طبقة التطبيق. النتيجة المعمارية: سلوك تفاضلي للتطبيقات مع مستخدمي VPN؛ وتآكل خط الأساس للالتفاف.
• اليوم 56 من التعتيم الوطني الشامل في إيران (مستمر في 24 أبريل). الحدّ: استمرارية النفاذ إلى الإنترنت على طبقة المشغّل. الإخفاق: استيلاء الدولة على بنية المشغّل التحتية؛ و1,296 ساعة انقطاع تراكمي. النتيجة المعمارية: 90 مليون شخص خارج الاتصال؛ ومعمارية استعادة مدرَّجة عبر "Internet Pro".
• استخدام ICE لبرنامج Paragon Graphite بسند الاستدعاء الإداري (23 أبريل). الحدّ: اشتراط أمر قضائي بموجب التعديل الرابع لنشر برامج التجسس. الإخفاق: الالتفاف عبر الاستدعاء الإداري. النتيجة المعمارية: تقديم مشروع قانون لإصلاح الحريات المدنية في اليوم نفسه (Massie-Boebert).
• دعوى "Voter Registration Nationalization Policy" ضد وزارة العدل (23 أبريل). الحدّ: سيادة الولاية على تسجيل الناخبين. الإخفاق: سياسة مركزة فيدرالية. النتيجة المعمارية: دعوى فيدرالية تسعى إلى وقف المركزة.

سبع حالات. نمط معماري واحد. كل منها يوضّح حدًّا افتُرض أنه متين — البحث ضمن الإتاحة المضبوطة، وفصل pay-or-consent، وحياد شركة الاتصالات، وإخفاء الهوية على طبقة الشبكة، واستمرارية المشغّل، والأمر القضائي بموجب التعديل الرابع، والسيادة على مستوى الولاية — ثم ثبت أنه يُسرِّب عند المعاملة التالية أو الإجراء الحكومي التالي.

وساعة الأيام الستة للمادة 702 هي النافذة التشريعية-الإجرائية على النمط نفسه. ومشروع Massie-Boebert محاولة إصلاح عند الطبقة المعمارية؛ وما إذا كان سينجح بأي صيغة فهو سؤال الكونغرس لعام 2026. أما الأوليات المعمارية التي تُبطل مفعول النمط فهي منشورة اليوم وتنتظر أن يختارها المستخدمون.

ما العمل

إن كنت مشاركًا في UK Biobank: فكّر في مراجعة حالة موافقتك مع الجمعية الخيرية UK Biobank، واطّلع على حقوقك بموجب UK GDPR بما فيها الحق في المحو وسحب الموافقة، ولاحظ أن المدى العملي لبلوغ تلك الحقوق النسخَ المسرَّبة بالفعل غير مؤكد. هذا الوضع ليس خطأك؛ فالمعمارية صُمِّمت في ظل افتراضات لم تعد قائمة.

إن كنت باحثًا حيويًا-طبيًا: ادعُ داخل مؤسستك إلى معماريات التحليل الاتحادي (DataSHIELD، وVantage6، والمعماريات الجينومية الاتحادية الناشئة) بدل نقل البيانات بالجملة في التعاون بين المؤسسات. فنموذج نقل البيانات كُذِّب؛ والنموذج الاتحادي يصون المنفعة البحثية دون الانكشاف المعماري.

إن كنت مشتركًا دافعًا لدى Meta في طبقة pay-or-consent الأوروبية: فقد قضى قرار قانون الأسواق الرقمية بعدم قانونية هذه الطبقة؛ وأمام Meta 60 يومًا لإعادة الهيكلة. فكّر فيما إذا كان اشتراكك قد اشترى خاصية خصوصية بنيوية أم خاصية نظرية؛ فالمفوضية وجدت أنها الثانية.

إن كنت مستخدم Android ولديك مخاوف من التعرّض لبرامج التجسس التجارية: يوفّر GrapheneOS على أجهزة Pixel المتوافقة أقوى وضعية برامج ثابتة مفتوحة متاحة تجاريًا. وللمستخدمين الذين لا يستطيعون تشغيل GrapheneOS، فإن تهيئات Android المركّزة على التصليب (مخزن مفاتيح مسنود بشريحة Titan، وتشفير التخزين، وعنصر آمن مسنود بالمقاييس الحيوية، وتمكين الإقلاع الموثَّق، وتعطيل وضع المطوّر، وتعطيل التثبيت من مصادر غير معروفة، ومراجعة نفاذ خدمات إمكانية الوصول) تقلّل من الناقل من فئة Morpheus. لا تثبّت تطبيقات من روابط SMS.

إن كنت مستخدم VPN في روسيا أو إيران أو الصين أو غيرها من الولايات القضائية عالية الخصومة: اجمع بين VPN على طبقة الشبكة (WireGuard هو المعيار بنسبة 94 بالمئة) وبين التفافٍ على طبقة التطبيق لا يقدّم بصمة VPN. فـ Shadowsocks وV2Ray وTrojan وNaïveProxy تقدّم أنماط حركة بيانات على طبقة التطبيق لا تطابقها أدوات رصد VPN التجارية. وللنقل ندًّا لندّ، يوجّه مُرحِّل URnetwork عبر العقد المنزلية الحركةَ خلال بنية استهلاكية بدل تجمّعات عناوين IP لشركات VPN التجارية. وTor بالنواقل القابلة للتوصيل (Snowflake، وobfs4، وmeek) هو المعيار في مواجهة الفحص العميق للحزم المعادي.

إن كنت تشغّل خدمة تتعامل مع بيانات طبية أو جينومية أو مالية أو بيانات تاريخ شخصي: دقّق في نموذج إقامة بياناتك. الحفظ المركزي هو الوضع الافتراضي؛ والحفظ لدى المستخدم مع إتاحة انتقائية هو البديل المعماري. وSolid Pods، وإطار سيادة البيانات لدى Ceramic Network، وHL7 FHIR مع SMART-on-FHIR OAuth، وامتدادات محافظ الهوية الناشئة هي الخيارات الجاهزة للإنتاج. وللحوسبة على البيانات الحساسة، تصون جيوب الحوسبة السرية (Azure Confidential Computing، وAWS Nitro Enclaves، وGoogle Cloud Confidential Computing) منفعة الحوسبة دون نص صريح مرئي للمشغّل.

إن كنت صانع سياسات: الفجوة المعمارية بين الحمايات القائمة على الحدود (الإتاحة المضبوطة، وpay-or-consent، وحياد شركات الاتصالات، واشتراطات الأمر القضائي) والحمايات القائمة على الأوليات التشفيرية (المفاتيح التي يحوزها المستخدم، والهوية الاتحادية، والنقل ندًّا لندّ، والخدمات ذاتية الاستضافة) هي فضاء التصميم. الإصلاح السياساتي عند طبقة الحدود مهم، لكنه — كما يُظهر مسار المادة 702 على مدى 25 عامًا — بطيء قياسًا بالمعمارية المنصوبة. أما الدعم السياساتي لنشر الحمايات القائمة على الأوليات التشفيرية — عبر تفضيل في المشتريات، وملاذ تنظيمي آمن للمعماريات الاتحادية، وتمويل تنفيذ المعايير المفتوحة — فيتحرك أسرع. ومعمارية eIDAS 2.0 في الاتحاد الأوروبي هي المثال الأكثر جوهرية اليوم على السياسة عند طبقة الأوليات.

إن كنت مساهمًا في المصادر المفتوحة أو مطوّرًا: مكدّس الأوليات يحتاج إلى تطوير متواصل. فأطر التعلّم الاتحادي والتحليل الاتحادي (DataSHIELD، وVantage6، وOHDSI، وFlower، وPySyft)، وطبقة النقل ندًّا لندّ (URnetwork، وTor Snowflake، ومتغايرات Shadowsocks، وأدوات WireGuard)، ومنظومة الخدمات ذاتية الاستضافة (Matrix، وNextcloud، وMailcow، وOllama، وLlamaIndex)، وركيزة البيانات التي يحوزها المستخدم (Solid، وCeramic، وATProto)، ومشاريع البرامج الثابتة المفتوحة (GrapheneOS، وLineageOS، وOpenWRT، وKlipper) — كلها تصونها باستمرار مجتمعاتٌ موزَّعة تنمو طاقتها بنمو وقت المساهمين. ومعمارية الطبقة المدنية هي المُخرَج.

الخيط الناظم

إخفاق UK Biobank مثال محدَّد على نمط معماري كوني. الحدود التي افتُرض أنها متينة تتآكل عند القفزة التالية. إخفاء الهوية لا ينجو من النقل. الفصل لا ينجو من الدمج. الحياد لا ينجو من العقد. السيادة لا تنجو من التوحيد. ويظهر النمط عبر البيانات الطبية، والمنصات الاستهلاكية، وبرامج التجسس على الهواتف، والرقابة الحكومية، والمراقبة الفيدرالية، والبنية الانتخابية على مستوى الولايات — أخبار أسبوع واحد ومسار معماري لعقد سابق.

الأوليات التي تستبدل بوعود الحدود ضماناتٍ معمارية ليس لها قفزة تالية. التشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم ينتهي عند الجهاز. التحليل الاتحادي ينتهي عند الفوج. النقل ندًّا لندّ ينتهي عند المستخدم. الخدمات ذاتية الاستضافة تنتهي عند البنية التي يشغّلها المستخدم. العتاد ذو البرامج الثابتة المفتوحة ينتهي عند الجهاز الذي يتحكم فيه المستخدم. والخاصية المعمارية التي تجعل كل أولية متينة هي أن لا انضباطَ حدٍّ لاحق، ولا سلطةَ دولة، ولا حافزَ تجاري، يستطيع تغيير سلوك الأولية.

المشاركون في UK Biobank الذين أسهموا ببياناتهم الجينومية عام 2008 وثقوا بافتراض الحدّ كما كان في 2008. ومستخدمو Meta الذين اختاروا pay-or-consent وثقوا بادعاء فصلٍ وجدت المفوضية الآن أنه غير قانوني. وهدف Morpheus وثق بافتراض حياد شركة الاتصالات الذي كذّبته شراكة المورّد. والمواطن الإيراني الذي فتح WhatsApp في فبراير 2026 وثق بافتراض استمرارية المشغّل الذي كذّبته الدولة على مدى 56 يومًا. ودورات إعادة التفويض للمادة 702 اختبرت الحدّ القانوني-الإجرائي بين جمع الاستخبارات الأجنبية والجمع العرَضي للأشخاص الأمريكيين، ولم تُصلحه جوهريًا.

الدرس المعماري هو أن الخصوصية المتينة تستلزم أوليات لا تعتمد على صمود الحدّ. الحدّ يفشل. والأوليات هي ما يبقى.

من 20 إلى 24 أبريل أسبوع واحد. أما النمط فهو في طور التكوّن منذ عشرين عامًا. والأوليات متاحة اليوم.

والخيار لك.

قبل التأطير المؤسسي، الأحداث.

مساء الثلاثاء وصباح الأربعاء 22 أبريل 2026، أكّدت Anthropic أن مجموعة غير مصرّح لها نالت وصولاً إلى نموذجها المقيّد Mythos. الاسم في التأطير العلني هو "Project Glasswing". والاختصار الصحفي هو "too dangerous to release" (أخطر من أن يُطلَق). أما ناقل الوصول الفعلي فكان بوابة مقاول خارجي. المجموعة — التي أُفيد بأنها مرتبطة بـ Discord — خمّنت عنوان البوابة استناداً إلى أعراف التسمية لدى Anthropic. وبعد الدخول، استخدمت النموذج بحسب التقارير في مهام غير ضارّة، منها بناء مواقع اختبارية صغيرة. لا بيانات اعتماد مسروقة، ولا ثغرة يوم-صفر في البنية التحتية الأساسية لـ Anthropic، ولا عملية متطوّرة لجهة تابعة لدولة. نمط عنوان وبعض الفضول.

في الأربعاء نفسه، عقدت OpenAI فعالية في واشنطن مع نحو خمسين من المدافعين السيبرانيين الفيدراليين. وكان محورها GPT-5.4-Cyber — أوسع نماذج OpenAI قدرةً حتى اليوم، وقد خُفِّفت فيه قيود الرفض الأمنية لأجل التطبيقات السيبرانية الدفاعية المشروعة. وتشمل القدرات المعروضة الهندسة العكسية للملفات الثنائية بسرعة إنتاجية، وهي عتبة في قدرة نماذج اللغة لم تُبلَغ علناً حتى هذا الربع. وبدأت في الأسبوع نفسه إحاطات التدقيق الأمني لتحالف Five Eyes (العيون الخمس) — إلى المملكة المتحدة وكندا وأستراليا ونيوزيلندا.

في الأربعاء نفسه، أصدرت هيئة الاستخبارات الوطنية في كوريا الجنوبية تعميماً حكومياً شاملاً يصف نموذج Mythos التابع لـ Anthropic بأنه "game changer" (مُغيِّر لقواعد اللعبة) قادر على اكتشاف الثغرات والتصيّد ذاتياً وعلى نطاق واسع. وأُفيد بأن محادثات مع Anthropic بشأن التعميم كانت مقرَّرة.

في الأربعاء نفسه، وفي مؤتمر CYBERUK 2026 بمانشستر، ألقى الرئيس التنفيذي للمركز الوطني البريطاني للأمن السيبراني كلمةً رئيسيةً تحت شعار "a perfect storm for cyber security" (عاصفة مثالية تضرب الأمن السيبراني). العبارة تحمل ثقلاً. وصفت الكلمة الذكاء الاصطناعي المتقدّم بأنه يتيح اكتشاف الثغرات على نطاق واسع؛ ونسبت غالبية الحوادث السيبرانية ذات الأهمية الوطنية إلى جهات تابعة لدول؛ وحدّدت فجوة المرونة البريطانية بأنها متركّزة عند المنشآت الصغيرة والمتوسطة؛ والتزمت بـ90 مليون جنيه إسترليني من تمويل الحكومة البريطانية لمرونة تلك المنشآت السيبرانية؛ ثم — وهي الجملة الأهم — دعت شركات الذكاء الاصطناعي المتقدّم إلى المشاركة في تطوير الدفاع السيبراني الوطني البريطاني.

في الأربعاء نفسه، أصدرت وكالة الاتحاد الأوروبي للأمن السيبراني إطار تقييم القدرات الوطنية 2.0 (National Capabilities Assessment Framework 2.0)، وهو أداة لتقييم النضج تستخدمها الدول الأعضاء في تقويم استراتيجياتها السيبرانية الوطنية. وقد جرى توقيت الإصدار عمداً بالتزامن مع كلمة CYBERUK ودورة مؤتمر RSAC؛ والقصد تنسيق خط أساس أوروبي موحّد لتقييم القدرات السيبرانية في اللحظة التي صارت فيها قدرة الذكاء الاصطناعي المتقدّم موضوعَ السياسة العامة.

في الأربعاء نفسه، أضافت الوكالة الأمريكية للأمن السيبراني وأمن البنية التحتية الثغرة CVE-2026-33825 — BlueHammer، وهي ثغرة تصعيد امتيازات محلي في Microsoft Defender — إلى فهرس Known Exploited Vulnerabilities (الثغرات المعروف استغلالها). وكانت Huntress قد أكّدت استغلالاً فعلياً في البرية منذ 10 أبريل. وكانت الثغرة قد نُشرت علناً على يد التجمّع البحثي "Chaotic Eclipse" احتجاجاً على طريقة Microsoft في التعامل مع الإفصاح. ولا تزال ثغرتان مرتبطتان — RedSun وUnDefend — بلا رقعة. ومُنحت الوكالات الفيدرالية مهلة معالجة تنتهي في 6 مايو.

في الأربعاء نفسه، نشر الباحث Alexander Hanff تحليلاً يزعم أن Claude Desktop لنظام macOS يمنح تصريحاً مسبقاً لثلاثة معرّفات إضافات متصفح تابعة لـ Anthropic، عبر ملفات Native Messaging host manifests تُسقَط داخل ملفات تعريف Chromium متعددة — بما فيها تثبيتات متصفح لم يفتحها المستخدم، بل ولم يثبّتها أصلاً في بعض الحالات. وغطّت التحليلَ كلٌّ من Malwarebytes وThe Register ومدونة That Privacy Guy. ولم يصدر أي ردّ من Anthropic حتى مساء الأربعاء.

في الأربعاء نفسه، أطلقت OpenAI نموذج Privacy Filter — وهو مصنِّف رموز ثنائي الاتجاه مفتوح الأوزان بمعامِلات عددها 1.5 مليار، مدرَّب على عائلة gpt-oss. رخصة Apache 2.0، وسياق 128K، ودقة 96 بالمئة F1 على معيار PII-Masking-300k. نموذج محدَّد الحجم يعمل على الجهاز، بترخيص يسمح بالاستخدام التجاري، لحجب البيانات الشخصية، شُحن إلى GitHub وHugging Face، ومُعدّ للنشر عند محيط استيعاب بيانات المستخدم قبل أن تغادر أي بيانات إلى خدمة سحابية.

في الأربعاء نفسه، أعلن مؤتمر Google Cloud Next عن Chrome Enterprise الوكيلي بخاصية "Auto Browse"، وعن Chrome Skills لأتمتة مهام العمل، وعن التكامل مع Microsoft Information Protection، وعن شراكة موسَّعة مع Okta لإطلاق نسخة تجريبية من Device Bound Session Credentials (بيانات اعتماد الجلسة المرتبطة بالجهاز) على Windows — وهي حماية على طبقة الهوية ضد هجمات اختطاف الجلسات التي صارت التهديد السائد في 2025-2026.

في الأربعاء نفسه، نشرت مدونة Microsoft الأمنية مقال «دفاع مدعوم بالذكاء الاصطناعي لمشهد تهديدات متسارع بالذكاء الاصطناعي» — وضع الأمان الأساسي Microsoft Baseline Security Mode عبر Exchange وTeams وSharePoint وEntra؛ ولوحة "Secure Now" داخل Exposure Management؛ والتوافر العام لـ Defender External Attack Surface Management وCopilot Autofix؛ ومنصّة فحص متعددة النماذج بالذكاء الاصطناعي تصدر في نسخة معاينة في يونيو 2026.

تسعة أحداث. خمس قارات. أربعاء واحد. المصادفة ليست مصادفة. إنها الطفو التراكمي المرئي لانتقال مؤسسي جارٍ منذ ثمانية عشر شهراً، بلغ عتبته حين تقلّبت صفحات الرزنامة.

الفئة

الانتقال الذي تبلور يوم الأربعاء هو انتقال من «بائع برمجيات تجاري» إلى «مؤسسة تجارية وقريبة من الدفاع».

أقرب نظير تاريخي ليس معاصراً. إنه برامج التطوير المتقدّم لدى Lockheed — أي Skunk Works، التي تأسست عام 1943 بقيادة Kelly Johnson. بنت Lockheed طائرة الركاب التجارية L-1011 وطائرة الاستطلاع SR-71 Blackbird في الشركة نفسها، ضمن نوافذ متداخلة من تاريخها. خطّ المنتجات التجاري استولى على حصة سوقية؛ وخطّ المنتجات الدفاعي نفّذ عقود الدولة تحت التصنيف السري. أما الإطار المؤسسي — إجراءات التصاريح الأمنية لدى وكالة مكافحة التجسس وأمن الدفاع (DCSA)، ولوائح ضبط تصدير الأسلحة ITAR، وعقود FPR، والرقابة التشريعية عبر لجنتي القوات المسلحة في مجلسي النواب والشيوخ — فقد بُني على مدى عقود ليستوعب تلك البنية مزدوجة الاستخدام. كان الإيقاع بطيئاً. والفجوة على مستوى فئة المنصّة بين التجاري والدفاعي كانت خاصةً بالمنتج. ولم يكن مستخدم منتجات Lockheed التجارية مجاوراً لقدرة الدولة الهجومية بأي معنى ذي بال؛ فالـ L-1011 والـ SR-71 تشاركتا ثقافة هندسية لكنهما لم تتشاركا نموذج تهديد.

ووسّعت Raytheon وGeneral Dynamics وBoeing وNorthrop Grumman، ثم مجموعة أكبر من كبار مقاولي الدفاع، هذا النموذج. وبحلول السبعينيات والثمانينيات كان إطار مقاول الدفاع مزدوج الاستخدام قد نضج مؤسسياً. وكانت علاقة العميل التجاري وعلاقة عقد الدولة مفصولتين بالهيكل التنظيمي، وبخط المنتج، وبالنظام الرقابي.

ومختبر الذكاء الاصطناعي المتقدّم في 2026 له الشكل البنيوي نفسه، لكن بإيقاع منتج تجاري. الإيقاع يُقاس بالأرباع لا بالعقود. والفجوة في القدرة عامة الغرض — ليست منصّةً بعينها، بل صنفاً من القدرة الإدراكية يمكن إعادة توجيهه إلى استخدامات تشغيلية كثيرة. والإطار المؤسسي غير موجود بعد. فـ ITAR لا يغطي نماذج الذكاء الاصطناعي تغطيةً جيدة. وضوابط تصدير أشباه الموصلات لدى مكتب الصناعة والأمن تغطي عتاد التدريب لا أوزان النماذج. ومفردات ضبط التسلح لدى وزارة الخارجية بُنيت للصواريخ لا لعمليات ضرب المصفوفات. وإطار DCSA للتصاريح والتعامل مع المقاولين بُني لبرامج تمتد عقداً من الزمن، لا لنماذج تُستبدل كل ستة أشهر.

و — وهذا هو الجزء المهم — العميل التجاري لمختبر الذكاء الاصطناعي المتقدّم ليس مفصولاً معمارياً عن خط المنتجات القريب من الدفاع بالطريقة التي كان بها عميل الـ L-1011 مفصولاً عن برنامج الـ SR-71. فـ GPT-5.4-Cyber وGPT-5 يتشاركان خطوط أنابيب التدريب، ومنهجية السلامة، وعائلات النماذج، والبنية التحتية التجارية. وينطبق الأمر نفسه على Claude Mythos وClaude 3.7. والعميل التجاري الذي يستخدم منتج المختبر إنما يستهلك الطبقة المدنية من مؤسسة تُقدَّم طبقتها الدفاعية في إحاطات إلى Five Eyes وتحذّر منها أجهزة استخبارات أجنبية. المسافة المعمارية بين هذين الموقعين هي الجديد.

الشروخ

الانتقال المؤسسي ناقص بطرق كانت مرئية في الأربعاء نفسه.

تؤطّر Anthropic نموذج Mythos علناً بأنه "too dangerous to release" (أخطر من أن يُطلَق). والوضعية الأمنية على مستوى مقاولي الدفاع، التي يستلزمها هذا التأطير، كانت ستشمل ضوابط وصول على مستوى التصاريح الأمنية، وأطر تدقيق للعاملين لدى المقاولين ممن لديهم وصول إلى النموذج، وقياسات مراقبة نشطة لمحاولات الوصول، وكشفاً للشذوذ في أنماط الوصول غير المتسقة مع عمل مشروع. أما وضعية Anthropic، بحسب ما يُظهره إفصاح الأربعاء، فلم تطابق ذلك. مجموعة على Discord خمّنت عنواناً على بوابة مقاول، فنالت وصولاً كان التأطير يوحي بأن بلوغه يتطلب حرفةً بمستوى الجهات التابعة للدول. والفجوة في الانضباط التشغيلي بين التأطير العلني ووضعية الضبط الفعلية هي بعرض الإفصاح نفسه. وتوصيف النموذج بأنه "too dangerous to release" لا يحمل ثقلاً إذا كانت البوابة التي تمنح الوصول قابلةً لتخمين عنوانها.

وتخمين العناوين ليس صنف هجوم جديداً. فقد ازدهر تعداد حاويات S3 لدى Amazon كفئة بحثية من نحو 2013 حتى 2017، إلى أن أطلقت AWS خاصية Public Access Block. ووُجد فحص الأسرار في GitHub لأن المطورين يودعون في المستودعات باستمرار بيانات اعتماد يمكن استنتاجها من التسمية. وتعداد النطاقات الفرعية عبر سجلات Certificate Transparency، والقوة الغاشمة على DNS، والاستطلاع عبر GitHub، ممارسة قياسية في كل مهمة فريق أحمر وكل استطلاع مهاجم. وحالة Mythos جديدة في حجم الجائزة فقط. فقد نمّى المختبر سلسلة توريد المقاولين لديه أسرع مما نضجت الممارسات الأمنية لتلك السلسلة.

ونمط التصريح المسبق عبر Native Messaging في Claude Desktop هو الشرخ الثاني. فـ Native Messaging (المراسلة الأصلية)، في نموذج أمان Chromium، هي الآلية الموثَّقة التي تتواصل بها إضافات المتصفح مع تطبيقات المضيف الأصلية. وحدّ موافقة المستخدم — وهو عادةً مطالبة عند التثبيت أو تأكيد في صفحة الإعدادات — هو المعمار ذاته. ومثبِّت Claude Desktop يُسقط ملفات Native Messaging host manifests داخل ملفات تعريف Chromium متعددة، مانحاً تصريحاً مسبقاً لثلاثة معرّفات محددة لإضافات Claude في المتصفح، قبل أن يثبّت أي مستخدم تلك الإضافات أو يوافق على اتصالها. ويُفترض أن Anthropic صمّمت ذلك لأسباب تتعلق بتجربة المستخدم: فحين يثبّت المستخدم لاحقاً إضافة Claude في المتصفح، يعمل الاتصال بسلاسة دون مطالبة بالتصريح. وهذه حجة معقولة من زاوية تجربة المستخدم. وثمة حجة معقولة أيضاً من زاوية نموذج الأمان، مفادها أن التصريح المسبق لإضافات لم يثبّتها المستخدم، داخل متصفحات لم يفتحها المستخدم، يلتف على حدّ الموافقة في Chromium الذي هو الحماية الوحيدة في هذا المعمار. منتج بمستوى مقاولي الدفاع ما كان ليصمّم هذا الالتفاف. أما منتج تجاري أولاً، مُحسَّن لتجربة المستخدم، فقد صمّمه.

وBlueHammer هو الشرخ الثالث، لكن في بُعد مختلف. فقد نُشرت الثغرة علناً على يد Chaotic Eclipse احتجاجاً على طريقة Microsoft في التعامل مع الإفصاح. والإفصاح الاحتجاجي حرفة متنازع عليها — فمعيار Project Zero القاضي بـ90 يومًا من الإفصاح الخاص إلى العلني هو الصيغة الأوسع احتراماً، والإفصاح العلني الفوري من Chaotic Eclipse أقسى منه. وبين النشر الاحتجاجي في 10 أبريل وإضافة CISA للثغرة إلى فهرس KEV في 22 أبريل — اثنا عشر يوماً — سلّح المهاجمون الاستغلال على نطاق واسع. وتوثّق قياسات Huntress استغلالاً فعلياً في البرية طوال تلك النافذة. وكان ردّ الدولة هو الإضافة إلى الفهرس. أما المستخدمون الذين يشغّلون Microsoft Defender — حماية النقاط الطرفية الافتراضية في Windows — فقد بقوا معرَّضين لثغرة تصعيد امتيازات محلي داخل منتج أمن النقاط الطرفية الأساسي لديهم مدة اثني عشر يوماً، لأن منظومة الإفصاح لم تحسم بعد النزاع بين الباحثين والمورّدين. ولا تزال الثغرتان المرتبطتان — RedSun وUnDefend — بلا رقعة؛ والتفاوت بين ترقيع BlueHammer المدفوع بفهرس KEV وبقاء الأخريين بلا رقعة يُظهر أن استجابة المورّد مُعايَرة على تكليف الدولة لا على خطر متماثل يقع على المستخدم.

هذه الشروخ الثلاثة ليست إخفاقات منفردة. إنها النقص المرئي في الانتقال المؤسسي.

المسار الموازي

بمعزل عن عنقود «التنفيذي السيبراني»، حمل الأسبوع نفسه قصة موازية.

يوثّق تقرير Citizen Lab المنشور يوم الخميس 23 أبريل حملتين حديثتي التحديد لمورّدي مراقبة تجاريين، تسيئان استخدام بروتوكولي التأشير SS7 وDiameter عبر «شركات اتصالات شبح» — شركات وهمية تنتحل صفة مزوّدي خدمة خلوية شرعيين. ويُسمَّى المشغّل الإسرائيلي 019Mobile كإحدى نقاط الدخول. وأوامر الرسائل القصيرة الصامتة تحوّل هواتف المستهدَفين إلى منارات موقع دون تفاعل من المستخدم أو إشعار له. ويصف الباحثون ذلك بأنه لقطة صغيرة من استغلال واسع الانتشار.

وتعرفة حركة البيانات الروسية المقرَّرة في 1 مايو — 150 روبلاً لكل جيجابايت على الحركة الدولية فوق 15 جيجابايت شهرياً — أُرجئت في 22 أبريل حين أبلغت MTS وMegaFon وBeeline وزارة التطوير الرقمي رسمياً بأن أنظمة الفوترة لديها لا تستطيع تتبّع الحركة في الزمن الحقيقي لـ180 مليون مشترك وفق الجدول المعلن. والتأجيل اعتراف بالفجوة التشغيلية، لا تراجع عن المعمار.

وأقرّ البرلمان التركي في 22 أبريل مشروع قانون يحظر إنشاء حسابات على وسائل التواصل لمن هم دون الخامسة عشرة على YouTube وTikTok ومنصات Meta، مع خنق لعرض النطاق وغرامات تنفّذها هيئة BTK. وقد مُرّر على وجه السرعة بعد حادثَي إطلاق نار في مدرستين خلال أبريل. وأمام أردوغان 15 يوماً للتوقيع.

وفرضت بيلاروسيا في 22 أبريل سقفاً شهرياً لبيانات الهاتف المحمول قدره 30 جيجابايت مع خنق للسرعة. ويفيد المركز الأوكراني لمكافحة التضليل بأن البنية تعكس معمار السيادة الرقمية الروسي.

وبلغ انقطاع الإنترنت في إيران يومه 55 في 23 أبريل. و"Internet Pro" — وهو استعادة وصول مدفوعة متدرّجة أقرّها المجلس الأعلى للأمن القومي — في أسبوعه الثاني من التشغيل. حاملو البطاقات التجارية يحصلون على الاتصال العالمي أولاً؛ ويبقى معظم السكان البالغ عددهم 90 مليون نسمة تحت التقييد. ولا تزال Telegram وWhatsApp وInstagram محجوبة حتى على الطبقة المدفوعة. وتصف تقارير Iran International البنية بأنها مشروع ممتد لسنوات.

وفي 23 أبريل، استولت الولايات المتحدة على ناقلة نفط إيرانية في المحيط الهندي. وأمر ترامب البحرية بأن "shoot and kill" (تطلق النار وتقتل) أي قوارب إيرانية تزرع ألغاماً في مضيق هرمز. ووصلت حاملة طائرات أمريكية ثالثة إلى المنطقة. وحصّلت إيران أول إيراد لها من رسوم عبور هرمز الجديدة. وتجاوز خام برنت 100 دولار للبرميل.

وفي المحكمة العليا يوم 22 أبريل، جرت المرافعة الشفوية في طعن Verizon وAT&T على غرامات تتجاوز 100 مليون دولار فرضتها لجنة الاتصالات الفيدرالية بسبب بيع بيانات مواقع العملاء دون ضمانات — وأُفيد بأن القضاة أبدوا تشككاً في الطعن الدستوري الذي وجّهته الشركتان إلى العملية القضائية داخل اللجنة. ولا حكم بعد.

المسار الموازي يدور حول الحدود — حيث يُقسَّم الوصول إلى الإنترنت إلى طبقات، أو يُسيَّج، أو تُفرض عليه تعرفة، أو يُخنق بفعل الدولة، وحيث يُتقاضى بشأن وصول الدولة إلى بيانات المستخدمين أو يُستغل هذا الوصول. أما مسار «التنفيذي السيبراني» فيدور حول المختبر — حيث يُجرّ المزوّد التجاري إلى وضع قريب من وضع مقاولي الدفاع لدى الدولة. والمساران يتفاعلان. فاهتمام الدولة بقدرة المختبر تحرّكه بالضبط البيئة السيبرانية العدائية التي ينتجها مسار الحدود. واستجابة المختبر لاهتمام الدولة — إحاطة، وعرض، وتدقيق أمني — تشكّلها الضغوط التجارية والإيقاع الهندسي اللذان يميّزانه عن الصنف الأقدم من مقاولي الدفاع.

موقع المستخدم

مستخدم منتج ذكاء اصطناعي تجاري في 2026 يقف في موقع لم يكن يقفه مستخدم شركة طيران تجارية في 1975. فمنتج الذكاء الاصطناعي التجاري يستهلك مخرجات النماذج وينتجها عبر البنية التحتية نفسها التي يقدّم المختبر إحاطات عنها إلى Five Eyes. وسجل محادثات المستخدم، ومساهمته في بيانات التدريب، والبيانات الوصفية لاستعلاماته من النموذج، كلها تسري في نظام تشكّل طبقته القريبة من الدفاع موضعَ اهتمام الدولة.

والعواقب المحددة:

أولاً، ينبغي أن تبلغ وضعية المورّد الأمنية ما تتوقعه الدولة من مقاوليها. وMythos يُظهر أن الوضعية، اليوم، لا تبلغه. والفجوة هي الخطر المتبقي على المستخدم. فالدولة الخصم المهتمة بما تسأل عنه وزارة الدفاع البريطانية أو المدافعون السيبرانيون الفيدراليون الأمريكيون مختبرَ ذكاء اصطناعي، لديها فرص جمع معلومات ضد البنية التحتية التجارية لذلك المختبر. والعميل التجاري يتشارك سطح الجمع نفسه.

ثانياً، وضعية المورّد التنظيمية تتحرك. فـ ITAR لا يغطي نموذج الذكاء الاصطناعي. وضوابط تصدير أشباه الموصلات لا تغطي الأوزان المدرَّبة. والأمر التنفيذي الصادر في عهد بايدن بشأن تطوير ذكاء اصطناعي آمن ومأمون وجدير بالثقة أُلغي جزئياً على يد إدارة ترامب؛ ولم يُصدَر إطار إدارة ترامب الخلف بالكامل بعد. والإطار المؤسسي لتنظيم هذا الصنف من المنتجات مزدوجة الاستخدام متخلّف عن إيقاع الصنف نفسه.

ثالثاً، طبقة سياسة النماذج لدى المورّد صارت الآن مرئية للدولة. فإجراءات التخفيف الأمنية التي تمنع GPT-4o أو Claude 3.7 أو Gemini 2 من تنفيذ مهام سيبرانية هجومية هي قرارات في سياسة النموذج يتخذها كل مختبر داخلياً. وعملية التدقيق الحكومية — عبر Five Eyes، وعبر دعوة NCSC، وعبر تحذير NIS — ستفحص تلك القرارات. وستتشكّل سياسة النماذج التجارية بهواجس الدولة، لا بإطار الأخلاقيات المنشور لدى المختبر وحده. وستتأثر تجربة المستخدم التجارية تبعاً لذلك.

رابعاً، مستوى الانضباط التشغيلي للمنتج التجاري صار موضع تدقيق مستمر. تسريب Mythos، والتصريح المسبق في Chromium من Claude Desktop، وإفصاح BlueHammer — كل منها شرخ مرئي في انضباط الأسبوع التشغيلي. ورهان المستخدم على المنتج التجاري هو رهان على ما إذا كان انضباط المختبر التشغيلي سيتقارب مع مستوى مقاولي الدفاع أسرع من نمو سطح الجمع القريب من الدولة.

الخيار المعماري

أمام المستخدم خيار معماري ثنائي.

على جانب: استهلاك منتج الذكاء الاصطناعي التجاري مغلق الطبقة. وهذا هو المسار الافتراضي. المنتج سهل الاستخدام، جيد الدعم، متصدّر في القدرة، و — بصرف النظر عن أخبار هذا الأسبوع — موثوق إلى حدّ بعيد. ويقبل المستخدم أن مورّد الذكاء الاصطناعي التجاري لديه صار في فئة مؤسسية تكون فيها المخاطر القريبة من الدولة حقيقية وغير مخفَّفة بالكامل بعد، وأن شروخ الانضباط التشغيلي ستظل تظهر في دورات إخبارية كهذه.

وعلى الجانب الآخر: نشر المعمار المستضاف ذاتياً، الاتحادي، الذي تبقى فيه البيانات بحوزة المستخدم. وهذا هو المسار البنّاء. وهو أكثر عملاً. وهو يوفّر وظائف معادلة للطبقة المدنية دون التعرّض القريب من الدولة.

وحزمة النشر محددة. يتولى Privacy Filter من OpenAI (الصادر في 22 أبريل نفسه، برخصة Apache 2.0، وبمعامِلات عددها 1.5 مليار، وبدقة 96 بالمئة F1 على PII-Masking-300k) حجب البيانات الشخصية على الجهاز. ويستضيف Ollama نماذج مفتوحة الأوزان — Llama 3.3 وMistral وgpt-oss وQwen — على عتاد يتحكّم فيه المستخدم للاستدلال العام. ويوفّر LlamaIndex مع TrustedAgentWorker تنسيق الوكلاء مع تعقيم المدخلات. وLangChain، مع التحقق من المدخلات على مستوى المشروع وقوائم السماح للأوامر، هو طبقة التنسيق (ورقعة قائمة السماح في إصدار LiteLLM v1.83.7-stable الصادر في 21 أبريل هي قالب هذا الشهر). وتحلّ سجلات MCP الاتحادية — المدقَّقة مجتمعياً، الموقَّعة، ذات إيقاع ترقيع لكل مؤسسة — محل نموذج سجل MCP أحادي المشغّل الذي تركه إفصاح Anthropic في 15 أبريل مكشوفاً معمارياً. وتوفّر Chroma أو Qdrant أو LanceDB تخزيناً متجهياً محلياً. ويوفّر BGE-m3 أو Arctic Embed التضمين المحلي.

أما للاتصالات، فحزمة المفاتيح المحفوظة لدى المستخدم متاحة اليوم: Signal وProton وTuta وThreema وMatrix مع التوقيع المتقاطع لكل جهاز. وللهوية، تُنشَر محافظ eIDAS 2.0 عبر الدول الأعضاء في الاتحاد الأوروبي بمواعيد امتثال نهائية في 31 ديسمبر 2026؛ وقد تأكد تكامل France Identité والدنمارك واليونان وإيطاليا وإسبانيا وقبرص وأيرلندا وفق إعلان آلية التنسيق الأوروبية للتحقق من العمر. وللنقل، فإن WireGuard هو المعيار الذي يمثّل 94 بالمئة من شبكات VPN الاستهلاكية؛ ويوجّه مرحّل الند-للند عبر العقد السكنية لدى URnetwork المسارَ بعيداً عن المسارات المحسوبة على عدّاد المشغّل؛ وقد صدر Tor Browser 15.0.10 يوم الثلاثاء 21 أبريل مع نقل تحديثات أمان Firefox، ليكون رابع إصدار من Tor Browser في أبريل.

وللعتاد، تحلّ مفاتيح FIDO2 العتادية (YubiKey وNitrokey وSoloKey) محل المصادقة الثنائية عبر الرسائل القصيرة التي يُظهر تقرير Citizen Lab في 23 أبريل حول SS7/Diameter أنها مخترَقة تجارياً. وتُبقي المحافظ العتادية (Ledger وTrezor وColdcard) مفاتيح العملات المشفّرة معزولةً عن تهديد سارقي المعلومات من صنف Lumma، وهو التهديد الذي أنتج سلسلة الهجوم في نشرة Vercel المعاد إصدارها يومي 22 و23 أبريل. ويشغّل GrapheneOS على أجهزة Pixel المتوافقة، وLineageOS على هواتف Android الأخرى، برامج ثابتة قابلة للتدقيق من المستخدم. ويوفّر OpenWRT على الموجّهات محيطاً يتحكّم فيه المستخدم.

الحزمة قابلة للنشر. والخيار المعماري بيد المستخدم. التكلفة متواضعة. والفائدة بنيوية.

ما العمل

إن كنت تشغّل أحمال عمل ذكاء اصطناعي مؤسسية على واجهات برمجية تجارية لمختبرات متقدّمة: دقّق أصناف البيانات التي تتضمنها حركة واجهتك البرمجية. وأي صنف قد يثير اهتمام جمع الدولة — وثائق الاستراتيجية، والمواد الحساسة قضائياً، ونشاط الاندماج والاستحواذ، ومعلومات المنتجات غير المعلنة، وبيانات العملاء الخاضعة لالتزامات خصوصية تعاقدية أو تنظيمية — ينبغي أن ينتقل إلى استدلال مستضاف ذاتياً على عتاد محلي. Privacy Filter عند الاستيعاب، وOllama للتوليد، وLlamaIndex لتنسيق الوكلاء، وLangChain للتعقيم، وMCP الاتحادي للتكامل بين المؤسسات. والانتقال يعادل ثلاثة أشهر من العمل الهندسي لمعظم المؤسسات. والانتقال أرخص من حادثة تسريب واحدة على يد جهة تابعة لدولة.

إن كنت مستخدماً على الطبقة التجارية لـ Claude Desktop أو ChatGPT Desktop أو Gemini: ففكّر في استخدام واجهة الويب للمحادثات بدلاً من تثبيت تطبيق سطح المكتب. فمسألة Native Messaging في Claude Desktop، الموثَّقة يوم الأربعاء، نقطة بيانات واحدة؛ أما صنف المسألة — تطبيقات سطح مكتب تزرع خطّافات في ملفات تعريف المتصفح دون موافقة المستخدم — فأوسع. وواجهة الويب هي الخيار الأقل بصمة.

إن كنت تشغّل Microsoft Defender بوصفه حماية أساسية لنقاطك الطرفية: رقّع BlueHammer (CVE-2026-33825) فوراً إن كنت جهة فيدرالية أمريكية؛ وطبّق الرقعة في دورتك المعتادة فيما عدا ذلك. وراقب إفصاحَي RedSun وUnDefend؛ فهما لا يزالان بلا رقعة. وفكّر في الدفاع المتعمّق: كشف على النقاط الطرفية يتجاوز Defender، وتجزئة الشبكة، وFIDO2 على طبقة الهوية، وتتبّع فهرس KEV باستمرار بوصفه ممارسة تشغيلية.

إن كنت مستخدماً استهلاكياً لمنتجات الذكاء الاصطناعي المتقدّم في إيران أو روسيا أو تركيا أو بيلاروسيا أو أي ولاية قضائية فيها رقابة نشطة: حافظ على WireGuard مع وسائط النقل القابلة للتوصيل Shadowsocks/V2Ray بوصفها خط الأساس للتحايل. وPsiphon وTor Snowflake للبيئات المعادية ذات الفحص العميق للحزم. وأبقِ برمجياتك محدَّثة عبر قناة التحايل. وفكّر في مرحّل العقد السكنية لدى URnetwork بوصفه الشبكة المتشابكة ند-للند التي لا تنتهي عند المسار المحسوب على عدّاد المشغّل.

إن كنت مساهماً في المصادر المفتوحة: فإيقاع إصدارات مشروع Tor (أربعة تحديثات للمتصفح في أبريل)، ورقعة قائمة السماح في LiteLLM (21 أبريل)، وإطلاق OpenAI لأوزان Privacy Filter المفتوحة (22 أبريل)، والعمل الجاري على MCP الاتحادي ومنظومة المفاتيح المحفوظة لدى المستخدم، كلها تستفيد من وقت المساهمين. فمعمار الطبقة المدنية يُبنى تعاونياً. الطبقة التجارية القريبة من الدولة لديها الحجم؛ والطبقة المدنية لديها المجتمع. والوقت المستثمَر في الطبقة المدنية يتراكم.

إن كنت صانع سياسات: فالإطار المؤسسي لفئة «مختبر الذكاء الاصطناعي التجاري بوصفه مقاول دفاع» مزدوجة الاستخدام غير موجود بعد بالوتيرة التي يتطلبها إيقاع الفئة. ITAR خاطئ. وضوابط تصدير أشباه الموصلات تغطي عتاد التدريب لا النماذج. وبنية الأمر التنفيذي مُصدَرة جزئياً. والكونغرس لم يتناول تنظيم نماذج الذكاء الاصطناعي التجارية عبر أداة تشريعية قادرة على تجاوز عتبة إنهاء المناقشة. وصلاحيات الإنفاذ الكاملة لقانون الذكاء الاصطناعي الأوروبي تبدأ في 2 أغسطس 2026، وستكون المرجع العالمي الأول؛ لكن امتداد «أثر بروكسل» إلى المختبرات الأمريكية غير مباشر. والفجوة في السياسات هي الخطر المتبقي على المستخدم.

الخيط الناظم

ليس انتقال «مختبر الذكاء الاصطناعي التجاري إلى مؤسسة تجارية وقريبة من الدفاع» أمراً جديداً. فهو جارٍ منذ ثمانية عشر شهراً على الأقل. لكن الأربعاء 22 أبريل 2026 هو اليوم الذي طفا فيه الانتقال على صفحة رزنامة واحدة.

والانتقال في ذاته ليس سيئاً بالضرورة. فأطر مقاولي الدفاع قائمة منذ ثمانين عاماً، وقد جرى صقلها عبر حقب سياسية وتقنية متعاقبة. ومختبر الذكاء الاصطناعي المتقدّم، في شكله المؤسسي الحالي، نسخة أقل نضجاً من فئة معروفة. والنضج آتٍ: ستمتد أطر التصاريح الأمنية، وستتكيّف أنظمة ضبط الصادرات، وسيظهر تنظيم لسياسة النماذج، وسيكتسب التسليم بين الدولة والمختبر الانضباطَ التشغيلي الذي يقتضيه وضعه كأصل من أصول الدولة.

لكن الانتقال ذو تبعات على المستخدم الذي ليس طرفاً في علاقة الدولة بالمختبر. فالعميل التجاري للمختبر المتقدّم يستهلك الطبقة المدنية من مؤسسة تُقدَّم طبقتها الدفاعية في إحاطات إلى Five Eyes. ووضعية الطبقة المدنية التشغيلية، هذا الأسبوع، أقلّ بناءً بشكل ظاهر مما يوحي به تأطير الطبقة الدفاعية. والشروخ — Mythos وClaude Desktop وBlueHammer — ستظل تظهر إلى أن يكتمل الانتقال المؤسسي.

والخيار المعماري للمستخدم هو ما يبدو عليه قرار النشر في ظل هذا الشرط. إما استهلاك الطبقة التجارية، وقبول الخطر المتبقي القريب من الدولة، وانتظار نضج الإطار المؤسسي. وإما نشر حزمة الطبقة المدنية المستضافة ذاتياً، وقبول ملكية تشغيلية أعلى، وتقليص الخطر المتبقي القريب من الدولة.

كلاهما قابل للدفاع عنه. ولا أحدهما محايد. وأحداث 22 أبريل التسعة تجعل الخيار مرئياً.

وصل التنفيذي السيبراني يوم الأربعاء. أما اختيار الطبقة التي تُستهلك فهو مسألة الخميس.

في 15 أبريل 2026، نشرت OX Security تقريرين. الأول، بعنوان "The Mother of All AI Supply Chains" — أمّ كل سلاسل توريد الذكاء الاصطناعي — وصف ثغرة معمارية في Model Context Protocol التابع لـ Anthropic. والثاني، بعنوان "MCP Supply Chain Advisory" — تنبيه سلسلة توريد MCP — عدّد التبعات اللاحقة. أما الباحثون — Moshe Siman Tov Bustan و Mustafa Naamnih و Nir Zadok و Roni Bar — فكانوا يعملون على الإفصاح منذ نوفمبر 2025. ولم يكن ما وجدوه خللًا برمجيًا. كان قرار تصميم.

فحِزم التطوير الرسمية لـ MCP لدى Anthropic، عبر Python و TypeScript و Java و Rust، تمرّر الأوامر الآتية من ملفات الإعداد عبر ناقل STDIO مباشرةً إلى التنفيذ على نظام التشغيل دون تعقيم. فملف إعداد يحدّد أمر تشغيل خادم ينتهي إلى استدعاء exec على نظام التشغيل، دون أي تحقّق من المدخلات بين الخطوتين. والثغرة معمارية بالمعنى المحدّد وهو أن إصلاحها يتطلب تغيير تصميم البروتوكول، لا ترقيع تنفيذ بعينه.

والحجم مهمّ هنا. مئة وخمسون مليون تنزيل لحِزم التطوير المتأثرة. سبعة آلاف خادم MCP متاح للعموم أو أكثر. وما يصل إلى مئتي ألف نسخة قابلة للاستغلال ضمن المجموعة التي تمكّنت OX من قياسها. وقد أثبت الباحثون بنجاح تنفيذ أوامر على ستّ منصات إنتاجية لها عملاء يدفعون — ليست كلها مسمّاة علنًا؛ وأفضل تعداد مدعوم بالأدلة يشمل GPT Researcher و LiteLLM و Windsurf و DocsGPT و Flowise و Upsonic، مع Letta AI و LangFlow التابعة لـ IBM ضمن المجموعة المتأثرة أيضًا. ورفع الباحثون حمولة إثبات مفهوم حميدة إلى إحدى عشرة سوقًا لخوادم MCP؛ قبلت تسع منها الحمولة دون مراجعة أمنية. ورفضتها GitHub. ولم تردّ Cline. وقبلتها LobeHub و Cursor Directory.

وقد أبلغت OX شركة Anthropic مرارًا خلال نافذة البحث. وكان ردّ المورّد، بحسب ما نقلته OX وما ورد في التغطية الصحفية، أن نموذج التنفيذ عبر STDIO يمثّل إعدادًا افتراضيًا آمنًا، وأن التعقيم مسؤولية المطوّر. وحدّثت Anthropic ملف SECURITY.md لديها لتشير إلى أن محوّلات STDIO ينبغي استخدامها "with caution" — أي بحذر. كان ذلك هو الإصلاح المعماري. وتوصيف OX: "this change didn't fix anything" — هذا التغيير لم يصلح شيئًا. أما Microsoft و LangChain، بحسب OX، فاتخذتا مواقف مماثلة — فالسلوك مقصود بالتصميم. ولم يظهر في التغطية الصحفية التي راجعناها أي تصريح علني من Anthropic نفسها، منسوب إلى جهة مسمّاة ومؤرَّخ، بشأن هذا الإفصاح.

