Gemini 4 Carbon: نموذج Google الأمني وكيف يراجع تطبيق PHP

Gemini 4 Carbon هو أقوى نموذج ذكاء اصطناعي تطوره Google، وقد صُمم للأمن. يكتشف الأخطاء في شيفرتك، ويتحقق من أنه يمكن استغلالها فعلًا، ثم يكتب الترقيع (Patch) اللازم. لكن هناك تحفظ مهم: حاليًا لا يستطيع استخدامه إلا المدافعون الأمنيون المعتمدون ضمن برنامج Fairwind التابع لـ Google. لا توجد واجهة برمجة تطبيقات (API) عامة، ولا يظهر النموذج في تطبيق Gemini، ولم تحدد Google موعدًا للإطلاق.

شاهد الفيديو الذي مدته 8 دقائق:

ملاحظة صادقة قبل أن نبدأ. نموذج Carbon غير متاح للعامة، لذلك لم أتمكن من تشغيله. مراجعة PHP المذكورة أدناه شرح توضيحي مبني على وصف Google لطريقة عمل Carbon، وقد تحققت منه بتاريخ 31 أكتوبر 2026. لا أعرض أي نتائج لم أقم بقياسها بنفسي. أما إصلاحات PHP فهي حقيقية، ويمكنك استخدامها اليوم سواء استخدمت Carbon أو لم تستخدمه.

لماذا يهم Gemini 4 Carbon مطوري PHP؟

ما زالت PHP تشغّل جزءًا كبيرًا من الويب، والروبوتات تفحص مواقع PHP كل يوم. معظم الاختراقات لا تحتاج إلى عبقري. كل ما تحتاجه هو ثغرة حقن SQL (SQL injection) واحدة، أو ثغرة XSS واحدة، أو مفتاح API تُرك داخل الشيفرة. نماذج الذكاء الاصطناعي القادرة على إيجاد هذه الأخطاء وإصلاحها تغيّر سرعة إغلاقها، ويمثل Carbon أكبر خطوة حققتها Google حتى الآن في هذا المجال.

ما هو Gemini 4 Carbon؟

أعلنت Google عن Gemini 4 Carbon يوم 28 أكتوبر 2026، أي بعد أسبوعين من إعلانها عن Gemini 4 Argon (13 أكتوبر). وتصف Google Carbon بأنه أقوى نموذج لديها حتى الآن.

دُرّب Carbon على دورة الدفاع الأمني كاملة:

1. اكتشاف الثغرة.
2. التحقق من أن المهاجم يستطيع استخدامها فعلًا.
3. المعالجة عبر إصلاح السبب الجذري للمشكلة.

وهو مصمم أيضًا للمهام الطويلة. تقول Google إن Carbon يستطيع العمل على مشكلة واحدة لعدة أيام، وتجاوز الطرق المسدودة.

أرقام الاختبارات المعيارية

هذه أرقام Google نفسها، وقد قيست دون ضوابط حماية، باستثناء الرقم الأخير:

الاختبار	ما الذي يقيسه	Carbon
SEC-bench Pro	إيجاد الثغرات الحقيقية	88.2%
ExploitGym	استغلال الأخطاء	54.8%
CWE-bench (patching)	كتابة ترقيعات صحيحة	71.0%
Artificial Analysis Intelligence Index (مستقل)	الذكاء العام	المركز الأول، بدرجة 59

تعامل مع الاختبارات التي تنشرها الشركات المطورة على أنها نقطة بداية فقط. سنختبر Carbon بأنفسنا عندما يُتاح للمطورين.

من يستطيع استخدام Gemini 4 Carbon، وكيف تطلب الوصول؟

يُطرح Carbon عبر برنامج Fairwind التابع لـ Google، ويضم أكثر من 650 شريكًا. الأولوية لدى الجهات التالية:

• الحكومات
• البنى التحتية الحيوية: المستشفيات، وشركات الاتصالات، وقطاع الطاقة، والبنوك
• منصات التقنية الكبرى
• المختبرات الأكاديمية التي تُجري أبحاثًا دفاعية

كيف تطلب الوصول: تواصل مع فريق حسابك في Google Cloud. تتحقق Google من كل مؤسسة تتقدم بطلب.

القواعد صارمة:

• تحتاج إلى مصادقة متعددة العوامل (MFA) مقاومة للتصيد.
• لا يستخدمه إلا فريقك الداخلي للأمن، أو فريق الاستجابة للحوادث، أو فريق اختبار الاختراق.
• يجب أن تتتبع من يستخدمه.
• لا يحق لك مشاركة الوصول أو إعادة بيعه.

لبقية المطورين: لا توجد واجهة API عامة، ولا يظهر النموذج في تطبيق Gemini، ولا يوجد موعد بعد. تقول Google إن المطورين سيحصلون عليه “قريبًا”. أما السعر فمعلن بالفعل: 2 دولار لكل مليون رمز (Token) إدخال و10 دولارات لكل مليون رمز إخراج خلال فترة التعريف، ثم 4 دولارات و20 دولارًا.

