أكثر من 80% من الثغرات الأمنية المؤكد استغلالها من دفعة عام 2026 الجارية تعرّضت للهجوم في يوم الإفصاح أو قبله — وفي المتوسط تبقى نحو عشر ساعات بين الإفصاح والهجوم. ومن لا يتفاعل إلا مع إشعارات CVE ودورات التصحيح، يدافع عن نافذة زمنية لم تعد موجودة. تُشغّل VamiSec مراقبة ثغرات اليوم صفر كخدمة مُدارة — بدعم الذكاء الاصطناعي، وباستمرار، وبالأساليب نفسها التي يستخدمها المهاجمون اليوم.
من الخارج مع VamiRedteam · قريبًا من الشيفرة مع VamiAppSec · برعاية VamiSec على مدار الساعة
نسبة الثغرات الأمنية المؤكد استغلالها التي تعرّضت للهجوم في يوم الإفصاح أو قبله، من 2018 حتى 2026. عرض خاص، بيانات المبادرة القطاعية zerodayclock.com ↗
تقيس Zero Day Clock — وهي مبادرة قطاعية يدعمها أكثر من 120 خبيرًا من البحث الأمني والصناعة — الفاصل بين نشر ثغرة أمنية وأول استغلال مؤكد لها. وعلى مدى تسع دفعات سنوية، النتيجة واضحة: تحوّلت السنوات إلى أشهر، والأشهر إلى أيام — وفي دفعة عام 2026 الجارية أصبحت ساعات.
المتوسط المقتطع بنسبة 10% للفترة الزمنية بين نشر CVE وأول استغلال مؤكد، حسب دفعة CVE السنوية، بمقياس لوغاريتمي. وتبلغ دفعة عام 2026 الجارية نحو 10 ساعات — أي يبقى عمليًا أقل من يوم عمل واحد للاستجابة.
المصادر: Zero Day Clock (ثغرات CVE المؤكد استغلالها من CISA KEV وVulnCheck KEV وVulnCheck XDB، وتاريخ الإفصاح من NVD؛ تاريخ الاسترجاع 29 يوليو 2026) وتقرير BSI عن وضع أمن تقنية المعلومات في ألمانيا 2025. ودفعة عام 2026 سنة جزئية جارية تضم 97 حالة مؤكدة، ولذلك مُميَّزة بشكل منفصل.
ما كان حتى وقت قريب عمل متخصصين يستغرق أشهرًا، تنجزه أنظمة الذكاء الاصطناعي اليوم في ساعات — بشكل قابل للإثبات، وموثّق علنًا، وعلى جانبي الجبهة. هذا ليس تنبؤًا، بل ممارسة مُثبتة.
اكتشفت Anthropic مع نحو 50 شريكًا أكثر من عشرة آلاف ثغرة أمنية عالية أو حرجة الخطورة في برمجيات واسعة الانتشار. وعند تحقق شركات أمنية مستقلة من 1,752 اكتشافًا، تبيّن أن 90.6% منها إصابات حقيقية — وهو أمتن رقم جودة علني للبحث عن الثغرات بدعم الذكاء الاصطناعي.
Anthropic، Project Glasswing (2026)يوثّق تقييم سيبراني للبرنامج نفسه كيف اكتشف نموذج ذكاء اصطناعي بشكل مستقل ثغرة تنفيذ شيفرة عن بُعد (Remote Code Execution) عمرها 17 عامًا في FreeBSD واستغلها، وطوّر 181 استغلالًا فعّالًا ضد Firefox، وكشف خطأً عمره 27 عامًا في OpenBSD — بتكاليف في نطاق أربعة إلى خمسة أرقام.
Anthropic، التقييم السيبراني Mythos Preview (أبريل 2026)اكتشف وكيل Google «Big Sleep» في عام 2024 بصفته أول نظام ذكاء اصطناعي ثغرة أمنية حقيقية وغير معروفة سابقًا في البيئة الفعلية (SQLite). وفي عام 2025 تلتها 20 اكتشافًا إضافيًا في برمجيات مفتوحة المصدر واسعة الانتشار — ومع CVE-2025-6965 حالة ثبت فيها قطع الطريق مسبقًا على استغلال وشيك.