أما الثغرات الإحدى عشرة (CVE) التي عدّدها The Hacker News فتمتد على المنظومة اللاحقة بأكملها. وحتى 22 أبريل، المُرقَّع منها: أصدرت LiteLLM النسخة v1.83.7-stable في 21 أبريل معالِجةً CVE-2026-30623، مع قائمة أوامر بيضاء صريحة (npx, uvx, python, python3, node, docker, deno)، والتحقق عبر Pydantic، واشتراط أن يكون تسجيل الخوادم للمشرفين فقط؛ ورقّعت DocsGPT الثغرة CVE-2026-26015؛ ورقّعت Bisheng الثغرة CVE-2026-33224. وغير المُرقَّع: Windsurf (CVE-2026-30615 بدرجة CVSS 8.0 عالية)، و Langchain-Chatchat (30617)، و Fay (30618)، و Agent Zero (30624)، و Upsonic (30625)، و Flowise (40933)، و GPT Researcher (CVE-2025-65720)، و MCP Inspector (CVE-2025-49596)، و LangFlow. أما البروتوكول نفسه فلم يتغير.

وما تسمّيه Anthropic متوقَّعًا سمّته OX، بكلمات الباحث Bustan، قابلًا لإعادة التصميم: «يمكن إعادة تصميم البروتوكول بطريقة لا تُفقده فائدته.»

المورّد يمتنع. والطرف اللاحق يدفع الثمن.

رقم واحد في الرابط

يوم الأربعاء 15 أبريل — اليوم نفسه الذي نشرت فيه OX — رصدت الوكالة الوطنية الفرنسية للوثائق المؤمَّنة (Agence Nationale des Titres Sécurisés) حادثةً في بوابتها ants.gouv.fr. و ANTS، التي أُعيدت تسميتها رسميًا الآن إلى France Titres، هي النظام الشبكي الوحيد الذي يمرّ عبره كل تجديد لجواز سفر فرنسي، وكل طلب لبطاقة هوية وطنية، وكل طلب لرخصة قيادة، وكل تصريح إقامة، وكل مسار عمل لتسجيل مركبة. إنها البوابة. فدورة حياة الهوية الرقمية للمواطن الفرنسي هي تسجيل دخول واحد على ants.gouv.fr.

وبحلول مساء الثلاثاء 21 أبريل، أكّد وزير الداخلية Laurent Nuñez أن ما يقارب 11.7 إلى 12 مليون حساب قد اختُرقت. وكان الفاعل المهدِّد "breach3d" — الذي يعمل تحت الاسمين المستعارين "ExtaseHunters" و "EvilDump" — قد عرض البيانات للبيع في منتديات إجرامية ابتداءً من 16 أبريل وزعم امتلاك 18 إلى 19 مليون سجل، أي نحو ثلث سكان فرنسا. أما الحقول المكشوفة فهي: معرّف الدخول، وصفة المخاطبة، والاسم الكامل، والبريد الإلكتروني، وتاريخ الميلاد، ومعرّف ANTS الفريد. وتتضمن بعض السجلات أيضًا العنوان البريدي، ومحل الميلاد، ورقم الهاتف، ورقم SIREN لحسابات الأعمال. ولم تتأثر البيانات الحيوية ولا كلمات المرور ولا مرفقات الوثائق المرفوعة. وتعهّد Nuñez بإخطار كل متضرر فرديًا عبر البريد الإلكتروني أو البريد العادي. وأُبلغت CNIL بموجب المادة 33 من اللائحة العامة لحماية البيانات ضمن نافذة الاثنتين والسبعين ساعة. و ANSSI منخرطة في الأمر. وتلقّت النيابة العامة في باريس إحالة جنائية بموجب المادة 40 من قانون الإجراءات الجزائية.

أما ناقل الهجوم، بحسب الصحافة الأمنية الناطقة بالفرنسية نقلًا عن منشورات breach3d في المنتديات، فهو إشارة مباشرة غير آمنة إلى الكائنات — أي IDOR — في واجهة moncompte.ants.gouv.fr البرمجية. معرّف صحيح واحد في رابط واجهة برمجية. غيّر العدد الصحيح، فتحصل على ملف مواطن آخر. لا تحقق من الصلاحية على مستوى الكائن. ولا تحديد لمعدّل الطلبات يلتقط عملية التعداد. وقد وصف المخترق الثغرة، بحسب ما نُقل، بأنها "a really stupid flaw" — أي ثغرة غبية حقًا.

و IDOR ليست فئة أخطاء جديدة. فقد سمّتها قائمة OWASP العشر الأولى تحت بند Broken Object Level Authorization منذ عقد كامل. وهي مشمولة في كل دورة تدريبية عن أمن الواجهات البرمجية. والماسحات الآلية تجدها. وبرامج مكافآت اكتشاف الثغرات تدفع مقابلها. وأن تشغّل بوابة ANTS واجهة برمجية إنتاجية دون تحقق من الصلاحية على مستوى الكائن، ودون تحديد لمعدّل الطلبات لكل معرّف، ودون كشف للشذوذ في أنماط التعداد — فتلك ليست ثغرة من فئة جديدة. إنها ثغرة من فئة موروثة لم تُغلقها الدولة.

واستجابة الحكومة إجرائية. إخطار لكل ضحية. وإحالة جنائية. وإبلاغ CNIL. ولم تأمر الحكومة، حتى 22 أبريل، بمراجعة للمعمارية الأمنية لبوابة ANTS، ولم تفرض المصادقة متعددة العوامل، ولم تلتزم بجدول زمني لإخراج البوابة من الخدمة لصالح بدائل قائمة على المحافظ. الاستجابة هي حوكمة-بالمتوقَّع: فئة معروفة من الثغرات، وفئة معروفة من مسارات ما بعد الاختراق. وحكيم جوادي في إيران كان ليتعرّف على هذا الموقف.

وقد وصل البديل المعماري في اليوم نفسه. فقد أُعلن أن تطبيق التحقق من العمر المرجعي في الاتحاد الأوروبي جاهز تقنيًا للتنفيذ في 15 أبريل — اليوم نفسه الذي رصدت فيه ANTS الاختراق. ومعمارية المحفظة بموجب eIDAS 2.0، أي اللائحة الأوروبية 2024/1183، هي نقيض ants.gouv.fr. فبيانات الاعتماد تعيش على جهاز المستخدم. والعرض انتقائي — أثبِت أنك فوق 18 عامًا دون كشف تاريخ ميلادك، وأثبِت جنسيتك الفرنسية دون كشف اسمك. والمحفظة غير قابلة للربط عبر عمليات العرض المتعددة. لا بوابة مركزية يمكن اختراقها، لأنه لا توجد بوابة مركزية أصلًا. و France Identité هي المحفظة الوطنية المخطط لها في فرنسا. والمهلة النهائية في 31 ديسمبر 2026 لتوفير محفظة متوافقة واحدة على الأقل في كل دولة عضو هي تاريخ التسليم المعماري. والانتقال جارٍ. أما مستخدمو ANTS الذين يتحمّلون كلفة المعمارية السابقة للمحفظة في أبريل 2026 فهم ضحايا المرحلة الانتقالية.

رقم واحد في رابط تغيّر، فانتهى ثلث سجلات إجراءات الهوية في فرنسا إلى منتدى إجرامي. استجابة الحكومة تسمّي ذلك مسألة تشغيلية. والنظرة المعمارية تسمّيه كلفةَ تشغيل تصميم عام 2015 في عام 2026.

اليوم 54

بلغ انقطاع الإنترنت في إيران يومه 54 في 22 أبريل 2026. والقياس، الذي تتولّاه NetBlocks، يضع الانقطاع الحالي المرتبط بالحرب عند نحو 1,272 ساعة خارج الخدمة، ويضع الوصول العالمي إلى الإنترنت داخل إيران عند نحو واحد بالمئة من مستويات ما قبل الحرب. وبدأت طبقة جزئية بقائمة بيضاء تُسمّى "Internet Pro" بالعمل من 17 إلى 20 أبريل للشركات والأكاديميين الذين يدفعون مقابل الوصول — وهو إقرار معماري من النظام بأن الكلفة الاقتصادية للانقطاع غير محتملة، لكنه أيضًا تغيير بنيوي ثنائي الطبقة يعيد توزيع الوصول بحسب القدرة على الدفع.

والمنشأ هو 28 فبراير 2026، حين بدأت الضربات الأمريكية والإسرائيلية المنسّقة واغتيل المرشد الأعلى علي خامنئي مع قيادات أخرى. فقطعت إيران إنترنتها العالمي خلال ساعات. وهبطت حركة البيانات 98 بالمئة، بحسب Cloudflare Radar. وبحلول أواخر أبريل كان الانقطاع قد تجاوز كل مرجعية مقارنة حديثة. فانقطاع الربيع العربي في مصر في يناير وفبراير 2011 استمر 5 أيام. وانقطاع نوفمبر الدامي في إيران عام 2019 استمر 6 أيام. وليبيا في 2011 استمر انقطاعها نحو 6 أشهر ولا تزال صاحبة الانقطاع الأطول — في بلد عدد سكانه 6 ملايين. أما الـ90 مليونًا في إيران فتجعل الحدث الحالي الأكبر من حيث عدد السكان في التاريخ المسجَّل.

ونشرت NPR في 22 أبريل قصة لـ Emily Feng عنوانها يشير إلى الآلية بعينها — "Iranians are leaving the country just to access the internet" — أي إن الإيرانيين يغادرون البلاد لمجرد الوصول إلى الإنترنت. وتناولت Feng امرأة من طهران، عُرّفت بوصفها أمًّا فقط، تقود سيارتها ساعات إلى المعبر الحدودي التركي في Kapıköy كل ثلاثة أيام لإجراء مكالمات فيديو مع ابنها الذي يدرس في جامعة تركية. وقولها: «أريد فقط أن أجري مكالمة فيديو ثم أعود إلى إيران. هذا كل شيء.» وتناولت Feng مقدّم بودكاست اسمه Ershad، وهو مشارك في تقديم بودكاست فارسي اسمه "Haagirvaagir" من مريوان: «الصوت الوحيد الآن هو صوت النظام الإيراني، لأنهم قطعوا الإنترنت.» وأشارت Feng إلى الأثر الاقتصادي — أعمال كانت تعتمد على WhatsApp و Instagram للوصول إلى زبائنها وقد انهارت. ووصفت Feng السوق السوداء لدقائق Starlink، التي تُباع بأسعار باهظة، باتصالات متقطعة عاجزة عن تحميل معظم الصفحات، ووصفت بطاقات "white SIM" — أي الشرائح المعتمدة حكوميًا — بوصفها وصول الطبقة القانونية.

وبيئة الإنفاذ قاسية. ففي 1 أبريل أو نحوه، أعلنت وسائل الإعلام الرسمية الإيرانية عبر فارس أن Starlink هدف مشروع. ووسّع الحرس الثوري التهديد ليشمل البنية التحتية التقنية الأمريكية عمومًا — Apple و Google و Meta و Microsoft و Nvidia. وحيازة طرفية Starlink صارت الآن معاقَبًا عليها بالسجن حتى عشر سنوات أو بالإعدام بموجب تشريع 2026. وأعلن قائد الشرطة أحمدرضا رادان في أبريل مصادرة 139 طرفية وتنفيذ 46 اعتقالًا؛ وحُجبت 61 حسابًا مصرفيًا في يزد؛ واعتُقل أجنبيان في منتصف أبريل ضمن شبكة تجسس مزعومة مرتبطة بالولايات المتحدة وإسرائيل، بحسب تسنيم. وتقدّر مجموعات الحقوق الرقمية أن نحو 50,000 طرفية Starlink لا تزال عاملة داخل إيران.

خمسون ألف طرفية في مواجهة قانون يعاقب بالإعدام هي ردّ المستخدم على "expected" لدى النظام. للحكومة موقف. وللسكان موقف. ولا أحد منهما ينتظر الآخر.

والسجل الاقتصادي موثَّق. فقد صرّح وزير الاتصالات الإيراني ستار هاشمي بأن الكلفة المباشرة على الاقتصاد الرقمي تبلغ 35.7 مليون دولار يوميًا. ووضع أفشين كلاهي من لجنة الاقتصاد المعرفي الكلفة المباشرة بين 30 و 40 مليون دولار يوميًا والكلفة الإجمالية، شاملةً غير المباشرة، بين 70 و 80 مليون دولار يوميًا. وبلغت الخسارة التراكمية حتى 16 أبريل نحو 1.8 مليار دولار. وهبطت المبيعات عبر الإنترنت 80 بالمئة. ومئة وخمسة وثمانون مليون معاملة مالية في يناير وحده حُذفت من الاقتصاد.

وقال علي حكيم جوادي، رئيس المنظمة النقابية لتكنولوجيا المعلومات في إيران، في 12 أبريل إنه «لا يوجد جدول زمني واضح» لاستعادة الاتصال العام، مستشهدًا بـ«ظروف حرب استثنائية» و«اعتبارات أمنية محدَّدة». هذا هو موقف السلوك المتوقَّع المعلن لدى النظام. فالانقطاع حالة حرب. وحالات الحرب لا تاريخ لانتهائها. ومن ثمّ فالانقطاع لا تاريخ لانتهائه.

وما يفعله الناس بدلًا من ذلك هو قياس النشر. فقد ارتفعت تنزيلات تطبيقات VPN بنسبة 500 إلى 579 بالمئة في الأيام الأولى من الانقطاع. وبلغ Psiphon نحو 9.6 مليون مستخدم إيراني يوميًا؛ ونحو 400,000 من إيرانيي الشتات يشاركون نطاقهم الترددي عبر Psiphon. أما مجموعة الأدوات المراوغة للفحص العميق للحزم — Shadowsocks و V2Ray و Trojan و NaïveProxy و Tor Snowflake — فهي الاستجابة من الجيل الثاني مع استثمار النظام في الفحص العميق للحزم. وقد أكّد OONI، المرصد المفتوح لتدخّلات الشبكة، وجود حقن DNS يستهدف Session Messenger وتدخّل صناديق وسيطة ضد Psiphon. النظام نشط على الطبقة التقنية. والسكان نشطون على الطبقة التقنية. وثمة سباق.

وكل طبقة نقل مستقلة — مرحّل URnetwork من النِّدّ للنِّدّ عبر العُقد المنزلية، و Outline، و Psiphon، و Shadowsocks، و V2Ray، و Tor Snowflake — هي ردّ على مستوى المستخدم على امتناع على مستوى البنية التحتية. النظام قطع الناقل. والمستخدم يلتف حوله. والـ50,000 طرفية Starlink هي قياس العتاد المرئي. وأعداد مستخدمي VPN اليوميين هي قياس طبقة البرمجيات. وقصة NPR هي قياس الطبقة البشرية — أمّ تقود سيارتها إلى Kapıköy.

«لا يوجد جدول زمني واضح» في 12 أبريل هي كلمة النظام. أما الـ50,000 طرفية والـ9.6 مليون مستخدم لـ Psiphon فهي كلمة المستخدم.

انعطافة Chat Control

في 26 مارس 2026، رفض البرلمان الأوروبي بـ311 مقابل 228، مع 92 امتناعًا، تمديدَ الاستثناء من توجيه ePrivacy — وهو الأداة القانونية التي أتاحت لـ Google و Meta و Microsoft و LinkedIn و Snap و TikTok أن تفحص طوعًا رسائل المستخدمين الخاصة بحثًا عن مواد الاعتداء الجنسي على الأطفال. ومات Chat Control 1.0 بوصفه نظامًا طوعيًا على أرضية البرلمان. وفي 3 أبريل، انقضى الاستثناء قانونيًا. وفي 6 أبريل، مرّ التاريخ العملي للانتهاء بالنسبة إلى المنصات التي واصلت الفحص دون السند القانوني. Tuta: «لقد فعلتموها.» Proton: «البرلمان الأوروبي وقف إلى جانب الخصوصية.» Patrick Breyer، النائب الأوروبي السابق عن حزب القراصنة: «انتصار مدوٍّ للمواطنين الذين لا يُحصون والذين أجروا المكالمات وأرسلوا الرسائل لإنقاذ خصوصية مراسلاتهم الرقمية.»

و4 مايو يبعد اثني عشر يومًا عن اليوم. فمفاوضات الحوار الثلاثي بشأن لائحة الاعتداء الجنسي على الأطفال — أي Chat Control 2.0، البديل الدائم — تُستأنف ذلك الاثنين. وثمة حوار ثلاثي آخر مقرر في 29 يونيو. وقد أسقطت الرئاسة الدنماركية، في موقفها المشترك المؤرَّخ 26 نوفمبر 2025، تفويضَ الفحص على جهاز المستخدم — أي القطيعة المعمارية التي كانت ستُجبر كل تطبيق مراسلة على فحص الرسائل على جهاز المستخدم قبل التشفير. وإسقاط ذلك التفويض هو الانعطافة الدنماركية، وقد أُطِّرت بوصفها استيعابًا متوقَّعًا لمخاوف الدول الأعضاء. غير أن نص CSAR يُبقي على التحقق الإلزامي من العمر. فقد انتقلت الرافعة المعمارية من حدّ إلى آخر.

وقد التزمت كل من Signal و Proton و Tuta و Threema علنًا بالانسحاب من الاتحاد الأوروبي بدلًا من قبول تفويض الفحص على جهاز المستخدم. وقالت Meredith Whittaker من Signal على المنصة التي كانت تُعرف سابقًا باسم Twitter: «لو وُضعنا في موقف نختار فيه بين تقويض نزاهة تشفيرنا وضماناتنا للخصوصية من جهة، ومغادرة أوروبا من جهة أخرى، فسنختار بأسف مغادرة السوق.» وردّد Andy Yen من Proton الموقف نفسه. وقال Matthias Pfau من Tuta، الذي اختار المقاضاة بدل المغادرة: «لن نُضعف تشفيرنا أبدًا ولن نضع فيه بابًا خلفيًا.» وقالت Threema إن Chat Control هو «جهاز مراقبة جماعية غير مسبوق بأبعاد أورويلية»؛ وإنها ستدعو «زملاءها من خدمات الاتصال إلى الانضمام إلينا في مغادرة الاتحاد الأوروبي» إذا اعتُمد. أربعة تطبيقات مراسلة تخدم عشرات الملايين من المستخدمين الأوروبيين التزمت علنًا برفض معماري.

وانعطافة المجلس بإسقاط تفويض الفحص هي حركة السلوك المتوقَّع لدى المنظِّم بالمعنى نفسه الذي هي به لدى المورّد. المورّد يقول إن المعمارية مقصودة بالتصميم. والمجلس يقول إن الانعطافة نتيجة تفاوض. وفي الحالتين يُنقل العبء خارج طبقة الحوكمة. وفي حالة المجلس يُنقل العبء إلى التحقق الإلزامي من العمر، وهو ليس فحصًا على جهاز المستخدم لكنه تحقّق من بيانات اعتماد له معماريته الخاصة في الخصوصية — مصمَّم تصميمًا جيدًا في إطار محافظ eIDAS 2.0، ومصمَّم تصميمًا سيئًا إذا نُفِّذ برفع وثائق الهوية أو بتركيز لدى مورّدين خارجيين. والأسبوع الذي جعل فيه اختراق ANTS خطرَ مركزية البوابات مرئيًا هو الأسبوع الذي نقل فيه المجلس بهدوء رافعة CSAR إلى تحقّق العمر.

والمفوضية الأوروبية تختبر، في الأسبوع نفسه، Matrix بوصفه مكمّلًا واحتياطيًا لـ Microsoft Teams. ومعمارية Matrix الاتحادية منشورة على مئات آلاف المستخدمين في الجيش الألماني Bundeswehr والحكومة الفرنسية، وفي نظام الرعاية الصحية النمساوي والبريد السويسري، وفي مركز التميّز للدفاع السيبراني التعاوني التابع للناتو NATO CCDCOE وقيادة التحول NATO ACT. وتُبلغ Element، الجهة التجارية التي تصون العميل المرجعي لـ Matrix، عن نموّ في التسجيلات ناتج عن ردّ الفعل على التحقق من العمر لدى Discord في فبراير، وهو نموّ مستمر بعد نافذة فبراير. وخمس وثلاثون دولة، بحسب Matrix، في محادثات تشغيلية بشأن عمليات نشر. فالبنية التحتية المفضَّلة سياديًا يجري اختيارها بالتوازي مع النقاش التنظيمي.

و Chat Control 2.0 في 4 مايو هو الدرجة التالية. أما مكسب 3 أبريل فهو الدرجة المعمارية الأولى في دورة الاتحاد الأوروبي لعام 2026. والرفض المعماري لدى تطبيقات المراسلة جاهز في كلتا الحالتين.

30 أبريل

فشل التصويت الإجرائي في مجلس النواب الأمريكي على إعادة تفويض «نظيفة» لمدة 18 شهرًا للمادة 702 من قانون مراقبة الاستخبارات الأجنبية بنتيجة 197 مقابل 228 في الساعات الأولى من صباح الجمعة 17 أبريل. وصوّت عشرون جمهوريًا مع الديمقراطيين ضد اللائحة الإجرائية. وكان تصويت إجرائي سابق على حزمة تعديلات — تعديل النائب Andy Biggs الذي يشترط أمرًا قضائيًا ورفاقه في الحزمة — قد فشل بنتيجة 200 مقابل 220 مع 12 منشقًا جمهوريًا. ومع إغلاق المسار «النظيف»، حرّك رئيس مجلس النواب Mike Johnson تمديدًا لـ10 أيام بالإجماع نحو الساعة الثانية فجرًا. وأقرّ مجلس الشيوخ التمديد بتصويت صوتي في وقت لاحق من الجمعة. ووقّعه الرئيس Trump يوم السبت. فصار موعد انقضاء المادة 702 الأصلي في 20 أبريل هو 30 أبريل.

ولم يكن التمرد حدثًا عابرًا. فقد اصطفّت كتلة الحرية Freedom Caucus مع التكتل التقدمي في الكونغرس بشأن اشتراط أمر قضائي للاستعلامات المتعلقة بأشخاص أمريكيين — وهو ائتلاف عابر للحزبين ذو ثبات محدَّد. وعكس النائب Jim Jordan، رئيس اللجنة القضائية في مجلس النواب، علنًا عقدًا من مناصرته لاشتراط الأمر القضائي ليدعم التمديد «النظيف»، موضحًا: «إنه برنامج مختلف اليوم»؛ و«توفّر المادة 702 الصلاحية اللازمة، وقد أثبتت أنها من بين أكثر أدوات الأمة فعالية.» وانقلاب Jordan هو الإشارة بحد ذاته. أما الائتلاف الصامد في وجه انقلابه — Biggs و Davidson و Massie و Roy، والعشرون الذين صوّتوا بالرفض — فهو المقاومة المؤسسية لتأطير إعادة التفويض «النظيفة» بوصفها متوقَّعة.

وقدّم السيناتور Mike Lee والسيناتور Ron Wyden قانون إصلاح المراقبة الحكومية لعام 2026 في مارس. وهو إعادة تفويض للمادة 702 لأربع سنوات مع اشتراط أمر قضائي للاستعلامات المتعلقة بأشخاص أمريكيين، وإغلاق ثغرة وسطاء البيانات، وإلغاء توسعة مزوّدي خدمات الاتصالات الإلكترونية لعام 2024. ويضم المشاركون في التقديم السيناتورتين Cynthia Lummis و Elizabeth Warren. أما قائدا المشروع في مجلس النواب فهما النائبان Warren Davidson و Zoe Lofgren. وقدّم السيناتور Lee والسيناتور Dick Durbin بشكل منفصل قانون SAFE الأضيق. فالمعمارية الإصلاحية موجودة في نص مجلس الشيوخ؛ والأداة فاعلة. وقال زعيم الأغلبية في مجلس الشيوخ John Thune بعد إخفاق مجلس النواب يوم الجمعة: «علينا أن ننعطف ونكتشف ما الذي يمكن أن يمرّ.»

ووصف النائب Jamie Raskin، الديمقراطي الأبرز في اللجنة القضائية بمجلس النواب، إعادةَ التفويض «النظيفة» بأنها «صفقة قذرة». وكان تعديل النائب Jerry Nadler لعام 2024 بشأن عمليات البحث من الباب الخلفي قد سقط بنتيجة 212 مقابل 212 في تصويت متعادل؛ وائتلاف 2026 يحاول تجنّب تلك السابقة. والتزم النائب Thomas Massie علنًا: «سأصوّت بالرفض على التمرير النهائي لمشروع إعادة تفويض المادة 702 من FISA إذا لم يتضمّن حكمًا بشأن الأمر القضائي.»

وفي 30 أبريل — أي بعد ثمانية أيام من اليوم — إما أن تحصل المادة 702 على إعادة تفويض متعددة السنوات مع إصلاحات مرفقة، أو على حلّ مؤقت أقصر، أو على انقضاء، أو، وهو مستبعد، على إعادة تفويض «نظيفة» عبر إجراء ينشأ في مجلس الشيوخ. وكل نتيجة مشروطة بما يقدّمه مجلس الشيوخ في الأسبوع المقبل.

أما تأطير «المتوقَّع» الصادر عن قيادة مجلس النواب — بأن انقلاب Jim Jordan كان إعادة معايرة عملية وأن التمديد «النظيف» كان المسار الواقعي — فهو مفردات حالة الفراغ في الحوكمة. والائتلاف المناهض لذلك التأطير هو الخبر. أربعة أشهر في طور التكوّن.

وحزمة URnetwork والمصادر المفتوحة لا تنتظر التصويت. مفاتيح بحوزة المستخدم، ونقل من النِّدّ للنِّدّ، وإشراف اتحادي، ووكلاء مستضافون ذاتيًا — كل منها إجراء تخفيف يُشحن بصرف النظر عمّا يفعله الكونغرس بالمادة 702. فـ30 أبريل يقرر خط الأساس القانوني. أما البديل المعماري فقد ظلّ يبرهن خط الأساس التقني طوال عقد.

الإشعار الثاني

في 7 أبريل 2025 — أي العام الماضي لا هذا العام، وإن كان الالتباس مفهومًا — رفض اللورد القاضي Rabinder Singh والقاضي Jeremy Johnson من محكمة صلاحيات التحقيق البريطانية سعيَ وزارة الداخلية إلى إبقاء طعن Apple على إشعار القدرة التقنية سريًا. وكان الإشعار، الذي سُلِّم إلى Apple في يناير 2025، يطالب بوصول عالمي إلى بيانات iCloud المحمية بالحماية المتقدمة للبيانات. وكانت Apple قد سحبت الحماية المتقدمة للبيانات من المملكة المتحدة في فبراير 2025 بدلًا من الامتثال. وجعل حكم Singh/Johnson التقاضي علنيًا. وانضمت Privacy International و Liberty بوصفهما متدخلتين. ورُفض طلب تدخل WhatsApp. وكان طعن Apple الأول ماضيًا في مساره.

وفي أغسطس 2025، قالت مديرة الاستخبارات الوطنية Tulsi Gabbard علنًا إن المملكة المتحدة أسقطت الأمر بعد ضغط من Trump و Vance — إذ نُقل أن Trump قال لرئيس الوزراء Keir Starmer: «لا يمكنكم فعل هذا»، ووصف Vance الإشعار بأنه «جنون». وفي سبتمبر 2025، أصدرت وزارة الداخلية إشعار قدرة تقنية ثانيًا، ضُيِّق نطاقه ليقتصر على مستخدمي المملكة المتحدة، وأقرّه مفوّض صلاحيات التحقيق السير Brian Leveson. وفي 14 أكتوبر 2025، ردّت محكمة صلاحيات التحقيق طعن Apple الأول استنادًا إلى "change in circumstances" — أي تغيّر في الظروف، بحكم سحب الإشعار الأول فعليًا. واستمر طعن Apple على الإشعار الثاني المقتصر على المملكة المتحدة في إجراءات محكمة صلاحيات التحقيق. وكانت جلسة استماع من سبعة أيام بشأن "assumed facts" — أي وقائع مفترضة — مقرَّرة، بحسب أمر إدارة الدعوى الصادر عن Singh و Johnson في يوليو 2025، في أوائل 2026. وحتى 22 أبريل 2026، لا يؤكد أي تقرير علني أن تلك الجلسة قد عُقدت.

ولم تُعِد Apple تفعيل الحماية المتقدمة للبيانات في المملكة المتحدة. ولا يزال إشعار القدرة التقنية الثاني ساريًا. وتقول Caroline Wilson Palow من Privacy International إن الإشعار الثاني الأضيق «قد يكون تهديدًا للأمن والخصوصية على مستوى العالم لا يقلّ حجمًا عن القديم». ويبقى موقف Apple: «لم نبنِ قط بابًا خلفيًا أو مفتاحًا رئيسيًا لأي من منتجاتنا أو خدماتنا، ولن نفعل ذلك أبدًا.»

والموقف المعماري هو نفسه موقف تطبيقات المراسلة الرافضة لـ CSAR. فحين يحاول المنظِّم أن يهندس التنازل داخل التشفير، يسحب المورّد الميزة بدلًا من أن يتنازل. الكلفة حقيقية — فمستخدمو المملكة المتحدة لا يملكون الحماية المتقدمة للبيانات. والموقف محفوظ — فمعمارية التشفير غير منقوصة، في أي مكان، لأي مستخدم.

أما إرشادات Ofcom النهائية بشأن "accredited technologies" — أي التقنيات المعتمَدة — لكشف مواد الاعتداء الجنسي على الأطفال بموجب قانون السلامة على الإنترنت فمتوقَّعة في ربيع 2026، وقد أشارت الهيئة إلى تحفّظها على فرض الفحص على جهاز المستخدم، مع احتفاظها بالصلاحية القانونية. وفي 21 أبريل 2026، فتحت Ofcom تحقيقًا رسميًا مع Telegram بشأن إخفاقات مزعومة في الامتثال المتعلق بمواد الاعتداء الجنسي على الأطفال بموجب المادة 10 من قانون السلامة على الإنترنت. والغرامات المحتملة: 18 مليون جنيه إسترليني أو 10 بالمئة من الإيرادات العالمية.

وإعادة التوجيه لدى وزارة الداخلية — سحب الإشعار الأول، وإعادة إصداره ثانيًا أضيق وأهدأ — هي الإجراء القانوني المتوقَّع الذي أعلنته الدولة. والسابقة قابلة للتصدير. ففرنسا وألمانيا وأستراليا وباقي شركاء العيون الخمس يراقبون. وموقف الرفض المعماري لدى Apple، ولدى تطبيقات المراسلة المعنية بـ CSAR، ولدى عمليات نشر البدائل الاتحادية، هو الجواب.

مفردات الحوكمة

ستة تصريحات، ثلاث قارات، كلمة واحدة. Anthropic في كاليفورنيا: تنفيذ الأوامر عن بُعد في MCP سلوك متوقَّع. وزارة الداخلية الفرنسية في باريس: ثغرة IDOR لدى ANTS ثغرة غبية حقًا، وهي طريقة أخرى للقول: «لم نتوقعها ولن نغيّر المعمارية.» النظام الإيراني في طهران: لا جدول زمني واضح، ظروف حرب استثنائية. المجلس الأوروبي برئاسة دنماركية في بروكسل: إسقاط تفويض الفحص على جهاز المستخدم نتيجة تفاوض. القيادة الجمهورية في مجلس النواب الأمريكي: انقلاب Jim Jordan إعادة معايرة؛ والتمديد «النظيف» هو المسار المسؤول. وزارة الداخلية البريطانية في لندن: إشعار القدرة التقنية الثاني هو الإجراء القانوني المتوقَّع.

وفي كل حالة، "expected" هي حركة صانع القرار لإعادة تصنيف نتيجةٍ ما بوصفها مُدخلًا لا مُخرجًا — شيئًا يُقبل به لا شيئًا يُصمَّم ضده. إنها حالة الفراغ في الحوكمة. فالمسؤولية تنتقل بعيدًا عن المورّد والمنظِّم والحكومة إلى المطوّر اللاحق، والمواطن المخترَق، والسكان المقطوعين عن الشبكة، والمشرّع المعارض، وتطبيق المراسلة المنسحب، والمستخدم.

والنماذج المضادة هذا الأسبوع محدَّدة.

فقد رقّعت LiteLLM معالجتها لأوامر MCP في 21 أبريل بقائمة بيضاء صريحة — npx و uvx و python و python3 و node و docker و deno — وتحقّق عبر Pydantic، واشتراط أن يكون تسجيل الخوادم للمشرفين فقط. وعاملت المشروعُ الثغرةَ بوصفها مسؤوليته هو، لا مسؤولية المورّد الأعلى. تلك هي المسؤولية المعمارية في عصر السلوك المتوقَّع: حين يمتنع البروتوكول عن الفعل، يفعل الطرف اللاحق على أي حال. واتخذت DocsGPT و Bisheng القرار نفسه. أما المشاريع غير المُرقَّعة — Windsurf و LangChain-Chatchat و Fay و Agent Zero و Upsonic و Flowise و GPT Researcher و MCP Inspector و LangFlow — فهي كلفة التتابع في الأسبوع الجاري. وتاريخ ترقيع كل مشروع منها هو جوابه على ما إذا كان يقبل بـ"expected" الذي أعلنته Anthropic أرضيةً للحوكمة.

والتزامات Signal و Proton و Tuta و Threema بالانسحاب من الاتحاد الأوروبي هي النموذج المضاد الآخر. فحين يحاول المنظِّم أن يهندس التنازل داخل الشيفرة، يسحب المورّد الميزة بدلًا من أن يتنازل. ويبقى الموقف المعماري محفوظًا في أماكن أخرى. وأضافت Tuta حركة ثانية — دعوى قضائية ضد الاتحاد الأوروبي — ترفض القبول بالانسحاب بوصفه الخيار الوحيد.

وسحب Apple للحماية المتقدمة للبيانات من المملكة المتحدة هو الموقف نفسه على مستوى العتاد والسحابة.

أما الـ50,000 طرفية Starlink العاملة داخل إيران في مواجهة قانون يعاقب بالإعدام، والـ9.6 مليون مستخدم إيراني يومي لـ Psiphon، وعبور السوق السوداء للإنترنت عبر Kapıköy — فهي النموذج المضاد لدى المستخدم. لم ينتظر السكان جدول النظام الزمني. بل بنوا جدولهم.

والنواب الجمهوريون العشرون الذين صوّتوا ضد اللائحة الإجرائية «النظيفة» للمادة 702 في 17 أبريل هم النموذج المضاد المؤسسي. Jim Jordan أعلن أن الأمر متوقَّع. وعشرون قالوا لا.

والبرلمان الأوروبي، في 26 مارس، رفض تمديد Chat Control 1.0 بـ311 مقابل 228. ذلك هو النموذج المضاد لدى المواطن والبرلمان. أما انعطافة المجلس اللاحقة تحت الرئاسة الدنماركية بإسقاط تفويض الفحص فهي الأثر السياسي؛ وتصويت البرلمان هو القرار المعماري.

حزمة النشر

بالنسبة إلى المستخدم، السؤال ليس أي نموذج مضاد يستحق التصفيق. السؤال هو أي حزمة معمارية يجب نشرها.

مفاتيح بحوزة المستخدم. Signal و Proton و Tuta و Threema و Apple iMessage مع الحماية المتقدمة للبيانات خارج المملكة المتحدة، و Matrix مع مفاتيح موقَّعة تبادليًا لكل جهاز. فالمورّد لا يمكن إجباره على إنتاج ما لا يملكه. والموقف المعماري هو الرفض المبدئي، وهو فعّال تجريبيًا: فحين يختبر المنظِّم المعمارية، يسحب المورّد الميزة بدلًا من أن يفرّط في المفتاح.

الاتصالات الاتحادية. Matrix في 35 دولة، وفي الجيش الألماني Bundeswehr، وفي NATO CCDCOE، وقيد التقييم لدى المفوضية الأوروبية. Bluesky عند 42 مليونًا. Mastodon عند 10 ملايين. فالوضع الافتراضي أحادي المشغّل له بديل اتحادي بشبكته الخاصة وجمهوره الخاص ومنظومته التجارية الخاصة. والاتحادية تعني أن خيار الإشراف قابل للتركيب، وأن مسار الهجرة قابل للنقل، وأن نقطة الفشل الوحيدة غائبة معماريًا.

هوية بحوزة المستخدم. محافظ eIDAS 2.0 بحلول 31 ديسمبر 2026 في كل دولة عضو في الاتحاد الأوروبي. France Identité بالنسبة إلى فرنسا. وتطبيق التحقق من العمر المرجعي في الاتحاد الأوروبي، الجاهز تقنيًا في 15 أبريل. والإفصاح الانتقائي — إثبات تجاوز 18 عامًا دون مشاركة الاسم، وإثبات الجنسية دون مشاركة تاريخ الميلاد — هو النقيض المعماري لبوابة ANTS. فالمحفظة تخزّن بيانات الاعتماد على جهاز المستخدم؛ والطرف المعتمِد لا يعرف إلا ما يختار المستخدم الإفصاح عنه. ومهلة ديسمبر هي واحدة من أسرع انتقالات معمارية بيانات الاعتماد في تاريخ الحوكمة الرقمية الأوروبية.

النقل من النِّدّ للنِّدّ. مرحّل URnetwork عبر العُقد المنزلية. و Tor و Psiphon و Outline و Shadowsocks و V2Ray و Trojan و NaïveProxy و Tor Snowflake. و WireGuard بوصفه معيار شبكات VPN الاستهلاكية عند 94 بالمئة. وشبكات VPN اللامركزية تنمو 140 بالمئة سنويًا. فالنقل الذي يلتف حول طبقة الناقل هو جواب الطبقة الأولى على امتناع الطبقة الأولى. وإيران هي الاختبار الصعب الحالي. وروسيا هي اختبار الضغط الزاحف. والاستجابة المعمارية متطابقة في الحالتين؛ والضغط اليومي مختلف.

وكلاء مستضافون ذاتيًا. LangChain مع معالجة MCP معقَّمة. LlamaIndex مع TrustedAgentWorker. Ollama للاستدلال المحلي. ومجتمع MCP الاتحادي معمارية موازية لمعمارية Anthropic أحادية المشغّل. والترقيعات اللاحقة (ترقيع LiteLLM في 21 أبريل) هي المعمارية الجسر إلى أن تلحق الحوكمة الاتحادية بالركب. وحزمة أدوات حوكمة الوكلاء من Microsoft (2 أبريل) إسهام في أمن وقت التشغيل.

برمجيات ثابتة مفتوحة على عتاد المستخدم. Klipper و Marlin و Duet على الطابعات ثلاثية الأبعاد في مواجهة مشروع قانون Part C في نيويورك لتصفية البرمجيات الثابتة. و OpenWRT على الموجّهات. و Lineage OS و GrapheneOS على الهواتف حيث يسمح العتاد. فجهاز المستخدم يشغّل شيفرة يستطيع المستخدم فحصها. والبرمجيات الثابتة التي تفرضها الدولة على المورّد قابلة للاستبدال ببرمجيات المجتمع المدقَّقة مجتمعيًا. الجهاز جهاز المستخدم.

كل طبقة من هذه الطبقات تُشحن اليوم. ولا واحدة منها هي الوضع الافتراضي. وقرار النشر هو المعمارية، والمعمارية هي الجواب على مفردات الحوكمة.

ما العمل

إن كنت تشغّل وكيل ذكاء اصطناعي أو مساعِد برمجة: دقّق في تعرّضك عبر MCP. فمجموعة ترقيعات LiteLLM (v1.83.7-stable) هي قالب هذا الأسبوع للتعقيم عند الطبقة اللاحقة. وإن كانت حزمتك تشمل Windsurf أو Cursor أو LangFlow أو Flowise أو Agent Zero أو Upsonic أو GPT Researcher أو MCP Inspector، فرقّع أو استبدل. وانشر MCP اتحاديًا — سجلًّا داخليًا للمؤسسة من الخوادم المدقَّقة مع توقيع موثَّق مجتمعيًا — لأي عبء عمل وكيلي يكون فيه نطاق الضرر مهمًّا.

إن كنت مقيمًا في فرنسا أو مواطنًا أوروبيًا عمومًا: اختراق ANTS لا يستدعي إجراءً يتجاوز الوعي به. فمكتب Nuñez سيُخطر بالبريد العادي أو الإلكتروني. والخط الساخن للإبلاغ عن الاحتيال 0 805 805 817 هو مسار الإبلاغ الحكومي الفرنسي. وانتبه للتصيّد الموجّه المبني على معرّف دخولك في ANTS أو بريدك الإلكتروني أو تاريخ ميلادك تحديدًا. ولا تثق برسائل ants.gouv.fr التي تصلك في الأسابيع المقبلة دون التحقق منها عبر قناة خارجية. وفعّل المصادقة الثنائية على ANTS. ومع توفّر France Identité ومحفظة eIDAS 2.0، انتقل إليهما.

إن كان لديك أهل أو مصالح في إيران: الانقطاع في يومه 54 دون تاريخ انتهاء معلن. و VPN و Psiphon و Shadowsocks و V2Ray و Tor Snowflake ومرحّل URnetwork من النِّدّ للنِّدّ هي الأدوات المتاحة على مستوى المستخدم. و Starlink يحمل خطر عقوبة الإعدام. وقصة NPR هي الحقيقة الميدانية الراهنة: استجابة السكان صامدة وبارعة ومكلفة وغير مستدامة عند كلفتها الحالية.

إن كنت تشغّل تطبيق مراسلة مشفَّرًا أو تستخدمه: الحوار الثلاثي بشأن Chat Control 2.0 يُستأنف في 4 مايو. و Signal و Proton و Tuta و Threema ملتزمة معماريًا. ووضع الإشعار الثاني لدى Apple في المملكة المتحدة هو القالب لكيفية ظهور ضغط الدولة في موقف أقل مواجهةً — اسحب الميزة، واحفظ المعمارية. والمستخدمون ذوو العناوين البريطانية بلا حماية متقدمة للبيانات أصلًا. والمستخدمون ذوو العناوين الأوروبية في نافذة اثني عشر يومًا حتى الدرجة التالية.

إن كنت شخصًا أمريكيًا: مهلة المادة 702 في 30 أبريل تبعد ثمانية أيام. ومجلس الشيوخ سينشئ ما عجز مجلس النواب عن تمريره «نظيفًا». وراقب نصّي GSRA و SAFE Act — فهما الأداتان الإصلاحيتان. ومعماريات المفاتيح بحوزة المستخدم والنقل من النِّدّ للنِّدّ إجراءات تخفيف بصرف النظر عن التصويت.

إن كنت تشغّل بنية تحتية: الامتثال لـ eIDAS 2.0 (31 ديسمبر 2026 لتوفّر المحافظ)، والتزامات الموجة الثانية من DSA (تبدأ عمليات التدقيق في يناير 2027)، ونافذة حسن النية في DSP التي تُغلق في 8 يوليو، وبدء الإنفاذ في 6 أكتوبر. تقاويم الامتثال متزامنة. خطّط على هذا الأساس.

حالة الفراغ في الحوكمة هي موقف 2026 لدى صنّاع القرار الذين يفضّلون إعلان النتائج متوقَّعة على أن يصمّموا ضدها. وهي ليست موقف المستخدم. ولا يجب أن تكون موقف الحزمة. فكل تطبيق مراسلة اتحادي منشور، وكل تشفير بمفاتيح بحوزة المستخدم، وكل محفظة إفصاح انتقائي، وكل عقدة نقل من النِّدّ للنِّدّ، وكل مشروع MCP لاحق مُرقَّع، وكل حمولة برمجيات ثابتة مدقَّقة مجتمعيًا، وكل صوت ضد إعادة تفويض «نظيفة» — هو الاستجابة المعمارية.

"expected" هي حالة الفراغ في الحوكمة. أما المسؤول فهو المعمارية التي تختارها.

فتح منتدى حوكمة Aave على النشاط مع فجر المحيط الهادئ الأمريكي صباح الثلاثاء 21 أبريل. وقد حدّد تقرير الحادثة المكوَّن من 26 صفحة، الذي نشرته Llamarisk واثنتان من الجهات الشريكة لتقديم خدمات المخاطر مساء اليوم السابق، الخيارَ المحدد الذي يتعيّن على Aave DAO اتخاذه، وطرحه بوصفه ثنائيةً ذات عواقب هائلة عند كل قطب.

السيناريو الأول: تعميم الخسارة. فقد أنتج الاستغلال 112,204 من rsETH غير المدعومة — أي رموزًا موجودة على السلسلة لكن لا يقابلها دعم من ETH في خزنة Kelp، لأن المهاجم سحب ذلك ETH عبر جسر LayerZero المخترَق. فإذا قرّرت Kelp DAO توزيع ذلك المعروض غير المدعوم بالتساوي على إجمالي rsETH المتداول، امتصّ كل حامل لـ rsETH فكّ ارتباط بنسبة 15.12 بالمئة — بمن فيهم حاملو الشبكة الرئيسية لـ Ethereum الذين لم يقتربوا قط من جسر الطبقة الثانية الذي جرى استغلاله. وعلى Aave تحديدًا، يُنتج ذلك ديونًا معدومة تُقدَّر بـ 123.7 مليون دولار، مع وقوع أكبر ضربة مطلقة، وقدرها نحو 91.8 مليون دولار، على سوق Ethereum Core لـ rsETH.

السيناريو الثاني: عزل الخسارة. فإذا قرّرت Kelp DAO أن rsETH غير المدعومة ينبغي أن تتركّز في أسواق الطبقة الثانية المحددة التي عمل فيها الجسر، تحمّل مجمّع rsETH على Mantle عجزًا في WETH بنسبة 71.45 بالمئة، وتحمّل مجمّع rsETH على Arbitrum عجزًا بنسبة 26.67 بالمئة. ويستمر rsETH على Ethereum Core في التداول بقيمته الكاملة. وترتفع ديون Aave المعدومة في هذا السيناريو إلى 230.1 مليون دولار، مركَّزة على نشرَي Aave على Mantle و Arbitrum.

وبين السيناريوهين تقع فجوة فلسفية قدرها 106.4 مليون دولار. فتعميم الخسارة مبدأ «مشاع المستخدمين»: كل حاملي rsETH ينتفعون بوجود البروتوكول ويتحمّلون المخاطر النظامية بالتناسب. وعزل الخسارة مبدأ مسؤولية فردية: فالمستخدمون الذين اختاروا انكشافًا أعلى خطرًا على الطبقة الثانية قبلوا مخاطرة أعلى ويتحمّلون العاقبة المركَّزة. وليس أيٌّ من المبدأين صحيحًا على نحو قاطع. وكلاهما قابل للدفاع عنه. وسيرسي تصويت Aave — وتصويت Kelp الذي يسبقه ويشترطه — سابقةً لكيفية تعامل التمويل اللامركزي مع توزيع الخسائر الكارثية في المستقبل.

وصندوق أدوات التعافي لدى Aave هو نفسه متعدد المستويات. فقد كانت خزينة الـ DAO تحتفظ بمبلغ 181 مليون دولار من رأس المال القابل للنشر بحسب تقرير 20 أبريل، وهو مركز متاح للنشر التقديري عبر تصويت حوكمة. أما وحدة الأمان (Safety Module) لدى Aave — أي مجمّع التأمين المدعوم من المكدِّسين، حيث يقبل حاملو AAVE و ABPT مخاطر الاقتطاع العقابي (slashing) مقابل عائد — فقد كان حجمها نحو 500 مليون دولار قبل الحادثة، بسقف اقتطاع عقابي نسبته 30 بالمئة يُترجَم إلى نحو 150 مليون دولار كحدّ أقصى لامتصاص الخسائر. ويبقى إصدار الرموز، الذي من شأنه أن يخفّف حصص جميع حاملي AAVE لتمويل التعويض، خيارَ حوكمة نظريًا. وشركاء المنظومة — صنّاع السوق، وكبار حاملي USDT و USDC، والكيان التجاري Aave Companies، وربما Tether — يوصفون في التقرير بأنهم بصدد "securing indicative recovery commitments" — أي «تأمين التزامات تعافٍ استرشادية». وصندوق الأدوات مجتمعًا، إن نُشر على نحو ملائم، قادر على استيعاب نتيجة السيناريو الأول أو السيناريو الثاني. والسؤال الحوكمي هو: أيّ توليفة؟

سابقة Drift

قبل تقرير حادثة Kelp بأربعة أيام، في 16 و 17 أبريل، دخلت معمارية تعافٍ مختلفة حيّز التشغيل. فقد التزمت Tether بمبلغ 127.5 مليون دولار من خطة تعافٍ لبروتوكول Drift مجموعها 150 مليون دولار، عقب استغلال ذلك البروتوكول في 1 أبريل — وهو الهجوم المنسوب بثقة متوسطة إلى الوحدة الفرعية الكورية الشمالية نفسها TraderTraitor التي استغلّت Kelp لاحقًا. ولم تكن البنية تأمينًا ولا إنقاذًا مباشرًا. فخطّ ائتمان مرتبط بالإيرادات قدره 100 مليون دولار يقدّم سلفة رأسمالية مقابل إيرادات تداول Drift المستقبلية؛ ومنح المنظومة تموّل مجمّعًا مخصصًا لتعافي المستخدمين؛ وقروض لصنّاع السوق تعيد تشغيل السيولة. وينتقل أصل التسوية الأساسي لدى Drift من USDC إلى USDT، بما ينقل 128,000 مستخدم و 35 فريقًا من فرق المنظومة إلى تداول قائم على USDT. ويهدف الترتيب إلى استرداد نحو 295 مليون دولار من خسائر المستخدمين على مدى نافذة سداد تمتد سنوات، رهنًا بحجم تداول Drift بعد إعادة الإطلاق.

والبنية جديدة في التمويل اللامركزي. فحماية الخسارة غير الدائمة لدى Bancor V3 في 2022 كانت تأمينًا داخليًا للبروتوكول جرى تصفيته بعد أن تجاوزت الخسائر الاحتياطيات. وتغطية Nexus Mutual المجمّعة عملت على نطاق من 5 إلى 20 مليون دولار. أما التزام Tether تجاه Drift فهو أول نشر لمُقرِض ملاذ أخير من القطاع الخاص بمبلغ من تسعة أرقام في التمويل اللامركزي. وهو يرسي سابقة. ويرسي كذلك Tether، وظيفيًا، بوصفها فئة جديدة من الفاعلين في السوق.

