OWASP APTS: معيار اختبار الاختراق المستقل (Autonomous Penetration Testing Standard)

إن APTS إطار حوكمة لسلوك منصات اختبار الاختراق المستقلة وخط أساس للامتثال للمزوّدين ومقدمي MSSP والمؤسسات — وليس دليلًا لكيفية إجراء اختبار الاختراق، ولا بديلًا عن PTES أو WSTG أو OSSTMM، ولا تصنيفًا للأدوات أو المزوّدين. وبينما يصف PTES المراحل السبع لاختبار الاختراق ويفهرس WSTG تقنيات اختبار الويب، يتناول APTS خصائص المنصة: فرض النطاق، والاستقلالية الآمنة (Safe Autonomy)، والمساءلة، ومسارات القرارات، وعزل التدقيق للأنظمة المدعومة بالذكاء الاصطناعي. والمعيار متاح كمشروع OWASP في الإصدار 0.1.0 (الترخيص CC BY-SA 4.0)، ويمكن الوصول إليه مجانًا عبر صفحة مشروع OWASP وGitHub.

تتوزع المتطلبات الـ 173 من نوع Tier-Required على ثمانية مجالات: Scope Enforcement (SE، 26) يفرض حدود النطاق تقنيًا لا تعاقديًا فقط؛ وSafety Controls (SC، 20) تشترط تصنيف الأثر وتحليل نطاق الضرر (Blast Radius) وKill-Switch؛ وHuman Oversight (HO، 19) ينظّم بوابات الموافقة ومسارات التصعيد ومؤهلات المشغّلين؛ وGraduated Autonomy (AL، 28) يشترط مستويات استقلالية مُعلنة مع مصفوفة موافقات وتقييد للقدرات (Capability Gating)؛ وAuditability (AR، 20) يشترط مسارات تدقيق وقرارات شاملة وموقّعة ومعزولة عن المنصة؛ وManipulation Resistance (MR، 23) يتناول حقن الأوامر (Prompt Injection) والمدخلات العدائية وتوسيع النطاق؛ وSupply Chain Trust (TP، 22) يشترط الإفصاح عن النموذج الأساسي (Foundation Model) وشفافية التعامل مع البيانات والعزل بين المستأجرين وSBOM؛ وReporting (RP، 15) يشترط التحقق من النتائج وتقييم درجة الثقة والإفصاح عن نطاق التغطية.

يفرض APTS نموذج استقلالية متدرجًا — لا قفزة من اليدوي إلى المستقل كليًا. L1 Assisted: الإنسان يخطط وينفّذ، والمنصة تقترح (مثلًا فحص للثغرات الأمنية مع توصيات). L2 Supervised: المنصة تخطط، والإنسان يوافق على كل خطوة (استغلال موجَّه مع بوابات موافقة). L3 Delegated: المنصة تخطط وتنفّذ، والإنسان يراقب (استطلاع مستقل مع استغلال تحت المراقبة). L4 Autonomous: تشغيل مستقل من البداية إلى النهاية، مثلًا بوصفه Continuous Autonomous Red Team. والمبدأ الأساسي للمعيار: مع تزايد الاستقلالية ترتفع متطلبات الضمان — ولا يمكن تبرير L4 إلا بأدلة إثبات Tier 3. وعمليًا يكفي L2 كثيرًا من المؤسسات؛ فالحاسم ليس مدى الاستقلالية التي يمكن أن تبلغها المنصة، بل مدى الاستقلالية التي يجب أن تتمتع بها لحالة الاستخدام المحددة.

المتطلبات متدرجة تراكميًا. Tier 1 Foundation (72 متطلبًا) هو خط الأساس: لا اختبار خارج النطاق، وKill-Switch فعّال، ومسار تدقيق أساسي، وتصنيف للأثر لكل إجراء — مناسب للاختبارات الداخلية والبيئات غير الإنتاجية. ويضيف Tier 2 Verified (+85، تراكميًا 157) مسارات تدقيق موقّعة ومقاومة للتلاعب، وشفافية مسارات القرارات، ونتائج قابلة للتحقق بشكل مستقل، ومقاومة كاملة للتلاعب، وشفافية سلسلة التوريد — وهو المعيار لاستخدامات المؤسسات ذات البيانات الحساسة والقطاعات المنظّمة. أما Tier 3 Comprehensive (+16، تراكميًا 173) فهو أعلى مستويات الضمان الثلاثة: الجاهزية لـ L4 Autonomous، والملاءمة للبنى التحتية الحرجة (OT، KRITIS)، ومحاكاة الهجمات (Red Teaming) الخارجية على المنصة نفسها، وأدلة إثبات نضج الحوكمة. وكمسار للتنفيذ أثبت نهج من خمس مراحل فعاليته: تحليل الفجوات مقابل Tier 1، وبناء الأساس، والتصديق على Tier 1، والتوسع إلى Tier 2، والتحقق الخارجي.

ترتبط مجالات APTS باللوائح الأوروبية المحورية: ففي EU AI Act (اللائحة (EU) 2024/1689) تتناول AL وSC وMR إدارة المخاطر وفق المادة 9، وAR التزامات التسجيل وفق المادة 12، وHO الإشراف البشري وفق المادة 14، وMR/RP متطلبات الدقة والمتانة وفق المادة 15. وبالنسبة لـ ISO/IEC 42001 (نظام إدارة الذكاء الاصطناعي) تعمل ضوابط APTS كخط أساس للضوابط التشغيلية ومراقبة الأداء وسلسلة التوريد. وفي إطار NIS2 (التوجيه (EU) 2022/2555) تنطبق SE وSC وMR على إدارة المخاطر وفق المادة 21، وTP على أمن سلسلة التوريد وفق المادة 21 الفقرة 2 البند d. وفي DORA (اللائحة (EU) 2022/2554) تدعم AL وSC اختبارات الاختراق القائمة على التهديدات (TLPT)، وTP إدارة مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات، وSE/HO برنامج الاختبار وفق المواد 24–27. ومن يستوفِ Tier 2 يكون بذلك قد أنجز جزءًا كبيرًا من العمل التنظيمي الأساسي لمكونات الاختبار المستقلة.

في مشتريات المزوّدين يجعل APTS العروض قابلة للمقارنة: فبدلًا من سؤال «هل هذا آمن؟» تطلبون إعلانًا ذاتيًا عن المستوى يشمل الإفصاح عن النموذج الأساسي، ودليل إثبات لمسار التدقيق، وإجابات محددة حول فرض النطاق وانتشار Kill-Switch — وينبغي تثبيت Tier 1 تعاقديًا على الأقل، وTier 2 لنطاق NIS2، وTier 3 لحالات استخدام L4 والوظائف الأساسية في KRITIS. وبالنسبة للتشغيل الخاص بكم يمكن استخلاص خطوات قابلة للتنفيذ فورًا: إدارة جرد النطاق بصيغة قابلة للقراءة آليًا (JSON/YAML)، وإدراج اختبارات Kill-Switch في كل مهمة وتوثيقها فصليًا، وتحديد وجهة سجلات التدقيق خارج المنصة، وتوثيق مؤهلات المشغّلين، ومطابقة الإفصاح عن نطاق التغطية مع جرد النطاق، وطلب حزمة أدلة قابلة لإعادة الإنتاج لكل نتيجة عالية الخطورة. وفي التدقيق تفحصون مسارات التدقيق بشكل معزول، ومسارات القرارات بالعيّنات، والإفصاح عن نطاق التغطية مقابل النطاق المتفق عليه.