Google Project Zero / DeepMindبلغ وكيل اختبار الاختراق المستقل XBOW في يونيو 2025 بصفته أول مشارك غير بشري المركز الأول في التصنيف الأمريكي لدى HackerOne — بعد نحو 90 يومًا وأكثر من ألف بلاغ مقدَّم.
تصنيف HackerOne الأمريكي، يونيو 2025في نهائي DARPA AI Cyber Challenge، اكتشفت سبعة أنظمة ذكاء اصطناعي 54 من أصل 70 ثغرة مزروعة، وأصلحتها في المتوسط خلال 45 دقيقة بتكلفة 152 دولارًا أمريكيًا لكل حالة — كما اكتشفت إضافةً إلى ذلك 18 ثغرة حقيقية لم تكن معروفة من قبل.
DARPA AIxCC، DEF CON 33 (أغسطس 2025)لا يمكن سحب النماذج المفتوحة ذات الأوزان المنشورة. وقد وجدت هيئتا أمن الذكاء الاصطناعي البريطانية والأمريكية بشأن نموذج رائد نُشر علنًا في يوليو 2026 أن آليات الحماية فيه لم تمنع محاولات تطوير الاستغلالات والعمليات الهجومية.
UK AISI وUS CAISI، يوليو 2026تتوقع Anthropic أن يمتلك مقدمون آخرون خلال ستة إلى اثني عشر شهرًا نماذج من هذه الفئة الأدائية — وربما ينشرونها دون آليات حماية. ويجب على المدافعين التكيّف لمواكبة ذلك.
Anthropic، «Expanding Project Glasswing» (يونيو 2026)
إدارة الثغرات الأمنية التقليدية لا غنى عنها — لكنها تفاعلية بحكم تصميمها: لا يمكنها أن تعمل إلا بعد نشر الثغرة وتقييمها وتوفر تصحيح لها. وفي هذه السلسلة تحديدًا يكمن الخطر اليوم.
لا تحل مراقبة ثغرات اليوم صفر محل إدارة الثغرات الأمنية لديكم. بل تسدّ الفجوة بين «لم يُنشر بعد» و«مُستغَل بالفعل» — وتوفر أدلة الإثبات التي تمكّنكم من تحديد الأولويات.
تُشغّل VamiSec مراقبة ثغرات اليوم صفر بمنصتين خاصتين بها مدعومتين بالذكاء الاصطناعي — إحداهما تفحص من الخارج من منظور المهاجم، والأخرى بوصول كامل إلى الشيفرة وسلسلة البناء. ومعًا تغطيان ما يراه المهاجم، وما لا يراه بعد.
منصة اختبار اختراق وكيلية وأصيلة بالذكاء الاصطناعي. ستة وكلاء متخصصين يرسمون الخرائط وينمذجون ويستغلون باستقلالية — ضمن Authorization Cage موقّع.
تصيب ثغرات اليوم صفر ما تُسلّمونه. يراقب VamiAppSec قائمة SBOM لكل إصدار بحثًا عن الثغرات الأمنية المستغلة بنشاط، ويُشغّل ساعة الإبلاغ وفق المادة 14 من CRA — ويكتشف الثغرات القابلة للاستغلال في شيفرتكم، ومع VamiDAST المدمج بالكامل في البناء العامل لديكم: قبل الإصدار، وفي الوضع السلبي أو الآمن أيضًا في بيئة الإنتاج.
الأداة وحدها لا تجعل أحدًا أكثر أمانًا. بصفتنا مزوّد خدمات أمنية مُدارة (MSSP) نتولى التشغيل والتقييم وترجمة النتائج إلى إجراءات — ضمن عملياتكم والتزاماتكم بتقديم أدلة الإثبات.