نظير ج. ب. مورغان 1907

أقرب نظير تاريخي ليس هو الاحتياطي الفيدرالي ولا مصرفًا تجاريًا. إنه ذعر 1907 والتدخّل الخاص لـ ج. ب. مورغان الأب. ففي أكتوبر 1907، بينما كان تهافت متتالٍ على المصارف يهدد النظام المالي في نيويورك، جمع مورغان مصرفيي نيويورك في مكتبته بشارع وول ستريت والتزم شخصيًا بمبلغ 25 مليون دولار من الائتمان لتثبيت الأطراف المقابلة لشركة Knickerbocker Trust ومنع عدوى أوسع. وقدّمت وزارة الخزانة الأمريكية رأس مال سند ثانويًا. كان مورغان فردًا خاصًا يعمل بوصفه مُقرِض ملاذ أخير خاصًا. وقد ثبّت تدخّله السوق في تلك اللحظة. لكنه كشف أيضًا قصور التثبيت الخاص المرتجل بوصفه معمارية، وبعد ست سنوات، في 1913، أنشأ الكونغرس الاحتياطي الفيدرالي بوصفه مُقرِض الملاذ الأخير المؤسسي، بتفويض من الكونغرس، وإقراض عبر نافذة الخصم، ومتطلبات احتياطي.

وتحتلّ Tether في أبريل 2026 دور ج. ب. مورغان 1907 بالنسبة إلى التمويل اللامركزي. فقد أعلن الكيان أرباحًا تبلغ نحو 13 مليار دولار عن 2025، وادّعى احتياطيات مصدَّقًا عليها تبلغ نحو 193 مليار دولار، وهي قدرة تكفي لنشر رأس مال تعافٍ يتجاوز 100 مليون دولار في غضون أيام. والدافع التجاري واضح: توسيع حصة USDT في السوق على حساب Circle، والتموضع بوصفها بنية تحتية نظامية للتمويل اللامركزي، وكسب رصيد سياسي لتعاملات تنظيمية مستقبلية. والبنية مرتجلة: Tether اختارت Drift؛ ولم تختر Tether (علنًا، حتى لحظة كتابة هذه السطور) Kelp؛ ولا تزال معايير الاختيار تجارية-استراتيجية لا نظامية. والموقف التنظيمي معتم: فـ Tether تعمل من السلفادور، وقد نازعت وسوّت تحقيقات تنظيمية أمريكية متعددة دون إشراف رسمي من بنك مركزي.

وليس شيء من هذا سيئًا بالضرورة. فتدخّل مورغان في 1907، على كل ما فيه من طابع غير رسمي، أوقف ذعرًا ماليًا لم تستطع المؤسسات العامة آنذاك إيقافه. وما كشفه تدخّل مورغان في 1907 هو قصور المعمارية، ثم أضفى الاحتياطي الفيدرالي في 1913 الطابع الرسمي على بديل عام. ومسار دور Tether في 2026 هو المسار نفسه. وسواء وصل إضفاء الطابع الرسمي بحلول 2028 عبر المرحلة الثانية من MiCA في الاتحاد الأوروبي، أو بحلول 2030 عبر تنظيم فيدرالي أمريكي لأسواق العملات المشفَّرة، أو بحلول 2032 عبر توليفة ما من إجراءات على مستوى الولايات وتنسيق دولي — فالوجهة على الأرجح إطار رسمي يكون فيه دور Tether الخاص إما مُزاحًا بمُقرِض ملاذ أخير عام مكافئ أو منظَّمًا إلى جانبه. والسنوات الفاصلة هي الفترة الهجينة معماريًا.

شلال المساءلة

أنتج استغلال Kelp شلال مساءلة محددًا يكشف كيف تتوزّع الخسارة المتبقية في التمويل اللامركزي. ففي أعلى الشلال يقف المهاجم — أي الوحدة الفرعية TraderTraitor داخل مجموعة Lazarus، كما أسندت LayerZero علنًا يوم الاثنين — وهو الذي نجح في إزالة 292 مليون دولار من اقتصاد المستخدمين وأضاف تلك الأموال إلى السجل التراكمي التاريخي لسرقة كوريا الشمالية للعملات المشفَّرة البالغ 6.75 مليار دولار، وهو السجل الذي يموّل برامج الأسلحة النووية والصواريخ الباليستية. ولا توجد آلية استرداد تصل إلى كوريا الشمالية. وكل دولار لاحق من توزيع الخسارة يقع بين أطراف على جانب المدافعين.

وتملك Kelp DAO البروتوكول الذي تدفّق عبره الهجوم. وعلى حوكمتها أن تقرّر كيف توزّع 112,204 من rsETH غير المدعومة بين أصحاب المصلحة فيها — السيناريو الأول أو السيناريو الثاني. ويؤثر القرار في حاملي rsETH مباشرةً، وفي حاملي رمز KELP عبر الأثر السمعي والحوكمي، وفي البروتوكولات اللاحقة التي تقبل rsETH كضمانة.

وشغّلت LayerZero بنية المراسلة عبر السلاسل التي أتاح إعداد المتحقق الواحد من واحد فيها وقوع الهجوم. ونسب تحليل LayerZero لما بعد الحادثة يوم الاثنين قرارَ الإعداد إلى Kelp، مشيرًا إلى أن وثائق التكامل والمراسلات المباشرة أوصت بإعداد متعدد المتحققين. أما ردّ Kelp، المنشور خلال ساعات، فأكّد أن المتحقق الواحد من واحد كان هو الوضع الافتراضي لدى LayerZero وأن المتحقق الذي اختُرق كان LayerZero Labs نفسها. ولا يزال النزاع دون حسم؛ وسؤال المساءلة معلّق.

وقبلت Aave V3 رمز rsETH كضمانة بمعامِلات السوق، وهي تتحمّل ديونًا معدومة تتراوح بين 123.7 مليون دولار و 230.1 مليون دولار بحسب قرار التعميم لدى Kelp. ويتحمّل المكدِّسون في وحدة الأمان لدى Aave مخاطر الاقتطاع العقابي؛ ويتحمّل حاملو رمز AAVE مخاطر تخفيف الحصص عبر إصدار رموز محتمل. وتحتفظ خزينة Aave DAO بمبلغ 181 مليون دولار للنشر المحتمل. والتنسيق بين البروتوكولات مع Compound و Fluid و SparkLend و Euler وعدة بروتوكولات إقراض أصغر (جمّدت كلها أسواق rsETH لديها خلال 48 ساعة من استنزاف Kelp) يحدّ من الضرر لكنه لا يعكسه.

أما المستخدم — أي المودع الذي وضع rsETH على Aave، أو الحامل المباشر لـ rsETH على Kelp — فيقع في قاع الشلال. ففي التمويل التقليدي، يكون المودع المكافئ في قمة تراتبية الحماية، مع تأمين ودائع من المؤسسة الفيدرالية للتأمين على الودائع (FDIC) يصل إلى 250,000 دولار، وتنظيم لإفلاس المصارف يعطي أولوية لاسترداد المودعين قبل المساهمين أو الدائنين الأدنى رتبة أو حاملي السندات غير المضمونة. وفي التمويل اللامركزي اليوم، يأتي المستخدم في مرتبة أدنى من حوكمة البروتوكول، وقرارات حاملي الرموز، وتقدير شركاء المنظومة. والاسترداد جزئي، ومتأخر زمنيًا، ومرهون بنتائج حوكمة لم يصوّت عليها المستخدم.

وهذا الانقلاب — المستخدم بوصفه الأدنى رتبة في التمويل اللامركزي مقابل المستخدم بوصفه الأعلى رتبة في التمويل التقليدي — هو الشذوذ البنيوي. ومعمارية التعافي الناشئة في أبريل 2026 تعالج هذا الانقلاب تدريجيًا، لكن لا على نحو كامل ولا على نحو رسمي.

مفردات الأزمة

لأزمة المصارف التقليدية مفرداتها: الإنقاذ الخارجي (bailout)، والإنقاذ الداخلي (bail-in)، والاقتطاع (haircut). وكلٌّ منها يصف آلية محددة لتوزيع الخسارة.

الإنقاذ الخارجي: ضخّ رأس مال من الخارج. إذ يقدّم كيان عام أو خاص من خارج المؤسسة المتعثّرة رأس مال لتغطية الخسائر واستعادة الملاءة. برنامج TARP الأمريكي في 2008-2009 (700 مليار دولار)، وإنقاذ RBS البريطاني في 2008، وإنقاذ UBS السويسري في 2008. والمكافئ في التمويل اللامركزي: التزام Tether تجاه Drift. رأس مال خارجي من طرف ليس هو Drift.

الإنقاذ الداخلي: خسائر يتحمّلها أصحاب المصلحة في المؤسسة المتعثّرة. المساهمون أولًا (يُمحون)، ثم الدائنون الأدنى رتبة ثانيًا (يُحوَّلون أو يُمحون)، ثم الدائنون غير المضمونين ثالثًا (اقتطاع جزئي). توجيه الاتحاد الأوروبي BRRD (توجيه إنعاش المصارف وحلّها) لعام 2014، وقبرص 2013. والمكافئ في التمويل اللامركزي: الاقتطاع العقابي في وحدة الأمان لدى Aave. فالمكدِّسون لـ AAVE يتحمّلون الاقتطاع العقابي لتغطية الديون المعدومة؛ وحاملو AAVE يتحمّلون تخفيف الحصص عبر الإصدار.

الاقتطاع: خسارة جزئية على الودائع أو المطالبات. يخسر المودع نسبة مئوية من مطالبته. اقتطاعات الودائع المصرفية في اليونان 2015 أثناء ضوابط رأس المال. والمكافئ في التمويل اللامركزي: تعميم السيناريو الأول لدى Kelp. إذ يمتصّ حاملو rsETH فكّ ارتباط بنسبة 15.12 بالمئة بالتناسب.

والنمط موضِّح. فردّ التمويل اللامركزي في أبريل 2026 يجمع بين الإنقاذ الخارجي (Tether إلى Drift) + الإنقاذ الداخلي (الاقتطاع العقابي في وحدة الأمان لدى Aave) + الاقتطاع (احتمال التعميم لدى Kelp) + إعادة هيكلة دين غير رسمية (ائتمان مرتبط بالإيرادات). المفردات تنطبق؛ والآليات تنشأ في الوقت الحقيقي؛ والإطار الرسمي غير موجود بعد.

ملاحظة محددة واحدة: في المصرفية التقليدية، تنتهي تراتبية الإنقاذ الداخلي عند المودعين غير المضمونين فوق حدّ أدنى قانوني، هو عادةً 100,000 يورو في الاتحاد الأوروبي أو 250,000 دولار في الولايات المتحدة. ولا يملك التمويل اللامركزي حدًّا أدنى مكافئًا لحماية المودعين. فآليات أبريل 2026 توزّع الخسارة دون حدّ أدنى لحماية المستخدم. وهذه هي أكبر فجوة معمارية منفردة بين إطار التعافي الناشئ في التمويل اللامركزي والإطار الناضج في التمويل التقليدي.

التجميد بين البروتوكولات

ضرب استغلال Kelp عند الساعة 17:35 بالتوقيت العالمي المنسّق يوم السبت 18 أبريل. وجمّدت محفظة التوقيع المتعدد للإيقاف الطارئ لدى Kelp عقود البروتوكول الأساسية عند الساعة 18:21 بالتوقيت العالمي المنسّق، أي بعد ستٍّ وأربعين دقيقة. وجمّدت Aave أسواق rsETH على V3 و V4 عبر كل نشرها قبل عصر الأحد. وتبعتها Compound و Fluid و SparkLend و Euler ونحو أربعة بروتوكولات إقراض أصغر إضافية خلال 24 ساعة. وإجمالًا نفّذت تسعة بروتوكولات إيقافات طارئة منسّقة على أسواق rsETH خلال 48 ساعة من الاستنزاف الأولي.

وهذا، بمعايير عمليات الاستغلال السابقة في التمويل اللامركزي، سريع. فاستنزاف جسر Ronin في 2022 أنتج ردًّا منسّقًا على مدى نحو أسبوع. واختراق Bybit في 2025 استدعى إجراءً على مستوى المنصات أسرع من الإجراء على مستوى التمويل اللامركزي. أما الإيقاف الطارئ لدى Kelp خلال 46 دقيقة، مضافًا إليه التنسيق اللاحق بين البروتوكولات، فيمثّل تحسّنًا قابلًا للقياس في قدرة التمويل اللامركزي على الاستجابة للأزمات.

وآلية التنسيق غير رسمية: قنوات Discord بين الفرق، وخيوط على Twitter، ومجموعات Telegram، واتصال مباشر بين فرق المخاطر. ولا توجد هيئة قطاعية رسمية للاستجابة لأزمات التمويل اللامركزي. فللمصارف FS-ISAC (مركز تبادل وتحليل معلومات الخدمات المالية). ولشبكة الكهرباء E-ISAC. وللرعاية الصحية H-ISAC. أما التمويل اللامركزي فلا. وكان تنسيق أبريل 2026 فعّالًا لكنه مرتجل، معتمدًا على حسن النية وسرعة استجابة فرق البروتوكولات فرادى لا على أي بنية مؤسسية. والتنسيق من الجيل التالي — أي DeFi-ISAC أو ما يعادله — فجوة يمكن تحديدها في المعمارية.

نزاع الوضع الافتراضي بين LayerZero و Kelp

بموازاة سؤال توزيع الخسارة بين Aave و Kelp يجري نزاع الإعداد الافتراضي بين LayerZero و Kelp. فقد ألقى تحليل LayerZero لما بعد الحادثة يوم الاثنين باللوم على إعداد المتحقق الواحد من واحد لدى Kelp، مؤكّدًا أن وثائقها كانت قد أوصت بإعداد متعدد المتحققين. أما ردّ Kelp فأكّد أن الواحد من واحد كان هو الافتراضي الذي شحنته LayerZero وقت تكامل Kelp، وأن المتحقق المحدد الذي اختُرق كان البنية التحتية الخاصة بـ LayerZero Labs نفسها.

والنزاع الوقائعي مهم لأنه يحدّد من يتحمّل المسؤولية المعمارية عن تمكين الاستغلال. فإذا كانت LayerZero قد شحنت الواحد من واحد بوصفه الإعداد الافتراضي، وكانت ممارسة القطاع في الانضمام إلى الجسور تقبل الافتراضات، فإن افتراضًا يكون في الوقت نفسه غير آمن هو عمليًا إعداد غير آمن لأكثر من 80 بالمئة من العملاء. وسابقة AWS S3 لعام 2018 مفيدة هنا: فقد شحنت خدمة التخزين السحابي لدى Amazon حاوياتها عامةً افتراضيًا طوال اثنتي عشرة سنة حتى 2018، وخلال تلك المدة كشفت اختراقات متعددة (Verizon 2017، و Accenture 2017، و Time Warner 2017، وكثير غيرها) مئات الملايين من السجلات. وفي 2018 قلبت AWS الافتراضي إلى خاص، معترفةً ضمنًا بأن العملاء لن يحيدوا عن الافتراضات على نطاق واسع، وبأن الافتراضات غير الآمنة أنشأت عمليًا مسؤولية على المورّد عن الاختراقات اللاحقة.

وسيحدّد مسار LayerZero بعد Kelp ما إذا كانت السابقة نفسها تنطبق. فقد رُصدت تحديثات على طبقة الوثائق في هدوء منذ تحليل ما بعد الحادثة في 20 أبريل. وأما ما إذا كانت LayerZero ستقلب رسميًا الافتراضي المشحون إلى متعدد المتحققين بوصفه المعيار الجديد — وما إذا كان مشغّلو الجسور الكبار الآخرون (Wormhole و Axelar و Chainlink CCIP وغيرهم) سيتبعون — فهو سؤال عامل الدفع. و Kelp هي لحظة AWS S3 لعام 2018 في نسختها 2026 بالنسبة إلى جسور التمويل اللامركزي. وردّ القطاع لم يأتِ بعد.

المعمارية الهجينة

ما ينشأ عبر أبريل 2026 يمكن وصفه صراحةً. فالتمويل اللامركزي يبني معمارية لامركزية عند الطبقة المواجهة للمستخدم (عقود ذكية، وحفظ ذاتي، وبروتوكولات ندّ لندّ، وواجهات أمامية مفتوحة المصدر، وتركيبية دون إذن) ومركزية عند طبقة المخاطر النظامية (مُقرِض ملاذ أخير من القطاع الخاص متمثّل في Tether، واتحادات إنقاذ انتقائية من المنظومة، وتأمين داخلي للبروتوكول عبر وحدات الأمان، وتنسيق غير رسمي بين البروتوكولات عبر فرق المخاطر).

والهجين ليس مُرضيًا فلسفيًا لمن بنوا التمويل اللامركزي في 2020 على توقّع لامركزية كاملة تشمل المخاطر النظامية. وهو كذلك ليس مكتملًا بنيويًا لمن يتوقّعون بنية تحتية للمخاطر النظامية منظَّمة وشفافة وخاضعة للمساءلة بالمعنى المعروف في التمويل التقليدي. إنه شكل انتقالي، ناشئ عن اصطدام معمارية التمويل اللامركزي اللامركزية بالفطرة باصطدام التمويل اللامركزي بخصوم من الفاعلين الحكوميين على نطاق 500 مليون دولار شهريًا.

وللهجين نقاط قوة حقيقية. فـ Tether تنشر رأس مال التعافي أسرع مما تستطيعه أي مؤسسة منظَّمة. وعملية الحوكمة لدى Aave تستجيب في أسابيع، مقارنةً بشهور أو سنوات للإجراء التنظيمي. والتنسيق بين البروتوكولات عبر Discord يتحرّك بسرعة تواصل المطوّرين، لا بسرعة المذكّرات البيروقراطية. وبالنسبة إلى وتيرة إيقاع الهجوم — إذ شهد أبريل 2026 ثلاث عمليات استغلال كبرى في ثلاثة أسابيع — تكون سرعة استجابة المعمارية الهجينة ميزة.

وللهجين نقاط ضعف بنيوية. فـ Tether نقطة واحدة لمخاطر الطرف المقابل، واستقرارها هي نفسها سؤال نظامي في التمويل اللامركزي. والسند الانتقائي (Drift حصلت على Tether؛ وقد لا تحصل Kelp) يُنتج خطرًا أخلاقيًا على مستوى البروتوكول. وغياب حدّ أدنى رسمي لحماية المستخدم يعني أن الخسارة المتبقية تتوزّع على الطرف الأقل اطّلاعًا. والتنسيق المرتجل لا يمكن أن يتوسّع ليواكب الإيقاع الخصومي المصنَّع لتهديد الفاعلين الحكوميين. والفجوة بين قدرة القطاع الخاص على الاستجابة وإطار المساءلة العامة تتّسع، لا تضيق.

المسار التنظيمي

دخلت MiCA — أي لائحة الاتحاد الأوروبي لأسواق الأصول المشفَّرة — حيّز النفاذ الأولي في 2024 وهي تدخل الآن مرحلتها الخاصة بالتمويل اللامركزي. ويُتوقّع أن تتضمّن أحكام المرحلة الثانية من MiCA لعام 2027، وهي حاليًا في صيغة مسودة عبر مشاورات ESMA، متطلبات رأس مال على جهات إصدار العملات المستقرة عند مستويات أعلى ماديًا من ممارسة القطاع الحالية، وإلزامات تأمين لبروتوكولات التمويل اللامركزي بالنسبة إلى عمليات الحفظ المواجهة للمستخدم، ومتطلبات تنسيق عابر للحدود بالنسبة إلى الأنشطة المجاورة لمنصات التداول.

وفي الولايات المتحدة، تبقى الصورة التنظيمية مجزّأة. فتراجع الإنفاذ لدى هيئة الأوراق المالية والبورصات (SEC) في يوليو 2025 في عهد إدارة ترامب خفّف الضغط على دعاوى الأوراق المالية في التمويل اللامركزي، لكن الإنفاذ على مستوى الولايات — دائرة الخدمات المالية في نيويورك (DFS)، وإدارة الحماية والابتكار الماليين في كاليفورنيا (DFPI) — مستمر. ولدى لجنة تداول السلع الآجلة (CFTC) سلطة تنظيمية على بعض عمليات التمويل اللامركزي لكن بطاقة استيعاب محدودة. وتواصل التجارب على مستوى الولايات — إطار DAO LLC في وايومنغ، وقواعد العملة الرقمية في كولورادو، والموقف المتساهل تجاه العملات المشفَّرة في تكساس — تباعدها عن السياسة الفيدرالية.

وتطوّر اليابان وكوريا الجنوبية وسنغافورة (MAS) وهيئة ASIC الأسترالية مواقفها التنظيمية الخاصة. والتقارب ليس مضمونًا ولا وشيكًا. غير أن أزمة أبريل 2026 تُنشئ ضغطًا سياسيًا لتطوير إطار رسمي عبر ولايات قضائية متعددة في آن واحد.

والمسار: بحلول 2028-2030، من المرجّح أن تُنتج توليفة ما من المرحلة الثانية من MiCA، والتنظيم الفيدرالي الأمريكي للعملات المشفَّرة، وتنسيق الولايات القضائية الحليفة، إطارًا رسميًا لتأمين بروتوكولات التمويل اللامركزي، ومتطلبات رأس مال جهات إصدار العملات المستقرة، وحدود دنيا لحماية المستخدم. والمعمارية الهجينة التي يبنيها في 2026 كلٌّ من Tether و Aave و Kelp وشركاء المنظومة ستكون مُدخلًا لذلك الإضفاء الرسمي، لا نقطة انتهائه.

المواءمة مع URnetwork

الأطروحة المعمارية لهيئة تحرير URnetwork عبر تغطية هذا العام — موزّعة، واتحادية، ومصدَّق عليها، ومفتوحة — تنطبق على معمارية التعافي في التمويل اللامركزي بوصفات محددة.

موزّعة: لا نقطة واحدة للمخاطر النظامية. و«Tether بوصفها فيدراليًا خاصًا» تنتهك هذا بطرق لا ينتهكها اتحاد سند اتحادي متعدد الجهات المُصدِرة. ووحدة الأمان لدى Aave أكثر توزّعًا من نموذج السند الواحد، لكنها ما زالت تركّز مخاطر الاقتطاع العقابي. والهدف المعماري هو قدرة سند اتحادية: عدة جهات إصدار للعملات المستقرة + منصات تداول كبرى + مجمّعات تأمين على مستوى البروتوكول + وافدون من التأمين المنظَّم، منسَّقون عبر إطار دائم، يسهم كلٌّ منهم في حدّ أدنى لحماية المستخدم + قدرة على حماية المؤسسات.

اتحادية: ينبغي أن يكون التنسيق بين البروتوكولات دائمًا لا مرتجلًا. أي ما يعادل DeFi-ISAC، ممولًا بمساهمات البروتوكولات، ويشغّل إجراءات استجابة طارئة دائمة، وينسّق الإجراءات بين البروتوكولات عبر آليات تحفيز آلية لا عبر خيوط Discord. فتجميد أبريل 2026 بين البروتوكولات نجح لكنه لا يمكن أن يتوسّع.

مصدَّق عليها: أوراق اعتماد قابلة للتحقق لهوية الموقّعين؛ وتصديق تعمية على نزاهة المشرفين (Sigstore، Sigsum)؛ ومسارات تدقيق شفافة لقرارات الحوكمة. وينبغي أن يكون كل إجراء بروتوكولي ذي عواقب قابلًا للتدقيق والتصديق والمراجعة من أطراف مستقلة. وينبغي أن يُنتج تصويت الحوكمة لدى Kelp سجلًا قابلًا للقراءة آليًا بهويات موقّعين مصدَّق عليها.

مفتوحة: افتراضات آمنة يشحنها المورّدون (لا نمط الواحد من واحد لدى LayerZero)؛ وحيود موثَّق مع إقرار صريح بالمخاطر؛ وسجلّات إعدادات قابلة للتدقيق من المجتمع. وينبغي أن يكون إعداد بدائيات الثقة لدى كل بروتوكول قابلًا للاستعلام علنًا، مع أنظمة تقييم على مستوى القطاع (DeFi Safety، و OpenSSF Scorecard، وما جاورهما) توفّر القابلية للمقارنة.

وهذه ليست مقترحات لآليات محددة بل مبادئ معمارية تستطيع بنية التعافي الناشئة في أبريل 2026 أن تطبّقها أو تتجاهلها. وأطروحة URnetwork هي أن المعمارية الناشئة ينبغي أن تطبّقها؛ وإلا رسّخ الشكل الهجين نقاط الضعف التي يُظهرها حاليًا.

مطلب الثلاثاء

لمستخدمي التمويل اللامركزي. دقّقوا انكشافكم على كل بروتوكول تستخدمونه. وافهموا آلية التعافي لكلٍّ منها. وفضّلوا البروتوكولات ذات أطر توزيع الخسائر الصريحة والموثَّقة على تلك ذات أنماط الارتجال الحوكمي المرتجل. واحتفظوا بانكشاف متناسب على البروتوكولات المسنودة (Drift بعد Tether) مقابل البروتوكولات غير المسنودة (Kelp قبل الحسم). وفكّروا في تغطية Nexus Mutual للمراكز التي تتجاوز عتبة تحمّلكم.

لبروتوكولات التمويل اللامركزي. رتّبوا اتفاقات شركاء السند مسبقًا قبل أن تحتاجوا إليها. وحدّدوا حجم وحدة الأمان لديكم بالقياس إلى خسارة كارثية معقولة، لا إلى اختلال معامِلات روتيني. وانشروا أقفالًا زمنية غير صفرية ومجموعات موقّعين موزّعة على مناطق زمنية. وادمجوا التوقيع المقروء في المحافظ العتادية للعمليات الإدارية. وشاركوا في قنوات التنسيق بين البروتوكولات بفاعلية لا بردّ الفعل.

لجهات إصدار العملات المستقرة. إن كنتم تلعبون دورًا نظاميًا (Tether)، فاقبلوا تبعات المسؤولية: احتياطيات أكثر شفافية، ومعايير اختيار أوضح للسند، وانخراط في الأطر التنظيمية الناشئة بدل تجنّبها. وإن كنتم تتجنّبون الدور النظامي (Circle)، ففكّروا فيما إذا كان تجنّب الانخراط النظامي استراتيجيًا أم مُضِرًّا بذاته. فالسوق يعترف بالدور؛ والتموضع مهم.

للمنظّمين. ينبغي أن تعالج المرحلة الثانية من MiCA صراحةً تأمين بروتوكولات التمويل اللامركزي + الحدود الدنيا لحماية المستخدم. وينبغي أن يتضمّن الإطار الفيدرالي الأمريكي أحكامًا مماثلة. وينبغي تطوير التنسيق الدولي (المجاورة لـ FATF، والحوار التنظيمي الثنائي بين الولايات المتحدة والاتحاد الأوروبي والمملكة المتحدة) تطويرًا نشطًا. فالفجوة بين سرعة استجابة القطاع الخاص وسرعة الإطار التنظيمي تتّسع؛ ويجب أن تزداد القدرة التنظيمية.

للمنظومة. وجود DeFi-ISAC أو هيئة تنسيق دائمة مكافئة حاجة معمارية قابلة للإثبات. ممولة بمساهمات البروتوكولات، تشغّل إجراءات الاستجابة الطارئة، وتنسّق الإجراءات بين البروتوكولات، وتعمل حلقة وصل مع المنظّمين وجهات إنفاذ القانون. ولا يستطيع فاعل واحد بناءها بمفرده؛ فالعمل الجماعي مطلوب.

القياس

أبريل 2026 هو الشهر المفصلي. ففي نحو ثلاثة أسابيع، أنتجت ثلاث عمليات استغلال كبرى في التمويل اللامركزي خمسمئة وسبعة وسبعين مليون دولار من الخسائر المباشرة، وثلاثة عشر مليار دولار من الانكماش المتتالي في القيمة الإجمالية المقفلة، وثلاثة اختراقات متمايزة لبدائيات الثقة (هوية المشرف لدى Axios، والتفويض لدى Drift، ونزاهة المتحقق لدى Kelp)، وأول نشر موثَّق لمُقرِض ملاذ أخير من القطاع الخاص على نطاق من تسعة أرقام. ومعمارية الاستجابة في طور النشوء. وإضفاء الطابع الرسمي على بُعد سنوات. والشكل الهجين هو واقع 2026.

لقد صارت Tether، وظيفيًا، الاحتياطي الفيدرالي الخاص للتمويل اللامركزي. ووحدة الأمان لدى Aave هي التأمين الداخلي للبروتوكول في الجيل التالي من التمويل اللامركزي. وتصويت التعميم المعلّق لدى Kelp هو آلية الاقتطاع من المودعين في حوكمة الـ DAO. ونزاع الوضع الافتراضي بين LayerZero و Kelp هو لحظة AWS S3 لعام 2018 بالنسبة إلى جسور التمويل اللامركزي. والتجميد بين البروتوكولات هو سليف DeFi-ISAC. وكل آلية منها محددة، ومنشورة أو قيد النشر، وعاملة لكن غير رسمية.

والسؤال المعماري للسنوات الثلاث المقبلة: هل ينضج هذا الهجين إلى إطار رسمي عام-خاص يتضمّن حدودًا دنيا لحماية المستخدم، ومؤسسات سند شفافة، وهيئات تنسيق بين البروتوكولات، ومواءمة تنظيمية عابرة للولايات القضائية؟ أم يترسّخ في معمارية مرتجلة تعتمد على حسن نية القطاع الخاص، والسند الانتقائي، والارتجال الحوكمي حالةً بحالة؟ أزمة أبريل 2026 هي عامل الدفع. والقرارات المتخذة هذا العام، والعام المقبل، تحدّد افتراضي 2028-2030.

بروتوكولك اللامركزي له سند مركزي. تلك هي الحقيقة المعمارية لعام 2026. وأما ما إذا كان ذلك السند منظَّمًا واتحاديًا وشفافًا وخاضعًا للمساءلة — أو خاصًا وانتقائيًا ومعتمًا وتجاريًا — فهو الخيار المعماري الذي يُتَّخذ في الوقت الحقيقي. وصباح 21 أبريل هو أول ثلاثاء بعد أسوأ أسبوع في التمويل اللامركزي منذ انهيار Terra في 2022. والمعمارية في طور التشكّل. وقرارات النشر تجري الآن.

يخلص التحليل الأولي الذي نشرته LayerZero يوم الاثنين 20 أبريل، بثقة متوسطة، إلى أن استغلال يوم السبت لجسر rsETH التابع لـ Kelp DAO كان من عمل الوحدة الفرعية TraderTraitor داخل مجموعة Lazarus — وهي المجموعة نفسها التي سبق أن ربطتها وزارة الخزانة الأمريكية ومكتب التحقيقات الفيدرالي و Chainalysis و TRM Labs و Elliptic بسرقة جسر Ronin البالغة 625 مليون دولار في مارس 2022، واختراق WazirX البالغ 230 مليون دولار في 2024، وسرقة منصة Bybit البالغة 1.5 مليار دولار في فبراير 2025. أما ناقل الهجوم في Kelp فكان مختلفًا عن سابقيه. إذ اخترق المهاجمون اثنتين من عُقد استدعاء الإجراءات عن بُعد (RPC) التي كانت شبكة المتحققين اللامركزية لدى LayerZero تعتمد عليها لتأكيد الرسائل عبر السلاسل، واستبدلوا بثنائياتها نسخًا خبيثة تُبلّغ متحقق LayerZero بتأكيد احتيالي عبر السلاسل بينما تُبلّغ في الوقت نفسه بيانات دقيقة لكل نظام آخر يستعلم من العُقد ذاتها. لقد كذبت العُقد المسمومة كذبًا انتقائيًا. ولقطع متحقق LayerZero عن مصادر البيانات غير المسمومة، شنّ المهاجمون بعد ذلك هجوم حرمان من الخدمة موزّعًا على العُقد النظيفة، فأجبروا النظام على التحوّل إلى العُقد المسمومة. وحالما صار متحقق LayerZero يعتمد حصريًا على البنية المخترقة، بثّ المهاجمون تعليمة احتيالية عبر السلاسل وافق عليها المتحقق، فأفرج جسر Kelp عن 116,500 rsETH — أي نحو ثمانية عشر بالمئة من المعروض المتداول لرمز إعادة التكديس (restaking)، بقيمة دولارية تقارب 292 مليون دولار — إلى عنوان يتحكم فيه المهاجم.

بدأ الاستنزاف عند الساعة 17:35 بالتوقيت العالمي المنسّق يوم السبت 18 أبريل. وجمّدت محفظة التوقيع المتعدد للإيقاف الطارئ لدى Kelp عقود البروتوكول الأساسية عند الساعة 18:21 بالتوقيت العالمي المنسّق، أي بعد ستٍّ وأربعين دقيقة. وفي تلك النافذة أتمّ المهاجمون الاستخراج عبر السلاسل، وجسّروا الأموال إلى Ethereum، وأودعوا rsETH المسروق في Aave V3 كضمانة اقترضوا مقابلها ETH ملفوفًا حقيقيًا، تاركين Aave أمام نحو 196 مليون دولار من الديون المعدومة غير القابلة للاسترداد. وخلال ثمانٍ وأربعين ساعة هبطت القيمة الإجمالية المقفلة لدى Aave من 26.4 مليار دولار إلى نحو 17.9 مليار دولار — أي هروب ودائع قدره 8.45 مليار دولار — ونزفت سوق التمويل اللامركزي الأوسع نحو 13.21 مليار دولار من القيمة الإجمالية المقفلة عبر Aave و Compound و Fluid و SparkLend و Euler وأربع مجمّعات إقراض أخرى مترابطة. هجوم بقيمة 292 مليون دولار أنتج نسبة عدوى خمسة وأربعين إلى واحد. وهبط رمز AAVE نحو ثمانية عشر بالمئة. وكتب بعض المعلّقين «التمويل اللامركزي مات»؛ فيما لاحظ آخرون بدقة أكبر أن المعمارية المحددة الواقعة تحت الضغط كانت هي التركيبية مضافًا إليها بدائيات ثقة رقيقة، لا التمويل اللامركزي عند الطبقة الأساسية.

نسب تقرير LayerZero لما بعد الحادثة نجاح الاستغلال إلى خيار الإعداد لدى Kelp DAO: فقد شغّلت Kelp إعداد متحقق واحد من واحد — إذ كانت LayerZero Labs هي الجهة الوحيدة التي تتحقق من الرسائل الصادرة إلى جسر rsETH والواردة منه — في حين أن إعدادًا متعدد المتحققين كان سيُلزم المهاجمين باختراق عدة متحققين مستقلين في آنٍ واحد. أما ردّ Kelp، المنشور خلال ساعات، فقد نازع هذا التأطير: فواحد من واحد كان هو الوضع الافتراضي الذي شحنته LayerZero، وقد اتّبعت Kelp الوضع الافتراضي الموثَّق، وكانت وثائق LayerZero ومراسلاتها المباشرة بشأن الإعداد متعدد المتحققين إرشادية لا افتراضات إلزامية. والنزاع على المسؤولية هو نفسه ذو دلالة معمارية. فحين يكون الإعداد غير الآمن هو أيضًا الوضع الافتراضي المشحون، تنقسم المسؤولية عن الاختراق انقسامًا غير واضح بين المورّد الذي يشحن الافتراض والعميل الذي يقبله. وقد أجرى مزوّدو الحوسبة السحابية هذا الانتقال بعينه في منتصف عقد 2010 — فقد كانت حاويات Amazon S3 عامة افتراضيًا حتى 2018، حين انقلب الافتراضي إلى خاص بعد حملة اختراقات امتدّت سنوات فرضت التغيير. والافتراضات في الجسور عام 2026 هي حيث كانت افتراضات التخزين السحابي عام 2015. ونزاع 20 أبريل هو اللحظة التي يدعو فيها فشلٌ ظاهر للعيان إلى انتقال على مستوى القطاع كله نحو الافتراضات الآمنة.

الأسبوعان: من 31 مارس إلى 18 أبريل

استغلال Kelp هو حجر الختام في تسلسل امتدّ ثمانية عشر يومًا نفّذ فيه الراعي نفسه ثلاث عمليات متمايزة معماريًا.

كانت الفاتحة في 31 مارس، حين دفع مشغّلون مرتبطون بكوريا الشمالية — تتتبّعهم مجموعة استخبارات التهديدات في Google باسم UNC1069 — نسخًا مخترقة من مكتبة عميل HTTP المسمّاة Axios إلى npm. و Axios من أكثر مكتبات JavaScript مفتوحة المصدر تثبيتًا؛ إذ تُقاس تنزيلاتها الأسبوعية بعشرات الملايين وتشمل حصة معتبرة من خوادم Node.js وواجهات المتصفح الأمامية في العالم. وكان المهاجمون قد اخترقوا بيانات اعتماد النشر الخاصة بمشرف المكتبة عبر ما وصفته TechCrunch في 6 أبريل، نقلًا عن مجموعة استخبارات التهديدات في Google، بأنه تحضير "weeks in the making" — أي «كان قيد الإعداد أسابيع»: بناء علاقة مع الهدف على مدى ممتد لا سرقة انتهازية لبيانات اعتماد. أما نسخ Axios الخبيثة، التي صدرت لأنظمة Windows و macOS و Linux، فقد حملت حمولة حصان طروادة للوصول عن بُعد مصمّمة لمنح المهاجمين تحكّمًا تفاعليًا في أي جهاز يثبّت التحديث. وخلال ساعات، حدّد مشرفو Axios وفريق أمن npm والمستجيبون في القطاع النسخَ المخترقة وسحبوها؛ ولا يزال المدى الكامل للإصابة بحصان طروادة قيد التقييم، ومن المرجّح أن نسبة معتبرة من أجهزة المطوّرين ما زالت مخترقة. وناقل Axios هو صيغة هوية-سلسلة-التوريد من الخطة نفسها: اخترِق بيان الاعتماد الذي يأذن بإصدار موثوق، فتنقل الثقةُ التي يضعها كل مستخدم لاحق في ذلك الإصدار الحمولةَ الخبيثة.

وفي 1 أبريل نُفِّذت العملية الثانية. فقد استُنزف بروتوكول Drift، أكبر منصة لامركزية للعقود الآجلة الدائمة على Solana، بمبلغ 285 مليون دولار في نحو اثنتي عشرة دقيقة. وبدأت سلسلة الأحداث التي أنتجت الاستنزاف، بحسب تقرير Drift لما بعد الحادثة والتحليلات المؤيِّدة من Chainalysis و TRM Labs و Elliptic و BlockSec، في خريف 2025 — أي قبل نحو ستة أشهر — حين تقرّب أفراد يقدّمون أنفسهم بوصفهم شركة تداول كمّي من مساهمي Drift في مؤتمر قطاعي كبير وأبدوا اهتمامًا بالتكامل مع البروتوكول. وأُنشئت مجموعة على تيليجرام في اللقاء الأول؛ والتقى الأفراد أنفسهم بمساهمي Drift وجهًا لوجه في فعاليات قطاعية في بلدان متعددة خلال الأشهر التالية. وكانت العلاقة، في ظاهرها، لا تختلف عن عشرات تفاعلات تطوير الأعمال المشروعة التي يخوضها مساهمو Drift كل عام. وفي 27 مارس، أي قبل أقل من أسبوع من الاستنزاف، نقلت Drift مجلس الأمن لديها — أي مجموعة التوقيع المتعدد التي تحكم العمليات الإدارية المميّزة — إلى إعداد جديد من اثنين من خمسة استبدل أربعة من الموقّعين الخمسة، والأهمّ أنه ضبط القفل الزمني على العمليات الإدارية عند صفر ثانية. وبين 23 و 30 مارس، استخدم المهاجمون ميزة durable nonces في Solana — الأرقام العشوائية الدائمة، وهي بدائية مشروعة تتيح توقيع معاملة اليوم وتنفيذها في وقت مستقبلي عشوائي دون انتهاء صلاحية التوقيع — للحصول على تفويضات موقَّعة مسبقًا من موقّعي مجلس الأمن الحقيقيين. وكانت المعاملات التي وقّعها الموقّعون تبدو روتينية؛ فصيغة durable nonce أخفت دلالات التنفيذ الفعلية. وفي 1 أبريل نشر المهاجمون رمزًا مزيفًا اسمه CVT، أُنشئ في 12 مارس خصيصًا لهذا الهجوم، واستخدموا الصلاحيات الإدارية التي حصلوا عليها عبر التفويضات الموقَّعة مسبقًا لإدراج CVT في القائمة البيضاء كضمانة، وأودعوا 500 مليون CVT في Drift، واقترضوا 285 مليون دولار من USDC و SOL و ETH الحقيقية مقابل الضمانة الاصطناعية. وجُسّرت الأموال إلى Ethereum خلال ساعات، وغُسلت عبر Tornado Cash، ووُجّهت بعد ذلك عبر خدمات خلط ناطقة بالصينية على امتداد دورة الغسل التي تبلغ نحو خمسة وأربعين يومًا والتي فهرستها Chainalysis بوصفها بصمة تشغيلية لكوريا الشمالية. وأبلغت شركات متعددة خلال أيام عن إسناد إلى كوريا الشمالية بثقة متوسطة.

أما تعافي Drift، المعلن في 16 و 17 أبريل، فحدث معماري من الدرجة الثالثة. فقد التزمت Tether — وهي ليست بروتوكول تأمين، ولا مُقرِض ملاذ أخير مصرفيًا مركزيًا، بل جهة إصدار خاصة لعملة مستقرة تملك نحو 193 مليار دولار من الاحتياطيات المصدَّق عليها وأكثر من 10 مليارات دولار من أرباح 2025 — بمبلغ 127.5 مليون دولار من حزمة تعافٍ قدرها 150 مليون دولار مهيكلة كخط ائتمان مرتبط بالإيرادات، ومنحة للمنظومة، وقروض لصنّاع السوق، مع انتقال Drift بأصل التسوية الأساسي لديها من USDC إلى USDT بوصفه اعتبارًا استراتيجيًا مضمَّنًا في الترتيب. وتهدف الخطة إلى استرداد نحو 295 مليون دولار من خسائر المستخدمين على مدى الوقت عبر اقتطاع حصة من إيرادات تداول Drift بعد إعادة الإطلاق. والبنية الاقتصادية جديدة: فهي ليست تأمينًا ولا إنقاذًا حكوميًا، بل سلفة على حصة من الإيرادات تُوائم بين إنفاق Tether الرأسمالي وتعافي Drift التشغيلي. وهي كذلك ترسي سابقة. فإذا كانت Tether مستعدة لضخّ مبالغ من تسعة أرقام لإنقاذ بروتوكولات كبرى في التمويل اللامركزي بعد هجمات الفاعلين الحكوميين، فإن Tether تكون قد صارت مُقرِض الملاذ الأخير من القطاع الخاص للتمويل اللامركزي. ومعمارية «بروتوكولات لامركزية بسندٍ مركزي» هي شكل الطوارئ في 2026.

ثم جاء استغلال Kelp DAO ليُكمل هذين الأسبوعين في 18 أبريل. ففي أقل من ثلاثة أسابيع ضربت المجموعة الحكومية نفسها ثلاث بدائيات ثقة متمايزة واستنزفت أو لوّثت أنظمة تمثّل، مجتمعةً، ما يزيد كثيرًا على نصف مليار دولار من الخسائر المباشرة للمستخدمين، وما يزيد على ثلاثة عشر مليار دولار من تدمير القيمة المتتالي على مستوى القطاع.

ثلاث بدائيات للثقة، وراعٍ واحد

استغلّ كل هجوم من هجمات أبريل 2026 افتراضًا معماريًا مختلفًا حول كيفية حفاظ الأنظمة الموزّعة على الثقة.

استغلّ Axios ثقة هوية المشرف. فمنظومات حزم المصادر المفتوحة — npm و PyPI و Maven و RubyGems — تفترض أن هوية مشرف الحزمة موثَّقة بدقة حين ينشر ذلك المشرف نسخة جديدة. ونموذج الثقة هو: إذا كان بيان اعتماد النشر صالحًا، فإن النسخة الجديدة تعبّر عن نية المشرف. وقد اخترقت كوريا الشمالية بيان الاعتماد؛ فانكسرت بدائية الثقة. ولم يتطلب الاختراق أي ضعف تشفيري؛ بل تطلّب تصيّدًا أو هندسة اجتماعية أو سرقة رمز وصول إلى مسار النشر لدى المشرف. وحالما اختُرق بيان الاعتماد، ورثت المنظومةُ اللاحقة بأكملها التي ثبّتت النسخة الخبيثة نيةَ المهاجم بدلًا من نية المشرف.

واستغلّ Drift ثقة التفويض. فحوكمة التوقيع المتعدد تفترض أن الموقّعين يأذنون بالمعاملات وهم على علم بما يأذنون به. والتحقق التشفيري يؤكد أن الموقّعين أذنوا تشفيريًا بمعاملة؛ لكنه لا يؤكد فهمهم الدلالي لعواقب تلك المعاملة. وقد استدرجت كوريا الشمالية اجتماعيًا اثنين من موقّعي مجلس أمن Drift الخمسة إلى توقيع معاملات durable nonce موقَّعة مسبقًا اعتقد الموقّعون أنها روتينية، وكانت عند تنفيذها تنقل الصلاحية الإدارية إلى عناوين يتحكم فيها المهاجم. كانت التواقيع صحيحة تشفيريًا. وكان التفويض زائفًا دلاليًا. وحين ألغى انتقال 27 مارس ذو القفل الزمني الصفري فترةَ التهدئة بين جمع التواقيع والتنفيذ، اختفى خطّ الدفاع الأخير — أي فرصة المجتمع لكشف الأفعال الإدارية الشاذة قبل نفاذها. ولو كان قفل زمني قياسي من أربع وعشرين إلى اثنتين وسبعين ساعة قائمًا، لكان نشاط التوقيع المسبق بين 23 و 30 مارس مرئيًا، ولكان الكشف مرجّحًا.

واستغلّ Kelp DAO ثقة نزاهة المتحقق. فالجسور عبر السلاسل تعتمد على متحققين لتأكيد أن معاملة بعينها وقعت على سلسلة المصدر قبل الإفراج عن قيمة مقابلة على سلسلة الوجهة. والمتحقق بدوره يعتمد على مصادر بيانات — عادةً عُقد RPC — للحصول على التأكيد الأساسي. ونموذج الثقة هو: إذا أكدت مصادر البيانات المعاملة، فتأكيد المتحقق جدير بالثقة. وقد اخترقت كوريا الشمالية مصادر البيانات — أي عُقد RPC المحددة التي كان متحقق LayerZero يستعلم منها — بثنائيات تُبلّغ المتحقق بتأكيد احتيالي بينما تُبلّغ في الوقت نفسه بدقة كل نظام آخر يستعلم من العُقد ذاتها. كان التسميم انتقائيًا. ولم ترصد مراقبة LayerZero نفسها، التي كانت تستعلم من عُقد RPC ذاتها من عناوين IP مختلفة، أي شذوذ. وأجبر هجوم الحرمان من الخدمة على العُقد النظيفة النظامَ على التحوّل إلى المسمومة. وأزال إعداد المتحقق الواحد من واحد التكرار متعدد المتحققين الذي كان سيتطلب تسميمات مستقلة متعددة.

وكل بدائية من الثلاث — هوية المشرف، والتفويض، ونزاهة المتحقق — هي بناء قائم على "honest majority"، أي «الأغلبية الأمينة». وكلٌّ منها يفترض أن الطرف الأمين أو الأطراف الأمينة هي المهيمنة. وكلٌّ منها هوجم باختراق تلك الأغلبية (أو، في حالة Kelp، باختراق الطرف الوحيد الذي كان يشكّل الأغلبية كلها). وقد ظلّت الطبقتان التشفيرية والتوافقية أسفل هذه البدائيات سليمتين طوال الوقت. واستمرت رياضيات الأنظمة الموزّعة تعمل عملًا صحيحًا. أما الاختراق فقد حدث عند الطبقات البشرية والتنظيمية والبنيوية حيث يكون افتراض الأغلبية الأمينة واقعة اجتماعية لا واقعة رياضية.

الراعي

تبلغ سرقة كوريا الشمالية التاريخية للعملات المشفَّرة، بحسب Chainalysis، نحو 6.75 مليار دولار. وكان رقم 2025 وحده 2.02 مليار دولار، بزيادة سنوية قدرها واحد وخمسون بالمئة عن 2024. وشكّل إجمالي 2025 نحو ستين بالمئة من سرقات العملات المشفَّرة على مستوى القطاع في تلك السنة. وإلى جانب سرقة العملات المشفَّرة، وصفت تصنيفات OFAC الصادرة في 12 مارس 2026 خطّ احتيال بعمّال تقنية المعلومات درّ نحو 800 مليون دولار من إيرادات النظام السنوية في 2024 — عمّال عن بُعد بهويات مزيفة توظّفهم شركات Web3 وشركات تقنية أخرى حول العالم، مع توجيه رواتبهم عبر وسطاء فيتناميين ولاويين وصينيين وروس إلى الدولة الكورية الشمالية. وأفصحت مبادرة مدعومة من مؤسسة إيثيريوم في مطلع أبريل 2026 عن أنها حدّدت نحو مئة عامل تقنية معلومات كوري شمالي يعملون داخل ثلاث وخمسين شركة ومشروعًا في مجالي Web3 والعملات المشفَّرة. ومجتمعةً، يقترب تدفّق الإيرادات السيبرانية لكوريا الشمالية من 2.8 مليار دولار سنويًا — وهو جزء معتبر ومتنامٍ من ميزانية دولة تُقدَّر بـ 10–12 مليار دولار سنويًا.

وبحسب تقييمات Chainalysis و TRM Labs ولجنة خبراء الأمم المتحدة المنحلّة الآن، يموّل جزء كبير من هذه الإيرادات السيبرانية برامج كوريا الشمالية للأسلحة النووية والصواريخ الباليستية. والآلية أكثر مباشرةً مما توحي به كثير من النظائر التنظيمية: فالنظام يحوّل العملات المشفَّرة المسروقة إلى عملة صعبة عبر خدمات خلط ناطقة بالصينية، ومنصات تبادل مُيسَّرة روسيًا، وقنوات أخرى خارج متناول إنفاذ وزارة الخزانة الأمريكية، ثم يوجّه العائدات إلى مشتريات تطوير الأسلحة. فبرامج الأسلحة تتطور أسرع بسبب الثغرات الأمنية في منظومة التمويل اللامركزي. وهذه ملاحظة ليست بلاغية. إنها الرابط التشغيلي الذي يحوّل أمن التمويل اللامركزي من شأن يخصّ حماية المستهلك إلى شأن يخصّ منع الانتشار النووي.

العدوى

أنتج استنزاف Kelp المباشر البالغ 292 مليون دولار تدفقات خارجة متتالية من القيمة الإجمالية المقفلة بلغت 13.21 مليار دولار في ثمانٍ وأربعين ساعة. والآلية: أودع المهاجمون rsETH المسروق في Aave V3 كضمانة؛ واقترضوا مقابله ETH ملفوفًا حقيقيًا؛ وتركوا قيمة rsETH تتدهور بعدما قوّض الكشف عن الاستغلال جودة الضمانة؛ ثم انصرفوا بالأصول الحقيقية المقترضة. وبقيت Aave أمام 196 مليون دولار من الديون المعدومة من القروض المكشوفة. أما مودعو Aave — الذين راقبوا تراكم الديون المعدومة والتدهور الأوسع في جودة ضمانة rsETH — فقد فرّوا: إذ خرج 8.45 مليار دولار من الودائع من Aave خلال ثمانٍ وأربعين ساعة. وجمّدت Aave و Compound و Fluid و SparkLend و Euler وعدة بروتوكولات إقراض أصغر أسواق rsETH لديها لمنع مزيد من الضرر. وهبط سعر رمز AAVE نحو ثمانية عشر بالمئة. ونسبة خمسة وأربعين إلى واحد بين قيمة الهجوم المباشر وتدمير القيمة على مستوى المنظومة هي ضريبة التركيبية: فالخاصية التي تتيح لبروتوكولات التمويل اللامركزي أن تتشابك هي نفسها الخاصية التي تنقل اختراق بروتوكول واحد عبر كل بروتوكول مترابط معه.

والعدوى ليست عرضية. فتصميم التمويل اللامركزي المعماري يتيح عمدًا إعادة رهن الضمانات: إذ يمكن للمستخدم أن يُكدّس ETH فيحصل على رمز تكديس سائل، ثم يمرّر هذا الرمز عبر بروتوكول إعادة تكديس سائل فيحصل على رمز إعادة تكديس سائل، ثم يودع هذا الأخير في بروتوكول إقراض كضمانة، ويقترض مقابله، ويمرّر الأصول المقترضة عبر بروتوكولات إضافية أخرى. كل طبقة تضيف عائدًا وسيولة؛ وكل طبقة تضيف تبعية. واختراق عند أي طبقة يتتالى عبر كل مستهلك لاحق لتلك الطبقة. وقد حذّر فيتاليك بوتيرين في تدوينة عام 2023 من أن إعادة التكديس على وجه الخصوص تنطوي على خطر تمديد افتراضات أمن Ethereum على نحو قد يكون كارثيًا إذا انكسرت الافتراضات الممدَّدة. واستنزاف Kelp في 18 أبريل تصديق جزئي لذلك القلق، وإن كان الفشل المحدد قد وقع عند طبقة متحقق الجسر لا عند إعادة التكديس نفسها. والاتجاه المعماري يحتاج إلى معايرة: فالتركيبية ذات قيمة؛ لكن عمق التركيبية يجب أن يكون محدودًا بسماكة بدائية الثقة عند كل طبقة.

المعمارية المضادة

المعماريات المضادة المحددة لكل بدائية من بدائيات الثقة الثلاث المخترقة موجودة، وموثَّقة، ومنشورة جزئيًا. أما النشر الكامل فهو سؤال 2026–2028.

فبالنسبة إلى هوية المشرف، المعمارية المضادة هي: إلزام مفاتيح FIDO2 العتادية لصلاحية النشر في الحزم الشائعة؛ وشفافية الإصدارات الموقَّعة عبر Sigstore و Sigsum و Rekor؛ وبناءات قابلة لإعادة الإنتاج تتيح التحقق المستقل من منشأ الملفات الثنائية؛ وأدوات تدقيق رسم الاعتماديات عبر OpenSSF Scorecard والمبادرات المرتبطة بها. وكل مكوّن من هذه موجود. فـ npm يدعم FIDO2 اختياريًا؛ و PyPI الخاص بـ Python يدعمه؛ ولا أحد منهما يجعله إلزاميًا للحزم الشائعة. وتبنّي Sigstore ينمو في منظومات الحاويات لكنه ما زال في خانة النسبة المئوية الأحادية في npm و PyPI. والبناءات القابلة لإعادة الإنتاج تبقى صعبة في المشاريع المعقدة. أما الإصلاح المحدد لناقل هجوم Axios فهو جعل FIDO2 إلزاميًا لناشري أكثر ألف حزمة تنزيلًا، وفرض الإصدارات الموقَّعة لتلك الحزم، واشتراط شفافية Sigstore لكل التحديثات. وهذا قرار سياساتي على مستوى مشغّلي السجلات — GitHub (لـ npm)، ومؤسسة Python البرمجية (لـ PyPI)، و JetBrains وغيرهم — وهو في متناول قدرتهم.

وبالنسبة إلى ثقة التفويض، المعمارية المضادة هي: التوقيع المقروء (clear signing) في المحافظ العتادية الذي يفكّ دلالات المعاملة إلى صيغة يفهمها الإنسان؛ ومراجعة مستقلة لكل معاملة إدارية من موقّعين ليسوا في علاقة ثقة مشتركة مع زملاء يُحتمل أنهم مخترقون؛ وأقفال زمنية ذات معنى — بحدّ أدنى أربع وعشرون ساعة للعمليات الإدارية، ومن ثمانٍ وأربعين إلى اثنتين وسبعين ساعة للعمليات التي تغيّر السوق مثل تغييرات معامِلات الضمانات؛ ومجموعات موقّعين موزّعة على مناطق زمنية مختلفة بحيث لا يؤثر اختراقٌ في توقيت واحد من اليوم على النصاب؛ وتصديق هوية الموقّعين بأوراق اعتماد قابلة للتحقق. وكل مكوّن من هذه موجود. فالتوقيع المقروء لدى Ledger، و Cosigner من Blockaid، و Timelock Controller من OpenZeppelin، وإدارة الموقّعين متعددة السلاسل لدى Safe، وأوراق الاعتماد القابلة للتحقق من W3C — كلها منشورة في الإنتاج بمقاييس متفاوتة. أما الإصلاح المحدد لناقل هجوم Drift فهو إلزامية التوقيع المقروء في كل العمليات الإدارية، وأقفال زمنية غير صفرية مفروضة على مستوى العقد الذكي (دون التفاف عبر "executor role")، وتدوير الموقّعين بحيث يتوزعون على ثلاث قارات على الأقل. وهذه قرارات حوكمة يمكن لكل بروتوكول على حدة أن يتخذها اليوم.

وبالنسبة إلى نزاهة المتحقق، المعمارية المضادة هي: افتراضات متعددة المتحققين في كل الجسور عبر السلاسل — ثلاثة من خمسة أو أكثر من أجل لامركزية ذات معنى؛ ومراقبة عبر مصادر بيانات مستقلة لا تتشارك بنية RPC مع المتحقق؛ وتغذيات أوراكل زائدة لتقدير قيمة الضمانات؛ وقواطع تلقائية توقف العمل عند تغيّرات شاذة في معروض الرموز؛ وتصديق بيئة التنفيذ الموثوقة للعمليات الحرجة لدى المتحقق. ويقرّ تقرير LayerZero لما بعد الحادثة في 20 أبريل ضمنًا بأن الافتراضي «واحد من واحد» لديها هو الثغرة المعمارية موضع النقاش؛ والسؤال هو ما إذا كانت LayerZero — و Wormhole و Axelar و Chainlink CCIP وسائر مشغّلي الجسور الكبار — ستشحن الإعداد متعدد المتحققين بوصفه الافتراضي وتشترط إقرارًا صريحًا بالمخاطر على العملاء الذين يختارون النزول عنه. والتنسيق على مستوى القطاع وارد هنا؛ فهيئات المعايير (ERC-6492 لتوقيع العقود، و EIP-7702 لتجريد الحسابات) تسارعت وتيرتها حين فرضت الحوادث الانتباه. و Kelp هو عامل الدفع.

وعبر البدائيات الثلاث جميعًا، المبدأ الدفاعي المشترك هو ما وصفته هيئة تحرير URnetwork عبر نسخ سابقة بأنه "thick trust primitives" — أي بدائيات الثقة السميكة. فكل بدائية ثقة في نظام موزّع ينبغي أن تتطلب عدة اختراقات مستقلة كي تفشل. المتحقق الواحد من واحد رقيق. والتوقيع المتعدد اثنين من خمسة بقفل زمني صفري رقيق. والمشرف الوحيد ببيانات اعتماد لا تتعدى كلمة مرور مع رسالة نصية رقيق. وكل بدائية رقيقة يمكن تسميكها — متحققون متعددون، وقفل زمني ذو معنى مع موقّعين موزّعين، و FIDO2 إلزامي — دون كسر وظيفة النظام. والتسميك يضيف كلفة تشغيلية؛ والتسميك يمنع اختراق الفاعلين الحكوميين. والنسبة الاقتصادية بين كلفة التسميك وكلفة هجوم ناجح مواتية للتسميك بفارق ساحق. والتبنّي هو المتغيّر.

معمارية التعافي

خطة تعافي Drift بقيادة Tether هي الحالة المرجعية للتعافي بعد هجوم فاعل حكومي في التمويل اللامركزي. فالتزام Tether بمبلغ 127.5 مليون دولار، المهيكل كائتمان مرتبط بالإيرادات مقابل إيرادات تداول مستقبلية لا كتعويض تأميني ولا كإنقاذ مباشر، يخلق مواءمة اقتصادية بين مقدّم السند وتعافي البروتوكول. ويُحدث الترتيب عرَضًا انتقال أصل التسوية الأساسي لدى Drift من USDC إلى USDT، ما يعزز حصة Tether السوقية على حساب Circle. وقد تتبع ذلك عمليات تعافٍ مشابهة لـ Kelp DAO، وإن كان غياب الحافز الاستراتيجي لـ USDT عند Kelp يجعل إنقاذًا موازيًا من Tether أقل ترجيحًا. أما ردّ Aave على الديون المعدومة البالغة 196 مليون دولار فلم يُحسم بعد؛ والأرجح أن تجمع عملية الحوكمة بين اقتطاع من وحدة الأمان، ونشر أموال الخزينة، واحتجاز الإيرادات لاسترداد الخسارة على مدى شهور. وكل نمط تعافٍ — سند من Tether، أو تمويل ذاتي عبر وحدة الأمان والحوكمة — يوزّع الكلفة توزيعًا مختلفًا بين حاملي رموز البروتوكول والمودعين وشركاء السند وأصحاب المصلحة في المنظومة.

والنمط الأعلى مستوى يستحق الإبراز. فالتمويل اللامركزي يطوّر معمارية تعافٍ لما بعد الاستغلال — معمارية تقدّم فيها كياناتٌ مركزية (Tether، ومنصات التبادل الكبرى، والفاعلون الكبار في المنظومة) خدمات مُقرِض الملاذ الأخير لبروتوكولات لامركزية. والمعمارية الناتجة ليست المثال اللامركزي الأصلي لعام 2020 ولا نموذج السند المنظَّم في التمويل التقليدي، بل هجين: بروتوكولات لامركزية عند الطبقة المواجهة للمستخدم، وسند مركزي عند طبقة المخاطر النظامية. والهجين ينشأ بحكم الضرورة. أما تبعاته البعيدة على أطروحة اللامركزية، وعلى المعاملة التنظيمية لمقدّمي السند، فهي أسئلة 2027–2030.

ما تقرؤه URnetwork

الاتجاه المعماري الذي دافعت عنه هيئة تحرير URnetwork عبر نسخ سابقة — التوجيه بين الأقران، والمشغّلون الاتحاديون، والمفاتيح التي يحتفظ بها المستخدم، ونطاقات OAuth الدنيا، والهوية القائمة على أوراق اعتماد قابلة للتحقق، وبدائيات الثقة الموزّعة — يعالج بدقة فئة الفشل التي أظهرها أبريل 2026. والمواءمة المحددة مع URnetwork: لا مشرف وحيد يتتالى اختراقه عبر الشبكة؛ ولا متحقق وحيد يوافق فشلُه على معاملات احتيالية؛ ولا حوكمة بقفل زمني صفري يتيح الاستيلاء عليها تصعيدًا إداريًا فوريًا؛ ولا OAuth من مورّد يتتالى نطاقه عبر الاختراق. وكل عنصر من عناصر معمارية URnetwork يسهم في بدائية ثقة أسمك عند طبقة محددة.

وتمتد المواءمة الأوسع إلى النسخة 01 (مقال سلسلة توريد مساعِد الذكاء الاصطناعي اليوم) والنسخة 02 (مقال الإنترنت الخاضع للإذن اليوم). فقد شخّصت النسخة 01 نمط الفشل عند طبقة تطبيقات المورّدين التجاريين: Context.ai، و Salesforce، و Azure MCP، و OAuth الخاص بمساعِدات الذكاء الاصطناعي. وشخّصت النسخة 02 نمط الفشل عند طبقتي البنية التحتية والهوية في الإذن الحكومي: المجلس الأعلى للأمن القومي في إيران، و Max في روسيا، وقانون السلامة على الإنترنت في المملكة المتحدة، و Chat Control في الاتحاد الأوروبي. وتشخّص النسخة 03 نمط فشل بدائية الثقة أمام هجوم الفاعل الحكومي: Axios، و Drift، و Kelp. والثلاث جميعًا صيغ من الملاحظة المعمارية نفسها: بدائيات الثقة تحت ضغط خصومي؛ والردّ الدفاعي يتطلب معماريات موزّعة واتحادية ومصدَّقة ومفتوحة؛ والردّ متاح؛ والنشر هو السؤال.

مطلب الاثنين

لبروتوكولات التمويل اللامركزي: دقّقوا حوكمة التوقيع المتعدد لديكم. هل القفل الزمني غير صفري؟ هل الموقّعون في مناطق زمنية موزّعة؟ هل يتحقق الموقّعون باستقلالية من الدلالات الكاملة لكل معاملة إدارية؟ هل راجعتم إعداد متحقق الجسر لديكم؟ وإن كنتم تستخدمون LayerZero أو جسرًا آخر بافتراضي واحد من واحد، هل ارتقيتم إلى الإعداد متعدد المتحققين؟ هل دقّقتم سلسلة توريد المصادر المفتوحة التي تعتمد عليها واجهتكم الأمامية؟ هل لديكم عمليات أمنية على مدار الساعة طوال أيام الأسبوع قادرة على تفعيل الإيقاف الطارئ مساء يوم سبت؟

لمستخدمي التمويل اللامركزي: نوّعوا انكشافكم عبر بروتوكولات ذات بدائيات ثقة أسمك. وفضّلوا البروتوكولات ذات إعدادات التوقيع المتعدد المعلنة، والأقفال الزمنية غير الصفرية، والجسور متعددة المتحققين. وتجنّبوا الانكشاف المركّز على أصول مُعاد رهنها تكون جسورها أو بروتوكولات إعادة التكديس تحتها ذات إعدادات ثقة رقيقة. وتحققوا من معامِلات مخاطر الضمانات في أي بروتوكول إقراض تستخدمونه. وتوقّعوا خصومًا من الفاعلين الحكوميين؛ وينبغي أن يشمل نموذج التهديد لديكم هندسة اجتماعية بعيدة الأفق.

لسجلات الحزم: اجعلوا FIDO2 إلزاميًا لناشري الحزم عالية التنزيل. وافرضوا الإصدارات الموقَّعة. واستثمروا في تبنّي سجلات الشفافية Sigstore / Sigsum. ونسّقوا على مستوى القطاع بشأن معايير أمن سلسلة التوريد.

للجسور: اشحنوا الإعداد متعدد المتحققين بوصفه الافتراضي. ولا تسمحوا بالنزول إلى متحقق واحد إلا بإقرار صريح من العميل بالمخاطر. وانشروا ممارسات المراقبة عبر مصادر بيانات مستقلة. ونسّقوا معايير مشتركة بين الجسور من أجل تنوّع شبكات المتحققين اللامركزية.

لمشرفي المصادر المفتوحة: سجّلوا حساباتكم للنشر في المصادقة بمفاتيح عتادية. وتعاملوا مع تواصل المستثمرين الاستراتيجيين بارتياب. وتحققوا من هوية المساهمين الجدد. وأبطئوا دمج التغييرات ذات العواقب؛ وأتيحوا وقتًا للمراجعة الخصومية.

للجهات التنظيمية: وسّعوا عقوبات OFAC لتشمل قنوات الغسل الناشئة. ونسّقوا مع الحلفاء إنفاذًا ثلاثيًا ضد النشاط السيبراني الكوري الشمالي. وطوّروا بروتوكولات لتجميد العملات المستقرة توازن بين الخصوصية والإنفاذ. وأنشئوا أطرًا لتبادل المعلومات بين القطاع والحكومة استجابةً لتهديدات الفاعلين الحكوميين.

لمستخدمي URnetwork ومطوّريها: الاتجاه المعماري هو الدفاع. انشروا المكدّس اللامركزي. وأسهموا في البدائل الاتحادية. وشغّلوا بنيتكم التحتية بأنفسكم. فالحملة الحكومية على المعمارية الحالية للتمويل اللامركزي حجة مقنعة لصالح المعمارية اللامركزية التي تبنيها URnetwork.

القياس

سبعة عشر يومًا. خمسمئة وسبعة وسبعون مليون دولار مسروقة مباشرةً. ثلاثة عشر مليار دولار من عدوى القيمة الإجمالية المقفلة. مئة وستة وتسعون مليون دولار من الديون المعدومة لدى Aave. ملايين أجهزة المطوّرين باعتماديات يُحتمل أنها مخترقة. مئة عامل تقنية معلومات كوري شمالي جرى تحديدهم داخل ثلاث وخمسين شركة Web3. راعٍ حكومي واحد. ثلاثة نواقل هجوم متمايزة. مئتان واثنان وتسعون مليون دولار في مساء سبت. مئتان وخمسة وثمانون مليون دولار بعد ستة أشهر من الهندسة الاجتماعية. عدد غير معلوم من أحصنة طروادة ما زالت خامدة عبر قاعدة تثبيت Axios.

في 20 أبريل 2026، أعلنت LayerZero الإسناد على الملأ. وكان الدرس المعماري واضحًا قبل الإسناد. وهو ما زال واضحًا اليوم. والردّ معلوم. والردّ قابل للنشر. والردّ كان متاحًا قبل وقوع الهجمات. والسؤال هو ما إذا كانت المنظومة تنشر أسرع مما يخترق الخصم. فأسبوعا أبريل هما القياس الذي يدل على أن الوتيرة الحالية غير كافية؛ والاتجاه المعماري هو الجواب؛ وصباح هذا الاثنين هو نقطة القرار.

الفاعل الحكومي يملك ميزانية. ونحن كذلك.

يدخل انقطاع الإنترنت الإيراني اليوم يومه الـ 52، بعدما تراكمت 1,248 ساعة من الانقطاع شبه التام منذ بدايته في 27 فبراير 2026. وتؤكّد NetBlocks و IranWire هذه العتبة: أطول إغلاق وطني متواصل للإنترنت مسجَّل في تاريخ أي بلد. ولم يُستعَد من خط الأساس لحركة ما قبل الحرب سوى نحو 1 بالمئة. وتقدّر لجنة الاقتصاد المعرفي في غرفة التجارة الإيرانية، برئاسة أفشين كلاهي، الخسارة الاقتصادية المباشرة اليومية بـ 30–40 مليون دولار. وذكر وزير الاتصالات الإيراني رقم 35.7 مليون دولار في اليوم. وذكرت NetBlocks رقم 37 مليون دولار في اليوم. وحتى 16 أبريل بلغت الكلفة الاقتصادية التراكمية 1.8 مليار دولار؛ وبحلول اليوم نحو 1.9 مليار دولار.

آلية إعادة الوصل هي التفصيل المعماري الدقيق هنا. فبحسب تغطية IranWire في 18 أبريل، يمثّل المجلس الأعلى للأمن القومي — الذي يرأسه الرئيس بزشكيان ويضم رؤساء أجهزة الاستخبارات والمؤسسات العسكرية ووزارة الخارجية في إيران — سلطة المنح لإعادة وصل الإنترنت. للمؤسسات أن تتقدّم بطلب لإعادة الوصل. ومعايير الطلب غير موثَّقة علنًا. وتشمل المؤسسات المعتمَدة حتى الآن قنوات تيليجرام الموالية للحكومة، وحسابات الإعلام الرسمي الإيراني، وشبكات جامعية مختارة. أما المستخدمون الأفراد فما زالوا خارج الشبكة. والفئات المحددة التي أفلست أو تعطّلت بفعل الانقطاع تشمل المنشآت الصغيرة، والشركات الناشئة، والعاملين المستقلين مع عملاء دوليين، والطلاب الذين يعتمدون على الموارد التعليمية على الإنترنت، والخدمات الطبية التي تتطلّب تنسيقًا عبر الشبكة.

أما ستارلينك — نظام الإنترنت الفضائي الذي طُرح بوصفه البديل غير المعتمِد على الدولة — فيتعرّض لتدهور نشط بفعل تشويش عسكري المستوى تنشره الدولة الإيرانية. ويعزو تحليل مجلس السياسة الخارجية الأمريكي هذا التشويش إلى منظومات الحرب الإلكترونية الروسية Murmansk-BN وإلى تقنيات صينية مضادة للاتصالات الساتلية. أما الفاعلية فهي تدهور إشارة ستارلينك بنسبة 30–80 بالمئة. وتنشر إيران كذلك انتحالًا لإشارات GPS — وهي أول حالة موثَّقة لدولة تستخدم انتحال GPS ضد إنترنت ساتلي تجاري على نطاق واسع. وقد نشرت SpaceX في 10 يناير تحديثًا برمجيًا يتيح للمحطات تحديد موقعها بالتثليث عبر إشارات أقمار متعددة بدلًا من GPS، ما أعاد جزئيًا صلاحية ستارلينك للعمل في ظروف التشويش. وحيازة محطة ستارلينك في إيران فعل إجرامي (من 6 أشهر إلى سنتين سجنًا بموجب قانون مكافحة التجسس)؛ أما استخدام محطة ستارلينك من أجل «مواجهة الجمهورية الإسلامية» فعقوبته الإعدام.

هذه هي معمارية الإذن في أوضح تجلياتها المعاصرة. خط الأساس لدى الدولة مغلق. وإعادة الوصل تتطلب منحًا صريحًا من الدولة. والبنية المضادة (ستارلينك) تُواجَه بحرب إلكترونية بمستوى الدول. وحيازة البنية المضادة تحمل عقوبات جنائية وعقوبة إعدام. وبالنسبة لتسعين مليون إيراني، فإن الإنترنت في 20 أبريل 2026 هو الإنترنت الخاضع للإذن في صورته الصريحة.

مئة مليون على Max

تجاوز تطبيق المراسلة الروسي المدعوم من الدولة Max حاجز 100 مليون مستخدم مسجَّل في مارس 2026، مع 70.5 مليون مستخدم نشط يوميًا، بحسب إفصاح VK في 26 مارس. أما إجمالي عمليات التسجيل منذ إطلاق Max في مارس 2025 فبلغ 107 ملايين — وهو أسرع تبنٍّ لتطبيق مراسلة في تاريخ روسيا. والتطبيق تطبيقٌ فائق متكامل: مراسلة، وخدمات حكومية، وهوية رقمية، وتوقيع مستندات إلكتروني، ومدفوعات، مصمَّم صراحةً على غرار WeChat. أما الخصائص المعمارية فهي: تخزين كل البيانات على خوادم روسية؛ ولا تشفير من طرف إلى طرف؛ وتكامل مع SORM-3 (نظام المراقبة الروسي الذي يغطي الاحتفاظ الكامل بالمحتوى والوصول إليه من جهاز الأمن الفيدرالي FSB). وقال باحث الأمن السيبراني بابتيست روبير، في تصريح نقلته الصحافة الدولية: «أي بيانات تمرّ عبر هذا التطبيق يمكن اعتبارها في يد مالكه، وفي هذه الحالة في يد الدولة الروسية.»

لا يُفسَّر تبنّي Max بتفوّق المنتج. بل يُفسَّر بتدهور الخدمات المجاورة. فقد حُجب واتساب كليًا في روسيا في 11 فبراير 2026. وبلغ معدل حجب تيليجرام — أي «الاضطرابات» التي تجعل الخدمة غير قابلة للاستخدام — نسبة 95 بالمئة في 10 أبريل بحسب Meduza، وهو أعلى مستوى مسجَّل منذ بدء الجولة الجديدة من القيود في 20 مارس. وأصدر مؤسس تيليجرام بافل دوروف نسخة من التطبيق تتضمّن تقنيات مدمجة لتجاوز الفحص العميق للحزم؛ ولعبة القط والفأر في التجاوز مستمرة. وخلال الإغلاقات الدورية للإنترنت المحمول في موسكو والأقاليم (بحسب تغطية RFE/RL)، تحتفظ «قائمة بيضاء» تديرها الدولة بخدمات تظل عاملة. الخدمات الحكومية ومنها Max تبقى ضمن القائمة البيضاء؛ أما الخدمات الدولية المحجوبة أو المتدهورة فلا. وفي فبراير 2026 ألزم جهاز الأمن الفيدرالي المصارف الروسية الكبرى بتركيب معدات SORM؛ واستُبعدت المصارف غير الممتثلة من القائمة البيضاء الخاصة بالإغلاقات.

الملاحظة المعمارية: بنت روسيا مكدّسًا من المراسلة والهوية والمدفوعات تسيطر عليه الدولة، بحجم يقارب سبعين بالمئة من السكان البالغين. والقنوات المجاورة تتعرّض لتدهور نشط. والمستخدم يُوضَع أمام خيار بين استخدام قناة تراقبها الدولة واستخدام بديل متدهور أو مُجرَّم. وفئة «التبنّي الطوعي» لا تنطبق على بنية الخيار هذه.

دوّامة الشبكات الخاصة الافتراضية

أنتج إنفاذ المملكة المتحدة لقانون السلامة على الإنترنت خلال 2025 و 2026 نمط دوّامة محددًا. فالتحقق من العمر مطلوب على المواقع التجارية ذات المحتوى الإباحي. واستجاب المستخدمون باستخدام الشبكات الخاصة الافتراضية — بارتفاع قدره 1,400 بالمئة في اليوم الأول بحسب عدة جهات تتبّع أمني. وفي فبراير 2026 اقترحت الحكومة البريطانية خيارات لـ "age restrict or limit children's use of Virtual Private Networks" — أي تقييد استخدام الأطفال للشبكات الخاصة الافتراضية بالعمر أو الحدّ منه — حيث يقوّض هذا الاستخدام أوجه الحماية في قانون السلامة على الإنترنت. أما 4chan — الذي غرّمته Ofcom بمبلغ 520,000 جنيه إسترليني في مارس 2026 لعدم امتثاله لشرط التحقق من العمر — فقد رفض الدفع. وردّ محاميه الأمريكي بريستون بيرن على إشعار الغرامة برسم كرتوني مولَّد بالذكاء الاصطناعي لهمستر بزيّ غودزيلا؛ واستمرت الطرفة عبر الإشعارات اللاحقة بصور قوارض متصاعدة. ولا وجود لـ 4chan في المملكة المتحدة، ولا أصول ولا موظفين فيها؛ ومسار الإنفاذ ضعيف بنيويًا. أما غرامات Ofcom المستمرة البالغة 500 جنيه إسترليني يوميًا فتسري حتى 1 يونيو 2026.

الدوّامة: احجب المحتوى، فيلتفّ المستخدمون حوله عبر شبكة خاصة افتراضية، فتُقترح قيود على تلك الشبكات. كل إجراء مضاد في السلسلة يخلق الدافع للإجراء التالي. والنمط المعماري هو دوّامة طبقة الإذن — الوصول إلى المحتوى يستلزم تحققًا من الهوية؛ والتحقق من الهوية يستلزم هوية قابلة للتحقق؛ والتملّص عبر الشبكات الخاصة الافتراضية يجعل الهوية غير قابلة للتحقق؛ وتقييد تلك الشبكات يعيد فرض الهوية لكن بكلفة على الحريات المدنية.

النمط الأمريكي مواز معماريًا. فقد أيّدت المحكمة العليا قانون تكساس HB 1181 بأغلبية 6-3 في 27 يونيو 2025 في قضية Free Speech Coalition v. Paxton. وسنّت نحو خمس وعشرين ولاية قوانين مماثلة بحلول الربع الثاني من 2026. وانسحبت Pornhub من بعض الولايات بدلًا من تطبيق التحقق من العمر؛ والمستخدمون يهاجرون عبر الشبكات الخاصة الافتراضية. أما منظومة مورّدي التحقق من الهوية (Yoti، AgeCheck، Verifi، Digidentity) فهي قطاع سريع النمو له ملف سطح هجوم خاص به — إذ يصير المورّد قاعدة بيانات لمن دخلوا إلى محتوى للبالغين، وهدفًا عالي القيمة لسرقة الهوية والابتزاز.

حوار 4 مايو الثلاثي

اللائحة الأوروبية الدائمة بشأن الاعتداء الجنسي على الأطفال — «Chat Control 2.0» أو رقابة الدردشة — لها جولة حوار ثلاثي مقبلة مقرَّرة في 4 مايو 2026، في ذيل الرئاسة الدنماركية. وقد انتهى العمل بالاستثناء الخاص بالمسح الطوعي (Chat Control 1.0) في 3 أبريل 2026. أما جولة الحوار الثلاثي في 16-17 أبريل بشأن اللائحة الدائمة فقد انهارت؛ وبحسب برقيات مسرَّبة من المجلس، سمح وزراء المجلس بالفشل عمدًا تفاديًا لإرساء سابقة تُضعف النظام الدائم. والمفاوضات جارية في صيغة الحوار الثلاثي منذ النصف الثاني من 2024.

الرهانات المعمارية محددة. فإذا اعتمدت اللائحة المسح الإلزامي على جهة العميل — أي مسح المحتوى قبل وصوله إلى التشفير — يفقد التشفير من طرف إلى طرف معناه كضمانة للخصوصية. وبنية المسح، متى نُشرت، قابلة لإعادة التوجيه إلى فئات محتوى إضافية تتجاوز مواد الاعتداء على الأطفال (حقوق النشر، المحتوى السياسي، المعارضة) بتغييرات في السياسة ودون أي تغيير تقني. وقد صرّحت Signal و واتساب و iMessage و Proton بأنها ستسحب خدماتها من الاتحاد الأوروبي بدلًا من تطبيق المسح على جهة العميل؛ ونمذجة الكلفة والعائد بين الانسحاب والامتثال ما زالت قائمة.

السؤال المعماري هو ما إذا كان بوسع المراسلة أن تحتفظ بالتشفير من طرف إلى طرف كضمانة للخصوصية في الاتحاد الأوروبي بعد 4 مايو. والجواب متنازَع عليه. فموقف البرلمان الحامي للخصوصية ممكن. وموقف المجلس القائم على الكشف الإلزامي ممكن. وحلٌّ وسط يُنتج مسحًا على جهة العميل ضمن فئات ضيقة محددة هو المرجَّح. ولكل نتيجة تبعات مختلفة على خط الأساس المعماري لخصوصية المراسلة في الاتحاد الأوروبي.

الانقضاء الذي لم يقع

كان 20 أبريل 2026 هو تاريخ الانقضاء الأصلي للمادة 702 من قانون مراقبة الاستخبارات الأجنبية، وهو التاريخ الذي حدّده قانون إصلاح الاستخبارات وتأمين أمريكا لعام 2024. ولم يعد كذلك. ففي 17 أبريل عند الساعة 2:09 صباحًا، أقرّ مجلس النواب بالإجماع تمديدًا لمدة 10 أيام بعدما عطّلت اعتراضات جمهورية على التعديلات التصويت المقرَّر في القاعة. وفي عصر اليوم نفسه، أقرّ مجلس الشيوخ التمديد ذاته بتصويت صوتي. وفي السبت 18 أبريل، وقّع الرئيس ترامب قانون H.R. 8322 دون بيان علني ودون تصوير بحضور المسؤولين. والتاريخ الجديد للانقضاء هو 30 أبريل.

واليوم — 20 أبريل — تجتمع لجنة القواعد في مجلس النواب الساعة 4 عصرًا بتوقيت شرق الولايات المتحدة. وبحسب الإعلان الرسمي للجنة، فإن المادة 702 ليست على جدول أعمال التعديل التشريعي. أما البنود المطروحة فهي: H.R. 1897 (قانون الأنواع المهدَّدة بالانقراض)، و H.R. 5587 (الطاقة)، و H.R. 2289 (النطاق العريض)، و H.R. 4690 (البنية التحتية)، وقرار بشأن المجتمعات الريفية. ولا وسيلة تشريعية في مجلس الشيوخ لإصلاح المادة 702 مجدولة هذا الأسبوع. وائتلاف الإصلاح — الذي سعى إلى اشتراط مذكرة قضائية للاستعلامات المتعلقة بأشخاص أمريكيين، عقب بيان وايدن ذي الحجج الثلاث في القاعة والذي تضمّن اعتراضًا على "feeding [collected data] into AI systems to conduct unprecedented mass surveillance" (أي تغذية البيانات المجموعة في أنظمة ذكاء اصطناعي لتنفيذ مراقبة جماعية غير مسبوقة) — أمامه عشرة أيام ولا وسيلة تشريعية متحركة. أما السلطة التنفيذية (مدير الاستخبارات الوطنية راتكليف، ومدير مكتب التحقيقات الفيدرالي باتيل، ومدير الاستخبارات الوطنية ميلر) فقد دعت علنًا إلى إعادة تفويض نظيفة. والمسار الإجرائي هو إعادة تفويض نظيفة في 30 أبريل، أو ترقيع آخر، أو انقضاء مع استمرار الجمع بموجب تفسير إداري في ظل غموض قانوني.

صياغة وايدن المتعلقة بأنظمة الذكاء الاصطناعي هي موضع الأهمية المعمارية. فهي تُقرّ بأن النقاش السياساتي حول المادة 702 تجاوز سؤال «من يجمع» ليشمل سؤال «كيف يعالج الذكاء الاصطناعي ما يُجمَع». وطبقة المعالجة بالذكاء الاصطناعي — Palantir Gotham، و Anduril، و Clearview AI لبيانات الوجوه، وذكاء اصطناعي تشغّله شركات متعاقدة لتحليل الاستخبارات الإشارية — ليس لها إطار رقابي تشريعي محدد. وإصلاح المادة 702، لو كان يتحرك، لكان عليه أن يعالج هذه الطبقة. لكن الإصلاح لا يتحرك. والمعمارية مستمرة.

تسريب هيئة التصنيف

في 19 أبريل 2026، علّقت وزارة الاتصالات والشؤون الرقمية الإندونيسية عمل نظام تصنيف الألعاب الإندونيسي (IGRS) بعد خرق أمني كشف أكثر من 1,000 بريد إلكتروني لمطوّرين، وأصول ألعاب مقدَّمة للتصنيف، وقرابة ساعة من لقطات اللعب غير المُصدَرة من «007: First Light» عبر واجهة برمجية خلفية غير مؤمَّنة. واكتشف الثغرة مستخدم على Reddit كان يطوّر واجهة أمامية بديلة لقاعدة بيانات تصنيفات IGRS؛ إذ كانت التصنيفات المخفية والبيانات الوصفية المرتبطة بها متاحة بمجرد كتابة المعرّف الداخلي للعبة يدويًا. وقد أُغلقت الواجهة البرمجية منذ ذلك الحين، وأُوقف إصدار التصنيفات الجديدة أثناء التحقيق.

نظام IGRS هو طبقة الإذن الحكومية للألعاب. فالألعاب تحتاج إلى تصنيف حكومي لتوزَّع في إندونيسيا. والفشل الأمني في بنية الإذن ذاتها كشف بيانات الجهات التي تطلب الإذن. والدرس المعماري: كل نظام إذن هو قاعدة بيانات، وكل قاعدة بيانات سطح هجوم، وكل سطح هجوم يُهاجَم في نهاية المطاف. والإذن الذي تفرضه الدولة يركّز سطح الهجوم في أنظمة تحمل الدَّين الأمني الخاص بالبنى التي تشغّلها الدول.

مستشفى ChipSoft

في 7 أبريل 2026، أخطرت Z-CERT شركة ChipSoft — مورّد تقنية المعلومات الصحية الهولندي الذي يخدم برنامجه HiX لملفات المرضى الإلكترونية نحو 70 بالمئة من المستشفيات الهولندية — بوجود هجوم فدية نشط. وبحلول 8 أبريل، أكدت ChipSoft تسريب بيانات مرضى إلى الخارج. وبحلول 14 أبريل، كان البرلمان الهولندي قد بدأ تحقيقًا رسميًا يطالب وزيرة الصحة هيرمانس بإجابات. وبحلول 17 أبريل، كانت هيئة حماية البيانات الهولندية قد تلقّت 23 إخطارًا بتسريب بيانات أو أكثر؛ وقال وزير العدل الهولندي ديفيد فان فيل: «توقّعوا اختراقات كبيرة أخرى.» وأوقفت عدة مستشفيات بوابات المرضى؛ ومن بين ما تأكّد تضرّره علنًا مستشفى روتردام للعيون، و Rijndam Revalidatie، و Basalt Revalidatie في جنوب هولندا.

الملاحظة المعمارية هي ذاتها ملاحظة سلسلة توريد مساعِد الذكاء الاصطناعي في النسخة 01 من إصدار اليوم. فمورّد واحد يحوز وصولًا واسعًا — وهنا 70 بالمئة من سجلات مرضى مستشفيات بلد بأكمله — يمثّل تركيزًا كارثيًا. المرضى وافقوا على تلقّي الرعاية في مستشفياتهم. ولم يوافقوا بشكل منفصل على اختيار المستشفى لمورّده. وحين يُخترق المورّد، تكون خصوصية المرضى الطبية هي نطاق الانفجار. وتركّز المورّدين على مستوى الرعاية الصحية الوطنية هو الوضع المعماري الافتراضي؛ أما المعمارية المضادة القائمة على المعايير المفتوحة (قابلية نقل البيانات المبنية على FHIR، وحاويات البيانات المملوكة للمريض عبر Solid/Inrupt) فمتاحة لكنها منشورة على نطاق أقلّي.

الخدعة الطويلة

جرى استنزاف بروتوكول Drift — أكبر منصة تمويل لامركزي على Solana من حيث القيمة الإجمالية المقفلة حينها — بمبلغ 285 مليون دولار في 1 أبريل 2026، وهو ثاني أكبر استغلال في تاريخ Solana. سلسلة الهجوم: أمضى المهاجمون ستة أشهر متنكّرين في هيئة شركة تداول كمّي، وبنوا علاقات مع أعضاء مجلس أمن Drift. وبين 23 و 30 مارس، استخدموا ميزة durable nonces في Solana — الأرقام العشوائية الدائمة — لإنشاء معاملات موقَّعة مسبقًا تُنفَّذ لاحقًا، وحصلوا عبر الهندسة الاجتماعية على تواقيع من أعضاء حقيقيين في مجلس الأمن. ونقلت هذه المعاملات السيطرة الإدارية على البروتوكول إلى عنوان يتحكم به المهاجم. وفي 1 أبريل، نشر المهاجمون رمز CVT مزيفًا (أُنشئ في 12 مارس)، وأدرجوه في القائمة البيضاء كضمانة، وأودعوا 500 مليون CVT، واقترضوا مقابله لسحب 285 مليون دولار من USDC و SOL و ETH في نحو 12 دقيقة. أما النسبة فهي بثقة متوسطة إلى المجموعة UNC4736 المرتبطة بكوريا الشمالية (والمتتبَّعة باسم AppleJeus و Citrine Sleet و Golden Chollima و Gleaming Pisces) بحسب Chainalysis و TRM Labs و Elliptic.

الملاحظة المعمارية: الحوكمة اللامركزية بلا تحقّق لامركزي عرضة لهجمات التركيز. فمجلس أمن Drift — مجموعة صغيرة من الموقّعين تملك صلاحيات إدارية واسعة — كان هو سطح الهجوم. وكانت durable nonces، وهي ميزة حميدة في Solana صُمّمت للتنفيذ المؤجَّل في سير عمل مشروع، هي الأداة الأولية للهجوم. أما المعمارية الدفاعية — هوية الموقّعين القائمة على أوراق اعتماد قابلة للتحقق، والمحافظ العتادية ذات شاشات المعاملات المقروءة، والأقفال الزمنية على العمليات الإدارية — فموجودة لكنها لم تُطبَّق بشكل شامل. ستة أشهر من الهندسة الاجتماعية العلائقية هي الجديد هنا؛ أما الثغرة المعمارية التي استغلّتها فبنيوية.

المعمارية

معمارية الإذن منشورة عند خمس طبقات من مكدّس الإنترنت لدى المستخدم في 2026.

طبقة البنية التحتية. القائمة البيضاء للمجلس الأعلى للأمن القومي في إيران. القائمة البيضاء الروسية أثناء إغلاق الإنترنت المحمول. تشويش ستارلينك عبر حرب إلكترونية روسية وصينية بمستوى عسكري. قابلية الوصول الأساسية لتوجيه IP من ولاية قضائية وإليها صارت امتيازًا تمنحه الدولة لا وضعًا افتراضيًا في البروتوكول.

طبقة التوجيه. تصفية DNS، واختطاف BGP، وحجب أنظمة ASN، وحجب المحتوى على مستوى شبكات توصيل المحتوى. خنق تيليجرام في روسيا عند 95 بالمئة. أوامر حجب المحتوى البريطانية. نظام IGRS الإندونيسي بوصفه طبقة إذن سرّبت نفسها.

طبقة الهوية. التحقق من العمر في قانون السلامة على الإنترنت البريطاني. قانون تكساس HB 1181 (نحو 25 ولاية أمريكية). الهوية الرقمية الروسية وتكاملها مع Max. مورّدو التحقق من الهوية (Yoti، AgeCheck، Verifi، Digidentity) بوصفهم قواعد بيانات مركزية عالية القيمة.

طبقة التشفير. حوار Chat Control 2.0 الثلاثي في 4 مايو. مقترحات المسح على جهة العميل التي تقوّض التشفير من طرف إلى طرف عند نقطة النهاية. نقاشات الإيداع الإلزامي للمفاتيح. متطلبات واجهات الاعتراض القانوني في ولايات قضائية شتى.

طبقة التطبيقات. توسّع نطاقات OAuth لمساعِدات الذكاء الاصطناعي (وهو مجال النسخة 01). حملات سوء التهيئة في Salesforce. المصادقة التي يحتفظ بها مورّدو SaaS على مستوى المؤسسات. Vercel/Context.ai، وثغرة Azure MCP، و Meta Scale AI Outlier، وأكثر من 100 مليون سجل لدى ShinyHunters في الأسبوع 14.

كل طبقة فيها إذن منشور. وكل طبقة لها معمارية مضادة متاحة. ولا واحدة من المعماريات المضادة هي الوضع الافتراضي السائد. والفجوة بين الإذن المنشور والمعمارية المضادة المنشورة تتّسع، لا تضيق.

المعمارية المضادة

المكدّس اللامركزي موجود. وهو قيد التشغيل. وليس سائدًا. ومكوّناته:

البنية التحتية. الشبكات الشبكية بين الأقران. الاتصال الساتلي (ستارلينك، مع ثغرات موثَّقة أمام السلاح المضاد لدى الدول). الشبكات الشبكية على الطبقة المادية (Meshtastic، Yggdrasil، cjdns). ركيزة التوجيه بين الأقران لدى URnetwork. الحوسبة المحلية أولًا التي لا تعتمد على قابلية الوصول.

التوجيه. توجيه Tor البصلي مع النواقل المموَّهة (obfs4، snowflake). DNS عبر Tor. التوجيه الاتحادي بين الأقران لدى URnetwork. WireGuard عبر TLS. Shadowsocks مع التمويه.

الهوية. أوراق الاعتماد القابلة للتحقق من W3C. المعرّفات اللامركزية (DIDs). إثبات العمر الحافظ للخصوصية عبر براهين المعرفة الصفرية. الهوية المستعارة مع سمعة. محافظ الهوية ذاتية السيادة (مشاريع الهوية الرقمية التجريبية في إيطاليا وهولندا).

التشفير. المراسلة المشفَّرة من طرف إلى طرف: Signal، Tuta، Proton، Session. التشفير ما بعد الكمّي: Tuta أول من نشره. التخزين السحابي المشفَّر: Tresorit، Sync، Mega، pCloud. تخزين المفاتيح المدعوم عتاديًا.

التطبيقات. وكلاء ذكاء اصطناعي ذاتيو الاستضافة: LangChain، LlamaIndex، Semantic Kernel. استضافة نماذج لغوية محلية: Ollama. خوادم MCP مفتوحة المصدر بنشر يتحكم به العميل. نطاقات OAuth الدنيا. المصادقة لكل عملية. المراقبة المستمرة مع تكامل SIEM/SOAR.

مقاييس المستخدمين الإجمالية. Signal: نحو 50 مليون نشط يوميًا. Proton: 100 مليون حساب. Tuta: 10 ملايين مستخدم. Matrix: 80 مليون مستخدم اتحادي. Tor: 2–3 ملايين يوميًا. Mastodon و Bluesky و Nostr مجتمعةً: نحو 50 مليون مستخدم نشط شهريًا. كلٌّ منها ذو وزن؛ وكلٌّ منها حصة أقلية؛ ومجتمعةً تمثّل المكدّس اللامركزي في منحنى تبنٍّ متراكم لكنه لم يصر مهيمنًا بعد.

ما يقيسه الأسبوع

الإنترنت الخاضع للإذن هو خط الأساس لعام 2026. والمعمارية المضادة موجودة وتنمو. والنشر هو السؤال المتبقي.

في يوم الاثنين 20 أبريل 2026، يعيش مستخدم إيراني اليوم 52 من إنترنت تحكمه قائمة بيضاء حكومية. ومستخدم روسي يستعمل Max بوصفه مكدّس المراسلة والهوية والمدفوعات في يومه. ومستخدم بريطاني يواجه تحققًا من العمر عند طبقة المحتوى وقيودًا مقترحة على الشبكات الخاصة الافتراضية عند طبقة التوجيه. ومستخدم أوروبي يبعد نحو أسبوعين عن حوار 4 مايو الثلاثي الذي قد يعيد كتابة معنى «التشفير من طرف إلى طرف» في الاتحاد الأوروبي. ومطوّر إندونيسي كُشف بريده وعمله غير المُصدَر عبر نظام الإذن الحكومي نفسه. ومريض هولندي سُرّبت سجلاته الطبية عبر مورّد واحد يخدم 70 بالمئة من مستشفيات بلده. وأمريكي وُقّع له ترقيع للمادة 702 يوم السبت ولا وسيلة إصلاح متحركة في الـ 10 أيام المتبقية. ومستخدم لبروتوكول Drift وُصل إلى 285 مليون دولار من رأس المال عبر ستة أشهر من الهندسة الاجتماعية العلائقية ضد مجلس صغير متعدد التواقيع. وعميل مؤسسي يستخدم مساعِد ذكاء اصطناعي شهد أهم اختراق تعاقبي في الأسبوع (وهو مرتكز النسخة 01).

كلٌّ منها نقطة بيانات مختلفة. وكلٌّ منها طبقة إذن مختلفة. وكلٌّ منها اليوم.

المكدّس اللامركزي — Signal و Tuta و Proton في المراسلة والبريد؛ و Tor و URnetwork في التوجيه؛ و Matrix و Mastodon و Bluesky في التواصل الاجتماعي الاتحادي؛ و Ollama و LangChain و LlamaIndex في الذكاء الاصطناعي ذاتي الاستضافة؛ وأوراق الاعتماد القابلة للتحقق من W3C والمعرّفات اللامركزية في الهوية — متاح. وقرار النشر بيد المستخدم، والمطوّر، والمؤسسة، والمجتمع.

معمارية الإذن تُنشر بسرعة الدول والمورّدين. والمعمارية المضادة تُنشر بسرعة المجتمعات. والفجوة هي قياس عام 2026. والسؤال بشأن إنترنت 2028 هو أي المعماريتين تصل إلى يد المستخدم أولًا بوصفها الوضع الافتراضي. والجواب يعتمد على ما يُنشر في الـ 24 شهرًا بين اليوم وذلك الحين.

اليوم هو الاثنين 20 أبريل 2026. اليوم 52 في طهران. 100 مليون على Max. 14 يومًا حتى الحوار الثلاثي الأوروبي. 10 أيام حتى الموعد النهائي التالي للمادة 702 الأمريكية. الإنترنت الخاضع للإذن هنا. والمعمارية المضادة هنا أيضًا. وخيار المستخدم في هذا الاثنين يتراكم ليصير معمارية العقد.

في يوم الأحد 19 أبريل، أكدت Vercel — منصة النشر السحابي التي يستخدمها مئات الآلاف من المطوّرين وتمثّل طبقة استضافة التشغيل لجزء معتبر من بنية Web3 — أن جهة غير مصرَّح لها وصلت إلى أنظمتها الداخلية. وكان الشرح العلني للرئيس التنفيذي لـ Vercel، غييرمو راوخ، محددًا بشأن سلسلة الهجوم: اختُرقت Context.ai، وهي منصة وكلاء ذكاء اصطناعي من طرف ثالث يستخدمها موظفو Vercel لأتمتة الإنتاجية المؤسسية؛ ثم التُقطت جلسة OAuth الخاصة بـ Google Workspace لموظف في Vercel كان يستخدم Context.ai؛ ثم استخدم المهاجم الجلسة للدخول إلى بيئات Vercel الداخلية؛ ثم جرى تعداد متغيرات البيئة الداخلية المصنَّفة "non-sensitive" (أي غير حساسة) لتحديد مسارات التصعيد؛ وانكشفت مجموعة محدودة من بيانات اعتماد العملاء.

ونشرت ShinyHunters — مجموعة الابتزاز التي تقف خلف الاختراق والمسؤولة عن إفصاحَي 14 أبريل بشأن McGraw Hill (13.5 مليون حساب) و Rockstar Games (78.6 مليون سجل) — عرضًا على BreachForums تطلب فيه 2 مليون دولار، مع مرونة تبدأ من 500,000 دولار بالبيتكوين. وقد أطّرت المجموعة عرضها في البداية بوصفه خطرًا على سلسلة التوريد يشمل Next.js بأكمله. ورفض راوخ هذا التأطير صراحةً: فـ Next.js و Turbopack ومشاريع Vercel مفتوحة المصدر آمنة بعد تدقيق لسلسلة التوريد أُجري عقب الحادث.

ليس هذا الهجوم هو الأكبر هذا الشهر من حيث عدد السجلات. لكنه على الأرجح الأهم معماريًا. فالمتّجه — منصة وكلاء ذكاء اصطناعي مخترَقة تتعاقب عبر نطاقات OAuth إلى بيئة إنتاج لدى عميل في المصبّ — يصف الصنف التالي من هجمات سلسلة التوريد المؤسسية. وهذا الصنف ليس له بعد إطار تنظيمي كبير. وهو يُنشر على نطاق المؤسسات أسرع من الوضع الأمني القادر على احتوائه.