نشغّل المنصتين نيابةً عنكم: تحديد النطاق والتفويض والضبط والتشغيل المستمر — دون الحاجة إلى بناء فريق هجومي خاص بكم.
يفحص محللونا كل نتيجة ذات صلة ويدعمونها بدليل إثبات قابل للتكرار. تحصلون على مسارات هجوم مؤكَّدة مع توصيات عملية، لا على قوائم نتائج.
إلى جانب المنصات نقدّم أساليب الفحص التقليدية — التحليل الديناميكي وFuzzing ونمذجة التهديدات واختبارات الاختراق اليدوية على يد مختبرين حاصلين على شهادات.
ربط مع SIEM/SOAR ونظام التذاكر وخطوط CI/CD لديكم. تصل النتائج إلى حيث يعمل فريقكم أصلًا — بما في ذلك الربط مع VamiGRC للحصول على أدلة إثبات صالحة للتدقيق.
عندما تُستغَل ثغرة أمنية بشكل نشط، يبدأ العدّ التنازلي. نوفّر الأساس التقني لبلاغاتكم وفق CRA وNIS2/BSIG وGDPR — مع طوابع زمنية وتوثيق موثوق.
تقرير تقني بخطوات إعادة الإنتاج لفريقكم، وملخص إداري مكثّف يبيّن تطور المخاطر والاتجاهات للإدارة العليا.
لا يوجد قانون ينص حرفيًا على «مراقبة ثغرات اليوم الصفري». لكن عدة أطر تنظيمية تشترط اختبارات أمنية فعّالة، ورصدًا يعمل، والإبلاغ عن الثغرات المستغَلة بشكل نشط ضمن مهل قصيرة. وهذا تحديدًا ما تدعمه هذه الخدمة.
يُلزم قانون المرونة السيبرانية الأوروبي (Cyber Resilience Act) الشركات المصنِّعة بالإبلاغ عن الثغرات الأمنية المستغَلة بشكل نشط في منتجاتها: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي في موعد أقصاه 14 يومًا من توفر إجراء تصحيحي. والشرط المسبق لذلك هو أن يُلاحَظ الاستغلال أصلًا. كما يشترط الملحق I الجزء II إجراء اختبارات أمنية فعّالة ومنتظمة.
تشترط المادة 30 الفقرة 2 من BSIG، من بين أمور أخرى، تحليل المخاطر والتعامل مع الحوادث الأمنية وتقييم فعالية الإجراءات؛ وبالنسبة للمنشآت الحيوية تشترط المادة 31 الفقرة 2 إضافةً إلى ذلك أنظمة لرصد الهجمات. مواعيد الإبلاغ وفق المادة 32: 24 ساعة، و72 ساعة، وتقرير نهائي بعد شهر من بلاغ الـ 72 ساعة.
بالنسبة للمؤسسات المالية تشترط المادة 10 آليات لرصد الأنشطة غير الاعتيادية فورًا. وتذكر المادة 25 صراحةً ضمن برنامج الاختبار تقييمات الثغرات الأمنية وفحصها ومراجعات الشيفرة المصدرية واختبارات الاختراق؛ وبالنسبة للمؤسسات المحدَّدة يُضاف الاختبار القائم على التهديدات وفق المادة 26.
يمكن ربط المراقبة المستمرة لثغرات اليوم الصفري مباشرةً بالضوابط A.5.7 (استخبارات التهديدات) وA.8.8 (إدارة الثغرات التقنية) وA.8.16 (أنشطة المراقبة) — مع تقارير تصلح دليل إثبات في التدقيق.
ملاحظة: مراقبة ثغرات اليوم الصفري إجراء داعم. أمّا الإجراءات المناسبة والمتناسبة في حالتكم فتنتج عن تحليل المخاطر لديكم — وهنا تحديدًا ندعمكم. هذه الصفحة ليست استشارة قانونية.
في محادثة أولية دون التزام نحدّد النطاق، ونوضّح التفويض، ونبيّن كيف تبدو المراقبة المستمرة لثغرات اليوم الصفري لديكم بشكل ملموس.