ما الذي يملكه مساعِد الذكاء الاصطناعي فعلًا

تأمّل نشرًا مؤسسيًا نموذجيًا لمساعِد ذكاء اصطناعي. يثبّت موظف أداة إنتاجية — Context.ai لملخصات الاجتماعات، و Cursor لإكمال الشفرة، و Claude لصياغة البريد، و Copilot للعمل على المستندات، ووكيلًا مخصصًا لجدولة المواعيد أو إدارة خط المبيعات. تتطلب الأداة موافقة OAuth. وتطلب شاشة الموافقة نطاقات تشمل:

• قراءة وكتابة في Google Workspace أو Microsoft 365: Gmail، Drive، Calendar، Contacts.
• قراءة وكتابة في Slack أو Microsoft Teams: القنوات، والرسائل المباشرة، والملفات، وقوائم المستخدمين.
• قراءة وكتابة في GitHub: المستودعات، والمشكلات، وطلبات السحب.
• قراءة في Jira و Notion و Linear و Asana.
• قراءة وكتابة في Salesforce أو HubSpot.

يضغط الموظف على "Allow" (أي السماح). وصار للمساعِد الآن، عمليًا، وصول قراءة شبه كامل إلى اتصالات الموظف ومحتواه المؤسسي، ووصول كتابة معتبر حيث تهمّ الأتمتة. والنطاق أوسع مما تتطلبه الميزة المحددة. فالنطاقات الأضيق ستكسر وعد «افعل أي شيء» الذي يقوم عليه منتج المساعِد. وتُحفظ رموز OAuth في الواجهة الخلفية لمورّد المساعِد وتوثّق أفعاله نيابةً عن المستخدم.

وحين تُخترق الواجهة الخلفية للمورّد، تكون الرموز هي نطاق الانفجار. فالمهاجم يرث النطاق. وقد منح اختراق Context.ai مهاجمي Vercel وصولًا بحجم Vercel عبر الرموز التي منحها عملاء Context.ai لها. والنمط ليس خللًا في منتج Context.ai. إنه نموذج عمل مساعِدات الذكاء الاصطناعي: تفويض OAuth واسع النطاق يُكتسب من أجل الإنتاجية، فيتعاقب اختراق حائز التفويض عبر النطاق.

إشارة خادم Azure MCP

Context.ai مورّد واحد. وصنف البنية المعنية يمتد أبعد. ففي 3 أبريل، أفصحت Microsoft عن الثغرة CVE-2026-32211: ثغرة انعدام مصادقة في خادم Azure MCP — وهو تطبيق Microsoft لبروتوكول سياق النموذج، المعيار الناشئ لربط وكلاء الذكاء الاصطناعي بأدوات المؤسسات ومصادر بياناتها. ودرجة CVSS هي 9.1. وفئة الثغرة هي CWE-306، أي انعدام المصادقة لوظيفة حرجة. ويستطيع مهاجم لديه وصول شبكي إلى نشر مصاب أن يستخرج تفاصيل التهيئة ومفاتيح واجهات البرمجة ورموز المصادقة دون بيانات اعتماد. وبعد سبعة عشر يومًا من الإفصاح، لم يصدر أي تصحيح. وإرشادات Microsoft للتخفيف هي تقييد نقطة نهاية خادم MCP بجدار ناري ومصادقة عبر وكيل عكسي — أي ضوابط تعويضية، لا إصلاح.

تضع درجة 9.1 الثغرة CVE-2026-32211 في مستوى الخطورة الحرجة. وزمن استجابة Microsoft المعتاد لثغرات الخطورة 9.x هو 7-14 يومًا. وسبعة عشر يومًا دون تصحيح لثغرة حرجة قابلة للاكتشاف فعليًا أمر غير معتاد. وأيًا كان السبب المحدد — تعقيد معماري، أو تبعيات عبر المنتجات، أو تفاعلات مع أنظمة المصادقة — فالإشارة هي أن بنية وكلاء الذكاء الاصطناعي تُنشر متقدمةً على وتيرة التصحيح المعتادة. فهذا الصنف من البنية لم يبلغ بعد النضج التشغيلي المنطبق على منتجات Azure الرئيسية.

وخادم Azure MCP ليس استثناءً. فقد رصدت الأبحاث عبر الربع الأول من 2026 مشكلات أمنية بنيوية في تطبيقات خوادم MCP: انعدام المصادقة في التهيئات الافتراضية التي ترتبط بالمضيف المحلي دون بيانات اعتماد؛ ونطاقات OAuth الواسعة التي تمنحها منصات وكلاء الذكاء الاصطناعي لخوادم MCP الأساسية، ما يخلق نطاق انفجار مفرطًا؛ وسلاسل ثقة بين الوكلاء تمرّر السياق دون إثبات تشفيري؛ وقصور في مراقبة ما يفعله الوكلاء. وقد رُقِّعت ثغرة تصعيد امتيازات في خادم MCP المرجعي لدى Anthropic في مارس. وأفصحت تطبيقات MCP مفتوحة المصدر على GitHub عن مشكلات أصغر خلال أوائل 2026. والمنظومة في طور النشر الأسرع من الأمن.

اختلال Gartner

توقّع Gartner في أبريل 2026: 40 بالمئة من تطبيقات المؤسسات ستتضمّن وكلاء ذكاء اصطناعي مخصصين للمهام بحلول نهاية 2026، صعودًا من أقل من 5 بالمئة في 2025. ووجد استطلاع Gravitee لعام 2026 لقادة التقنية في المؤسسات أن 24.4 بالمئة من المؤسسات لديها رؤية كاملة لأي وكلاء ذكاء اصطناعي يتواصلون فيما بينهم داخل بنيتها. فمنحنى النشر نموّ 8 أضعاف في سنة واحدة. والرؤية عند نحو ربع النشر.

وحلّل تحالف أمن السحابة في 17 أبريل نمط الفشل المحدد: وكيل ذكاء اصطناعي مخترَق يواصل تمرير السياق إلى الوكلاء في مصبّ سلسلته ببيانات يتحكم بها المهاجم. ولا يستطيع الوكلاء في المصبّ التمييز بين سياق مشروع ومحتوى محقون. أما الكشف التقليدي عن الحركة الجانبية، المصمَّم لاختطاف جلسات المستخدمين البشر أو لانتشار البرمجيات الخبيثة، فلا يرى الاختراق لأن حركة المرور بين الوكلاء متوقَّعة — فهي نمط الاتصال المصمَّم للبنية نفسها.

والاختلال يتراكم. فعملاء المؤسسات ينشرون وكلاء الذكاء الاصطناعي أسرع مما ينشرون المراقبة اللازمة لتأمينهم. والمورّدون يشحنون بنية وكلاء الذكاء الاصطناعي أسرع من انضباط التصحيح اللازم لصيانتها. والمهاجمون يدخلون المجال أسرع من الأطر الدفاعية القادرة على احتوائهم. والفجوة تتّسع، لا تضيق.

امتداد Scale AI

يمتد نمط مساعِد الذكاء الاصطناعي إلى طبقة بيانات التدريب. فقد وثّق تحقيق The Guardian في 7 أبريل حول علاقة Meta بـ Scale AI الترتيب البنيوي: استثمار Meta البالغ 14.3 مليار دولار في Scale AI (يونيو 2024) منح Meta سيطرة تشغيلية على Outlier، منصة العمالة المؤقتة التابعة لـ Scale AI. وقد دُفع لعشرات الآلاف من عمّال Outlier مقابل جمع ملفات مستخدمي Facebook و Instagram يدويًا، ونسخ صور محمية بحقوق النشر، وتفريغ مقاطع صوتية صريحة، ووسم الصور بحسب العمر الظاهري. وهدف التدريب هو نموذج Meta المسمّى Muse Spark، الذي أُطلق للعموم في أبريل 2026 عبر مجموعة منتجات Meta.

ومن منظور تدفّق البيانات، منحت Meta شركة Scale AI وصول قراءة واسعًا إلى محتوى ينتجه المستخدمون، وعالجت قوة عمل Outlier هذا المحتوى، وأنتجت المعالجة بيانات تدريب لذكاء Meta الاصطناعي. أما المقابل في OAuth فهو: Meta هي العميل، و Scale AI هي المورّد، وعمّال Outlier هم الوكلاء. ونطاق انفجار أي اختراق في Scale AI — سواء من فعل داخلي، أو مهاجم خارجي، أو تسرّب عبر مقاول من الباطن — هو كل مستخدم في Facebook و Instagram وقع محتواه في طابور عمل Outlier. والمستخدمون لم يوافقوا على وصول على مستوى قوة العمل. أما العمّال أنفسهم فكانت اتفاقيات عدم الإفصاح هي حمايتهم الأساسية. وتحدد تغطية The Guardian الفئات المحددة المثيرة للقلق الأخلاقي التي وصفها عمّال Outlier: جمع الملفات الشخصية، ووسم الأفراد بالاسم والموقع، وترتيب الصور بحسب العمر الظاهري، ووسم القاصرين.

والمعمارية هي ذاتها نطاق اختراق Context.ai، لكن على نطاق أكبر. Meta عملية أمنية كفؤة؛ و Scale AI عملية أسرع حركة. والنظام المركّب يحمل الثغرة المحددة لنمط مساعِد الذكاء الاصطناعي: منح واسع للوصول إلى البيانات، لأغراض الإنتاجية أو التدريب، يتعاقب فيه اختراق المعالِج المفوَّض.

قياس Salesforce

حقبة سوء التهيئة في Salesforce (من 2023 إلى 2026 تقريبًا) هي السابقة الناضجة لنمط مساعِد الذكاء الاصطناعي. فقد هيّأت المؤسسات العميلة بيئات Salesforce لديها بأنماط وصول افتراضية أنتجت سطح هجوم واسعًا. وقد حصدت حملة ShinyHunters في 2026 هذه التهيئات الخاطئة عبر McGraw Hill (13.5 مليون حساب)، و Cisco (أكثر من 3 ملايين سجل مزعوم، بإشارة إلى بيانات موظفين اتحاديين)، وضحايا آخرين. ويشمل النمط الأوسع للحملة اختراق Rockstar Games في 14 أبريل (عبر Anodot، مورّد تحليلات SaaS الذي أتاحت بيانات اعتماده لـ ShinyHunters الوصول إلى مستودع Snowflake الخاص بـ Rockstar) وكشف بيانات الحجوزات لدى Booking.com في 12-13 أبريل (عبر تصيّد ClickFix لحسابات Microsoft 365 الخاصة بالفنادق الشريكة).

استغرقت حقبة Salesforce نحو ثلاث سنوات لتبلغ شدة حملتها الحالية. أما حقبة مساعِد الذكاء الاصطناعي فتصل أسرع. فمنحنى النشر أشدّ انحدارًا. وفجوة الوضع الأمني أوسع. ونصف قطر تعاقب الاختراق أعرض، لأن منصات مساعِدات الذكاء الاصطناعي تكتسب عادةً نطاقات OAuth عبر أنظمة مؤسسية متعددة، بينما تنحصر اختراقات Salesforce عمومًا في بيئة Salesforce الخاصة بالعميل المعني.

والقياس على Salesforce مفيد لكنه يقلّل من حجم المشكلة. فنمط مساعِد الذكاء الاصطناعي أشدّ خطورة معماريًا.

التوازي مع وايدن

سجّل السيناتور رون وايدن (ديمقراطي عن ولاية أوريغون) في محضر مجلس الشيوخ يوم الجمعة 17 أبريل بيانًا من ثلاث حجج يعارض فيه إعادة التفويض الحالية للمادة 702. وكانت حجّتان من الثلاث مألوفتين من سنوات نقاش ائتلاف الإصلاح. أما الثالثة فكانت جديدة: اعتراض على "feeding [collected data] into AI systems to conduct unprecedented mass surveillance" (أي تغذية البيانات المجموعة في أنظمة ذكاء اصطناعي لتنفيذ مراقبة جماعية غير مسبوقة). وتربط هذه الصياغة المحددة سياق المراقبة الحكومية الذي عالجه نقاش قانون مراقبة الاستخبارات الأجنبية منذ 2013 بطبقة التحليل بالذكاء الاصطناعي التي تعالج اليوم الاتصالات المجموعة على نطاق واسع.

والجانب الحكومي من النمط والجانب التجاري منه متماثلان معماريًا. فالحكومة تجمع الاتصالات؛ وتغذّيها في تحليل بالذكاء الاصطناعي تشغّله شركات متعاقدة (Palantir Gotham، و Anduril، و Clearview AI لبيانات الوجوه، وذكاء اصطناعي تعاقدي محدد لتحليل الاستخبارات الإشارية)؛ ثم تنتج استنتاجات وإجراءات من هذه المعالجة. وعملاء المؤسسات يمنحون مساعِدات الذكاء الاصطناعي وصولًا؛ ويغذّون اتصالات المؤسسة وبياناتها في معالجة بالذكاء الاصطناعي يشغّلها المورّد؛ فيتلقّون مكاسب إنتاجية، ويرثون عند الاختراق مخاطر المورّد.

الجانب الحكومي لديه نقاش تشريعي. والجانب التجاري لديه حملة ابتزاز ShinyHunters. وبيان وايدن في القاعة يجعل الصلة صريحة. والفجوة المعمارية هي ذاتها في الاتجاهين. والإطار التنظيمي لا يعالج أيًا منهما معالجةً شاملة.

المعمارية الدفاعية

رسم مجتمع الأبحاث الأمنية خلال 2026 ملامح المعمارية الدفاعية لنمط مساعِد الذكاء الاصطناعي. ومكوّناتها:

وكلاء ذكاء اصطناعي ذاتيو الاستضافة. تشغيل بنية وكلاء الذكاء الاصطناعي في بيئة العميل نفسه يزيل سطح الهجوم المتمثل في رموز OAuth المحفوظة لدى المورّد. وتتيح ذلك أطر مثل LangChain و LlamaIndex و Semantic Kernel وما يعادلها. والعبء التشغيلي كبير؛ ومعظم المؤسسات تفضّل المنصات المستضافة طلبًا للراحة.

نطاقات OAuth الدنيا. يطلب كل تكامل لمساعِد ذكاء اصطناعي أدنى نطاقات OAuth اللازمة لحالة استخدامه المحددة. فإذا كان المساعِد يحتاج فقط وصول قراءة عابرًا لرسائل Slack الحديثة، فلا ينبغي أن يحوز أيضًا وصول كتابة أو وصولًا إلى الأرشيف. ويتطلب التطبيق تحديد النطاق لكل تكامل؛ وهذا ليس السلوك الافتراضي في معظم المنصات.

المصادقة لكل عملية. تتطلب العمليات الحساسة داخل سير عمل مساعِد الذكاء الاصطناعي مصادقة إضافية تتجاوز منح OAuth الأولي. مثل توقيع المعاملات للعمليات المالية، والإثبات لعمليات إيداع الشفرة، والموافقة الصريحة من المستخدم على عمليات الكتابة. وهذا يكسر سردية المساعِد المؤتمت بالكامل، لكنه يقلّص نطاق الانفجار كثيرًا.

المراقبة المستمرة. تراقب فرق الأمن نشاط وكلاء الذكاء الاصطناعي: أي أدوات يستدعونها، وأي بيانات يصلون إليها، وأي أنماط يُظهر نشاطهم. والتكامل مع أدوات SIEM/SOAR ما زال ناشئًا. والمراقبة الناضجة متاحة فقط لدى المؤسسات جيدة الموارد.

هوية الوكلاء عبر أوراق اعتماد قابلة للتحقق. الإثبات التشفيري بين الوكلاء يمنع هجمات حقن السياق. والأوليات موجودة — أوراق الاعتماد القابلة للتحقق من W3C، والمعرّفات اللامركزية — وقد بدأت تظهر في تجارب مؤسسية. أما النشر الإنتاجي فما زال تجريبيًا.

التنفيذ في صندوق رملي. يعمل وكلاء الذكاء الاصطناعي في بيئات حوسبة معزولة بحدود بيانات صريحة. وهو نظير عزل المتصفحات في عقد 2010. ويتطلب تعاون مورّدي المنصات؛ وليس معيارًا بعد.

وكلاء ذكاء اصطناعي اتحاديون. منصات وكلاء مفتوحة المصدر بنشر يتحكم به العميل. والتبنّي محدود لكنه ينمو بين المؤسسات المهتمة بالأمن. والمعمارية الاتحادية لا يوجد فيها مورّد واحد يتعاقب اختراقه عبر العملاء.

كل مكوّن دفاعي يعالج عنصرًا محددًا من سطح الهجوم. ولا واحد منها يحلّ المشكلة وحده. ومجتمعةً تصف الوضع الأمني الذي ينبغي أن يكون عليه نشر مساعِدات الذكاء الاصطناعي والذي هو عليه إلى حد بعيد ليس كذلك.

البديل اللامركزي

البديل المعماري الأوسع الذي يسري عبر تغطية URnetwork التحريرية هو المكدّس اللامركزي — تشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم، ونقل بين الأقران، ومشغّلون اتحاديون، وبنية ذاتية الاستضافة، وهوية يحوزها المستخدم. وبالنسبة لمشكلة مساعِد الذكاء الاصطناعي تحديدًا، يعني البديل اللامركزي وكلاء ذكاء اصطناعي يعملون على بنية يتحكم بها العميل، ويوثَّقون عبر براهين تشفيرية يتحقق منها العميل مباشرةً، ويتواصلون فيما بينهم عبر بروتوكولات اتحادية بدلًا من منصات ينسّقها المورّد.

والبدائل اللامركزية المحددة القائمة في الإنتاج أو قريبًا منه:

• تنسيق ذكاء اصطناعي ذاتي الاستضافة. LangChain و LlamaIndex و Semantic Kernel مهيّأة للعمل بالكامل في بيئة العميل بنماذج محلية.
• خوادم MCP مفتوحة المصدر. تطبيقات لـ MCP مدقَّقة مجتمعيًا يمكن نشرها على بنية العميل.
• تطبيقات ذكاء اصطناعي محلية أولًا. وكلاء يعملون على جهاز المستخدم (Siri على الجهاز لدى Apple، واستضافة النماذج اللغوية المحلية عبر Ollama، وأدوات سير عمل متخصصة محلية أولًا).
• شبكات ذكاء اصطناعي اتحادية (في طور البحث): وكلاء ذكاء اصطناعي لمنظمات متعددة يتواصلون عبر بروتوكولات موحّدة بهوية وكلاء تشفيرية.

ولا واحد من هذه سائد. والتبنّي المؤسسي أقلّي. فغالبية نشر مساعِدات الذكاء الاصطناعي في 2026 تمرّ عبر منصات مورّدين مستضافة — Context.ai، و Cursor، و Copilot، ووكلاء Gemini، وواجهات وكلاء Claude، وتكاملات مخصصة قائمة على MCP — ويبقى اختراقها هو هاجس صباح الاثنين.

ما يقتضيه هذا الاثنين

استجابات المؤسسات لإفصاح Vercel:

• جرد لمنصات وكلاء الذكاء الاصطناعي الممنوحة نطاقات OAuth على بيانات المؤسسة.
• مراجعة لاتساع نطاقات OAuth في التكاملات القائمة؛ وتضييقها حيثما أمكن.
• تدوير رموز المصادقة للخدمات ذات العلاقات المشابهة لعلاقة Context.ai.
• تحضير الاستجابة للحوادث لسيناريوهات اختراق منصات وكلاء الذكاء الاصطناعي.
• محادثات تدقيق أمني مع مورّدي منصات وكلاء الذكاء الاصطناعي، تشمل حالة SOC 2 Type II، وتاريخ اختبارات الاختراق، وإجراءات الاستجابة للحوادث.

استجابات مورّدي المنصات (Google، Microsoft، Slack، GitHub):

• مراجعة دقة تحديد نطاقات OAuth الافتراضية.
• نشر إرشادات لتقليل النطاقات لمطوّري التطبيقات.
• النظر في جعل الرموز محدودة زمنيًا افتراضيًا.
• الاستثمار في آليات الموافقة لكل عملية.

الاستجابات التنظيمية:

• لا يوجد حاليًا إطار تنظيمي محدد يعالج مخاطر سلسلة التوريد في منصات وكلاء الذكاء الاصطناعي.
• تنطبق اللائحة العامة لحماية البيانات وما يعادلها على معالجة بيانات المستخدمين عبر وكلاء الذكاء الاصطناعي، لكنها لا تعالج تحديدًا سطح الهجوم على مستوى المنصة.
• تطوير محتمل لإطار خلال 2026-2028.

استجابات على مستوى المستخدم:

• على مستخدمي وكلاء الذكاء الاصطناعي الاستهلاكيين (Claude، Gemini، ChatGPT، Copilot) ذوي تكاملات OAuth مراجعة النطاقات الممنوحة وإلغاء غير المستخدَم منها.
• تدوير بيانات الاعتماد بعد الإفصاحات المهمة عن الاختراقات.
• الانتقال نحو خدمات ذات أوضاع أمنية أقوى حيثما أمكن.

تدقيق هذا الاثنين واسع. ولن تنفّذه معظم المؤسسات تنفيذًا شاملًا. والمعمارية ستستمر. ونمط الاختراق سيتكرر. والاختراق التالي لمساعِد ذكاء اصطناعي — في الربع الثاني أو الثالث من 2026 — مرجّح إحصائيًا أن يقع لدى مورّد مختلف عبر سلسلة محددة مختلفة، لكنه سيتبع النمط المعماري نفسه.

قياس الأسبوع

مساعِدك الذكي سلسلة توريد. وأخبار الأسبوع هي نقطة بيانات أبريل 2026. وإفصاح Vercel هو مرتكز الأحد المحدد. وثغرة خادم Azure MCP هي مؤشر الخطورة الحرجة غير المصحَّح. ونمط Scale AI هو الامتداد إلى طبقة بيانات التدريب. وحملة ShinyHunters على Salesforce هي السابقة الناضجة.

يمنح عملاء المؤسسات وصولًا واسعًا لمورّدي مساعِدات الذكاء الاصطناعي الذين لا يستطيعون تدقيق وضعهم الأمني. واختراق هؤلاء المورّدين يتعاقب عبر ذلك الوصول. والمستخدمون الذين تمرّ بياناتهم عبر خط الأنابيب يتحمّلون الخطر النهائي. والردّ المعماري متاح وبطيء. أما نشر مساعِدات الذكاء الاصطناعي نفسها فليس بطيئًا؛ بل يتسارع. والفجوة تتّسع.

واجهت كل موجة تقنية في العقود الثلاثة الماضية فجوةً مشابهة بين النشر ونضج خط الأساس الأمني. فتطبيقات الويب في 2002-2008 أنتجت حملات استغلال لحقن SQL والبرمجة عبر المواقع اخترقت مئات الملايين من السجلات قبل أن تلحق بها الاستعلامات المعلَّمة وأطر سياسة أمن المحتوى. والبنية السحابية في 2010-2014 أنتجت حوادث كشف بيانات دفعت إلى نشأة معيار CIS Benchmark وصناعات أدوات أمن السحابة. وتطبيقات الهاتف في 2012-2016 أنتجت نقاشات حول أمن واجهات البرمجة ما زالت قائمة حتى اليوم.

وبنية مساعِدات الذكاء الاصطناعي في الطور نفسه: نشر أسرع من الأمن. وحملة الاختراق جارية. والمعمارية الدفاعية مرسومة جزئيًا. ومنحنى النشر شديد الانحدار. والفجوة ستُغلق في نهاية المطاف عبر مزيج من الضغط التنظيمي، ونضج جانب المورّدين، واستثمار جانب العملاء، وحوادث بارزة محددة تفرض ترتيب الأولويات. أما أي آلية بعينها ستنتج هذا الإغلاق فهو سؤال 2027-2028.

اليوم هو الاثنين 20 أبريل 2026. توقيع ترقيع قانون مراقبة الاستخبارات الأجنبية لمدة 10 أيام يوم السبت يقع في الأسبوع نفسه الذي شهد يوم الأحد إفصاحًا عن اختراق سلسلة توريد لمنصة وكلاء ذكاء اصطناعي. وقد علّمتنا نهاية الأسبوع أمرين محددين: معمارية المراقبة الحكومية لديها توازن في نظام الترقيع مستقر في الوقت الحالي؛ ومعمارية مساعِدات الذكاء الاصطناعي المؤسسية لديها توازن في الاختراق يتسارع في الوقت الحالي. والمستخدم يعيش الأمرين معًا.

مساعِدك الذكي سلسلة توريد. وهذه الملاحظة ليست صحيحة عن Vercel و Context.ai فحسب. إنها صحيحة عن كل تكامل لمساعِد ذكاء اصطناعي منشور اليوم في بيئة مؤسسية. والسؤال هو ما إذا كان الردّ المعماري سيصل قبل أن تبلغ دورة الاختراق هضبتها.

وقياس الأسبوع هو نقطة البيانات الافتتاحية للجواب.

يشترط الجزء C من مشروع موازنة ولاية نيويورك للعامين 2026-2027 (مشروعا القانون S.9005 في مجلس الشيوخ و A.10005 في الجمعية) أن تتضمّن كل طابعة ثلاثية الأبعاد وكل آلة تحكم رقمي تُباع أو تُسلَّم في الولاية ما يسمّيه النص التشريعي "blocking technology" (أي تقنية الحجب). ويعرّف النص المصطلح بأنه برنامج ثابت أو برمجية تفحص كل ملف طباعة وارد مقابل "firearms blueprint detection algorithm" (أي خوارزمية كشف مخططات الأسلحة النارية) وترفض تنفيذ الطباعة إذا صنّفتها الخوارزمية سلاحًا ناريًا أو مكوّنًا منه. ويشترط المشروع إضافةً إلى ذلك البيع وجهًا لوجه لأي جهاز مشمول — فلا طلب بريدي ولا تسليم عبر الإنترنت. ويجعل حيازة "blocked design file" (أي ملف تصميم محجوب) أو مشاركته جناية.

لا يحدد المشروع خوارزمية بعينها. بل يحدد وظيفة: افحص، قارن، ارفض. والتنفيذ مفوَّض إلى مورّدين تجاريين. وأربعة من كبار مزوّدي البرامج الثابتة للطابعات ثلاثية الأبعاد — Prusa و Creality و Bambu Lab و Anycubic — يشحنون برامج ثابتة على غالبية الطابعات ثلاثية الأبعاد الاستهلاكية في الولايات المتحدة. ولا واحد منهم يشحن حاليًا خوارزمية لكشف الأسلحة النارية. وسيتعيّن على كلٍّ منهم إضافة واحدة للبيع في نيويورك. أما قاعدة بيانات التواقيع — أي أي الأشكال تصنّفها الخوارزمية — فستتولاها جهات معتمَدة من الولاية، وهي عمليًا مورّدان أو ثلاثة مورّدين تجاريين لم تُحدَّد بعد آلية اعتمادهم.

نشرت مؤسسة الحدود الإلكترونية (EFF) منشورَين في أبريل 2026 يعارضان الجزء C: "Stop New York's Attack on 3D Printing" و "Print Blocking Won't Work - Permission to Print Part 2". وأجرى ائتلاف من البرامج الثابتة المفتوحة — القائمون على صيانة Marlin و Klipper و RepRap — اختبارًا تجريبيًا لصنف الخوارزميات التي سيعتمدها المشروع، على مجموعة من المطبوعات غير السلاحية: مقابض أبواب بديلة، ونماذج معمارية، وتماثيل صغيرة، وأدوات منزلية. وكانت النتيجة المنشورة للاختبار: 17 بالمئة من المطبوعات غير السلاحية أطلقت إنذار الخوارزمية.

معدل إيجابيات كاذبة بنسبة 17 بالمئة في أداة تصنيع ليس مجرد إزعاج. إنه خاصية تصميمية. فهاوٍ في روتشستر يطبع مزلاج خزانة، ومعلّم في ورشة صناعية ببفالو يطبع 40 قطعة للفصل، وفنانة في بروكلين تنتج منحوتة مُنمَّطة — كلٌّ منهم مضمون إحصائيًا أن يصطدم بالرفض. والخوارزمية لا تميّز النية عن النمط. الخوارزمية ترفض الأشكال.

ولدى كاليفورنيا تشريع مواز. وخمس ولايات أخرى لديها مشاريع قوانين مشابهة قيد التداول. وإذا أُقرّ الجزء C في نيويورك، ستكون أول ولاية أمريكية تفرض رفض المحتوى على مستوى الجهاز في أداة تصنيع.

السُلَّم

مشروع الطابعات ثلاثية الأبعاد في نيويورك هو أحدّ مدخل مفرد في تحوّل معماري أوسع. فأخبار الأسبوع في الخصوصية وحرية الإنترنت، إذا قُرئت معًا، تصف سُلَّمًا من أنظمة الرفض التي تفرضها الدول:

إذن بالكلام. لائحة رقابة الدردشة الأوروبية — لائحة الاعتداء الجنسي على الأطفال التي انهارت جولة حوارها الثلاثي الثالثة في 17 أبريل — ستُلزم، تبعًا لنتيجة 4 مايو، منصات المراسلة بفحص كل رسالة مقابل توقيع كشف قبل إرسالها. وقد التزمت علنًا رئيسة Signal ميرديث ويتاكر، ومؤسس Tuta ماتياس بفاو، ورئيس Proton آندي ين، وشركة Threema، بالانسحاب من السوق الأوروبية بدلًا من تطبيق المسح على جهة العميل. أما Google و Meta و Microsoft و Snap فستمتثل لأي نظام يتفق عليه في النهاية المجلس والبرلمان والمفوضية. وقد تحركت المفوضية نحو موقف البرلمان — أوامر كشف أضيق مقترنة بتحقق إلزامي من العمر — وابتعدت عن موقف المجلس السابق القائم على فرض المسح.

إذن بالمشاهدة. انقضى في 16 أبريل الموعد النهائي لتقييم وصول الأطفال بموجب قانون السلامة على الإنترنت البريطاني. وأكثر من تسعين خدمة قيد تحقيق رسمي لدى Ofcom. ويُقدَّر أن ستة ملايين بالغ بريطاني أتمّوا إجراءات التحقق من العمر خلال الاثني عشر شهرًا الماضية لدى وسطاء — Yoti و Persona و Verify ومورّدين أصغر — يحتفظون بوثائق الهوية وفق سياسات تتراوح بين 6 و 24 شهرًا. وسرى قانون الحد الأدنى لسنّ استخدام وسائل التواصل الاجتماعي في أستراليا في 10 ديسمبر 2025. وتخضع Facebook و Instagram و Snapchat و TikTok و YouTube لتحقيق من مفوضية السلامة الإلكترونية. ويقول ستة وسبعون بالمئة من الفئة العمرية 14-15 سنة إنهم يتحايلون على الحظر. وأجّلت Discord إطلاقها العالمي للتحقق من العمر إلى النصف الثاني من 2026. ويستمر طرح التحقق من العمر بالذكاء الاصطناعي لدى Google. وتشترط Reddit تحققًا من العمر للمنتديات الفرعية الحساسة. وكل نظام من هذه يوجّه التحقق عبر وسيط يجمّع وثائق الهوية.

إذن بالطباعة. الجزء C في نيويورك. والتشريع الموازي في كاليفورنيا. ومعدل الإيجابيات الكاذبة البالغ 17 بالمئة.

إذن بالوصول. دخلت إيران اليوم 51 من أطول انقطاع وطني للإنترنت مسجَّل على الإطلاق. والاتصال الدولي عند نحو واحد بالمئة من مستويات ما قبل الحرب. وعقوبة حيازة محطة ستارلينك للاستخدام الشخصي: من ستة أشهر إلى سنتين في السجن. أما الاستخدام «بنيّة مواجهة الجمهورية الإسلامية» أو لأغراض التجسس: الإعدام. وأمام وزارة التطوير الرقمي الروسية اثنا عشر يومًا قبل أن تسري في 1 مايو التعرفة المفروضة على كل جيجابايت من البيانات الدولية — 150 روبلًا لكل جيجابايت فوق 15 جيجابايت شهريًا، تُطبَّق عند بوابة المشغّل، وتُحصَّل عبر المحفظة الرقمية للمستخدم. أما جدار الحماية الصيني العظيم، وهو العضو الأقدم في هذه الفئة، فيواصل عمله.

إذن بفكّ التشفير. إشعار القدرة التقنية الصادر عن وزارة الداخلية البريطانية ضد Apple. وثمة جلسة استماع مدتها سبعة أيام أمام محكمة صلاحيات التحقيق مقرَّرة في 2026 بشأن ما إذا كان بوسع وزارة الداخلية إجبار Apple على الإبقاء على قدرة تقنية تتيح للمملكة المتحدة الوصول إلى بيانات مستخدمي iCloud عالميًا. وقد سحبت Apple ميزة الحماية المتقدمة للبيانات عن مستخدمي المملكة المتحدة في 21 فبراير 2025. وطالب أعضاء مجلس الشيوخ وايدن ووارن وماركي بإحاطة من مدير الاستخبارات الوطنية بحلول 11 مارس 2026. ويستثني الاتفاق الثنائي بين الولايات المتحدة والمملكة المتحدة بموجب قانون CLOUD صراحةً المطالب البريطانية التي تستهدف أشخاصًا أمريكيين. أما ما إذا كانت آلية إشعار القدرة التقنية تتجاوز هذا الاستثناء قانونيًا فهو السؤال المحوري في الجلسة.

خمس درجات في السُلَّم. كل واحدة منها لحظة محددة تفرضها الدولة يسأل عندها جهاز أو خدمة أو عنصر بنية تحتية عن الإذن قبل أن يتصرّف المستخدم. ويُجاب سؤال الإذن مقابل قاعدة بيانات تواقيع، أو إثبات عمر، أو تحديد موقع جغرافي، أو مواصفة قدرة تشفيرية. وإذا كان الجواب لا، فالفعل لا يقع.

من الرصد إلى الرفض

كان النموذج الأقدم للمراقبة، ذاك الذي هيمن على نقاشات 2013-2020 — PRISM و XKeyscore وتسريبات سنودن — نموذج رصد. فوكالة الأمن القومي كانت تجمع البيانات الوصفية. و Facebook كانت تتعقّب السلوك. و Google كانت تجمّع عمليات البحث. الدولة أو المشغّل التجاري يرصد ما فعله المستخدم. وأحيانًا كان الرصد يُستخدم في إنفاذ لاحق. وأحيانًا كان يستقر في قاعدة بيانات. لكن المستخدم، في جميع الحالات تقريبًا، كان لا يزال يتصرّف. والفعل يُسجَّل. والتسجيل يُراجَع لاحقًا أو لا يُراجَع.

أما النموذج الناشئ فهو الرفض. فالجهاز أو الخدمة أو البنية التحتية تتدخّل في لحظة الفعل. طباعة المستخدم لا تُطبَع. ورسالته تُصنَّف قبل الإرسال. وحسابه لا يستطيع الوصول إلى المحتوى دون إثبات عمر. وهاتفه لا يستطيع بلوغ وجهات دولية دون تعرفة أو استثناء من الانقطاع. وتشفيره خاضع بنيويًا لفكّ تشفير جبري.

التحوّل بنيوي. فالرصد يمكن، من حيث المبدأ، التوفيق بينه وبين استقلال المستخدم: المستخدم يتصرّف؛ ويوجد سجل ما لفعله؛ ويُستخدم السجل أو لا يُستخدم بناءً على اعتبارات لاحقة. أما الرفض فيُلغي الفعل تمامًا. فالمستخدم لا يتصرّف لأن طبقة وسيطة خُوِّلت أن ترفض نيابةً عن سياسة لم يخترها هو.

والتحوّل كذلك أصعب على الأطر القائمة أن تنظّمه. فالرصد أنتج نقاشات قانونية حول المذكرات القضائية، والصفة في التقاضي، والتجميع. أما الرفض فينتج نقاشات حول خوارزمية مَن تُعتمَد، وأي قاعدة بيانات تواقيع تُعدّ مرجعية، وكيف ستُدقَّق معدلات الإيجابيات الكاذبة. الأسئلة مختلفة. والآليات التي طوّرها النظام القانوني لحقبة الرصد لا تنطبق انطباقًا كاملًا.

تمحور نقاش الخصوصية بين 2013 و 2020 حول متى يجوز للدولة أن تراقب. أما نقاش 2026 فيتمحور حول متى يجوز للأجهزة أن ترفض خدمة المستخدم.

الدفاع العادي

في مواجهة سُلَّم الرفض، خمسة ردود معمارية — كلٌّ منها يعمل بالفعل على نطاق ما، وكلٌّ منها جزئي، وكلٌّ منها موضوع تطوير مستمر خاص به.

أجهزة لا تستأذن. طابعات ثلاثية الأبعاد ببرامج ثابتة مفتوحة ترفض قواعدها البرمجية تطبيق ماسح الجزء C في نيويورك. وأنظمة تشغيل مفتوحة المصدر لا يمرّ تصميمها بطلبات إذن عبر وسطاء معتمَدين من الدولة. وبرمجيات إنتاجية ذاتية الاستضافة لا ترسل شيئًا إلى الخارج. وقد التزم مجتمع البرامج الثابتة المفتوحة علنًا بعدم شحن ماسح الجزء C. وستختبر استجابة نيويورك، إذا أُقرّ التشريع، ما إذا كانت حيازة برنامج ثابت غير ممتثل يمكن تجريمها بذاتها.

خدمات لا يمكن إجبارها. المراسلة المشفَّرة من طرف إلى طرف التي لا تستطيع خوادمها قراءة النص الصريح. بروتوكول Signal. و Tuta و Proton و Threema. فالخادم المُجبَر لا يستطيع كشف ما لا يستطيع رؤيته رياضيًا. والجواب المعماري على رقابة الدردشة هو أن اللائحة تنطبق على المشغّلين الذين تسمح بنيتهم بالمسح؛ أما المشغّلون الذين لا تسمح بنيتهم بذلك فإما ينسحبون أو يتجاهلون.

منصات اتحادية. Mastodon، وبروتوكول AT الخاص بـ Bluesky، و Matrix، و Nostr، و Farcaster. لا مشغّل واحد يحوز المحتوى. وبإمكان منظّم حكومي أن يبلغ مشغّلًا واحدًا دون أن يبلغ الشبكة. واختراق مشغّل واحد يحدّ نطاق الانفجار. والمنصات التي تدير إشرافًا اتحاديًا على المحتوى تستطيع رفض مطالب تنظيمية فردية دون كسر الشبكة.

نقل بين الأقران. التوجيه بمفاتيح التشفير في WireGuard. والتوجيه البصلي في Tor. ونقل URnetwork عبر العقد المنزلية، حيث تنتقل الرسائل عبر أجهزة أقران بدلًا من مرافق مشغّلين مرخَّصين. فالمشغّل المرخَّص هو نقطة الاختناق التي تعمل عليها تعرفة روسيا، وانقطاع إيران، وجدار الحماية الصيني العظيم. والنقل بين الأقران لا يعبر نقطة الاختناق — أو، على نحو أدقّ، يقدّم عندها توقيعًا مختلفًا أصعب على التصنيف.

هوية يحوزها المستخدم. براهين معرفة صفرية عن العمر تُستوفى من محفظة على جهاز المستخدم. ومحفظة الهوية الرقمية الأوروبية بموجب eIDAS 2.0 هي المسار التنظيمي الرائد؛ والنشر الإنتاجي في 2027. والادّعاء المعماري هو أن ورقة الاعتماد القابلة للتحقق لدى المستخدم، والمحفوظة في محفظة يتحكم بها، تُثبت السمات المطلوبة دون أن تستلزم احتفاظ وسيط بالوثيقة الأساسية. أما عمليات التحقق الستة ملايين في المملكة المتحدة بموجب قانون السلامة على الإنترنت هذا العام فلم تستخدم هذه المعمارية؛ والمعمارية موجودة وتُنشر ببطء.

كل ردّ منها جزئي. وكلٌّ منها يواجه ضغطًا تنظيميًا. ولا واحد منها هو الجواب المعماري على كل نظام رفض. لكنها مجتمعةً ترسم الوضع المعماري المتاح لمستخدم يختار، بصفته الفردية، ألّا يقبل بالوضع الافتراضي.

قراءة صباح الأحد

مستخدم في الولايات المتحدة يوم الأحد 19 أبريل 2026 على الأرجح غير مدرك لأحكام الجزء C المحددة. وهو غالبًا غير مدرك أن جولة الحوار الثلاثي الثالثة بشأن رقابة الدردشة انهارت الجمعة، ولا أن تعرفة روسيا تسري في 1 مايو، ولا أن إشعار القدرة التقنية البريطاني ضد Apple يتجه إلى جلسة استماع أمام محكمة هذا العام. وقد يكون لديه إحساس غامض بأن بياناته «موجودة في مكان ما على الأرجح» في أعقاب إشعارات الاختراق هذا الأسبوع — 13.5 مليون لدى McGraw Hill، و 78.6 مليون لدى Rockstar Games، وملايين غير محددة لدى Booking.com، ومرضى ChipSoft الهولنديين، وأعضاء صالات Basic-Fit الأوروبية.

ليس أمام المستخدم فعل واحد يحلّ السُلَّم. فأخبار الأسبوع ليست دعوةً إلى شراء أو إلى تغيير إعداد. إنها وصف للبيئة التشغيلية التي يجري فيها، بصورة متزايدة، تنظيم جهاز المستخدم وخدماته وبنيته التحتية كي ترفض. وخيار المستخدم، بقدر ما يوجد خيار، هو بين قبول الأوضاع الافتراضية واختيار البدائل المعمارية — Signal للمراسلة، وخدمة ملفات ذاتية الاستضافة، وطابعة ثلاثية الأبعاد ببرنامج ثابت مفتوح مستوردة من خارج الولاية، وجهاز يدعم الشبكات الشبكية للتنسيق المحلي، ومنصة اتحادية للتواصل العام، ومجموعة متنامية من أدوات أكثر تخصصًا لمخاوف أكثر تحديدًا.

سيواصل المستخدم السائد قبول الأوضاع الافتراضية. تلك هي الحقيقة البنيوية. والمعمارية السائدة — المنصات المركزية، والخدمات السحابية، والمشغّلون المرخَّصون، والماسحات والمتحققون المفروضون — ستظل هي البيئة التشغيلية التي صُمّم سُلَّم أنظمة الرفض حولها. وتبقى البدائل المعمارية متاحة للمستخدمين الذين يختارونها.

التحوّل المحدد الجدير بالتسمية، ونحن نطوي الأسبوع، هو أن السُلَّم التنظيمي لم يعد نظريًا. فالجزء C في نيويورك على جدول الأعمال التشريعي. وحوار 4 مايو الثلاثي بشأن رقابة الدردشة سينتج اتجاهًا. وجلسة إشعار القدرة التقنية ضد Apple مقرَّرة. وتعرفة روسيا ستسري. واليوم 52 في إيران يبدأ غدًا. لكل درجة تاريخ محدد. ولكل درجة آلية تشغيلية محددة. ولكل درجة بديل معماري محدد يستطيع المستخدم اختياره إن أراد.

كانت حقبة الرصد عن ما تستطيع الدولة رؤيته. وحقبة الرفض عن ما يستطيع المستخدم فعله. والتحوّل جارٍ. والردّ المعماري هو ذاك الذي ظل قيد البناء عقدًا كاملًا — أهدأ من النقاش التنظيمي، وقابل للقياس بمؤشرات نمو لم تقترب بعد من السيادة، لكنه متاح للمستخدم الذي يختار.

ما كشفه الأسبوع

الجزء C من موازنة نيويورك هو بند صباح الأحد المحدد. ومعدل الإيجابيات الكاذبة البالغ 17 بالمئة هو الحقيقة التشغيلية. وتركّز قاعدة بيانات التواقيع هو الحقيقة المعمارية. والتهديد بالجناية على حيازة ملفات التصميم المحجوبة هو حقيقة الحريات المدنية. ومعارضة مؤسسة الحدود الإلكترونية هي ردّ المناصرة. والتزام مجتمع البرامج الثابتة المفتوحة بعدم التطبيق هو الردّ المعماري.

انهيار جولة الحوار الثلاثي الثالثة بشأن رقابة الدردشة، وستة ملايين تحقق بموجب قانون السلامة على الإنترنت البريطاني، واليوم 51 في إيران، والعد التنازلي الروسي حتى 1 مايو، وتطوّر إشعار القدرة التقنية ضد Apple، وتأجيل Discord للتحقق العالمي من العمر، والتحقق من العمر بالذكاء الاصطناعي لدى Google، وإنفاذ مفوضية السلامة الإلكترونية الأسترالية المرتقب، واختراقات McGraw Hill و Rockstar Games و Booking.com و ChipSoft، وكشوف Meta Scale AI Outlier، واستمرار LockBit 5.0، والاختراق المزعوم بنسبته إلى دولة الذي طال Grinex — كلٌّ منها مدخل محدد في أخبار الأسبوع. وكلٌّ منها ينتمي إلى السُلَّم أو إلى سلسلة استخراج البيانات الموازية التي تجري إلى جانب سلسلة الرفض.

أخبار الأسبوع، مأخوذةً ككل، هي الواقع التشغيلي لحقبة الرفض. والمستخدم في الطرف المتلقّي للرفض والاستخراج معًا. والبدائل المعمارية حقيقية ومتاحة. والخيار، حيث يوجد، خيار المستخدم. وحقبة الرفض مستمرة سواء اتُّخذ الخيار أم لا.

سيمرّ الجزء C أو لا يمرّ. فإن مرّ، فسيتعامل مجتمع الطباعة ثلاثية الأبعاد في نيويورك مع معدل إيجابيات كاذبة بنسبة 17 بالمئة، ومع شرط البيع وجهًا لوجه، ومع التهديد بالجناية. وإن لم يمرّ، فسيعود الجزء C في دورة موازنة لاحقة أو في مشروع خلَف. وستتحرك كاليفورنيا بخطوتها الخاصة. وستراقب ولايات أخرى.

السُلَّم لن يزول. والدرجات تُملأ واحدةً تلو الأخرى. وجهاز المستخدم، في مكان ما من السلسلة بين الفعل الذي قصده المستخدم والفعل الذي يقع بالفعل، يستأذن سياسةً لم يخترها.

والردّ المعماري هو الأجهزة والخدمات والبنى التي لا تستأذن. نشرها بطيء. وتوافرها حقيقي. وأخبار الأسبوع كشفت، درجةً درجة، ما هي بديل عنه.

في طهران، يبدأ صباح سبت من أبريل 2026 بسؤال ما إذا كان هذا هو اليوم الذي يعود فيه الإنترنت. مضى تسعة وأربعون يومًا منذ أن وجّهت شركات الاتصالات الإيرانية الشبكة الأساسية للأنظمة المستقلة الأجنبية إلى المسار الصفري في 28 فبراير. وأكّدت NetBlocks اليوم الخمسين في وقت مبكر من هذا الصباح: 1,176 ساعة، وهو أطول انقطاع وطني للإنترنت مسجَّل على الإطلاق. وآخر مرة وصل فيها مستورد أجهزة من طهران إلى مورّده في شنتشن كانت في آخر يوم من فبراير. وباحثة طبية في جامعة شريف لم تقرأ دورية مستضافة في الخارج منذ خمسين يومًا. وعائلة من الشتات الإيراني في هامبورغ لم تُجرِ مكالمة فيديو مع جدّتها. وستجتمع لجنة من المجلس الأعلى للأمن القومي الأسبوع المقبل لتقرر ما إذا كانت أربع شركات إضافية ستُضاف إلى القائمة البيضاء "pro internet" (أي «المؤيدة للإنترنت»). ولم يختر أحد ممن ينتظرون ذلك القرار تلك اللجنة.

في موسكو، صباح السبت عدّ تنازلي مدته اثنا عشر يومًا. ففي 1 مايو تسري تعرفة قدرها 150 روبلًا لكل جيجابايت — نحو 1.80 دولار — على أي بيانات إنترنت دولية تُوجَّه عبر مشغّل روسي فوق خمسة عشر جيجابايت شهريًا. وتنطبق التعرفة سواء كانت حركة البيانات تجوالًا أو موجَّهة عبر شبكة خاصة افتراضية أو أي مسار آخر يمر بطبقة المشغّلين المرخَّصين. وقد أعلنت وزارة التطوير الرقمي عن هذا النظام في مارس. ومزامنة البريد الإلكتروني لمسافر أعمال موسكوفي مع مزوّد سحابي أجنبي ستبدأ في تراكم الرسوم حين يتجاوز العدّاد العتبة. أما مكالمات روسي مغترب مع عائلته في الخارج فهي مخنوقة أصلًا على Telegram ومحجوبة على WhatsApp؛ والتعرفة تضيف الطبقة التالية. ولم تسأل الوزارة المستخدمين.

في بروكسل، يقع صباح السبت بين جولتَي حوار ثلاثي. فقد انتهت الجولة الثالثة بشأن «رقابة الدردشة 2.0»، أي لائحة الاعتداء الجنسي على الأطفال، يوم الخميس دون اتفاق على ما إذا كان المسح على جهة العميل ينبغي أن يكون إلزاميًا. والجولة الرابعة في 4 مايو. والهدف الزمني للاتفاق السياسي هو يوليو. وقد صرّحت رئيسة Signal ميرديث ويتاكر علنًا بأن Signal ستغادر السوق الأوروبية بدلًا من تطبيق المسح على جهة العميل. وقالت Tuta و Proton و Threema الشيء نفسه. والمجلس الأوروبي والبرلمان والمفوضية هي الأطراف الثلاثة في الغرفة. أما مستخدمو الاتحاد الأوروبي البالغ عددهم 450 مليونًا، والذين ستحكم هذه اللائحة مراسلتهم، فليسوا في الغرفة.

في واشنطن، صباح السبت ساعة مدتها اثنا عشر يومًا. فقد أقرّ مجلس الشيوخ بعد ظهر الجمعة، بالتصويت الصوتي وفي أقل بكثير من ثلاثين ثانية، تمديدَ مجلس النواب بالموافقة الجماعية الصادر في الساعة 2:09 فجرًا للمادة 702 من قانون مراقبة الاستخبارات الأجنبية (Foreign Intelligence Surveillance Act) حتى 30 أبريل. أما إعادة التفويض النظيفة لثمانية عشر شهرًا التي أرادها البيت الأبيض فقد ماتت. وتعديل اشتراط الأمر القضائي الذي أراده ائتلاف الإصلاح استُبعد لمخالفته النظام. والصلاحية مستمرة؛ ومكتب التحقيقات الفيدرالي يواصل الاستعلام من قاعدة بيانات المادة 702 بموجب الضوابط الإدارية لقانون RISAA؛ وشهادة محكمة FISA الصادرة في أبريل 2025 بشأن مكافحة المخدرات تواصل الإذن بالجمع المتعلق بسلسلة توريد الفنتانيل. ولم يصوّت على هذا الترقيع أي أمريكي توجد اتصالاته في قاعدة البيانات.

في روتردام، صباح السبت نمط انتظار. فقد أكّدت ChipSoft، المورّد الهولندي للسجلات الصحية الإلكترونية الذي تخدم منصته HiX ستة وسبعين بالمئة من مستشفيات الرعاية الحادة الهولندية، يوم الأربعاء 15 أبريل، أن الوصول إلى سجلات المرضى في اختراق برنامج الفدية الذي بدأ في 7 أبريل «لا يمكن استبعاده». ومستشفى Franciscus Gasthuis في روتردام و Albert Schweitzer Ziekenhuis في دوردريخت من بين أحد عشر مستشفى فصلت HiX عن شبكاتها. وكشفت Basic-Fit، أكبر سلسلة صالات رياضية في أوروبا، في 13 أبريل أن مليون عضو في ستة بلدان بالاتحاد الأوروبي سُرقت أسماؤهم وعناوين بريدهم الإلكتروني وعناوينهم الفعلية وأرقام هواتفهم وتواريخ ميلادهم وأرقام حساباتهم المصرفية. ولم تعلن أي مجموعة فدية مسؤوليتها عن أي من الاختراقين. أما الأوروبيون البالغ عددهم 1.2 مليون والذين صارت بياناتهم الآن في الأيدي الخطأ فلم يختاروا التركيز الذي جعل الاختراق ممكنًا.

في لندن، صباح السبت هو اليوم التالي للموعد النهائي الذي حددته Ofcom في 16 أبريل لتقييمات وصول الأطفال بموجب قانون السلامة على الإنترنت. وأكثر من تسعين خدمة قيد تحقيق رسمي. وأتمّ نحو 1 من كل 7 من البالغين البريطانيين إجراءً للتحقق من العمر خلال الاثني عشر شهرًا الماضية — أي نحو ستة ملايين عملية تحقق. وتحتفظ Yoti و Persona و Verify وحفنة من الوسطاء الأصغر الآن بصور وثائق هوية لشريحة كبيرة من البالغين المقيمين في المملكة المتحدة. وتحقّق مستخدم بريطاني على Reddit من عمره يوم الثلاثاء ليطّلع على منتدى فرعي حساس؛ وصورة جواز سفره محفوظة على خوادم Persona بموجب سياسة احتفاظ مدتها اثنا عشر شهرًا. ولم يصمّم المستخدم منظومة الوسطاء.

في سيدني، صباح السبت هو الشهر الرابع من الحظر القانوني لمن هم دون سن 16 على منصات التواصل الاجتماعي الكبرى. فـ Facebook و Instagram و Snapchat و TikTok و YouTube قيد تحقيق رسمي من مفوضة السلامة الإلكترونية جولي إنمان غرانت. ووثّق تقرير الامتثال الصادر في 20 مارس ثغرات بنيوية: منصات تشجّع المستخدمين دون السن القانونية على «تصحيح» تقديرات العمر عبر أساليب منخفضة الثقة؛ ومحاولات متكررة مسموح بها بطريقة التحقق نفسها؛ وتقدير الوجه غير دقيق عند الحد الفاصل بين 16 و 17. وقد هاجر المراهقون الأستراليون إلى Discord و Roblox و Telegram. أما الستة وسبعون بالمئة من الفئة العمرية أربعة عشر إلى خمسة عشر عامًا الذين يقولون إنهم تحايلوا على قيود العمر فلم يصوّتوا على القانون.

سبع مدن. سبع ساعات. لا واحدة منها ضبطها المستخدمون الذين تدقّ ضدهم.

الخاصية البنيوية المشتركة

تعمل الساعات السبع عبر مجالات سياسات مختلفة، وولايات قضائية مختلفة، ومقاييس زمنية مختلفة. وتتشارك خاصية بنيوية واحدة: ففي كل حالة، تشدّ سلطةٌ رافعةً ضد مشغّل تجاري أو حكومي لإحداث أثر في مجموعة من المستخدمين، ولا صفة للمستخدمين في شدّ الرافعة.

تمتثل شركات الاتصالات الإيرانية لتوجيهات المجلس الأعلى للأمن القومي. فالمجلس هو السلطة؛ والشركات هي المشغّل؛ ومستخدمو الإنترنت الإيرانيون هم الفئة المتأثرة. والفئة لا تنتخب المجلس ولا تستأنف قراراته.

وتطبّق شركات الاتصالات الخلوية الروسية تعرفة وزارة التطوير الرقمي. فالوزارة هي السلطة؛ والشركات هي المشغّل؛ والمواطنون الروس الذين يحتاجون بيانات دولية هم الفئة المتأثرة. ولا تُستشار هذه الفئة ولا تملك سبيلًا للطعن.

ومجلس الاتحاد الأوروبي والبرلمان والمفوضية هم سلطة الحوار الثلاثي بأطرافها الثلاثة؛ والمنصات الكبرى (Meta و Google و Microsoft و Snap) ومنصات التشفير من طرف إلى طرف E2EE (Signal و Tuta و Proton و Threema) هي المشغّلون؛ و450 مليون مستخدم في الاتحاد الأوروبي هم الفئة المتأثرة.

والكونغرس الأمريكي والإدارة هما السلطة؛ وشركات الاتصالات ومزوّدو الخدمات السحابية وخدمات البريد الإلكتروني الأمريكية هم المشغّلون؛ والأمريكيون الذين تعبر اتصالاتهم تلك البنية التحتية هم الفئة المتأثرة.

و ChipSoft وشركة التأمين التابعة لها، وهيئة حماية البيانات الهولندية، وقطاع الصحة الهولندي هي عقدة السلطة؛ و ChipSoft هي المشغّل؛ ومجموعات مرضى أحد عشر مستشفى هي الفئة المتأثرة. وإدارة Basic-Fit وشركات التأمين وهيئات حماية البيانات في ستة بلدان هي عقدة السلطة؛ و Basic-Fit هي المشغّل؛ ومليون عضو هم الفئة المتأثرة.

و Ofcom هي السلطة؛ والمنصات ووسطاء التحقق هم المشغّلون؛ ومستخدمو الإنترنت البريطانيون هم الفئة المتأثرة.

ومفوضة السلامة الإلكترونية إنمان غرانت هي السلطة؛ والمنصات الكبرى الخمس هي المشغّلون؛ وكل مستخدم إنترنت أسترالي هو الفئة المتأثرة — المراهقون مباشرةً، والبالغون بصورة غير مباشرة عبر احتكاك التحقق.

وشكل كل واحدة منها هو الشكل نفسه. فالمستخدم هو دائمًا الفئة المتأثرة. والمستخدم ليس السلطة أبدًا. والمستخدم، في كل حالة، عند أي ركيزة يشغّلها المشغّل.

لماذا لا تبلغ مصالح السلطات موافقةَ المستخدم

من الممكن تقديم أقوى صياغة لموقف كل سلطة، ومن المهم فعل ذلك.

فالحكومة الإيرانية تعمل في ظروف حرب بعد الضربات الأمريكية-الإسرائيلية في 28 فبراير على نطنز وفوردو وأراك. والمبرر المعلن — مكافحة التجسس، ومنع التنسيق الأجنبي مع فاعلين محليين — مصلحة دولة مشروعة بوجه عام. أما استمرار الانقطاع خمسين يومًا وتحوّله إلى نظام تصاريح فيجعلان قبول ادعاء الضرورة على علاته أصعب، لكن السلطة مشروعة حتى لو كانت ممارستها غير متناسبة.

ولدى الحكومة الروسية موقف متماسك بشأن السيادة الرقمية. فتقليل الاعتماد على المنصات الأجنبية موقف يمكن الدفاع عنه؛ وتجميع الخدمات الحكومية في تطبيق واحد له كفاءة تشغيلية. أما غياب التشفير والتجميع عند بنية تحتية تسيطر عليها الدولة فهما ضرران بالخصوصية، لكن السلطة — المنتخَبة، والقانونية، والدستورية ضمن الإطار الروسي — مشروعة.

ومجلس الاتحاد الأوروبي والبرلمان والمفوضية مُشكَّلة ديمقراطيًا. ولائحة رقابة الدردشة تعالج مشكلة خطيرة وموثَّقة جيدًا (مواد الاعتداء الجنسي على الأطفال على الإنترنت). وآلية أوامر الكشف محل خلاف، لكن هدف السياسة الأساسي مشروع، وعملية صنع السياسة ديمقراطية.

وللكونغرس الأمريكي والإدارة صفة دستورية في صلاحيات الأمن القومي. والمادة 702 تعالج جمع الاستخبارات الأجنبية، وهي وظيفة دولة مشروعة. والتوتر مع حمايات التعديل الرابع هو جوهر حجة ائتلاف الإصلاح الذي يضم وايدن ولي ولوميس ووارن، لكن الصلاحية الأساسية مشروعة.

وأطر حماية البيانات الهولندية والأوروبية، و Ofcom البريطانية، ومفوضية السلامة الإلكترونية الأسترالية، جهات تنظيمية مؤسَّسة ديمقراطيًا ولها صلاحيات قانونية محددة. وتدخّلاتها ليست اعتباطية.

ومع ذلك، في كل حالة، تتصرف السلطة المشروعة تجاه مشغّل لم يختر المستخدم قبوله مشغّلًا لاتصالاته أو سجلاته أو حركة بياناته. فالمريضة الهولندية لم تختر أن تُجمَّع سجلاتها في ChipSoft. والمستخدمة البريطانية على Reddit لم تختر أن تحتفظ Persona بصورة جواز سفرها اثني عشر شهرًا. والمراهقة الأسترالية لم تختر أن تكون محاولتها للتحقق من العمر رهن مورّد تقدير الوجه الذي اختارته المنصة. والموافقة التي تفترضها السلطة تمر عبر المشغّل، لا عبر المستخدم.

السلطة مشروعة. والمشغّل مشروع. أما سلسلة الموافقة من المستخدم إلى المشغّل إلى السلطة فهي أثر معماري، لا إذن مُنح بحرية. وذلك ما تكشفه المواعيد النهائية لهذا الأسبوع.

أي معمارية تغيّر السؤال

المستخدم الذي لا تعتمد اتصالاته وسجلاته وهويته وحركة بياناته على مشغّل تجاري قابل للإجبار لا يمكن أن تُصدر إليه الأوامرَ سلطةٌ تشدّ رافعتُها مشغّلًا قابلًا للإجبار. والبديل المعماري للنمط الحالي هو ذاك الذي يشير إليه ضمنًا كل نقاش إصلاحي، مرشحًا بعد مرشح وأسبوعًا بعد أسبوع، دون أن يسمّيه.

تشفير من طرف إلى طرف بمفاتيح يحوزها المستخدم. بروتوكول Signal هو المثال على النطاق التجاري: مفاتيح تُولَّد على جهاز المستخدم، ومحتوى مشفَّر بتلك المفاتيح، ومشغّل لا يحوز سوى نص مشفَّر لا يستطيع فكّه. وكانت الحماية المتقدمة للبيانات من Apple تصميمًا مشابهًا لـ iCloud؛ وإشعار القدرة التقنية البريطاني بموجب قانون صلاحيات التحقيق (Investigatory Powers Act) يستهدف هذه المعمارية تحديدًا لفرض حيازة المشغّل للمفاتيح عالميًا.

نقل بين الأقران. حركة بيانات تُوجَّه عبر أجهزة الأقران بدلًا من منشآت المشغّلين المرخَّصين. WireGuard كبروتوكول، وتوجيه Tor البصلي كشبكة، ونقل URnetwork عبر العقد المنزلية كنسيج ترحيل بين الأقران يعمل فعليًا، و Briar و Session كركيزتين للمراسلة الشبكية المتشابكة. وكلٌّ منها جواب جزئي على السؤال المعماري نفسه: هل تستطيع الاتصالات تفادي عنق الزجاجة عند المشغّل المرخَّص، وهو ما تعتمد عليه تعرفة روسيا، وانقطاع إيران، ومرشّح الصين، والاتصالات الأمريكية المتوافقة مع قانون CALEA؟

إشراف اتحادي وتخزين اتحادي. إشراف على المحتوى يختاره المستخدم أو يختاره مشرفون يختارهم المستخدم، موزَّع عبر اتحاد من المشغّلين الأصغر بدلًا من تركيزه في منصة بوّابة واحدة. اتحاد Matrix، ونموذج PDS الخاص بـ Bluesky، و Mastodon، ونسخ Nextcloud الاتحادية. وكلٌّ منها يوزّع مدى الرافعة: تستطيع السلطة أن تشدّ مشغّلًا واحدًا، لكن ليس الركيزة كلها.

هوية يحوزها المستخدم عبر أوراق اعتماد قابلة للتحقق. تأكيدات تشفيرية محفوظة في محفظة يتحكم بها المستخدم، ويُفصح عنها انتقائيًا عبر براهين معرفة صفرية تتحقق من الصفة (فوق 16، فوق 18، مرخَّص) دون كشف الوثيقة الأساسية. ومحفظة الهوية الرقمية الأوروبية بموجب eIDAS 2.0 هي المسار التنظيمي الأبرز؛ وقد نضج البحث الأكاديمي في براهين العمر بمعرفة صفرية منذ 2023.

معمارية مورّدين لامركزية. سجلات صحية يحوزها المريض أو تتوزع على عدة أمناء حفظ يعملون باستقلالية (مشروع InteropEHRate الممول من الاتحاد الأوروبي؛ ومصادقة المرضى بين الأقران عبر Nuts الهولندي). وهوية استهلاكية محفوظة لكل خدمة على حدة أو عبر محافظ المستخدمين بدلًا من تركيزها في قواعد بيانات المشغّلين.

ولا واحد من هذه، اليوم، يحلّ محل المعمارية الحالية بالجملة. وكلٌّ منها يقلّص سطح الهجوم أمام الرافعة المحددة التي تستهدفه. واللامركزية ادعاء أضيق من «تحلّ كل شيء». إنها ادعاء بشأن خصائص بنيوية لركائز محددة: فالركيزة التي لا تقدّم مركزًا قابلًا للإجبار لا تقدّم رافعة، والرافعة التي لا يمكن شدّها لا تستطيع إنتاج موعد نهائي لم يوافق عليه المستخدم.

ما يكلّفه هذا الأسبوع فعلًا

الحصيلة الإجمالية للضرر عبر المدن السبع هذا الأسبوع:

• إيران، اليوم 50: نحو 1.8 إلى 2 مليار دولار خسائر اقتصادية مباشرة وغير مباشرة؛ وعشرات الآلاف من الأعمال متدهورة أو مغلقة؛ و85 مليون مواطن عاجزين عن بلوغ الإنترنت الخارجي.
• روسيا، العدّ التنازلي إلى 1 مايو: نحو 30 مليون مستخدم بين مراسل حكومي بلا تشفير، ومرشّح للشبكات الخاصة الافتراضية عطّل كبرى بنوك البلاد حين جرى تفعيله، وتعرفة ستضع البيانات الدولية خارج متناول مسافري الأعمال والمغتربين والأقليات العرقية التي لها عائلات في الخارج.
• بروكسل، العدّ التنازلي إلى 4 مايو: 450 مليون مستخدم في الاتحاد الأوروبي في حالة عدم يقين بشأن ما إذا كانت تطبيقات مراسلتهم ستُجبَر على مسح الاتصالات الخاصة أم ستنسحب من السوق.
• واشنطن، العدّ التنازلي إلى 30 أبريل: صلاحية مراقبة كاملة تستمر دون تعديل اثني عشر يومًا آخر على الأقل، دون مسار بنيوي للإصلاح قبل الموعد النهائي.
• روتردام، جارٍ: بيانات مرضى لشريحة كبيرة من مرضى الرعاية الحادة الهولنديين ربما تسرّبت؛ وأحد عشر مستشفى تعمل بسير عمل يدوي؛ ومليون عضو في صالات رياضية سُرقت أرقام حساباتهم المصرفية.
• لندن، بعد الموعد النهائي: ستة ملايين صورة وثيقة هوية مجمَّعة لدى أربعة مشغّلين وسطاء، دون أي اختراق واسع النطاق حتى الآن، لكن مع تركيز بنيوي سينتج واحدًا على الأرجح.
• سيدني، بعد أربعة أشهر: انخفاض بنسبة 22-42 بالمئة في حسابات من هم دون سن 16 على المنصات السائدة، مع هجرة موازية إلى بدائل أقل تنظيمًا؛ و76 بالمئة من المراهقين يقولون إنهم تحايلوا.

ضرر محدد بحجم سبع مدن، أنتجته سلطات ليست مشروعيتها هي المسألة، وتعمل على مشغّلين لا يستطيعون رفض الروافع، وتنتج آثارًا في مستخدمين لا صفة لهم في شدّ الرافعة.

الساعة التالية

تبدأ الساعة التالية في نهاية هذا الأسبوع. فالحوار الثلاثي في بروكسل في 4 مايو؛ والتعرفة الروسية في 1 مايو؛ وانقضاء المادة 702 في واشنطن في 30 أبريل؛ وتحقيقات ضمان العمر في لندن ستنتج قرارات إنفاذ على مدى الصيف؛ وقرارات الإنفاذ في سيدني في منتصف 2026؛ واجتماع القائمة البيضاء التالي للمجلس الأعلى للأمن القومي الإيراني في الأسبوع المقبل؛ وتقرير هيئة حماية البيانات في روتردام يُغلق في مايو. كلٌّ منها موعد نهائي. وكلٌّ منها ضبطته سلطة لم تسأل المستخدم. وكلٌّ منها سيعمل على مشغّل لم يصمّمه المستخدم.

والمعمارية التي تنتج هذا النمط هي المعمارية التي يأخذها كل نقاش سياسات هذا الأسبوع مسلَّمةً. أما البديل المعماري — تشفير من طرف إلى طرف، ونقل بين الأقران، وإشراف اتحادي، وهوية يحوزها المستخدم، ومنظومات مورّدين موزَّعة — فمتاح، ومنشور جزئيًا، وينمو، ولم يصر بعدُ التيار السائد. فاستخدام جسور Tor مرتفع بنسبة اثنين وأربعين بالمئة على أساس سنوي. و WireGuard هو المعيار في 94 بالمئة من الشبكات الخاصة الافتراضية الاستهلاكية. ولدى Signal ستون مليون مستخدم نشط شهريًا. ونقل URnetwork عبر العقد المنزلية مرتفع بنسبة سبعة وثلاثين بالمئة في 2026. كل مقياس خطوة. ولا واحد منها هو المنعطف.

وما تكشفه المواعيد النهائية لهذا الأسبوع هو أن المعمارية الحالية تنتج نقاشات سياسات حول أي سلطة يحق لها شدّ أي رافعة. فالمستخدم موضوع النقاش، لا طرف فيه. وأن يصير المستخدم طرفًا يقتضي معمارية مختلفة. وتلك المعمارية هي العمل البطيء الهادئ ناقص التمويل لمكدّس مختلف — ذاك الذي يصير، موعدًا بعد موعد وأسبوعًا بعد أسبوع، أصعب على التجاهل.

تبدأ الساعة التالية يوم الاثنين. المستخدم في طهران، والمستخدم في موسكو، والمستخدم في بروكسل، والمستخدم في واشنطن، والمستخدم في روتردام، والمستخدم في لندن، والمستخدم في سيدني — كلٌّ منهم سيستيقظ على عدّ تنازلي ضُبط في مكان آخر. ولم يكن أي منهم على الطاولة. والمعمارية هي السبب.

كان رئيس مجلس النواب مايك جونسون على المنصة حين تلا كاتب المجلس نص القرار. فالمادة 702 من قانون مراقبة الاستخبارات الأجنبية ستُمدَّد من 20 أبريل إلى 30 أبريل 2026 — ترقيع مدته عشرة أيام. بلا تعديلات. وبلا تصويت مسجَّل. ووافق المجلس، أو ما تبقّى منه عند الساعة 2:09 من فجر الجمعة 17 أبريل، بالموافقة الإجماعية. واستغرق الأمر كله أقل من دقيقة.

قبل ذلك بأربع ساعات، كانت ثلاثة تصويتات إجرائية متتالية على إعادة تفويض مدتها ثمانية عشر شهرًا قد أخفقت. وكان عشرون نائبًا جمهوريًا — لم تَرِد أسماؤهم في محضر الجلسة، وهم معروفون للقيادة — قد رفضوا تمرير القاعدة الإجرائية من دون تعديل يشترط أوامر قضائية لاستعلامات مكتب التحقيقات الفيدرالي عن بيانات المادة 702 المتعلقة بأشخاص أمريكيين. وأمضى كبير مستشاري البيت الأبيض ستيفن ميلر الأسبوع يعمل على استمالة الكتلة الجمهورية. وأحاط مدير وكالة الاستخبارات المركزية جون راتكليف أعضاء مجلس الشيوخ خلف أبواب مغلقة بما وصفته الإدارة بتبعيات استخباراتية أجنبية قائمة. ولم يصمد شيء من ذلك. أما الأداة الوحيدة التي كان يمكن أن تعبر القاعة من دون تصويت مسجَّل، ومن دون إتاحة تعديل اشتراط الأمر القضائي للنظر، فكانت الترقيع ذا العشرة أيام.

وفي اليوم السابق، كانت الكتلة التقدمية في الكونغرس قد صوّتت على إلزام أعضائها الـ98 في مجلس النواب برفض أي إعادة تفويض من دون «إصلاحات جذرية». وكان ذلك أول موقف ملزم تتخذه الكتلة في قاعة المجلس بشأن صلاحية مراقبة. وكان السيناتور رون وايدن عن ولاية أوريغون والسيناتور مايك لي عن ولاية يوتا قد قدّما أداة الإصلاح التشريعية، S.4082، في 12 مارس، بمشاركة السيناتورتين سينثيا لوميس عن وايومنغ وإليزابيث وارن عن ماساتشوستس. ويقود المشروع المرافق في مجلس النواب النائبان وارن ديفيدسون وزوي لوفغرين ومعهما النائبتان سارة جيكوبس وبراميلا جايابال. والائتلاف يجمع اليمين التحرري واليسار التقدمي، ولم يلتقِ الطرفان عند أي موضع آخر طوال دورة امتدت ثمانية عشر شهرًا.

والترقيع لا يحسم النقاش الذي حلّ محله. إنه يعيد تموضعه فحسب. والموعد النهائي الجديد هو 30 أبريل.

الترقيعات تتراكم هذا الأسبوع

لم يكن التمديد ذو العشرة أيام هو التمديد الطارئ الوحيد الذي أُعلن هذا الأسبوع. فستة تمديدات أخرى تصدّرت الأخبار على الرزنامة نفسها.

في الثلاثاء 14 أبريل، أصدرت Microsoft 167 ترقيعًا في ثلاثاء الترقيعات لشهر أبريل — وهو ثاني أكبر إصدار في تاريخ الشركة. ثغرتا يوم صفر. وثماني ثغرات CVE حرجة. وأضافت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) الثغرة CVE-2026-32201، وهي ثغرة انتحال في SharePoint مستغَلَّة فعليًا في البرّية، إلى فهرس الثغرات المعروفة المستغَلَّة لديها. وأمام الوكالات المدنية الفيدرالية حتى 28 أبريل لمعالجتها. وعلى الرزنامة نفسها، أضافت الوكالة الثغرة CVE-2026-34197، وهي خلل تنفيذ تعليمات برمجية عن بُعد في Apache ActiveMQ ظلّ قائمًا في وسيط الرسائل ثلاثة عشر عامًا قبل أن ترصد مختبرات Fortinet FortiGuard بلوغ محاولات الاستغلال ذروتها في 14 أبريل. وشُحن ترقيع Apache في 30 مارس ضمن الإصدارين 6.2.3 و5.19.4. وتتتبّع ShadowServer 7,500 خادم ActiveMQ مكشوف حول العالم. أما نطاق إنفاذ الوكالة فيبلغ نحو 101 وكالة من وكالات الفرع التنفيذي المدني الفيدرالي (FCEB). والخوادم الباقية، وعددها نحو 7,400، تقع خارج التوجيه الملزم.

وفي الأربعاء 15 أبريل، سرى موعد نهائي حددته وزارة التطوير الرقمي الروسية. فبدأت Yandex وVK وSberbank وOzon وLamoda وWildberries ومنصات أخرى حجب المستخدمين الذين يُرصد تشغيلهم لشبكة VPN. وكانت عصا الإنفاذ هي سحب المزايا الضريبية لقطاع تقنية المعلومات و«القائمة البيضاء» للمواقع المسموح لها بالعمل في الاتحاد الروسي. وكان الوزير مقصوط شاداييف قد أبلغ التعليمات في اجتماع خاص يوم 30 مارس مع ممثلي أكثر من عشرين شركة. وقبل ذلك باثني عشر يومًا، كانت نسخة أولى من بنية الترشيح نفسها قد استهدفت خطأً عناوين IP تخصّ Sberbank وVTB وT-Bank — فعطّلت أنظمة الدفع لدى الثلاثة في آن واحد. وأخفقت مدفوعات البطاقات عند نقاط البيع في أنحاء موسكو. وتوقفت أجهزة الصراف الآلي. وفتح مترو موسكو بواباته دون دفع. وطلبت حديقة حيوان إقليمية الدخول نقدًا فقط. وقال مؤسس Telegram بافيل دوروف علنًا إن مرشّح VPN هو ما تسبب في العطل. أما الموعد النهائي الروسي لترشيح بيانات الهاتف المحمول الدولية فهو 1 مايو: 150 روبلًا، أي نحو 1.80 دولار، لكل جيجابايت فوق 15 جيجابايت شهريًا يُوجَّه عبر VPN.

وفي الخميس 16 أبريل، عقد البرلمان الأوروبي ومجلس الاتحاد الأوروبي والمفوضية الأوروبية جولة الحوار الثلاثي الثالثة بشأن رقابة الدردشة 2.0 — أي لائحة الاعتداء الجنسي على الأطفال التي ستُجيز المسح الإلزامي لخدمات المراسلة المشفَّرة من طرف إلى طرف. وكان الاستثناء الطوعي الذي أتاح للمنصات الكبيرة مسح الرسائل الخاصة بحثًا عن مواد الاعتداء الجنسي على الأطفال قد سقط في 3 أبريل حين رفض البرلمان تمديدًا ثانيًا. وأعلنت Google وMeta وMicrosoft وSnap أنها ستواصل المسح استنادًا إلى أسس قانونية بديلة بصرف النظر عن ذلك. وكانت المحكمة الأوروبية لحقوق الإنسان قد قضت عام 2024 في قضية Podchasov v. Russia بأن الإضعاف العام للتشفير الآمن من طرف إلى طرف ينتهك المادة 8 من الاتفاقية. وجولة الحوار الثلاثي في 16-17 أبريل هي محاولة للتوفيق بين تلك السابقة وموقف المجلس. والجلسة التالية مقرَّرة في 11 مايو، والتي تليها في 29 يونيو. والاعتماد مستهدَف في يوليو.

وعلى مدى الثلاثاء والأربعاء من هذا الأسبوع، دخلت إيران اليومين السابع والأربعين والثامن والأربعين من التعتيم الوطني الشامل على الإنترنت الذي بدأ مع الضربات الإسرائيلية-الأمريكية في 28 فبراير. أكثر من 1,128 ساعة انقطاع. وقاست NetBlocks الاتصال عند نحو أربعة بالمئة من الأحجام المعتادة — وهو أطول انقطاع وطني شامل للإنترنت في التاريخ المسجَّل. وقدّر أفشين كلاهي، وهو اقتصادي يتتبّع الانقطاع، الكلفة المباشرة على الاقتصاد الإيراني بما بين 30 و40 مليون دولار يوميًا، والكلفة غير المباشرة بما هو أقرب إلى 70-80 مليون دولار يوميًا. والكلفة الإجمالية حتى اليوم: نحو 1.8 مليار دولار. وأفادت Bloomberg في 14 أبريل بأن إيران بدأت تعرض حزمة "pro internet" (أي «الإنترنت الاحترافي») يمكن للشركات التقدّم بطلب للحصول عليها — وهي إعادة فتح محدودة مشروطة بموافقة المجلس الأعلى للأمن القومي. وفي 12 أبريل، قال مسؤولون إنه لا يوجد جدول زمني للاستعادة الكاملة.

وفي الأربعاء 15 أبريل، أكّدت الصحيفة الهولندية NL Times ما كانت ChipSoft قد لمّحت إليه طوال أسبوع: أن بيانات المرضى ربما تسرّبت في هجوم برامج الفدية على منصة السجلات الصحية الإلكترونية HiX الذي بدأ في 7 أبريل. وتخدم ChipSoft نحو 76 بالمئة من مستشفيات الرعاية الحادة الهولندية. وأجبرت برامج الفدية على إغلاق Zorgportaal (بوابة المرضى)، وHiX Mobile (نفاذ مقدّمي الرعاية عبر الهاتف المحمول)، وZorgplatform (طبقة تبادل البيانات بين المستشفيات). وفصلت أحد عشر مستشفى أنظمتها. ونُصح مستخدمو HiX365 — وهم نحو خمسة عشر مستشفى من بينها Franciscus Gasthuis في روتردام وAlbert Schweitzer في دوردريخت — بتقديم بلاغات تسرّب بيانات إلى هيئة حماية البيانات الهولندية. ولم تعلن أي جماعة فدية مسؤوليتها؛ ولم يُسمَّ أي مهاجم. وحتى تأكيد 15 أبريل، ذكرت الشركة أنها «لا تستطيع أن تستبعد» أن تكون بيانات مرضى قد جرى الوصول إليها.

وفي قضية جنائية في تكساس ظهرت مستندات الإفصاح فيها هذا الأسبوع، استرجع مكتب التحقيقات الفيدرالي شظايا من رسائل Signal من مخزن الإشعارات الداخلي في هاتف iPhone — بعد أن كان تطبيق Signal قد حُذف. ولم تُستخرج الرسائل من قاعدة بيانات Signal المشفَّرة. بل استُخرجت من ذاكرة إشعارات iOS، وهي قاعدة بيانات SQLite يستخدمها إطار CoreDuet وتبقى بعد إلغاء تثبيت التطبيقات، وتُدرَج ضمن نسخ iCloud الاحتياطية في التهيئات الشائعة. وصمد تشفير Signal طوال ذلك. فقد التُقط النص الصريح عند طبقة إشعارات نظام التشغيل، أي بعد فكّ التشفير، عند النقطة التي يعرض فيها iOS إشعار الدفع على شاشة القفل. واستُخدم في الاستخراج برنامج Cellebrite Premium. ولم يتطلّب ذلك كسر رمز مرور الجهاز؛ بل تطلّب فقط حالة "After-First-Unlock" (أي ما بعد أول فتح للقفل منذ الإقلاع). وحدّثت مؤسسة حرية الصحافة إرشاداتها الصادرة في أبريل 2026 لتنصح الصحفيين بتعطيل معاينات الإشعارات، وتعطيل سجل إشعارات iOS، وتعطيل النسخ الاحتياطي على iCloud لتطبيق Signal. وصارت التهيئة الافتراضية الجاهزة في iOS تُعامَل الآن على أنها غير كافية لحماية المصادر.

ما تشترك فيه الترقيعات

هذه التمديدات السبعة — ترقيع المادة 702، وإنفاذ المرشّح الروسي، وحوار رقابة الدردشة الثلاثي، والتعتيم الإيراني، وتسرّب ChipSoft، ومعالجة ثغرتَي ActiveMQ وSharePoint، واسترجاع رسائل Signal — لا تصف السياسة نفسها ولا الجغرافيا نفسها. إنها تصف الركيزة نفسها.

تعمل المادة 702 لأن مزوّدي خدمات الاتصالات الإلكترونية الأمريكيين — شركات الاتصالات، ومزوّدي البريد الإلكتروني، والخدمات السحابية — قابلون للإجبار. فالنص التشريعي يوجّههم إلى تسليم اتصالات الأهداف. وقاعدة البيانات التي يستعلم عنها مكتب التحقيقات الفيدرالي مخزَّنة على خوادمهم. ومشروع الإصلاح والحجّة المضادة كلاهما يفترض نموذج المزوّد القابل للإجبار. والنقاش يدور حول متى وكيف يجري الاستعلام. لا حول ما إذا كان ثمة مخزن مركزي يُستعلم عنه. المخزن قائم.

ويعمل المرشّح الروسي لأن Yandex وVK وSberbank وOzon وLamoda وWildberries تعمل بموجب ترخيص روسي. ولا تحتاج وزارة التطوير الرقمي إلى الوصول إلى المستخدم. إنها تصل إلى المنصة. وإخفاق المصارف في 3 أبريل كان المعمارية نفسها موجَّهة إلى الهدف الخطأ: فالمرشّح عمل، والمرشّح انطبق، والمرشّح حجب. والمصارف كانت على القائمة بالخطأ. أما المستخدم الذي أخفقت بطاقته عند نقطة بيع تابعة لـ Sberbank فلم يكن هو المُجبَر. المُجبَر كان المصرف.

وتفترض رقابة الدردشة أن Meta وGoogle وMicrosoft وSnap ستنفّذ ما تشترطه اللائحة. والنظام الطوعي الذي انقضى في 3 أبريل كان يفترض الشيء نفسه. والسبب الوحيد في إعلان المنصات أنها ستواصل المسح في 4 أبريل هو أن البنية منشورة بالفعل، وأن الأساس القانوني الذي تحتجّ به الآن بديل عن الأساس الذي سقط. وما يتفاوض عليه الحوار الثلاثي هو النص التشريعي الذي سيُلزم كل المزوّدين بما اختارت Google وMeta بالفعل الاستمرار في فعله طوعًا. فمعمارية الكشف قائمة أصلًا عند الخادم.

ويعمل التعتيم الإيراني عند رخصة المشغّل. فالدولة لا تحتاج إلى اعتراض حركة كل مستخدم. إنها تصدر التعليمات للمشغّلين. والمشغّلون يمتثلون. وأيام التعتيم الثمانية والأربعون ليست إنجازًا تقنيًا؛ إنها إنجاز إداري. وحزمة "pro internet" المحدودة التي أوردتها Bloomberg في 14 أبريل هي الرافعة نفسها مُشغَّلة في الاتجاه المعاكس. فبعض مستخدمي الأعمال يُمنحون النفاذ. ونظام التراخيص فيه محدِّد انتقاء.

وChipSoft هي محدِّد الانتقاء لسجلات المرضى الهولندية. فستة وسبعون بالمئة من السجلات الصحية الإلكترونية للرعاية الحادة في البلاد تمرّ عبر منصة HiX التابعة لها. والمهاجم الذي يمسك بـ ChipSoft يمسك بركيزة سجلات المرضى في البلاد. والتشغيل البيني الذي يتيح لمريضة تُنقل من Albert Schweitzer إلى Franciscus Gasthuis أن تصل ومعها ملفها الطبي هو التشغيل البيني نفسه الذي أتاح للمهاجم بلوغ أحد عشر مستشفى في 7 أبريل، وأتاح لسؤال بيانات المرضى أن ينتشر عبر خمسة عشر مستشفى إضافيًا بحلول 15 أبريل. الدمج كفاءة. والدمج أيضًا هو الوحدة التي يستطيع عندها مشغّل برامج الفدية أن يمارس رافعته.

وApache ActiveMQ هو وسيط الرسائل المؤسسي الذي تستخدمه المصارف وشركات الاتصالات والوكالات الحكومية لنقل المعاملات بين أنظمتها الداخلية. والثغرة CVE-2026-34197 قابلة للاستغلال منذ ثلاثة عشر عامًا. وMicrosoft SharePoint هو طبقة التعاون المؤسسي لتخزين المستندات في الوكالات المدنية الفيدرالية، ولدى مقاولي الدفاع، وفي حكومات الولايات والحكومات المحلية. والثغرة CVE-2026-32201 مستغَلَّة فعليًا اعتبارًا من 14 أبريل. أما خوادم ActiveMQ الـ7,500 التي تتتبّعها ShadowServer وخوادم SharePoint التي لا يصل إليها الفرع التنفيذي المدني الفيدرالي فهي أجزاء الركيزة التي لا تستطيع CISA إلزامها. وهي أيضًا الأجزاء التي سيصل إليها المهاجمون أولًا.

ولا يقول استرجاع مكتب التحقيقات الفيدرالي لرسائل Signal في تكساس إن Signal مخترَق. بل يقول إن تشفير Signal ينتهي عند طبقة نظام التشغيل، وإن طبقة نظام التشغيل تخزّن النص الصريح المفكوك لأجل العرض، وإن هذا المخزن دائم ويمكن الوصول إليه جنائيًا رقميًا، وإن الخصم ليس مضطرًا إلى هزيمة التعمية كي يسترجع النص الصريح. والشطيرة المعمارية هي: نقل محمي، وإشعار غير محمي عند الطرف، ونسخ احتياطي غير محمي اختياريًا. ثلاث طبقات. اثنتان منها خارج سيطرة Signal.

لقد ولّد نقاش المادة 702، والمرشّح الروسي، وحوار رقابة الدردشة الثلاثي، والتعتيم الإيراني، وبرامج الفدية على ChipSoft، ورزنامة ترقيعات CISA، وذاكرة إشعارات Signal، فيما بينها، أغلب عناوين الخصوصية هذا الأسبوع. والكلمة المشتركة هي موعد نهائي. تشريعي. ووزاري. وتنظيمي. وجنائي رقمي. والموضوع المشترك هو بنية تحتية يتحكم بها طرف ثالث نيابةً عن مستخدمين لم يُسألوا عنها.

ما لا تشترك فيه الترقيعات

الرهانات ليست متكافئة. فترقيع للمادة 702 مدته عشرة أيام ينتهي إلى اشتراط أمر قضائي لاستعلامات مكتب التحقيقات الفيدرالي عن أشخاص أمريكيين هو نتيجة مختلفة عن ترقيع ينتهي إلى إعادة تفويض «نظيفة» لثمانية عشر شهرًا. ومرشّح VPN روسي يحجب النفاذ إلى وسائل التواصل الاجتماعي في 15 أبريل هو نتيجة مختلفة عن مرشّح يفرض تعرفة على كل جيجابايت من البيانات الدولية في 1 مايو — ونتيجة مختلفة كذلك عن المرشّح الذي أسقط سكك الدفع لدى Sberbank في 3 أبريل. ولائحة أوروبية لرقابة الدردشة تجيز المسح على جهة العميل هي نتيجة مختلفة عن لائحة تشترط المسح على جهة الخادم، وهذه نتيجة مختلفة عن لائحة تحظر الاثنين معًا. واليوم الثامن والأربعون من التعتيم في إيران ليس هو المستشفى الحادي عشر لدى ChipSoft، وليس هو ثغرة يوم الصفر في SharePoint. هذه ليست الحدث نفسه، والمقال الذي يقرؤها بوصفها الحدث نفسه مخطئ.

المعمارية واحدة. والمعمارية هي ما تشترك فيه. فكل واحد من هذه الأحداث يعمل على ركيزة مُدارة مركزيًا، ومرخَّصة، وقابلة للتحديد، وقابلة للإجبار — مشغّل، أو منصة، أو مورّد، أو سحابة، أو نظام تشغيل. وكل واحد منها ينتج موعدًا نهائيًا: على أحدهم في مكان ما أن يقرر، بحلول تاريخ ما، ما الذي يفعله بالركيزة أو بها. والموعد النهائي تحدده السلطة التي لها ولاية على المشغّل، لا المستخدم الذي تخصّه البيانات أو الحركة أو السجلات أو الرسائل محلّ النزاع.

والبديل اللامركزي ليس بناءً نظريًا. إنه منشور جزئيًا. فتشفير Signal نفسه مثال. والتوجيه البصلي في Tor مثال آخر. والشبكة المتشابكة ندًّا لندّ في Briar. والخوادم المنزلية الاتحادية في Matrix. والتوجيه بالمفاتيح التشفيرية في WireGuard. ونقل URnetwork عبر العقد المنزلية، حيث تنتقل الرسائل عبر أجهزة الأقران لا عبر منشآت المشغّلين. ولا واحد من هذه، بمفرده، يمنع ثغرة CVE في SharePoint. ولا واحد منها، بمفرده، يمنع مرشّحًا روسيًا من حجب منصة روسية. ولا واحد منها يمنع الدولة الإيرانية من أن تأمر مشغّليها بإطفاء البلد. أما ما تمنعه فهو أن يطال نمط إخفاق الركيزة حركةً لا تعبر تلك الركيزة. وهذا ادعاء أضيق من «اللامركزية تحلّ كل شيء». وهو أيضًا الادعاء المحدد الذي تسنده عناوين هذا الأسبوع.

الموعد النهائي التالي

ستنقضي المادة 702 في 30 أبريل ما لم يمدّدها الكونغرس مرة أخرى. ولن يكون قانون إصلاح المراقبة الحكومية (GSRA) قد خضع لجلسة مراجعة وتعديل في أي من المجلسين بحلول ذلك الموعد؛ وسيظل المتمنّعون الجمهوريون يطالبون بتعديلهم؛ وسيظل البيت الأبيض يدفع نحو تمديد «نظيف»؛ وستظل الكتلة التقدمية مُلزِمة أعضاءها الثمانية والتسعين. وتسري في الموعد نفسه تعرفة روسيا على البيانات الدولية في 1 مايو. وتحلّ مهلتا CISA لثغرتَي ActiveMQ وSharePoint في فهرس الثغرات المعروفة المستغَلَّة في الأسبوع نفسه. وجولة الحوار الثلاثي الأوروبية التالية بشأن رقابة الدردشة في 11 مايو. وإنترنت إيران، في 30 أبريل، سيكون في يومه الحادي والستين. وسيظل التتبّع الجنائي الرقمي لدى ChipSoft جاريًا. وستظل قصة ذاكرة إشعارات iOS مع Signal بلا حسم في تصميم iOS. وستكون الترقيعات متراكمة طبقتين على ركيزة لم تُسأل قط إن كانت تريد أن تكون هناك.

وما أعلنه تصويت الساعة 2:09 فجرًا ليس نتيجة تشريعية. إنه إزاحة في الرزنامة. فالقصة هي المعمارية التي أنتج تشغيلها، في أسبوع واحد، سبعة تمديدات طارئة متمايزة بجداول زمنية متداخلة. والقصة هي ما تكلّفه تلك المعمارية من يعيشون ويعملون داخلها — رعاية مستشفوية متوقفة، ومدفوعات تجزئة فاشلة، ومراسلة معتَّم عليها، ومعاينة على شاشة القفل عمّرت أطول من التطبيق الذي أرسلها، وإعادة تفويض ستقع تلقائيًا لأن أداة الإصلاح لن تعبر البوابة الإجرائية في الوقت المناسب.

والساعة التالية تبدأ في 1 مايو. ولن تكون الأخيرة.

عند الساعة 11:59 مساءً بالتوقيت الشرقي من يوم الاثنين 20 أبريل، تسقط المادة 702 من قانون مراقبة الاستخبارات الأجنبية (FISA) ولا تعود قانونًا نافذًا ما لم يتحرّك الكونغرس. وفي الأربعاء 22 أبريل، ستكفّ شرائح SIM الصادرة عن شركة الاتصالات الصينية، عبر قاعدة مشتركين لم يُحدَّد حجمها بعد، عن دعم خدمات التجوال الدولي، وفق رسالة نصية مسرَّبة وتوجيه داخلي من Shaanxi Telecom يأمر مشغّلي البنية التحتية بـ«القضاء على أي شكل من أشكال أعمال الالتفاف». وفي الثلاثاء 28 أبريل، يتعيّن على وكالات الفرع التنفيذي المدني الفيدرالي أن تنتهي من معالجة الثغرة CVE-2026-32201، وهي ثغرة الانتحال في SharePoint المستغلَّة فعليًا التي أفصحت عنها Microsoft أمس وأضافتها وكالة الأمن السيبراني وأمن البنية التحتية (CISA) في اليوم نفسه إلى فهرس الثغرات المعروف استغلالها (Known Exploited Vulnerabilities).

خمسة أيام. سبعة أيام. ثلاثة عشر يومًا. ثلاثة مواعيد نهائية حدّدتها ثلاث سلطات مختلفة في ظل ثلاث منظومات قانونية مختلفة. وهي غير منسّقة فيما بينها. ولا تصف الحدث نفسه. لكنها هذا الأسبوع، وللمرة الأولى منذ سنوات، تصف السؤال نفسه.

والسؤال هو: ماذا يحدث لبنية اتصالات أو سجلات مركزية حين تغيّر السلطة المالكة لها رأيها في ما تفعله بها؟ بُنيت المادة 702 لأغراض الاستخبارات الأجنبية. والآن يستعلم منها مكتب التحقيقات الفيدرالي لأغراض تحقيقات داخلية. وبُني نظام تراخيص شركات الاتصالات الصيني لوصل المواطنين الصينيين بالإنترنت العالمية. والآن يستخدمه منظّمو بكين لقطع ذلك الوصل عند طبقة شركة الاتصالات. وبُني Microsoft SharePoint لاستضافة المستندات التشاركية. وهو يعمل حاليًا على شبكات مؤسسية يستطيع مهاجم غير مصادَق عليه أن يصل إليها، وأمام الفرع المدني الفيدرالي أقل من أسبوعين لإغلاق ذلك المنفذ قبل أن يتحوّل تقرير حادثة إلى إشعار اختراق.

وتغطي نشرة اليوم المواعيد النهائية الثلاثة والأحداث المحيطة بها — جلسة التدقيق في باسادينا الليلة، وإلغاء الدائرة الرابعة في 10 أبريل للأمر القضائي الصادر بشأن DOGE وإدارة الضمان الاجتماعي، واعتراف وزارة الصحة والخدمات الإنسانية في 9 أبريل بأنها شاركت مع دائرة الهجرة والجمارك مجموعة بيانات Medicaid وصفتها بأنها "large and complex" (كبيرة ومعقّدة) خلافًا لأمر محكمة فيدرالية، وتصويت مجلس شيوخ تينيسي أمس بـ24 مقابل 7 على سجلّ للإبلاغ عن المرضى، وتوقيع فرجينيا الحزبي المشترك يوم الاثنين على حظر بيع بيانات الموقع. سبعة أحداث إخبارية منفصلة في سبعة أيام. ونمط واحد تحتها جميعًا.

باسادينا الليلة

عند الساعة الخامسة مساءً بتوقيت المحيط الهادئ اليوم، تستمع لجنة السلامة العامة في باسادينا إلى التدقيق الداخلي للمدينة في برنامجها لقارئات لوحات السيارات الآلية من Flock Safety. أما نتيجة الإحاطة التمهيدية، التي نُشرت مسبقًا، فهي: "no evidence of misuse or unauthorized access" (لا دليل على سوء استخدام أو وصول غير مصرّح به). ويتولى العرض رئيس شرطة باسادينا جين هاريس. وجميع التنبيهات البالغ عددها 184,000 التي ولّدتها في 2025 كاميرات Flock الـ61 في المدينة كانت مرتبطة بأرقام قضايا موثَّقة. واقتصر الوصول على الضباط المحلَّفين وموظفي الإرسال ومحلّلي الجريمة. وكانت مدة الاحتفاظ بالبيانات 30 يومًا. وتعتزم الدائرة تركيب 11 كاميرا إضافية، ليبلغ الانتشار 72 كاميرا. وارتفع معدل حلّ الجرائم الإجمالي في باسادينا من 28.96 بالمئة في 2023 إلى 35.26 بالمئة في 2025. ولا يزعم التدقيق أن Flock سبّبت الارتفاع. إنه يبلّغ عن الارتباط.

والتدقيق متسق داخليًا مع نطاقه. لكن نطاقه لا يبلغ الشبكة التي فوقه.

في 3 أبريل 2026، رفع مكتب المحاماة Gibbs Mura دعوى جماعية معدَّلة أمام المحكمة العليا في سان فرانسيسكو، يزعم فيها أن Flock Safety أتاحت أكثر من 1.6 مليون عملية بحث من خارج الولاية في قاعدة بيانات قارئات اللوحات الآلية التابعة لشرطة سان فرانسيسكو على مدى سبعة أشهر، خلافًا لقانون خصوصية قارئات اللوحات الآلية في كاليفورنيا لعام 2015. ولا تزعم الدعوى أن ضباط سان فرانسيسكو أساؤوا استخدام قاعدة البيانات. بل تزعم أن طبقة الشبكة التي فوق الدائرة — أي شبكة Flock الوطنية لقراءة اللوحات، العاملة في أكثر من 5,000 مجتمع محلي ولدى 4,800 جهة لإنفاذ القانون، والتي تنفّذ أكثر من 20 مليار عملية مسح للمركبات شهريًا — هي التي أنتجت نمط التشارك العابر للولايات القضائية الذي يحظره القانون SB 34. فالمخالفة المزعومة ليست بحث الضابط المحلي. إنها المعمار الذي جعل الاستعلام من خارج الولاية ممكنًا منذ لحظة تفعيل التشارك.

وفي 14 أبريل، أي قبل يوم واحد من جلسة الليلة وبعد أحد عشر يومًا من الدعوى المعدَّلة، أعلنت Flock Safety عبر GlobeNewswire عن منتج باسم Audit Assistance. ويوصَف بأنه أداة «ترصد نشاط النظام باستمرار وتُظهر أنماط البحث التي تقع خارج الاستخدام المعتاد لأي جهة». ويُسلَّم إلى مسؤولي الأنظمة في الجهات. وهو ليس أداة شفافية للجمهور.

وعلى الجانب الآخر من الطريق السريع 110، في ساوث باسادينا، بلغ مجلس المدينة النتيجة المعاكسة في فبراير 2026. فأربع عشرة كاميرا من Flock ستُفكَّك. وذكرت المدينة مخاوف تتعلق بسلامة البيانات بعد تقارير مؤكَّدة عن أن بيانات Flock في جنوب كاليفورنيا جرى الوصول إليها من جانب إنفاذ الهجرة الفيدرالي ومن دوائر شرطة في ولايات أخرى. مدينتان متجاورتان، ومورّد واحد، وقراران متعاكسان. والفارق ليس في جودة السياسة. بل في ما قرّرت كل هيئة بلدية أن السؤال هو.

السجل كان زائفًا زيفًا بيّنًا

يوم الجمعة 10 أبريل 2026، ألغت محكمة الاستئناف الأمريكية للدائرة الرابعة، منعقدةً بكامل هيئتها، أمرًا قضائيًا تمهيديًا كان قد منع وزارة كفاءة الحكومة من الوصول إلى سجلات إدارة الضمان الاجتماعي — وهي سجلات تغطي نحو 70 مليون أمريكي. والقضية هي American Federation of State, County and Municipal Employees v. Social Security Administration، رقم 25-1411. ورأت الأغلبية أن المدّعين لم يُثبتوا وقوع ضرر لا يمكن جبره.

وخالف القاضي روبرت كينغ الرأي. ومخالفته غير معتادة لمحكمة دائرة فيدرالية. فإدارة الضمان الاجتماعي وسائر المدّعى عليهم، كما كتب كينغ، "provided patently false information to the district court in the preliminary injunction proceedings" (قدّموا معلومات زائفة زيفًا بيّنًا إلى محكمة المقاطعة في إجراءات الأمر القضائي التمهيدي). والأحكام السابقة، كما أضاف، "were rendered on a materially erroneous record" (صدرت بناءً على سجل خاطئ خطأً جوهريًا). ولم تُقرّ الأغلبية بأيٍّ من النتيجتين. وبعد أربعة أيام، يوم الثلاثاء 14 أبريل، رفعت محكمة المقاطعة الأمريكية لمقاطعة ميريلاند وقفَ الدعوى وقبلت طلب المدّعين بإجراء الكشف عن الأدلة. وستفحص محكمة المقاطعة الآن السجل الذي قالت الدائرة الرابعة إنها لا تستطيع فحصه — السجل الذي أقرّت الحكومة نفسها، في مذكرة قُدّمت في يناير، بأنه كان ناقصًا.

وقالت مذكرة يناير شيئًا محددًا. قالت إن موظفًا في DOGE وقّع اتفاقًا لمشاركة بيانات إدارة الضمان الاجتماعي مع جماعة مناصرة سياسية لم تُسمَّ كانت تسعى إلى قلب نتائج انتخابية في ولايات بعينها. والاتفاق، وفق المذكرة، لم يُصرَّح به عبر عملية المراجعة المعتادة لمشاركة بيانات الإدارة. ولم تحدّد المذكرة الجماعة. ولم تحدّد الولايات. واكتفت بالقول إن الترتيب موجود. ورأت الأغلبية في الدائرة الرابعة أن وجود الترتيب لا يُثبت، بمفرده، الضرر الذي لا يمكن جبره والذي زعمه المدّعون. ورأى القاضي كينغ أن عدم الإفصاح عن الترتيب حين جرى التقاضي في الأمر القضائي أصلًا هو بذاته مشكلة السجل.

وهذا ما يطاله أمر الكشف عن الأدلة الصادر في 14 أبريل. فسيُسمح للمدّعين الآن بفحص ما وصلت إليه DOGE، ومتى، وبأي تصريح، ولأي استخدامات لاحقة. أما المستفيدون الـ70 مليونًا الذين تخصّهم السجلات محل النزاع فلن يروا الكشف بأنفسهم. فبياناتهم صارت حيث هي. وكل ما يستطيع الكشف إثباته هو سلسلة الحيازة — من حاز البيانات ومتى، ولأي غرض. أما إمكانية استرجاع البيانات من حيثما ذهبت فليست سؤالًا يجيب عنه الكشف. فالبيانات لا تعود أدراجها.

وقضية إدارة الضمان الاجتماعي ليست حالة معزولة. إنها واحدة من قضيتين فيدراليتين متوازيتين بشأن السجلات في نافذة العشرة أيام نفسها. والثانية في المقاطعة الشمالية لكاليفورنيا.

مجموعة البيانات الكبيرة والمعقّدة

يوم الخميس 9 أبريل، في قضية California v. U.S. Department of Health and Human Services، رقم 25-cv-05536 (المقاطعة الشمالية لكاليفورنيا)، أقرّت الحكومة الفيدرالية في مذكرة قضائية بأنها شاركت مع دائرة الهجرة والجمارك مجموعة "large and complex" (كبيرة ومعقّدة) من بيانات المسجَّلين في Medicaid. وكان تحالف من 22 مدعيًا عامًا للولايات، بقيادة كاليفورنيا، قد زعم أن المشاركة خالفت أمرًا صادرًا في ديسمبر 2025 عن القاضي فينس تشابريا. وكان ذلك الأمر قد سمح لدائرة الهجرة والجمارك بسحب مجموعة ضيّقة فقط من الحقول التعريفية — العناوين وأرقام الهواتف وتواريخ الميلاد وحالة المواطَنة أو الهجرة — وفقط بخصوص الأشخاص الذين لم يثبت وجودهم القانوني في الولايات المتحدة. وحظر الأمر تحديدًا الجمع عن المواطنين الأمريكيين والمقيمين الدائمين القانونيين.

ولم تنازع مذكرة 9 أبريل في المشاركة. بل أفصحت عنها. أما ما لم تفصح عنه فهو كيف حدّدت وزارة الصحة والخدمات الإنسانية أيَّ المسجَّلين ينطبق عليهم التصنيف الضيّق المسموح به وأيهم لا ينطبق. وزعم الولايات الـ22، في جوهره، هو أن الوزارة لم تُجرِ ذلك التحديد أصلًا — أي أنها شاركت سجلات Medicaid بالجملة وتركت التصنيف ليجري على الطرف الآخر من النقل، على يد دائرة الهجرة والجمارك، باستخدام البيانات التي كانت قد شُوركت بالفعل. وتغطي البيانات نحو 80 مليون مسجَّل على مستوى البلاد. وثمة جلسة تنفيذ مقرَّرة في 30 أبريل.

وبيانات Medicaid وبيانات إدارة الضمان الاجتماعي تصفان المعمار نفسه. سجلات مجمَّعة لدى حائز فيدرالي لغرض قانوني محدد. ثم قرار لاحق من السلطة التنفيذية بإتاحة التجميعة لوكالة أخرى، لغرض آخر. ثم أمر محكمة يحاول تقييد الاستخدام الثانوي. ثم مذكرة لاحقة تفصح عن أن الاستخدام الثانوي تجاوز الأمر. في قضية إدارة الضمان الاجتماعي، جاء الإفصاح قسرًا — فرضه طلب الكشف من المدّعين وقاضٍ مخالف. أما في قضية Medicaid، فجاء الإفصاح في مذكرة حكومية يبدو أنها لم تتطوّع بالإفصاح بقدر ما وثّقته بعد وقوعه.

والمعمار الكامن تحت القضيتين لا يختلف عن المعمار الكامن تحت تدقيق Flock في باسادينا. فما إن يقع التجميع، حتى يصير سؤال ما يُفعل بالتجميعة سؤالًا لا يستطيع أي تدقيق منفرد أن يغلقه. الكشف عن الأدلة يستطيع وصفه. وأمر المحكمة يستطيع تقييده. واتفاق مشاركة البيانات يستطيع إضفاء الصفة الرسمية عليه. أما التجميع نفسه فهو الشرط المسبق لكل هذه الأفعال اللاحقة. التجميع هو ما يجعل ما بعده ممكنًا.

تباعد الولايات

صوّتت ولايتان هذا الأسبوع على تجميع البيانات. وذهبتا في اتجاهين متعاكسين.

يوم الاثنين 13 أبريل، وقّعت حاكمة فرجينيا أبيغيل سبانبرغر القانون SB 338. ويحظر القانون بيع بيانات تحديد الموقع الجغرافي الدقيق — المعرَّفة بأنها بيانات قادرة على تحديد موقع المستهلك ضمن 1,750 قدمًا — من جانب أي متحكّم في بيانات شخصية يعمل في الكومنولث. وأقرّت الجمعية العامة لفرجينيا القانون بتصويت إجماعي حزبي مشترك في كل مرحلة. ويسري اعتبارًا من 1 يوليو 2026. وتصبح فرجينيا ثالث ولاية تسنّ حظرًا كهذا، إلى جانب أوريغون وميريلاند. وثمة مشاريع قوانين مشابهة قيد النظر في كاليفورنيا وكونيتيكت وماساتشوستس وفيرمونت. وقد خدمت بيانات الموقع بوصفها الحقل الوكيل في مسارات عمل الاستهداف الفيدرالي للهجرة التي استهلكت، وفق جرد مكتب الإدارة والموازنة وتقارير 404 Media، تغذيات وسطاء البيانات عبر تطبيق ELITE من Palantir.

ويوم الثلاثاء 14 أبريل، عند الساعة 11:47 صباحًا بالتوقيت المركزي، صوّت مجلس شيوخ ولاية تينيسي بـ24 مقابل 7 لتمرير القانون SB 676. ويلزم القانون مقدّمي الرعاية الصحية بأن يبلّغوا وكالة حكومية في الولاية عن كل مريض بالغ من المتحولين جنسيًا يعالجونه — بالعمر وتاريخ الميلاد، وبالجنس المسجَّل عند الولادة، وبمقاطعة الإقامة، وبالدواء والجرعة والمدة وطريقة الإعطاء، وبرمز الإجراء الجراحي وجهة الإحالة، وببيانات التواصل مع مقدّم الرعاية وتخصصه، وبتاريخ الزيارة، وبتاريخ الحالات النفسية. وكان راعي المشروع السيناتور برنت تايلور من ممفيس. والصوت الجمهوري الوحيد المعارض كان للسيناتور جون ستيفنز من هنتنغتون. أما المشروع النظير في مجلس النواب، HB 754، فقد أُقرّ بـ70 مقابل 21 مع امتناع اثنين في 26 مارس. وأضاف مجلس الشيوخ تعديلين — منح المدعي العام صلاحية التحقيق، وشطب حكم يقضي بالنشر العلني على مستوى المقاطعة — وأعاد المشروع إلى مجلس النواب للتوفيق. وقد وقّع الحاكم بيل لي كل مشروع قانون متصل بمجتمع الميم أُرسل إليه طوال ولايته. واعتراضه الوحيد كان في مسألة غير ذات صلة تخص مجلس الإفراج المشروط في مايو 2025. وعقوبات عدم الامتثال: 150,000 دولار لكل عيادة، وتعليق الترخيص ستة أشهر.

ووصل المشروعان إلى مكتبَي حاكمَيهما بفارق ثماني عشرة ساعة. أحدهما يمنع فئة من البيانات من أن تُجمَّع في سوق تجارية. والآخر يُلزِم بأن تُجمَّع فئة من البيانات في أرشيف حكومي. وكلاهما من مسائل قانون الولايات، أقرّتهما هيئتان تشريعيتان في ولايتين، ووقّعهما (أو يوشك أن يوقّعهما) حاكما ولايتين. والتباعد معماري لا حزبي. فمشروع فرجينيا يزيل التجميع. ومشروع تينيسي يصنع تجميعًا. أما المحاكم الفيدرالية فتتقاضى هذا الأسبوع في ما يحدث للتجميعات القائمة بالفعل.

خمسة أيام: المادة 702

تنتهي المادة 702 من قانون FISA عند منتصف ليل 20 أبريل ما لم يتحرّك الكونغرس. والخيار أمام الكونغرس ثنائي. فإما أن يُعاد التصريح بالنص في صورته الحالية جوهريًا — وهي النتيجة التي يدفع البيت الأبيض نحوها، بقيادة كبير المستشارين ستيفن ميلر ومدير وكالة الاستخبارات المركزية جون راتكليف — وإما أن يغيّره جوهريًا قانون Government Surveillance Reform Act of 2026 (قانون إصلاح المراقبة الحكومية لعام 2026)، أي S.4082.

قُدِّم S.4082 في 12 مارس من السيناتورين رون وايدن من أوريغون ومايك لي من يوتا. ومن المشاركين في تقديمه السيناتورتان سينثيا لوميس من وايومنغ وإليزابيث وارن من ماساتشوستس — وهو اقتران بين يمين ليبرتاري ويسار تقدمي يظهر في مسائل التعديل الرابع ولا يكاد يظهر في غيرها. أما النظير في مجلس النواب فيأتي من النائبين وارن ديفيدسون من أوهايو وزوي لوفغرين من كاليفورنيا، وكلاهما في اللجنة القضائية بمجلس النواب. ويفعل المشروع أربعة أشياء. أولًا: يُلزم مكتب التحقيقات الفيدرالي بالحصول على إذن قضائي قائم على سبب محتمل من محكمة مراقبة الاستخبارات الأجنبية قبل الاستعلام من قاعدة بيانات 702 عن شخص أمريكي. ثانيًا: يحظر على الوكالات الفيدرالية شراء بيانات الأمريكيين من وسطاء تجاريين دون إذن قضائي، مدمِجًا في نصّه قانون Fourth Amendment Is Not For Sale Act (التعديل الرابع ليس معروضًا للبيع). ثالثًا: يوسّع متطلبات رفع السرية لدى محكمة FISC. رابعًا: يعدّل قانون Electronic Communications Privacy Act (قانون خصوصية الاتصالات الإلكترونية) ليشترط إذنًا قضائيًا للاتصالات المخزَّنة بصرف النظر عن عمرها.

وحجة الإدارة، كما صاغها راتكليف في إحاطات مغلقة بمجلس الشيوخ وكرّرها علنًا، هي أن المادة 702 تنتج غالبية المواد في الإحاطة اليومية للرئيس — وهو زعم ساقه أول مرة مدير وكالة الأمن القومي مايك روجرز في شهادة أمام الكونغرس عام 2017 وكرّره كل مدير للاستخبارات الوطنية ومدير للاستخبارات المركزية بعده. وتُقدَّم القيمة الاستخبارية بوصفها لا بديل لها؛ ويُقدَّم أي انقطاع، ولو وجيزًا، بوصفه ثغرة يستغلها الخصوم. ولم يلتزم رئيس مجلس النواب مايك جونسون علنًا بجدول للتصويت في الجلسة العامة. أما رئيس لجنة الاستخبارات بمجلس الشيوخ مارك وارنر ونائبه توم كوتون فقد أيّدا إعادة التصريح مع إصلاحات إجرائية محدودة وعارضا مشروع GSRA. ولم تُعقد أي جلسة مناقشة تفصيلية بشأن S.4082 في أي من المجلسين.

ومسار مشروع الإصلاح إلى تصويت في الجلسة العامة خلال خمسة أيام هو، بالمعايير التشريعية المعتادة، غير معقول. أما مسار إعادة التصريح النظيفة فهو الخيار التلقائي. والخيار التلقائي هو ما يجري عليه العدّ التنازلي.

والحقيقة المعمارية الكامنة تحت النقاش هي أن المادة 702 ليست هي المراقبة نفسها. إنها السلطة القانونية التي توجّه مزوّدي خدمات الاتصالات الإلكترونية الأمريكيين إلى تسليم الاتصالات التي يحوزونها. والمزوّدون يحوزون الاتصالات لأن معمار خدمات الإنترنت والهاتف المحمول الأمريكية يركّز السجلات عند طبقة شركة الاتصالات والمنصّة. وقد بلغت Salt Typhoon، وهي عملية الاستخبارات الصينية التي اخترقت ما لا يقل عن تسع شركات اتصالات أمريكية بين 2019 و2024، بنيةَ الاعتراض القانوني التي تعتمد عليها المادة 702 وسلطاتها الشقيقة. فنقطة الاختناق المصمَّمة للاستخبارات الأمريكية كانت نقطة الاختناق التي استغلّها جهاز استخبارات أجنبي. ونقاط الوصول المركزية لا تختار مستخدميها.

سبعة أيام: شبكة الأهوسة تنغلق

يوم الأربعاء 22 أبريل، ستفقد شريحة من مشتركي الهاتف المحمول الصينيين لم يُحدَّد حجمها بعد خدمةَ التجوال الدولي على شرائح SIM الحالية لديهم. وكان الإخطار رسالة نصية من China Telecom، كُشف عنها في 8 أبريل، تفيد بأن استبدال الشريحة هو العلاج الوحيد. أما توجيه داخلي منفصل، منسوب إلى Shaanxi Telecom ومعمَّم على العملاء من الشركات عبر Qihang CDN، فيأمر مزوّدي خدمة الإنترنت بحجب كل الاتصالات الصادرة إلى ما وراء البر الصيني الرئيسي — بما في ذلك الاتصالات بهونغ كونغ وماكاو وتايوان — وبالقضاء على ما يسمّيه التوجيه «أي شكل من أشكال أعمال الالتفاف». وتشمل الفئة خدمات VPN التجارية، والتوجيه عبر الوسيط (proxy)، وخدمات الوساطة المسمّاة "airport" («المطار») التي يعتمد عليها معظم المستخدمين الصينيين لأدوات الالتفاف.

والوضعية المعمارية التي يمثّلها هذا التوجيه تختلف عن الإنفاذ الصيني السابق على الإنترنت. فالإنفاذ السابق، المتركّز عند طبقة المستخدم، كان يعتمد على الرصد الجماعي لحركة الالتفاف وملاحقة المستخدمين الأفراد وصغار المشغّلين. أما الوضعية الجديدة فهي عند طبقة البنية التحتية. فشركات الاتصالات المرخَّصة، ومراكز البيانات المرخَّصة، ومزوّدو خدمة الإنترنت المرخَّصون يواجهون عقوبة السحب الدائم لرخصة التشغيل إذا سمحوا لحركة الالتفاف بالمرور عبر بنيتهم التحتية. فهدف الإنفاذ ليس المستخدم الساعي إلى تجاوز جدار الحماية العظيم. هدف الإنفاذ هو المشغّل الذي قد يوفّر العبور الذي يحتاجه المستخدم.

وقد أعاد باحثون في جامعة Northeastern وصف المنظومة في إطار يسمّونه "the Locknet" (شبكة الأهوسة) — يستبدل استعارة «جدار الحماية العظيم»، التي كانت توحي بجدار يمكن تسلّقه، باستعارة أهوسة مائية يمكن فتحها وإغلاقها انتقائيًا، فتُمرّر بعض الحركة في بعض الظروف ولا تُمرّر شيئًا في غيرها. وما ينغلق في 22 أبريل ليس هويسًا جديدًا. إنه هويس قائم يُشدّ إحكامه بتوجيه عند طبقة البنية التحتية.

والمقارنة الروسية قريبة ومفيدة. ففي 1 أبريل 2026، حجبت السلطات الروسية Telegram — تطبيق المراسلة الأوسع استخدامًا في البلاد — حجبًا كاملًا وفق ما أُفيد، وفي 31 مارس أعلن وزير التطوير الرقمي مقصوط شاداييف أن مشغّلي الهاتف المحمول يستطيعون تحصيل ما يصل إلى 150 روبلًا، أي نحو 1.80 دولار، عن كل جيجابايت من البيانات الدولية الموجَّهة عبر شبكات VPN فوق 15 جيجابايت شهريًا. أما تطبيق MAX المراسِل المدعوم من الدولة، والذي يُعتقد على نطاق واسع أنه مراقَب من جهاز الأمن الفيدرالي، فهو مثبَّت مسبقًا على كل الأجهزة الجديدة المبيعة في روسيا. ومنذ أوائل مارس، ضربت انقطاعات جزئية لإنترنت الهاتف المحمول وسط موسكو وسان بطرسبرغ — ما دفع السكان، في حالات أُفيد عنها، إلى العودة إلى أجهزة النداء والخرائط الورقية. وقد أكّد المتحدث باسم الكرملين دميتري بيسكوف علنًا أنه يستخدم هاتفه الأرضي أثناء الانقطاعات.

والتوجيه الصيني والحجب الروسي يختلفان في الآلية لا في المقدّمة. فكلاهما يفترض مزوّدًا قابلًا للإجبار. وتعاون المزوّد هو وحدة الإنفاذ. والإنفاذ يعمل على البنية التحتية لأن البنية التحتية قابلة للوصول، ومسمّاة، ومرخَّصة. أما المستخدم الذي تُحجب حركته فليس هو الطرف المُجبَر. الطرف المُجبَر هو شركة الاتصالات.

ثلاثة عشر يومًا: الترقيع الذي لن يُتمّه أحد

يوم الثلاثاء 14 أبريل، أصدرت Microsoft رقعات لـ167 ثغرة وتعرّضًا شائعًا. وكان ثاني أكبر إصدار «ثلاثاء الرقع» في تاريخ الشركة، مقتربًا من رقم أكتوبر 2025 القياسي. وثماني ثغرات منها مصنَّفة حرجة. وسبع من هذه الثماني هي تنفيذ شيفرة عن بُعد. أما عيوب تصعيد الامتيازات فشكّلت 57.1 بالمئة من الدفعة.

واثنتان من الثغرات هما ثغرتا يوم صفر. فالثغرة CVE-2026-33825 هي عيب تصعيد امتيازات في Microsoft Defender، أُفصح عنه علنًا قبل الرقعة لكنه لم يُستغَل بعد في البرية. والثغرة CVE-2026-32201 هي ثغرة انتحال تصيب Microsoft SharePoint Server 2016 و2019 ونسخة الاشتراك. درجة CVSS 6.5. تعقيد هجوم منخفض. لا تتطلب مصادقة. لا تتطلب تفاعل مستخدم. مستغَلَّة في البرية.

وأضافت CISA الثغرة CVE-2026-32201 إلى فهرس الثغرات المعروف استغلالها في 14 أبريل. ووكالات الفرع التنفيذي المدني الفيدرالي ملزَمة بالمعالجة بموجب التوجيه التشغيلي المُلزِم 22-01. والموعد النهائي هو 28 أبريل. أربعة عشر يومًا من الإعلان. وتبلغ سلطة CISA المُلزِمة نحو 100 وكالة فيدرالية مدنية ولا تغطي مباشرةً حكومات الولايات والحكومات المحلية، ولا القاعدة الصناعية الدفاعية، ولا مشغّلي القطاع الخاص. وقدر كبير من قاعدة تثبيت SharePoint يقع خارج محيط الفرع المدني الفيدرالي. وبالنسبة إلى هؤلاء المشغّلين، فموعد CISA النهائي مجرد توصية.

وSharePoint هو الركيزة المؤسسية للتعاون على المستندات عبر حكومات الولايات والحكومات المحلية الأمريكية، ومقاولي الدفاع، وحصة معتبَرة من القطاع الخاص. وثغرة انتحال في خادم SharePoint متاح للعموم هي موطئ قدم يستطيع منه المهاجم أن ينتقل جانبيًا إلى كل ما جعلته المؤسسة نظامًا بيئيًا مجاورًا للخادم — اتحادات الهوية، ومشاركات الملفات، ورسوم التعاون البيانية، وبيانات الاعتماد المخبَّأة. وثلاثة عشر يومًا هي المهلة التي أمام الوكالات المدنية الفيدرالية لإغلاق موطئ القدم. أما بقية قاعدة التثبيت فلا موعد نهائي لها. ليس ثمة إلا الرقعة.

القراءة المعمارية

تحرّكت هذا الأسبوع ثمانية أنظمة تقنية مختلفة. فشبكة Flock الوطنية لقراءة اللوحات تجمّع 20 مليار قراءة للمركبات شهريًا من أكثر من 5,000 مجتمع محلي. وحيازة إدارة الضمان الاجتماعي للسجلات تغطي 70 مليون أمريكي، وقد تُفحَص الآن، وفق أمر الكشف الصادر في ميريلاند في 14 أبريل، لتحديد نطاق وصول DOGE. وقاعدة بيانات المسجَّلين في Medicaid لدى مراكز خدمات Medicare وMedicaid تغطي نحو 80 مليون مسجَّل، وقد شُوركت بالفعل مع دائرة الهجرة والجمارك بما يتجاوز النطاق الذي أمرت به المحكمة، وفق مذكرة وزارة الصحة في 9 أبريل. وسجلّ المرضى المقترح في تينيسي يُلزِم بإدخال فئة جديدة من بيانات الرعاية الصحية إلى أرشيف حكومي. وقانون فرجينيا الجديد يزيل فئة من بيانات الموقع من السوق التجارية. والمادة 702 من FISA إما يُعاد التصريح بها بحلول 20 أبريل في صورتها الحالية وإما يغيّرها قانون GSRA. ونظام تراخيص شركات الاتصالات الصيني سيقطع، بحلول 22 أبريل، الاتصال الدولي الصادر عن شريحة من مشتركي الهاتف المحمول لم يُحدَّد حجمها. وخوادم Microsoft SharePoint عبر الفرع المدني الفيدرالي يجب أن تُرقَّع بحلول 28 أبريل لإغلاق ثغرة انتحال تُستغَل فعليًا.

وهذه سبعة أنظمة مختلفة، بناها سبعة أطقم مختلفة من المهندسين، في سبع ولايات قضائية مختلفة، في ظل سبعة أنظمة قانونية مختلفة، لسبعة أغراض مختلفة. وفي الأسبوع الثاني من أبريل 2026، يجري إعادة تخصيص كل واحد منها أو منازعته أو تحويله. والخاصية المشتركة ليست محتوى البيانات ولا هوية السلطة التي تتصرّف فيها. الخاصية المشتركة هي أن كل نظام مركزي، ومجمَّع في مخزن قابل للعنونة، وقابل للإجبار تشغيليًا من جانب أي سلطة لها صفة على مشغّله.

والمعمار البديل ليس شيئًا نظريًا. إنه المعمار الذي لا تكون فيه الأطراف الطرفية قابلة للتعداد، ولا يحوز فيه أي مزوّد مركزي مفتاح الربط العابر للأنظمة الذي يجني منه الوسطاء التجاريون المال وتصل إليه أوامر الإحضار، وتعبر فيه الحركة مساراتٍ متعددة الأطراف عبر عقد لا يتحكم فيها مشغّل واحد ولا يستطيع أمر محكمة واحد إجبارها. فالنظام الذي لا يوجد فيه مزوّد واحد قابل للإجبار لا يقدّم نقطة الاختناق التي يعتمد عليها توجيه Shaanxi Telecom، ولا نقطة الاختناق التي تعتمد عليها سلطة المادة 702، ولا نقطة الاختناق التي اعتمد عليها اتفاق تبادل المعلومات لدى مراكز خدمات Medicare وMedicaid، ولا نقطة الاختناق التي يعتمد عليها إلزام تينيسي بالإبلاغ، ولا نقطة الاختناق التي استغلّتها Salt Typhoon. والبديل موجود في نشر جزئي — تقليل البيانات الوصفية لدى Signal، وخوادم Matrix الاتحادية، وتوجيه Tor البصلي، والاتصال المتشابك لدى Briar — وفي نقل URnetwork عبر العقد السكنية، حيث الركيزة التي تسافر عليها الرسائل هي جهاز نظير، لا منشأة شركة اتصالات.

وهذا ليس زعمًا بأن أي قطعة منفردة من المعمار البديل المنشور كانت، بمفردها، ستمنع الأحداث السبعة أعلاه. إنه الزعم بأن الأحداث أعلاه تصف، مجتمعةً، كلفة الاستمرار في استئجار الاتصالات وحيازة السجلات من مزوّدين قابلين للإجبار. فتصويت 20 أبريل، وقطع 22 أبريل، وموعد المعالجة في 28 أبريل، ثلاثة أحداث سطحية في أسبوع واحد. وهي تعبيرات عن قرار تصميمي اتُّخذ قبل عقود. وكان القرار هو التركيز. وقد ظل متسقًا. أما ما تغيّر هذا الأسبوع فهو عدد السلطات التي تستخدم التركيز في آن واحد.

لن يحسم مجلس باسادينا السؤال المعماري الليلة. ولن يحسمه الكونغرس بحلول الاثنين. ولن تحسمه بكين بحلول الأربعاء. ولن يحسمه مديرو المعلومات في الفرع المدني الفيدرالي بحلول الثامن والعشرين. فالسؤال المعماري هو السؤال الكامن تحت الأربعة جميعًا. والعدّاد التالي يبدأ في التاسع والعشرين.

في الساعة 11:47 صباحاً يوم الثلاثاء، أُقرّ مشروع القانون SB 676 في مجلس شيوخ تينيسي بنتيجة 24–7. ووصف السيناتور Brent Taylor (جمهوري عن ممفيس)، وهو مقدّم المشروع، القانونَ بأنه شفافية في البحث الطبي. ووصفه السيناتور Jeff Yarbro (ديمقراطي عن ناشفيل) بأنه «قائمة تحتفظ بها الولاية بمواطنين أفراد لا شأن للولاية برعايتهم الخاصة». وانضمّ السيناتور John Stevens (جمهوري عن هنتنغتون) إلى الديمقراطيين الستة بوصفه الصوت الجمهوري الرافض الوحيد.

أما المشروع المرافق، HB 754، فكان قد مرّ في مجلس النواب بنتيجة 70–21–2 في 26 مارس. وأضاف مجلس الشيوخ تعديلين — منح النائب العام سلطةَ التحقيق، وشطب حكمٍ يقضي بالنشر العلني على مستوى المقاطعات — وعلى مجلس النواب أن يوفّق بينهما قبل أن يصل المشروع إلى الحاكم Bill Lee. وقد وقّع Lee على كل مشروع قانون متصل بمجتمع الميم (LGBTQ) أُرسل إليه طوال ولايته. واعتراضه الوحيد كان على مسألة غير ذات صلة تتعلق بمجلس الإفراج المشروط في مايو 2025.

وبموجب نصّه، على مقدّمي الرعاية الصحية في تينيسي ممن يعالجون بالغين عابرين جنسياً أن يقدّموا إلى جهة حكومية في الولاية:

• عمر المريض وتاريخ ميلاده
• الجنس المُسنَد عند الولادة
• رمز تشخيص عُسر الهوية الجندرية
• مقاطعة الإقامة
• الدواء والجرعة والمدة وطريق الإعطاء
• الرموز الجراحية مع مصدر الإحالة
• اسم مقدّم الخدمة وجهة الاتصال به وتخصصه
• تواريخ الزيارات
• تاريخ الحالات المرضية النفسية

عدم الامتثال: 150,000 دولار لكل عيادة؛ وتعليق الترخيص ستة أشهر.

وكان Vanderbilt University Medical Center قد أوقف في فبراير جراحات تأكيد الجندر للبالغين. ولم تُعلّق ETSU Health علناً. ودعوى المجموعة Doe v. VUMC منظورة أمام محكمة الإنصاف (Chancery) في مقاطعة Davidson؛ ومكتب الحقوق المدنية التابع لوزارة الصحة والخدمات الإنسانية (HHS) يجري تحقيقاً موازياً. لم يُوقَّع المشروع بعد. أما أثر الترهيب فقد وصل بالفعل.

ما كانت كانساس قد فعلته بالفعل

في 26 فبراير 2026، أرسلت وزارة الإيرادات في كانساس خطابات إبطال جماعي مباشرةً إلى نحو 1,700 من السكان العابرين جنسياً. فبطلت رخص قيادتهم. وفي وزارة الصحة والبيئة، أُبطلت تعديلات شهادات ميلاد نحو 1,800 شخص آخرين. وهذه الأرقام مؤكَّدة من NBC News.

ما لم تفعله كانساس: بناء سجل لتحديد هؤلاء الناس.

وما فعلته: مدّت يدها إلى سجل قائم.

سجل تعديلات المؤشر الجندري موجود في مكتب الإحصاءات الحيوية التابع لـ KDHE. وتعود قيوده إلى حكم التراضي الصادر عام 2019 في Foster v. Andersen، الذي وافقت كانساس بموجبه — حمايةً لسكانها العابرين جنسياً — على تعديل السجلات المدنية عند الطلب. وتحتفظ KDOR بعلامة داخلية لتغيير المؤشر الجندري في نظام خدمات القيادة لديها. وحين أُقرّ القانون SB 244 في يناير 2026 ودخل حيّز النفاذ في 26 فبراير، كانت قائمة من عدّلوا مؤشرهم موجودةً هناك بالفعل. وبدأت الرسائل البريدية في اليوم نفسه الذي نفذ فيه القانون.

سكان كانساس العابرون جنسياً لم يملأوا استمارةً ليُضافوا إلى قائمة. ملأوا استمارةً ليُحذفوا من واحدة. والمعمار لم يفرّق.

الباب الذي فتحته تكساس

في 13 مارس 2026، قضت المحكمة العليا في تكساس في Paxton v. PFLAG بأن النائب العام ليس ملزماً بإثبات أن شخصاً ما يحوز المستندات التي يطلبها. الاعتقاد يكفي، لا الإثبات. وعلى PFLAG أن تسلّم مراسلات خطط الطوارئ، وشبكات الإحالة، وسجلات إفادة المديرة التنفيذية. والمنطق نفسه ينطبق على ميزوري — حيث ورثت النائبة العامة Catherine Hanaway المسارَ الذي فتحه Andrew Bailey في سبتمبر 2025 أمام محكمة الاستئناف نحو سجلات مركز العابرين جنسياً في Washington University — وعلى أي نائب عام في أي ولاية يستخدم قانون حماية المستهلك لإجبار جهةٍ على الإفصاح.

والحكم يحوّل الطلب المدني للتحقيق إلى أداة استكشافية. فهو لا يشترط جريمة. ولا يشترط مشتبهاً به. ولا يشترط سوابق موثَّقة. الاعتقاد يكفي.

السلسلة الفيدرالية

مشروع القانون على مستوى الولاية يتّكئ على سلسلة من التفكيك الفيدرالي جرت بالتوازي:

• قاعدة HIPAA لخصوصية الصحة الإنجابية — أُلغيت في 18 يونيو 2025 في Purl v. HHS (N.D. Tex.). وكانت القاعدة قد قيّدت مذكرات الاستدعاء الصادرة لإنفاذ القانون وطلبات التحقيق المدنية الصادرة عن النوّاب العامين للولايات بشأن سجلات الصحة الإنجابية. وقاد النائب العام لتينيسي Jonathan Skrmetti الطعنَ المرفوع من 14 ولاية.
• أكثر من 360 استبياناً فيدرالياً — جُرِّدت من حقول التوجه الجنسي والهوية الجندرية عبر طلبات «التغيير غير الجوهري» الصادرة عن مكتب الإدارة والموازنة (OMB). و83 بالمئة من عمليات الحذف جرت عبر هذا الباب الخلفي الإداري، دون مراجعة بموجب قانون تقليص الأعباء الورقية (Paperwork Reduction Act).
• دليل سياسات مكتب الاستخبارات والتحليل في وزارة الأمن الداخلي (DHS) — حُذفت الهوية الجندرية من ضمانات المراقبة في الدليل. وأُعيد التوجه الجنسي جزئياً بعد ضغط من المجتمع المدني. أما الهوية الجندرية فلا تزال مستبعَدة.
• اتفاق تبادل البيانات بين CMS وICE — وُقّع في يوليو 2025. ويغطي 80 مليون مسجَّل في Medicaid. ولدى California v. HHS (N.D. Cal. 3:25-cv-05536) جلسة في 30 أبريل بشأن ما إذا كانت HHS قد خالفت أمر القاضي Chhabria بإرسالها البيانات.
• Palantir ELITE — مُدرَج في جرد الذكاء الاصطناعي الصادر عن DHS في 28 يناير 2026 بوصفه نظام استهداف بالذكاء الاصطناعي التوليدي يستخرج من صحائف السوابق الجنائية ومذكرات التوقيف. وكان الموعد النهائي في 3 أبريل بموجب مذكرة OMB رقم M-25-21 يقتضي تقديم كشف حساب عن أنظمة الذكاء الاصطناعي عالية الأثر أو وقف العمل بها. والتزمت DHS الصمت. كما أن Mobile Fortify، أداة التعرف الميداني على الوجوه، مُدرَجة هي أيضاً دون تقييم أثر مكتمل.
• ثماني اعتقالات لكل فريق في اليوم — الحصة التشغيلية الموثَّقة في M-J-M-A v. Wamsley، والمحدَّدة باستخدام "Address Confidence Scores" (درجات الثقة في العنوان) الخاصة بـ ELITE. وقد منع القاضي Kasubhai بأمر قضائي الاعتقالات التي تتم دون مذكرة. والأمر المانع قيد الاستئناف.
• DOGE داخل SSA — في 10 أبريل 2026، ألغت الدائرة الرابعة بكامل هيئتها الأمرَ المانع الصادر عن محكمة المقاطعة ضد وصول وزارة كفاءة الحكومة (DOGE) إلى بيانات إدارة الضمان الاجتماعي التي تغطي 70 مليون أمريكي. وخالف القاضي King الرأيَ قائلاً إن SSA قدّمت معلومات "patently false" (كاذبة كذباً ظاهراً) إلى المحكمة الأدنى. ورأت الأغلبية أن المدّعين لم يُثبتوا ضرراً لا يمكن جبره.

هذه هي السلسلة التي يمكن أن يعبرها سجلُّ مريض عابر جنسياً في تينيسي. فـ HIPAA لم تعد توقفه. والاستبيانات الفيدرالية لم تعد ترصده. وأنظمة الاستهداف الفيدرالية لم تعد ترشّحه خارجاً. ومواعيد الرقابة الفيدرالية مرّت دون امتثال.

معمار الإنفاذ صار قيد التشغيل. والقوانين التي تُقرّها تينيسي هي سباكته.

كيف يبدو هذا المعمار في أماكن أخرى

النمط ليس خاصاً بالولايات المتحدة ولا بحقوق العابرين جنسياً. إنه ما تفعله أنظمة الهوية المركزية حين يتغيّر النظام الذي بناها — أو حين لا يتغيّر شيء البتة ويكتفي النظام بالتسريب.

الظرف الذي قرأ البريد

اليوم، كشفت الصحافة الفرنسية المتخصصة في الأمن السيبراني أن 40 مليون سجل SMTP من مزوّد البريد الإلكتروني Alinto ظلّت منذ أواخر فبراير على عنقود Elasticsearch يمكن الوصول إليه علناً. وكان العنقود مُستضافاً إلى جانب منتج الترحيل الآمن Cleanmail.eu التابع لـ Alinto — أي أن كل تدفق بريد وارد لعملاء Alinto من المؤسسات، وعددهم نحو 10,000، كان يمرّ عبر الصندوق نفسه. وقد فُهرِس 4.5 مليون عنوان بريد إلكتروني فريد، وأكثر من 14,000 حساب بريد حكومي فرنسي، وحركة مراسلات L'Oréal وRenault وCarrefour وHermès وDHL. وتؤكد تقارير الصحافة الفرنسية — Generation-NT وFrenchBreaches وLes Smart Grids وÉconomie Matin — أن السجلات تشمل سطور موضوع الرسائل، لا بيانات الظرف الوصفية وحدها. وأغلقت Alinto الحاوية بصمت في 26 فبراير. ولم تصدر أي تنبيه ولا أي إخطار للعملاء. وكتبت Cybernews، التي اكتشفت الانكشاف وكشفت عنه اليوم، أن «سطح الهجوم المحتمل يصير أكبر بكثير لمجرد عدد الشركات العميلة وحده».

قرأ مرشّح بريد مزعج، على مدى شهرين، كل سطر موضوع لدى 14,000 من المسؤولين الحكوميين الفرنسيين. فعل ما تفعله مرشّحات البريد المزعج.

الباب الخلفي المسوَّق بوصفه تشفيراً من طرف إلى طرف

في 27 مارس، رُفعت دعوى مجموعة (3:26-cv-02615, N.D. Cal.) تزعم أن موظفين في Meta ومتعاقدين من Accenture كان لديهم «وصول واسع إلى مضمون رسائل WhatsApp التي كان يُفترض أنها مشفَّرة». والمدّعيان هما Brian Y. Shirazi وNida Samson، ويمثّلهما مكتب Kessler Topaz Meltzer & Check LLP.

وأقوى مرتكز وقائعي للدعوى هو تقرير المحقّق الصادر في يوليو 2025 عن مكتب الصناعة والأمن في وزارة التجارة الأمريكية — تحت الاسم الرمزي "Operation Sourced Encryption" — والذي يوثّق مقابلات مع Larkin Fordyce، وهو مشرف محتوى سابق لدى Accenture في أوستن بولاية تكساس، 2018–2022. وقال Fordyce للمحققين إن مشرفي Meta «نالوا في نهاية المطاف وصولهم الخاص إلى WhatsApp»، وإنه قبل الوصول المباشر «كان فريق Facebook قادراً على سحب ما يشاء ثم إرساله». وأكّد Fordyce ذلك علناً وباسمه لـ Bloomberg في 29 يناير 2026: «شعرتُ بأن مشاركة ما أعرفه مع الحكومة كانت في مصلحة الولايات المتحدة الأمريكية».

ووصفت Meta هذه الادعاءات بأنها «كاذبة تماماً وسخيفة». وكتب عالم التعمية Matthew Green في 2 فبراير أن باباً خلفياً شاملاً لتسريب النص الصريح «سيكون مرئياً في شيفرة تطبيق WhatsApp» و«سيعرّض WhatsApp وMeta لأشكال جديدة ومثيرة من الخراب». وقالت Maria Villegas Bravo من EPIC إنها لا ترى «أي وجاهة في هذه الدعوى». وقال Nick Doty من CDT إنه سيكون «مندهشاً جداً لو كانت الادعاءات دقيقة».

وقد لا يحتاج المدّعون إلى إثبات النسخة الأقوى من الادعاء. فالنسخة الأضعف موثّقة بالفعل. فقد أفادت ProPublica في 2021 بأن مشرفين بشراً يراجعون نسخاً بالنص الصريح من الرسائل التي يبلّغ عنها المستخدمون. وأفادت The Intercept في 2024 بأن البيانات الوصفية — من يكتب لمن، ومتى، ولكم من الوقت — تسري حتى حين لا يسري المحتوى، بما يتيح كشف الهوية عبر تحليل حركة الاتصال. وقد أقرّ Durov نفسه بأن نحو 95 بالمئة من مستخدمي WhatsApp يحتفظون بنسخ احتياطية غير مشفَّرة على iCloud أو Google Drive خارج ظرف التشفير من طرف إلى طرف.

إن «التشفير من طرف إلى طرف» ("End-to-end encrypted") — على عميل مغلق المصدر، يديره مزوّد، على أجهزة تُزامَن مع نسخ احتياطية لدى أطراف ثالثة، مع خط إشراف بشري للرسائل المبلَّغ عنها، ومجموعة متعاقدين تقرأ طابور الإشراف — ليس ضماناً رياضياً. إنه معمار ثقة. ومعماريات الثقة لا تنهار حين تنهار الرياضيات، بل حين ينتقل العقد الذي تحتها إلى أيدٍ أخرى.

وثيقة الهوية التي صارت قائمة مراقبة

في 9 مارس 2026، رفض مجلس اللوردات البريطاني التعديل رقم 380 بأغلبية 123 مقابل 40. وكان التعديل، الذي قدّمته البارونة Doocey، سيمنع استخدام صور رخص القيادة المحفوظة لدى DVLA في عمليات البحث بالتعرف على الوجوه بموجب البند 154 من مشروع قانون الجريمة والشرطة (Crime and Policing Bill). سقط التعديل. وصارت خمسون مليون صورة رخصة قيادة متاحةً الآن للتعرف على الوجوه لدى الشرطة بلائحة وزارية، لا بتشريع أصلي. وأعلنت وزيرة الداخلية Shabana Mahmood في 26 يناير عن 40 مركبة جديدة للتعرف الحيّ على الوجوه، مُشتراة عبر الاتفاق الإطاري BLC0168 التابع لـ BlueLight Commercial بقيمة 20 مليون جنيه إسترليني، مع NEC وDigital Barriers وBedroq حتى مارس 2029. ومجلس العموم ينظر اليوم في تعديلات اللوردات.

لم تكن رخصة القيادة يوماً وثيقةَ اعتماد لأغراض الشرطة. وفي 2026 صارت كذلك. قاعدة البيانات لم تتغيّر. بل تغيّر استخدامها.

النمط

سجلٌّ يُحفَظ لتيسير المعاملات المدنية يصير سجلاً يُستخدم للإنفاذ. وخط إشراف بُني للمحتوى المبلَّغ عنه يصير متعاقداً يقرأ رسائل خاصة. ومرشّح بريد مزعج بُني للأمان يصير فهرساً لسطور الموضوع لأغراض التجسس. وأرشيف صور رخص قيادة بُني للتحقق من الهوية يصير قائمة مراقبة بالتعرف على الوجوه. ومستودع بيانات Medicaid بُني لإدارة الاستحقاقات يصير تغذيةً لاستهداف إنفاذ قوانين الهجرة.

كل نظام من هذه الأنظمة صمّمه أناس مخلصون لغرض ضيّق. وكلٌّ منها بُني مرةً واحدة. وكلٌّ منها يُستخدم، الآن، لشيء لم يصمّمه معمارِيّوه.

الحقيقة المعمارية ليست أن الأنظمة الحاكمة فاسدة، بل أن البنى التحتية المركزية للبيانات أصول قابلة لإعادة التخصيص. إنها ملك لمن يدير الجهاز، أو يحوز العقد، أو يكتب اللائحة، أو يقيل المدير التقني التالي. وإعادة توظيفها إجراء ورقي. وديمومتها كأسلحة تفوق ديمومة الحمايات التي أحاطت بها ساعة بنائها.

هذا هو السؤال الكامن أمام مجلس شيوخ تينيسي اليوم. وهو أيضاً السؤال المطروح أمام النائب العام لتكساس، ووزارة الداخلية البريطانية، ومهندسي WhatsApp في Meta، وفريق البنية التحتية في Alinto، ونشر Palantir لدى ICE، ووصول DOGE إلى SSA، وكل قاعدة بيانات في ولاية قضائية تستطيع فيها إدارة جديدة أن تعيد كتابة شروط الاستخدام المقبول.

المعمار المضاد

ثمة كسر للنمط. وهو ليس إصلاحاً في السياسات. فالسياسات رهينة النظام الحاكم. البديل هو معمار لا يصنع قوائم.

وعلى وجه التحديد:

• نقاط طرفية غير قابلة للتعداد — لا قاعدة بيانات مستخدمين لدى مزوّد واحد. نقل متعدد الأطراف بلا سجل حسابات مركزي. وURnetwork واحد من هذه التطبيقات؛ وشبكات المزج (mixnets) والشبكات التراكبية تطبيقات أخرى.
• لا معرّف رابط — مقاومة نمط Aadhaar / رقم الضمان الاجتماعي (SSN). فأوراق الاعتماد ذات الإفصاح الانتقائي، القائمة على براهين المعرفة الصفرية وأوراق الاعتماد القابلة للتحقق، لا تكشف إلا السمة المطلوبة، دون هوية حاملها.
• خصوصية على طبقة النقل تشمل البيانات الوصفية للظرف — تسريب الظرف في البريد الإلكتروني قرار معماري عمره خمسون عاماً. وبروتوكولات المراسلة التي تخفي المرسِل والمستقبِل وأنماط التوقيت موجودة. وهي قليلة النشر لأن المزوّدين المهيمنين يكسبون من البيانات التي يسرّبها البريد.
• الحيازة الذاتية لأوراق اعتماد الهوية — نظام هوية تعيش نسخته المرجعية على جهاز المستخدم، لا على خادم حكومي، لا يمكن استرجاعه بحملة بريدية.
• بنية تحتية لا تتطلب الثقة بالمزوّد — تعمل تطبيقات المراسلة القائمة على Matrix في 35 حكومة ولدى 600,000 موظف حكومي فرنسي لأنه لا يوجد مزوّد واحد يمكن إكراهه. ونما Signal بنسبة 67 بالمئة على أساس سنوي ليبلغ 85 مليون مستخدم شهرياً؛ وأغلقت مؤسسته عام 2024 على عجز، لكن اتجاه التبرعات في تحسّن. وأبقى Briar المحتجين الإيرانيين على اتصال خلال الانقطاع الوطني للإنترنت في 8 يناير، معتمداً على شبكة Wi-Fi المتشابكة والبلوتوث وحدهما.

بعض هذا ناضج وقابل للنشر اليوم. وبعضه أقل نضجاً، خصوصاً في الهوية. والسؤال ليس ما إذا كان ثمة معمار مضاد. بل ما إذا كنا سنستمر في بناء القائمة التالية على الأساس نفسه، واثقين بأن الإدارة التالية ستُحسن التصرف.

الخاتمة

صُنعت القائمة قبل القانون. والقانون ليس سوى المالك.

في كانساس، تغيّر المالك في 2024 وخرجت الرسائل في 2026. وفي تينيسي، صوّت مجلس الشيوخ اليوم على أن يمنح المالكَ مفاتيح جديدة. وفي تكساس، قضت المحكمة العليا بأن النائب العام يستطيع أن يمدّ يده عبر الباب دون مذكرة. وفي واشنطن، أُزيلت المرشِّحات الفيدرالية. وفي لندن، صارت رخصة القيادة وثيقة اعتماد شرطية بلائحة. وفي طابور الإشراف لدى Meta، قرأ متعاقدٌ الرسائل. وفي مركز بيانات في ليون، قرأ مرشّح بريد مزعج سطور الموضوع.

والسؤال المعماري هو ما إذا كنا سنستمر في تأجير القوائم للإدارات الجيدة، آملين أن تكون التالية جيدةً هي الأخرى.

اليوم، صوّت أربعة وعشرون سيناتوراً في ناشفيل على تأجير القائمة التالية.

المصادر: Nashville Banner (14 أبريل 2026)، Nashville Scene، Washington Blade، سجل التصويت الاسمي في LegiScan على HB 754، NBC News (28 فبراير 2026)، KERA News (13 مارس 2026)، Missouri Independent (16 سبتمبر 2025)، NPR (28 فبراير 2026)، Ropes & Gray (إلغاء قاعدة HIPAA)، بيان صحفي للنائب العام لتينيسي (4 فبراير 2026)، Bloomberg (29 يناير 2026)، تصريحات EPIC / Matthew Green / CDT عبر Slashdot وCybernews، Cybernews (14 أبريل 2026 عن Alinto)، Generation-NT / FrenchBreaches، Hansard (مجلس اللوردات، 9 مارس 2026)، gov.uk (وزارة الداخلية، 26 يناير 2026)، Cybernews و404 Media عن Flock، The Block (9 أبريل 2026 عن Storm)، PCLOB 2023 ورأي محكمة FISC الصادر في أبريل 2022، ملفّا الدعويين 3:25-cv-05536 و3:26-cv-02615 في N.D. Cal.، M-J-M-A v. Wamsley، الدائرة الرابعة بكامل هيئتها (10 أبريل 2026)، نموذج 990 لمؤسسة Signal للسنة المالية 2024. وتوجد ملفات البحث المفصّلة لكل موضوع في دليل blog-research الخاص بهذه النشرة.

مساء 30 مارس 2026، عقد مكسوت شاداييف — وزير التطوير الرقمي في روسيا — اجتماعًا مغلقًا مع ممثلين عن أكثر من عشرين من كبرى شركات الإنترنت في البلاد. كان Sberbank حاضرًا. وكذلك Yandex و VK و Wildberries و Ozon و Avito و X5 Group و Gazprom-Media و Mail.ru. وكانت رسالة الوزارة صريحة. فبحلول 15 أبريل، على الشركات المشاركة أن تطبّق تدابير تقنية تحجب المستخدمين المتصلين عبر الشبكات الخاصة الافتراضية. والوزارة ستوفّر قائمة نطاقات عناوين IP الخاصة بـVPN. والشركات ستتولى الحجب عند طبقة الخدمة.

ولعدم الامتثال عاقبتان محددتان. الأولى هي الإخراج من «القائمة البيضاء» — أي سجل الخدمات التي تبقى متاحة أثناء قيود الإنترنت المحمول. والثانية هي سحب المزايا الضريبية لقطاع تكنولوجيا المعلومات، وهي حزمة من المعدلات التفضيلية التي تجعل تشغيل عمليات تقنية محلية أمرًا مجديًا تجاريًا في روسيا. وبالنسبة إلى كل واحدة من الشركات الحاضرة، وهي أكثر من عشرين، لم تكن كلفة عدم الامتثال غرامةً. كانت نهاية نموذج العمل.

غدًا هو 15 أبريل. والخط صار الآن على بُعد ساعات.

من السهل التقليل من حجم ما يعبر ذلك الخط. فقد أكّد بافيل دوروف، مؤسس Telegram، في 4 أبريل أن خمسة وستين مليون روسي يستخدمون منصته يوميًا عبر أنفاق VPN — وأكثر من خمسين مليونًا منهم يرسلون رسائل كل يوم. وهذه ليست فئة ضيقة من النشطاء والصحفيين. إنها البنية اليومية لاتصالات ما يقارب نصف مستخدمي الإنترنت الروس، مُوجَّهةً حول جهاز الفلترة الكرملينية عبر علاقة دفع مع مزوّد VPN تجاري تعتزم الدولة الآن قطعها.

والكرملين ليس غافلًا عن الحجم. ففي 19 فبراير، سُئل دميتري بيسكوف، السكرتير الصحفي للرئيس فلاديمير بوتين، في إحاطة علنية عمّا إذا كانت الخدمة الصحفية الرئاسية تستخدم VPN للوصول إلى Telegram. فأكّد بيسكوف أنها تستخدمه.

هذه هي الحقيقة الأساسية التي تقوم عليها كل قصة من قصص هذا الأسبوع. فالمسؤولون الذين بنوا معمار الإنفاذ لا يستخدمونه ضد أنفسهم.

خمسة مواعيد نهائية

يأتي الموعد الروسي أولًا، لكنه لا يأتي وحده. فأربعة مواعيد أخرى تليه ضمن النافذة نفسها البالغة ثمانية أيام.

في الاثنين 20 أبريل، عند منتصف الليل، تنقضي المادة 702 من قانون مراقبة الاستخبارات الأجنبية في الولايات المتحدة. وقد عاد الكونغرس اليوم من العطلة، وأشارت قيادة مجلس النواب إلى تصويت هذا الأسبوع. وإدارة ترامب — عبر مستشار البيت الأبيض ستيفن ميلر ومدير وكالة الاستخبارات المركزية جون راتكليف — تدفع نحو تجديد نظيف مدته 18 شهرًا، متذرّعةً بالحرب الأمريكية-الإيرانية الجارية. أما التكتل التقدمي في الكونغرس، وقوامه ثمانية وتسعون نائبًا ديمقراطيًا، فقد عارض رسميًا أي تجديد من دون إصلاح جوهري. وأيّد التكتل الأسود في الكونغرس التمديد النظيف.

في الأربعاء 22 أبريل، تُبلغ رسالة نصية مسرَّبة من China Telecom المشتركين بأن بطاقات SIM الخاصة بهم لن تدعم بعد اليوم خدمات التجوال الدولي — لا المكالمات ولا الرسائل ولا بيانات المحمول. والسبيل الوحيد لاستعادة هذه الوظائف سيكون استبدال بطاقة SIM. وقبل ذلك بأسبوعين، في 8 أبريل، أمر إشعار مسرَّب منفصل من Shaanxi Telecom مزوّدي خدمة الإنترنت الخاضعين لولايته بوقف كل الاتصالات الصادرة إلى أي شبكة خارجية، مستندًا إلى القضاء على «أي شكل من أشكال أعمال الالتفاف». وعقدت وزارة الصناعة وتكنولوجيا المعلومات اجتماعًا حول «تعزيز إدارة الاتصالات غير المصرّح بها بالإنترنت عبر خطوط البيانات المخصصة العابرة للحدود».

هذا الشهر، من المقرر أن تنشر هيئة Ofcom البريطانية الإرشادات النهائية لنظام "technology notices" (أي الإشعارات التقنية) في قانون السلامة على الإنترنت — وهي الآلية القانونية التي تتيح للجهة المنظِّمة إلزام الخدمات الإلكترونية بنشر تقنيات محددة لكشف محتوى الاعتداء الجنسي على الأطفال والمحتوى الإرهابي. وتنطبق هذه الإشعارات على الخدمات المشفَّرة. ولا ترد كلمة "backdoor" (أي الباب الخلفي) في أي موضع من القانون. أما الكلمة الفاعلة فهي "inspection" (أي التفتيش).

في الاثنين 4 مايو — أي بعد عشرين يومًا من الآن — يستأنف الاتحاد الأوروبي مفاوضات الحوار الثلاثي حول لائحة الاعتداء الجنسي على الأطفال، البديل الدائم لرقابة الدردشة 1.0 التي انقضت في 3 أبريل بعد هزيمة بفارق صوت واحد في البرلمان الأوروبي يوم 26 مارس. وتقود الرئاسة الدنماركية للمجلس تفويضًا تفاوضيًا يُدخل تحققًا إلزاميًا من العمر عبر الخدمات المشمولة. والجولة الرابعة من الحوار الثلاثي مقررة في 11 مايو.

خمسة مواعيد نهائية. ثلاث قارات. ثمانية أيام.

والمصادفة ليست مصادفة. فالآليات الخمس ليست واحدة. لكنها تتقارب على الهدف المعماري نفسه.

ما تشترك فيه الآليات

كل موعد من المواعيد الخمسة يمارس ضغطه عند نقطة مختلفة من مكدّس الاتصالات. ومن المفيد وضعها جنبًا إلى جنب:

• روسيا، 15 أبريل: امتثال مفروض عند طبقة مزوّد الخدمة. أكثر من عشرين شركة تحجب العملاء ذوي جلسات VPN النشطة أو تفقد وضعها التنظيمي.
• الولايات المتحدة، 20 أبريل: جمع مفروض عند طبقة المشغّل والمنصة، بإجازة من قانون ينقضي على الورق بينما تظل شهادة محكمة مراقبة الاستخبارات الأجنبية للعامين 2025-2026 سارية طوال الربيع بصرف النظر عمّا يفعله الكونغرس.
• الصين، 22 أبريل: قطع مفروض عند طبقة الشبكة المادية. مشغّلو الاتصالات يسحبون الربط الدولي الذي كان قابعًا تحت جدار الحماية العامل على مستوى المحتوى.
• المملكة المتحدة، أبريل: كشف مفروض عند طبقة التطبيق. الإشعارات التقنية تُلزم الخدمات المشفَّرة بنشر أنظمة كشف المحتوى أو مواجهة إجراءات إنفاذ.
• الاتحاد الأوروبي، 4 مايو: هوية مفروضة عند طبقة الوصول. أنظمة التحقق من العمر تُلزم المستخدمين بإثبات الهوية قبل الوصول إلى المنصات المشمولة.

تختلف نقاط الإكراه. أما نقطة الرافعة فلا.

كل واحدة من هذه الآليات الخمس تعمل لأن ثمّة مزوّدًا يمكن إكراهه. روسيا تُكره Sberbank. والولايات المتحدة تُكره AT&T و Verizon و T-Mobile عبر شهادات المادة 702. والصين تُكره China Telecom و China Mobile و China Unicom. والمملكة المتحدة تُكره Apple و WhatsApp و Meta. والاتحاد الأوروبي يُكره الخدمات المشمولة المعدَّدة في لائحة الاعتداء الجنسي على الأطفال. فالمعمار الذي فيه مزوّد فيه رافعة. والمزوّد له حضور قانوني في الولاية القضائية، وتدفّق إيرادات مرهون برضا الجهة المنظِّمة، وفريق امتثال وظيفته ترجمة مطالب الحكومة إلى تطبيقات تقنية. ولا يمكن لأي من إجراءات الإنفاذ هذه أن تقع من دون وسطاء مركزيين، مؤسسيين، قابلين للتحديد، يمكن تبليغهم بإجراء قانوني والضغط عليهم بعواقب تجارية.

هذه هي الملاحظة البنيوية التي تربط المواعيد الخمسة. وهي أيضًا الملاحظة التي تجعل الحل مرئيًا.

سقّاطة روسيا

الموعد النهائي في 15 أبريل هو الحدّ الأمامي لتصعيد استمر شهرين وأعاد بالفعل تشكيل البيئة التقنية لمستخدمي الإنترنت الروس العاديين.

في 1 أبريل، أُنهي مسار الدفع عبر فاتورة الهاتف المحمول لشحن أرصدة Apple ID للحسابات الروسية. وأغلق ذلك واحدًا من آخر المسارات المتبقية التي كان بوسع المستخدمين الروس أن يدفعوا عبرها ثمن الاشتراكات الرقمية الدولية — بما فيها خدمات VPN التجارية — بعد انسحاب شبكات البطاقات الغربية في 2022. وفي اليوم نفسه، بدأ مشغّلو المحمول الروس بإنفاذ سقف شهري قدره خمسة عشر جيجابايت على حركة البيانات الدولية. والسقف لا يستهدف استخدام VPN صراحةً. وهو ليس بحاجة إلى ذلك. فالحركة المارّة عبر الأنفاق إلى نقاط نهاية خارج روسيا هي، بحكم التعريف، دولية.

في 3 أبريل، شهدت مصارف روسية كبرى انقطاعًا واسعًا. وأوردت Moscow Times خسائر تقارب 12.5 مليون دولار يوميًا في موسكو وحدها. ونسب مؤسس Telegram بافيل دوروف الانهيار إلى التفاعل بين إنفاذ الفحص العميق للحزم الجديد وحركة البيانات المصرفية المشروعة. فطبقة الفحص العميق للحزم الحكومية لم تستطع التمييز الموثوق بين جلسة مصرفية ونفق VPN، فكسرت الاثنين معًا.

في 10 أبريل، حظرت Roskomnadzor — الهيئة الروسية المنظِّمة للإعلام والاتصالات — خدمة GlobalCheck، وهي الخدمة الأوسع استخدامًا لتتبّع أي مزوّدي VPN ما زالوا يعملون في روسيا. والحظر رقابة على الرقابة: قمعٌ للمعلومات عن الرقابة نفسها.

ويجري بالتوازي مع إنفاذ VPN دفعُ الدولة الإيجابي نحو Max — تطبيق المراسلة المطوَّر روسيًا والمقدَّم بوصفه البديل المحلي للمنصات الأجنبية. فمرسوم رئاسي وقّعه بوتين في يونيو 2025 جعل Max تطبيق المراسلة الوطني. وقانون أقرّه مجلس الدوما في ديسمبر 2025 يُلزم مديري العمارات السكنية خارج موسكو بمخاطبة السكان عبر Max. وناقشت وزارة التطوير الرقمي نقل إشعارات الرسائل النصية المصرفية إلى Max في برامج تجريبية لدى Sberbank و VTB. ويجري تشجيع المدارس على اعتماد Max في التواصل بين الأهل والمعلمين. وقد وصفت صحيفة Japan Times تطبيق Max بأنه «التطبيق الفائق غير المشفَّر الذي يُفرض على المواطنين».

والمعمار ثنائي الاتجاه. فإنفاذ VPN يرفع كلفة الاتصال غير الممتثل. واعتماد Max يخفض كلفة الاتصال الممتثل. والأسرة التي تنقل دردشة لجنة عمارتها، وتنبيهاتها المصرفية، وتواصلها المدرسي إلى Max تصبح حاجتها اليومية إلى التوجيه الدولي أقل ماديًا، وتعرّضها لنظام احتكاك VPN أقل ماديًا، ودافعها للإبقاء على قناة Telegram التي صار الوصول إليها أكثر كلفة على أي حال أقل ماديًا. وسقّاطة الاحتكاك لا تحتاج إلى الإمساك بكل مستخدم. تحتاج إلى الإمساك بالمستخدم الحدّي كل شهر.

وقد بدأت Wildberries و Ozon و VkusVill — ثلاث من أكبر منصات التجزئة المحلية في روسيا — بتطبيق حجب VPN على خدماتها الموجَّهة للعملاء خلال الأسبوع الأول من أبريل، قبل الموعد الرسمي. والحساب التجاري وراء الامتثال المبكر مباشر. فوضعية القائمة البيضاء ليست اختيارية. والمزايا الضريبية ليست اختيارية. والخيار هو بين خسارة الشريحة من العملاء التي تستخدم VPN وخسارة البيئة التنظيمية التي تجعل النشاط التجاري مجديًا أصلًا.

هكذا يبدو معمار الإنفاذ من جهة المزوّد. فالكرملين لا يحتاج إلى تحديد كل مستخدم VPN. يحتاج إلى تحديد بصمات حركة VPN وتفويض الحجب إلى عشرين شركة لا تستطيع تحمّل الرفض.

المسرح الأمريكي

في واشنطن، تُصاغ المعركة على نحو مختلف. فالمراقبة موضع النزاع ليست حجب مستخدمي VPN عند طبقة المنصة. إنها الجمع المفروض لمحتوى الاتصالات من مزوّدي الاتصالات الأمريكيين بموجب المادة 702 من قانون مراقبة الاستخبارات الأجنبية.

تجيز المادة 702 لوكالة الأمن القومي، بمساعدة مفروضة من المزوّدين الأمريكيين، جمعَ محتوى اتصالات أشخاص من غير الأمريكيين يُعتقد بدرجة معقولة أنهم موجودون خارج الولايات المتحدة. وقد جُدِّد العمل بالقانون في 2012 و 2017 و 2018، وأخيرًا في أبريل 2024 حين أقرّ الكونغرس قانون إصلاح الاستخبارات وتأمين أمريكا. والانقضاء المقرر في 20 أبريل 2026 هو الحافة التالية.

في 23 مارس، قدّمت مجموعة من الحزبين قانون إصلاح المراقبة الحكومية لعام 2026 (S.4082). وراعياه في مجلس الشيوخ هما رون وايدن (ديمقراطي عن أوريغون) ومايك لي (جمهوري عن يوتا)، ومن المشاركين في تقديمه سينثيا لوميس (جمهورية عن وايومنغ) وإليزابيث وارن (ديمقراطية عن ماساتشوستس). ويقود النسخة المقابلة في مجلس النواب زوي لوفغرين (ديمقراطية عن كاليفورنيا) ووارن ديفيدسون (جمهوري عن أوهايو). ومن شأن المشروع أن يشترط أوامر قضائية لعمليات بحث مكتب التحقيقات الفيدرالي في بيانات المادة 702 المتعلقة بأشخاص أمريكيين، وأن يغلق ثغرة وسطاء البيانات التي تشتري عبرها الوكالات الفيدرالية بيانات الموقع والبيانات الوصفية للاتصالات تجاريًا، وأن يضيف شفافية إلى محكمة مراقبة الاستخبارات الأجنبية السرية.

ثمانية وتسعون نائبًا ديمقراطيًا — أي التكتل التقدمي في الكونغرس بكامله — عارضوا رسميًا أي تجديد نظيف للمادة 702 من دون هذه الإصلاحات. وأيّد التكتل الأسود في الكونغرس علنًا التمديد النظيف لثمانية عشر شهرًا. وتتذرّع إدارة ترامب، عبر ستيفن ميلر ومدير وكالة الاستخبارات المركزية جون راتكليف، بالحرب الأمريكية-الإيرانية الجارية للقول إن أي انقطاع في الصلاحية سينتج عنه نقاط عمياء استخباراتية.

وستتعامل التغطية هذا الأسبوع مع التصويت بوصفه المحور. وهذا التأطير خاطئ في معظمه.

فالآلية الحقيقية التي تحدد ما إذا كانت مراقبة المادة 702 ستستمر ليست الانقضاء التشريعي. إنها الشهادة السنوية الصادرة عن محكمة مراقبة الاستخبارات الأجنبية — أمرٌ سرّي يحدد فئات الاستخبارات الأجنبية التي يجوز جمعها في إطار البرنامج. وشهادة المحكمة لعام 2025، الصادرة في ربيع 2025، تسري حتى ربيع 2026. وهي تجيز الجمع المستمر من الاتصالات المتدفقة أصلًا عبر بنية المساعدة المفروضة لدى المزوّدين الأمريكيين. وقد تبنّت وزارة العدل، في مواجهات انقضاء سابقة، موقفًا مفاده أن عمليات الجمع القائمة بموجب شهادة سارية تستمر طوال مدة الشهادة حتى لو انقضت الصلاحية التشريعية الأساسية.

والنتيجة العملية أنه إذا «انقضت» المادة 702 عند منتصف ليل 20 أبريل ولم يُقرّ أي مشروع قانون، فإن وكالة الأمن القومي لا تُطفئ الجمع. فشهادة المحكمة لا تنتهي. وقرارات الاستهداف القائمة تبقى سارية. ومكتب التحقيقات الفيدرالي لا يفقد القدرة على الاستعلام في مجموعة بيانات المادة 702 — وهي القدرة التي أنتجت 7,413 استعلامًا بلا أمر قضائي عن بيانات أمريكيين في أحدث تقرير شفافية صادر عن مكتب مدير الاستخبارات الوطنية. والمساعدة المفروضة لدى AT&T و Verizon و T-Mobile و Google و Microsoft و Meta وسائر المزوّدين المعيَّنين تستمر.

أما ما سيتغير فضيّق. فقرارات الاستهداف الجديدة الخارجة عن نطاق شهادة 2025 ستواجه عدم يقين قانوني. وسيتعيّن على مستشاري المزوّدين القانونيين تقييم كل توجيه جديد في ضوء احتمال أن تكون الصلاحية قد انقضت. وسيواجه الكونغرس ضغطًا — حقيقيًا، لكنه غير تشغيلي — للتحرك قبل موعد شهادة المحكمة لعام 2026.

وليس هذا سببًا للتعامل مع التصويت بوصفه غير مهم. فالإصلاحات مهمة. وثغرة وسطاء البيانات حقيقية. واشتراط أمر قضائي لاستعلامات الأشخاص الأمريكيين مهم. لكن التصويت ليس الحافة. الحافة هي المعمار: نظام مساعدة مفروضة يعمل بموجب أمر محكمة سرّي، لدى مزوّدين تتوقف جدواهم التجارية على الحفاظ على العلاقة التنظيمية التي يشكّل الإكراه جزءًا منها.

النقاش استعراضي لأن البنية التحتية ليست موضع نقاش. والمراقبة لا تتوقف من أجل التصويت.

قطع الصين

إذا كان نهج روسيا هو التفكيك عبر آلية الامتثال التجاري، ونهج أمريكا هو العمل عبر المساعدة المفروضة عند طبقة المشغّل، فإن إجراء الصين في 22 أبريل هو خاتمة المطاف.

كان التدرّج مرئيًا منذ عقد. ففي عقد 2000، ركّزت السياسة الصينية للإنترنت على فلترة المحتوى — حجب عناوين URL بعينها، والكلمات المفتاحية الحساسة، وفئات المنصات، عند جدار الحماية العظيم. وفي عقد 2010، تحوّل التركيز إلى الفحص العميق للحزم — أي تصنيف الحركة بحسب نوعها وحجب أنماط الحركة المتوافقة مع استخدام VPN أو الوكيل. وفي مطلع عقد 2020، أضافت السياسة الصينية الخنق — أي تدهور أداء أدوات الالتفاف إلى حدّ تعذّر استخدامها عمليًا، من دون حجبها رسميًا. وفي 2026، تتحول السياسة مجددًا.

إجراء 22 أبريل يزيل التجوال الدولي من بطاقات SIM الصادرة عن China Telecom. وإشعار Shaanxi Telecom في 8 أبريل يأمر المشغّلين بوقف الاتصالات الصادرة كليًا. واجتماع وزارة الصناعة وتكنولوجيا المعلومات حول «الاتصالات غير المصرّح بها بالإنترنت عبر خطوط البيانات المخصصة العابرة للحدود» يشير إلى أن الإنفاذ يمتد إلى ما وراء المستخدمين الأفراد ليطال الخطوط المخصصة الخاصة التي تستخدمها الشركات الأجنبية لربط مكاتبها الصينية بمقارّها الدولية.

هذا ليس فلترة. وليس خنقًا. إنه قطع.

فبالنسبة إلى الشركات الأجنبية العاملة في الصين — صانعو السيارات، وشركات الاستشارات، ومزوّدو التقنية، والخدمات المالية — تشكّل الخطوط المخصصة العابرة للحدود العمود الفقري التشغيلي. فنظام البريد الداخلي، وتكامل تخطيط موارد المؤسسة، وتوجيه دعم العملاء، ومؤتمرات الفيديو مع المقر: كل ذلك يجري على هذه الدارات المخصصة. وهونغ كونغ، التي خدمت بوابةً تشغيلية عقودًا، تُسمّى صراحةً في أوامر القطع. وماكاو كذلك. وتايوان، كما هو متوقع، على رأس القائمة.

ما تفعله الصين هو الانتقال من الرقابة على المحتوى إلى الرقابة على الاتصال. فجدار الحماية لم يعد أداة السياسة. الكابل المادي هو الأداة.

والتصعيد يقول للجمهور المحلي في بكين إن كلفة الوصول إلى الإنترنت الأجنبي ترتفع. ويقول لمجتمع الأعمال الأجنبي إن راحة العمل عبر البوابة تنتهي. ويقول لكل ولاية قضائية أخرى لديها شهية على مستوى الدولة للتحكم بالمعلومات إن الطرف الأقصى من المنحنى قابل للتحقيق تقنيًا. فالصين لا تجري تجربة ذهنية. إنها تجري برنامجًا تجريبيًا.

تفتيش بريطانيا

آلية المملكة المتحدة هي الأدقّ خفاءً بين الخمس. ففي سلسلة من وثائق السياسات تسارعت عبر 2024 و 2025، نقلت الحكومة البريطانية النقاش حول الاتصالات المشفَّرة من "backdoor" إلى "inspection".

كلمة "backdoor" (أي الباب الخلفي) خسرت المعركة السياسية. فهي تحمل دلالات الوصول الخفي، والثغرات غير القابلة للترقيع، وإجماع خبراء التعمية ضدها. وقد جنحت الحجة على تصريح القوات المسلحة السويدية بأن بابًا خلفيًا «لا يمكن تحقيقه من دون إدخال ثغرات وأبواب خلفية قد تستغلها أطراف ثالثة».

أما "inspection" (أي التفتيش) فأمر مختلف. فبموجب قانون السلامة على الإنترنت، تملك Ofcom صلاحية إصدار "technology notices" إلى الخدمات المشمولة — إشعارات تفرض نشر "accredited technology" (أي تقنية معتمَدة) لكشف مواد الاعتداء الجنسي على الأطفال أو المحتوى الإرهابي. وتُحدَّد التقنيات في إرشادات منفصلة. والالتزام بالامتثال مطلق. ولا ترد عبارة "end-to-end encryption" (أي التشفير من طرف إلى طرف) في القانون.

هذا الشهر، من المقرر أن تنشر Ofcom الإرشادات النهائية لنظام "technology notices". وحالما تدخل الإرشادات حيّز النفاذ، تصير لدى الجهة المنظِّمة الآلية اللازمة لإلزام أي خدمة مشمولة — بما فيها تطبيقات المراسلة المشفَّرة — بنشر أنظمة مسح على جهة العميل تنفّذ الكشف قبل تشفير الرسالة. والقول إن هذا لا «يكسر التشفير» دقيق تقنيًا ومضلِّل جوهريًا. فالرسالة تُمسح قبل أن تُشفَّر، ومن ثم يبقى التشفير عند طبقة النقل سليمًا رياضيًا. والرسالة تُمسح أيضًا.

والسابقة الخاصة بـApple ماثلة بالتوازي. ففي فبراير من العام الماضي، سحبت Apple ميزة الحماية المتقدمة للبيانات عن مستخدمي المملكة المتحدة بعد أن أصدرت وزارة الداخلية البريطانية إشعار قدرة تقنية سرّيًا بموجب قانون صلاحيات التحقيق. وفي سبتمبر 2025، أصدرت وزارة الداخلية إشعار قدرة تقنية ثانيًا، مطالِبةً هذه المرة تحديدًا بوصول عبر باب خلفي إلى النسخ الاحتياطية المشفَّرة على iCloud. ورفعت Privacy International و Liberty ومدّعيان فردان طعنًا أمام محكمة صلاحيات التحقيق. وحُدِّدت جلسة الاستماع، ومدتها سبعة أيام، لمطلع 2026. ووجّهت المحكمة الحكومة البريطانية إلى الاتفاق مع Apple على "assumed facts" (أي وقائع مفترَضة) يمكن نظرها في جلسة علنية، بدلًا من نظرها كلها في السرّ.

والمملكة المتحدة لا تشغّل الدليل نفسه الذي تشغّله الصين. إنها تشغّل دليلًا مختلفًا نحو نتيجة متقاربة. فنظام مسح المحتوى لا يقتضي أن تسحب الدولة الكابل. يقتضي فقط أن ينتج الإطار القانوني مخاطر امتثال كافية لتنشر المنصات أنظمة الكشف من تلقاء نفسها.

بوابة العمر الأوروبية

بعد عشرين يومًا من الآن، تُستأنف مفاوضات الحوار الثلاثي في الاتحاد الأوروبي حول رقابة الدردشة 2.0 — أي لائحة الاعتداء الجنسي على الأطفال — تحت الرئاسة الدنماركية للمجلس.

والسياق السياسي فريد. ففي 26 مارس 2026، أجهز البرلمان الأوروبي على رقابة الدردشة 1.0 — أي الاستثناء المؤقت من لائحة الخصوصية الإلكترونية الذي كان قد منح Google و Meta و Microsoft و TikTok أساسًا قانونيًا لمسح الرسائل الخاصة طوعًا بحثًا عن مواد الاعتداء الجنسي على الأطفال — بفارق ثلاثة وثمانين صوتًا. وكانت الحصيلة 311 صوتًا ضد التمديد، و 228 مؤيدًا، و 92 ممتنعًا. وكان أعضاء من حزب الشعب الأوروبي قد حاولوا فرض إعادة التصويت وتمرير القرار عبر وزراء الثروة السمكية. ووصف باتريك براير، عضو البرلمان الأوروبي عن حزب القراصنة الألماني الذي قاد المعارضة أربع سنوات، النتيجة بأنها «يوم تاريخي يجلب دموع الفرح».

ورقابة الدردشة 2.0 هي البديل الدائم. فمعركة 1.0 تمحورت حول ما إذا كان يجوز مسح الرسائل الخاصة من دون موافقة المستخدم. أما معركة 2.0 فقد تحوّلت. فموقف المجلس — الذي يحظى بدعم الرئاسة الدنماركية — ما زال يتضمن المسح الشامل، لكن ساحة المعركة الجديدة هي التحقق الإلزامي من العمر عبر الخدمات المشمولة.

وقد لخّصت Tuta، مزوّدة البريد الإلكتروني المشفَّر الألمانية، هذا التحول في تحليل علني الشهر الماضي: رقابة الدردشة 2.0 لم تعد تُجبر المنصات على كسر التشفير من طرف إلى طرف، لكنها تشترط تحققًا من العمر من شأنه أن ينهي عمليًا الاتصال المجهول عبر الإنترنت في أوروبا. وإذا نُفِّذت كما هي مقترحة، فسيتعيّن على أي خدمة مشمولة — بما فيها تطبيقات المراسلة والمنصات الاجتماعية وخدمات المحتوى — أن تتحقق من عمر كل مستخدم قبل السماح بالوصول إلى وظائف يستخدمها القُصَّر. وعمليًا، يقتضي التحقق من العمر على نطاق واسع تحققًا من الهوية. والتحقق من الهوية يقتضي إثباتًا مرتبطًا بالدولة أو بالمصرف. والإثبات يُسجَّل.

هكذا تموت المجهولية في أوروبا. لا بحظرها. بل باشتراط نقيضها في كل مرة يفتح فيها المستخدم تطبيقًا.

وحوار 4 مايو الثلاثي هو جولة عقد الصفقات السياسية. و 11 مايو هو الحوار الثلاثي التقني الرابع. و 29 يونيو هو الجولة السياسية الأخيرة. والهدف هو التوصل إلى اتفاق في يوليو.

النمط

ضَعِ الآليات الخمس بعضها في مواجهة بعض، فيغدو المعمار المشترك مرئيًا.

فحجب VPN الروسي عند طبقة المنصة يتوقف على عشرين مزوّدًا تجاريًا قابلًا للتحديد لديهم حوافز ضريبية تدفعهم إلى الامتثال. والقطع المادي الصيني يتوقف على ثلاثة مشغّلين تسيطر عليهم الدولة وتشكّل خطوطهم المخصصة العابرة للحدود العمود الفقري التشغيلي لعمليات الأعمال الأجنبية. وإكراه المادة 702 الأمريكي يتوقف على حفنة من شركات الاتصالات والإنترنت الأمريكية التي تقتضي جدواها التجارية علاقة تنظيمية مع الحكومة الفيدرالية. ونظام التفتيش البريطاني يتوقف على منصات ينتج حضورها القانوني في المملكة المتحدة مخاطر امتثال تكفي لنشر المسح على جهة العميل. والتحقق الأوروبي من العمر يتوقف على منصات تعتمد على النفاذ إلى السوق الأوروبية.

وفي كل حالة، تعمل الآلية لأن معمار الاتصالات فيه وسيط مركزي يمكن إكراهه. أزِل الوسيط، ولا يبقى للآلية ما تُكرهه. أزِل علاقة الامتثال، ولا تبقى للإنفاذ أداة. أزِل الحافز التجاري الذي يُبقي الوسيط على الطاولة، وتفقد الرافعة قبضتها.

والدفاع الكافي ضد واحدة من هذه الآليات ليس كافيًا ضد سواها. فالتشفير من طرف إلى طرف يحمي من فحص المحتوى عند طبقة الخادم. لكنه لا يحمي من المسح على جهة العميل. ولا يحمي من أنظمة التحقق من العمر. ولا يحمي من حجب VPN عند طبقة المنصة. ولا يحمي من القطع المادي للخط الدولي. وكل آلية من الآليات الخمس اختارتها دولتها، جزئيًا، لأنها لا تتوقف على كسر التشفير — بل تتوقف على إكراه المزوّد الذي يعمل التشفير فوقه.

والدفاع المشترك دفاع معماري. فنظام اتصالات لا يوجد فيه مزوّد يمكن إكراهه — لا شركة واحدة لها علاقة تجارية بالدولة، ولا خادم واحد يمكن تبليغه بإشعار قدرة تقنية، ولا كابل واحد يمكن قطعه، ولا منصة واحدة يمكن أمرها بالتحقق من الأعمار — لا يمكن تفكيكه بالآليات التي تُنشر هذا الأسبوع. فنموذج المساعدة المفروضة يفترض وجود طرف يمكن إكراهه. والدفاع المعماري هو ألا تكون طرفًا.

وليست هذه ملاحظة نظرية. فالحركة الموجَّهة بالتوجيه البصلي، ومرحّلات الأقران، والنقل الشبكي المتشابك، وبروتوكولات VPN اللامركزية التي لا تتقارب على نقاط نهاية تجارية قابلة للتعداد، متاحة تقنيًا اليوم. لكنها ليست منشورة بعد على النطاق اللازم لاستيعاب الإزاحة التي ستلي الإنفاذ الروسي في 15 أبريل، أو القطع الصيني في 22 أبريل، أو النشر المرتقب للإشعارات التقنية البريطانية. وغيابها، على النطاق الجماهيري، هو سبب قدرة الكرملين على قطع الاتصالات اليومية لخمسة وستين مليونًا من مواطنيه بإرسال خطاب إلى عشرين شركة.

بماذا ينتهي الأسبوع

لن تُحسم المواعيد النهائية الخمسة كلها بحلول 22 أبريل.

فالإنفاذ الروسي سيبدأ غدًا، وسيمضي طاحنًا طوال الشهر، وسينتج هجرة مطّردة للمستخدمين المثابرين نحو البروتوكولات المموّهة، وبدائل VPN اللامركزية، ومرحّلات الأقران. وخمسة وثلاثون مليون روسي سيواصلون الالتفاف. وثلاثون مليونًا آخرون سيمتثلون. وستواصل السقّاطة دورانها.

وتصويت قانون مراقبة الاستخبارات الأجنبية قد يمرّ هذا الأسبوع وقد لا يمرّ. فإن مرّ، تستمر المراقبة بلا تغيير. وإن لم يمرّ، تستمر شهادة محكمة مراقبة الاستخبارات الأجنبية طوال الربيع، وتستمر عمليات الجمع القائمة، ويتصاعد الضغط السياسي على الكونغرس حتى الصيف. وفي الحالتين، يبقى السؤال البنيوي — أي ما إذا كان يمكن جمع اتصالات الأمريكيين من دون أمر قضائي عبر مشتريات تجارية من وسطاء البيانات، وما إذا كان على مكتب التحقيقات الفيدرالي أن يحصل على أمر قضائي قبل الاستعلام في مجموعة بيانات المادة 702 عن شخص أمريكي — من دون حسم.

وسيسري القطع الصيني لبطاقات SIM في 22 أبريل كما أُعلن، ما لم يُتراجَع عن الإشعار المسرَّب. والشركات الأجنبية العاملة في الصين تخزّن بالفعل خيارات ربط بديلة. ودور هونغ كونغ بوابةً يُعاد تقييمه. وتايوان مفصولة أصلًا.

وإرشادات Ofcom البريطانية، حين تصل، ستصير الأساس القانوني لإشعارات تقنية ستصدر إلى المنصات عبر 2026 و 2027. والإشعارات الأولى لن يُعلن عنها علنًا. ستظهر بالهدوء نفسه الذي ظهر به إشعار القدرة التقنية الخاص بـApple — أمرٌ سرّي يرافقه التزام بعدم الإفصاح.

ومفاوضات رقابة الدردشة 2.0 قد تنتج صفقة سياسية في مايو أو يونيو وقد لا تنتجها. ويبقى تفويض التحقق من العمر الشاغل المهيمن على ائتلافات المجتمع المدني التي أجهزت على 1.0. وستهيمن هذه المعركة على السنة التشريعية الأوروبية 2026.

هذه القصص الخمس تتقارب هذا الأسبوع. لكنها لا تُحسم هذا الأسبوع. وما تحسمه هو سؤال ما إذا كان معمار الإنترنت، كما بُني، قابلًا لأن تفكّكه دول تملك النفوذ التجاري والقانوني لإكراه الوسطاء. والجواب، لهذا الأسبوع، في هذه الولايات القضائية الخمس، هو نعم.

والسؤال التالي هو ما إذا كان ثمّة معمار لا يمكن تفكيكه بالطريقة نفسها. والجواب، على النطاق الواسع، هو: ليس بعد. والعمل على بنائه — بين الأقران، مُوجَّهًا شبكيًا بالتشابك، لامركزيًا، بلا مزوّد يُكرَه ولا كابل يُقطع — هو العمل الذي يجب أن يقع قبل أن تحلّ المواعيد النهائية الخمسة التالية.

وستكون هناك مواعيد نهائية أخرى.

في فبراير 2026، أصدر العميد ماتياس هانسون، رئيس شؤون المعلومات في القوات المسلحة السويدية، توجيهًا: المكالمات والرسائل النصية التي لا تتعلق بمعلومات مصنَّفة ينبغي أن تجري، قدر الإمكان، عبر تطبيق المراسلة Signal. ولم يكن التوجيه اقتراحًا. كان قرارًا من أعلى مسؤول معلوماتي في جيش السويد، دافعه تهديد محدَّد وموثَّق جيدًا: هشاشة شبكات الهاتف التقليدية أمام التنصّت وانتحال الأرقام.

وكان تعليل الجنرال هانسون تشغيليًا. قال: «إن تعزيز السويد عسكريًا والعمل كجزء من دفاع جماعي يقتضي منّا أن نزيد قدراتنا الدفاعية». وأضاف: «نحن بحاجة إلى استخدام أحدث التقنيات وكل الطاقة الابتكارية للقطاع الخاص السويدي». وSignal، ببروتوكولها مفتوح المصدر للتشفير التام بين الطرفين، تمثّل تلك التقنية الأحدث. وقد اعتمدها الجيش السويدي لأن قنوات الاتصال التقليدية ليست آمنة بما يكفي.

وفي الشهر نفسه، كانت حكومة السويد تدفع بتشريع يجعل التقنية الجوهرية لدى Signal — تشفيرها التام بين الطرفين — غير قانونية عمليًا.

ومشروع القانون، الذي يحمل التسمية الرسمية Ju2024/02286، "Datalagring och åtkomst till elektronisk information" (أي تخزين البيانات والوصول إلى المعلومات الإلكترونية)، سيُلزم خدمات المراسلة — ومنها Signal وWhatsApp وغيرهما من المزوّدين — بتخزين جميع اتصالات المستخدمين وإتاحتها لأجهزة إنفاذ القانون السويدية. واقترحت الحكومة السويدية أن يسري التشريع في 1 مارس 2026، مع تصويت متوقَّع في الريكسداغ، برلمان السويد، في الربيع.

وكان ردّ Signal فوريًا وقاطعًا. فقد قالت ميرديث ويتاكر، رئيسة مؤسسة Signal، لقناة SVT Nyheter السويدية إن Signal ستغادر السويد بدلًا من الامتثال. وقالت ويتاكر: «نحن نفضّل الخروج من السوق على إنشاء ثغرات يمكن أن تستغلّها أطراف ثالثة». وأضافت: «لن نتراجع».

وفي شهر واحد، قال جيش السويد لأفراده: استخدموا Signal لأنها آمنة. وقالت حكومة السويد لـSignal: صيري غير آمنة أو ارحلي. وحذّرت القوات المسلحة السويدية — في ردّها الرسمي على التشريع المقترح — من أن مشروع القانون «لا يمكن الوفاء به من دون إدخال ثغرات وأبواب خلفية قد تستغلّها أطراف ثالثة».

والحكومة نفسها تعزّز في الوقت ذاته أمن اتصالات جيشها وتقترح تقويضه. والتناقض ليس خفيًا. وهو ليس حكرًا على السويد.

رياضيات المستحيل

يمنح التشريع المقترح أجهزة إنفاذ القانون السويدية وصولًا موسَّعًا إلى الاتصالات الإلكترونية. وآليته مباشرة: سيُطلَب من جميع مزوّدي خدمات الاتصال الإلكتروني العاملين في السويد تخزين بيانات اتصالات المستخدمين وإتاحتها لإنفاذ القانون عند الطلب.

أما الخدمات التي لا تستخدم التشفير التام بين الطرفين، فالامتثال لديها تافه تقنيًا. فالمزوّد يملك أصلًا الوصول إلى محتوى الرسائل المخزَّن على خوادمه. واشتراط قانوني بحفظ ذلك المحتوى وتسليمه عند الطلب يغيّر التزامات المزوّد القانونية، لا بنيته التقنية.

أما الخدمات المشفَّرة تشفيرًا تامًا بين الطرفين، فالاشتراط بالنسبة إليها مستحيل الوفاء به تقنيًا من دون كسر التشفير. وليست هذه مسألة صعوبة هندسية. إنها يقين رياضي.

فالتشفير التام بين الطرفين يعني أن الرسائل تُشفَّر على جهاز المُرسِل ولا تُفكّ إلا على جهاز المُستقبِل. ومزوّد الخدمة — Signal في هذه الحالة — لا يملك مفاتيح التشفير أبدًا، وبالتالي لا يستطيع قراءة الرسائل حتى لو أراد. فلا مفتاح يُسلَّم. ولا باب خلفي يُفتَح. والنظام مصمَّم بحيث يكون المزوّد عاجزًا تقنيًا عن الوصول إلى محتوى الرسائل.

وللامتثال للقانون السويدي، سيتعيّن على Signal أن تعيد تصميم نظامها بحيث يحتفظ المزوّد بنسخة من مفاتيح التشفير، أو يحتفظ طرف ثالث بنسخة، أو يُضعَف التشفير على نحو ما يتيح الوصول. وكل واحد من هذه المسارات يُدخِل ما يسمّيه خبراء التشفير "single point of failure" (أي نقطة فشل واحدة) — آلية إذا اخترقها أي أحد، انهار معها أمن جميع المستخدمين.

والإجماع بين خبراء التشفير ليس منقسمًا في هذه النقطة. فلا توجد طريقة معروفة لمنح الحكومة وصولًا إلى الاتصالات المشفَّرة من دون أن تمنح في الوقت نفسه وصولًا لأي جهة أخرى تكتشف آلية الوصول أو تخترقها. والباب الخلفي المفتوح للسويد هو باب خلفي لروسيا والصين والمنظمات الإجرامية وأي فاعل آخر لديه الدافع والقدرة على استغلاله.

وقد قالت القوات المسلحة السويدية هذا بالضبط. ففي تقييمها الرسمي للتشريع المقترح، ذكر الجيش أن «متطلبات الوصول في الاتصالات المشفَّرة تشفيرًا تامًا بين الطرفين لا يمكن الوفاء بها من دون إدخال ثغرات وأبواب خلفية يمكن أن تستغلّها أطراف ثالثة». وليست هذه منظمة مدافعة عن الخصوصية. وليست شركة تكنولوجيا تحمي نموذج أعمالها. هذا جيش أحدث دولة عضو في حلف الناتو، ولديه خبرة تشغيلية بعواقب الاتصالات المخترَقة، يقول لحكومته إن هذا القانون سيجعل السويد أقل أمانًا.

الائتلاف

لم تكن القوات المسلحة السويدية وحدها في تقييمها. فقد وقّع ائتلاف من 237 منظمة من منظمات المجتمع المدني وخبراء الأمن السيبراني وكبرى شركات التكنولوجيا رسالة مشتركة تحثّ الريكسداغ السويدي على رفض التشريع. ونسّق الرسالة أعضاء في الائتلاف العالمي للتشفير (Global Encryption Coalition)، وهو شبكة تضم أكثر من 400 منظمة في 108 بلدان تدافع عن التشفير القوي حول العالم.

وضمّ الموقّعون Mozilla وProton وWire وTuta Mail وSignal نفسها. وأيّد مركز الديمقراطية والتكنولوجيا المعارضة. ونشرت جمعية الإنترنت تحليلها الخاص محذّرة من التبعات الأمنية.

وكانت حجة الائتلاف مؤسَّسة تقنيًا: إنشاء باب خلفي في التشفير يخلق ثغرات تترك السويد أقل أمانًا في مواجهة التهديدات السيبرانية والخصوم الأجانب. وأشدّ الناس اعتمادًا على التشفير — الصحفيون الذين يحمون مصادرهم، والناشطون الذين ينظّمون تحت التهديد، والناجون من العنف الأسري الذين يتواصلون مع خدمات الدعم، والعسكريون الذين ينفّذون عمليات — هم من سيتضرّرون على نحو غير متناسب.

وتناولت الرسالة مبرّر إنفاذ القانون مباشرة. نعم، التشفير يجعل وصول الشرطة إلى اتصالات المشتبه بهم أصعب. لكن إضعاف التشفير لا يطال المجرمين انتقائيًا. إنه يطال الجميع. والمجرمون الذين هم الهدف المعلَن للتشريع سينتقلون ببساطة إلى أدوات أخرى: خوادم ذاتية الاستضافة، أو برمجيات تشفير مخصَّصة، أو منصات تُدار من ولايات قضائية خارج متناول السويد. أما الذين لا يستطيعون الانتقال بسهولة إلى أدوات بديلة فهم المواطنون العاديون، الذين سيبقَون بأمن مُضعَف بينما يتكيّف المستهدَفون من المجرمين ويختفون.

ولم تردّ الحكومة السويدية علنًا بدحض تقني على تقييم القوات المسلحة ولا على رسالة الائتلاف. ولم تشرح كيف يمكن تطبيق القانون من دون إدخال الثغرات التي حدّدها جيشها نفسه. ويبدو أن التشريع يمضي على افتراض مفاده أنه ما دامت الحكومة تريد الوصول، فلا بدّ أن توجد طريقة آمنة لتوفيره — وهو افتراض رفضه كل خبير تشفير مؤهَّل نظر في المسألة.

Signal ترسم خطًا

لم يكن قول ميرديث ويتاكر إن Signal ستغادر السويد تكتيكًا تفاوضيًا. كان تصريحًا بمبدأ تقني وتنظيمي، متسقًا مع ردّ Signal على ضغط مماثل من المملكة المتحدة.

قالت ويتاكر، متحدثة عن الوضعين السويدي والبريطاني معًا: «لن نتراجع». وأضافت: «موقف Signal واضح جدًا — لن نتراجع، ولن نشوّه، ولن نمسّ بأي شكل آخر ضمانات الخصوصية والأمن المتينة التي يعتمد عليها الناس».

وليس هذا التزامًا فلسفيًا مجرَّدًا. فSignal مؤسسة غير ربحية. لا تبيع إعلانات. ولا تحقّق دخلًا من بيانات المستخدمين. ومنتجها الوحيد هو الاتصال الآمن. وإذا لم تستطع توفير اتصال آمن، فلا منتج لها ولا سبب لوجودها. وقرار مغادرة سوق بدلًا من المساس بالتشفير هو، بالنسبة إلى Signal، ضرورة وجودية لا خيار استراتيجي.

والسابقة هي تاريخ Signal نفسه. ففي 2016، أصدرت هيئة محلَّفين كبرى اتحادية في المنطقة الشرقية لولاية فرجينيا أمر استدعاء إلى Signal لتسليم بيانات مستخدمين. وامتثلت Signal لأمر الاستدعاء — وسلّمت نقطتَي بيانات بالضبط: تاريخ إنشاء الحساب وتاريخ آخر اتصال له بخوادم Signal. كان ذلك كل ما لدى Signal. لا محتوى رسائل، ولا جهات اتصال، ولا عضويات مجموعات، ولا معلومات ملف شخصي. فالنظام مصمَّم بحيث لا تستطيع Signal أن تُخرِج ما لا تملكه.

وإذا أُقرّ قانون السويد وغادرت Signal، فسيفقد نحو 2.2 مليون مستخدم سويدي لـSignal — ومنهم العسكريون الذين وُجِّهوا لتوّهم إلى استخدامه — الوصول إلى التطبيق. والأداة التي اختارها جيشهم نفسه بوصفها أفضل خيار متاح للاتصال الآمن لن تعود متاحة في بلدهم لأن حكومتهم اشترطت عليها أن تصير غير آمنة.

Apple رضخت من قبل

لفهم ما يحدث حين تنجح حكومة في الضغط على شركة تكنولوجيا في مسألة التشفير، انظر إلى المملكة المتحدة.

في 24 فبراير 2025، أعلنت Apple أنها ستسحب ميزة الحماية المتقدمة للبيانات (Advanced Data Protection) عن مستخدمي المملكة المتحدة. وكانت هذه الميزة توفّر تشفيرًا تامًا بين الطرفين للنسخ الاحتياطية على iCloud، بمعنى أن Apple نفسها لم تكن قادرة على الوصول إلى البيانات المخزَّنة في حساب iCloud الخاص بالمستخدم. وكانت الحكومة البريطانية، عبر إشعار قدرة تقنية بموجب قانون صلاحيات التحقيق لعام 2016، قد أمرت Apple سرًّا بالإبقاء على القدرة على توفير الوصول إلى بيانات iCloud.

ولم يكن ردّ Apple بناء الباب الخلفي. كان إزالة ميزة التشفير عن مستخدمي المملكة المتحدة كليًا. واعتبارًا من 21 فبراير 2025، لم يعد بوسع مستخدمي المملكة المتحدة تفعيل الحماية المتقدمة للبيانات. أما من كانوا قد فعّلوها فقد طُلب منهم تعطيلها. وعادت فئات بيانات iCloud العشر التي تغطّيها الميزة — ومنها الصور والملاحظات والنسخ الاحتياطية للأجهزة — إلى التشفير القياسي، أي أن Apple تحتفظ بالمفاتيح ويمكنها تسليم البيانات لإنفاذ القانون عند الطلب.

اختارت Apple أن تخفض الأمن لملايين المستخدمين البريطانيين بدلًا من بناء باب خلفي قد يعرّض أمن الجميع للخطر. وكثيرًا ما يوصف هذا بأنه «تصدٍّ» من Apple للحكومة البريطانية. ولم يكن كذلك. فقد امتثلت Apple للأثر العملي للمطلب. المستخدمون البريطانيون خسروا التشفير. والحكومة حصلت على ما أرادت: الوصول إلى بيانات المستخدمين البريطانيين.

ولم تتوقف المملكة المتحدة عند هذا الحد. ففي سبتمبر 2025، أصدرت وزارة الداخلية البريطانية إشعار قدرة تقنية ثانيًا، يطالب هذه المرة تحديدًا بوصول عبر باب خلفي إلى النسخ الاحتياطية المشفَّرة على iCloud لمستخدمي المملكة المتحدة. ورفعت Privacy International طعنًا أمام محكمة صلاحيات التحقيق، إلى جانب Liberty واثنين من المدّعين الأفراد، مع جلسة استماع مدتها سبعة أيام مقرَّرة في 2026.

وسابقة Apple تُظهر النمط. حكومة تُصدر أمرًا سرّيًا يطالب بالوصول إلى بيانات مشفَّرة. فتواجه الشركة خيارًا مستحيلًا: أن تمتثل فتُضعف أمن جميع المستخدمين، أو أن تسحب ميزة الأمن من المستخدمين في تلك الولاية القضائية. وفي الحالتين، المستخدمون هم الخاسرون. فالتشفير إما يُكسَر وإما يُزال.

وقد صرّحت Signal بأنها لن تسلك مسار Apple. فلن تسحب التشفير عن المستخدمين السويديين مع إبقائه في أماكن أخرى. ولن تبني بابًا خلفيًا خاصًا بالسويد. بل ستغادر كليًا. وهذا ردّ مختلف — وربما أكثر مبدئية — لكن النتيجة بالنسبة إلى المستخدمين السويديين متشابهة. إنهم يفقدون الوصول إلى الاتصال الآمن.

الأسبوع الذي اختارت فيه أوروبا