كيف تعمل مراجعة Carbon لتطبيق PHP؟

لعرض طريقة العمل، كتبت تطبيق مكتب دعم فني صغيرًا من أجل الفيديو: PHP عادية مع مجلد عام (public)، وصنف لقاعدة البيانات، وملف إعدادات. فيما يلي طريقة عمل المراجعة كما تصفها Google، مطبقة على هذا التطبيق. (توضيح، وليس تشغيلًا فعليًا.)

الخطوة 1: تحديد النطاق

تزوّد Carbon بشيفرتك الخاصة، ونسخة تجريبية (Staging) تحتوي على بيانات وهمية. لا تستخدم بيئة الإنتاج أبدًا، ولا أي نظام لا تملكه.

الخطوة 2: البحث عن الأخطاء

يقرأ Carbon قاعدة الشيفرة كاملة، وليس ملفًا واحدًا فقط. في تطبيقنا سيرصد أربع مشكلات:

• حقن SQL في الملف ticket.php: يُدمج الرقم القادم من الرابط مباشرة داخل الاستعلام.
• IDOR في السطر نفسه: يستطيع أي مستخدم مسجّل الدخول فتح أي تذكرة بتغيير الرقم. الماسحات الأمنية البسيطة تفوّت هذه الثغرة غالبًا، لأن الشيفرة تبدو طبيعية.
• مفتاح دفع حقيقي مكتوب داخل الشيفرة في الملف config.php.
• XSS في الملف search.php: تُعاد كلمة البحث إلى الصفحة دون تهريب (Escaping).

إليك السطر الضعيف في الملف ticket.php:

// ticket.php (vulnerable)
$sql = "SELECT * FROM tickets WHERE id = " . $_GET['id'];
$ticket = $db->query($sql)->fetch();

الخطوة 3: الإثبات

هنا تختلف Carbon عن غيرها. يتحقق في النسخة التجريبية من إمكانية استغلال كل خطأ فعليًا. هل يستطيع الحقن قراءة تذكرة شخص آخر؟ نعم، مؤكد. وإذا بدا شيء ما ثغرة دون أن يكون كذلك، مثل مخرجات مُهرَّبة أصلًا في الملف admin.php، فإنه يضع عليه علامة غير قابل للاستغلال. وهذا يقلل الضجيج الذي يضطر فريقك إلى قراءته.

الخطوة 4: الترقيع

تحصل على قائمة مرتبة، تأتي فيها الأخطاء المؤكدة عالية الخطورة في المقدمة، مع ترقيع لكل خطأ.

الترقيعات: إصلاحات PHP حقيقية يمكنك استخدامها اليوم

حقن SQL وIDOR في إصلاح واحد

استخدم عبارة محضّرة (Prepared Statement)، ومرّر الرقم بشكل منفصل، وأضف فحصًا يتأكد أن المستخدم المسجّل هو مالك التذكرة:

// ticket.php (fixed)
$stmt = $pdo->prepare(
    'SELECT * FROM tickets WHERE id = ? AND user_id = ?'
);
$stmt->execute([(int) $_GET['id'], $_SESSION['user_id']]);
$ticket = $stmt->fetch();if (!$ticket) {
    http_response_code(404);
    exit('Ticket not found');
}

الجزء AND user_id = ? هو السطر الذي يغلق ثغرة IDOR.

المفتاح المسرّب

انقله إلى متغير بيئة (Environment Variable)، وأبقِ ملف .env خارج Git، وغيّر المفتاح. إذا سبق أن رُفع إلى المستودع، فاعتبره مسروقًا.

// config.php (fixed)
return [
    'db_host'     => 'localhost',
    'payment_key' => getenv('PAYMENT_KEY'),
];

# .gitignore
.env

XSS في صفحة البحث

هرّب كل ما تعيد طباعته إلى الصفحة:

// search.php (fixed)
$q = $_GET['q'] ?? '';
echo 'Results for: ' . htmlspecialchars($q, ENT_QUOTES, 'UTF-8');

في Laravel، معظم هذه الحماية مدمج

• Eloquent ومنشئ الاستعلامات (Query Builder) يربطان القيم التي تمررها نيابةً عنك.
• السياسات (Policies) تتحقق من المالك: $this->authorize('view', $ticket);
• الصيغة {{ }} في Blade تهرّب المخرجات.

تعود الأخطاء عندما تستخدم استعلامات خام (DB::raw أو whereRaw مع مدخلات المستخدم)، أو عندما تستخدم Blade دون تهريب ({!! !!}).

عملك لا يختفي

اقرأ كل ترقيع، وشغّل اختباراتك، واختبر مرة أخرى في النسخة التجريبية قبل الدمج. هذه قاعدتي من عملي مع العملاء: مراجعة الذكاء الاصطناعي خطوة أولى سريعة، وليست موافقة نهائية. يبقى الإنسان هو المسؤول عن الإصدار.

ماذا يستطيع Gemini 4 Carbon أيضًا؟

الأمن هو العنوان الأبرز، لكن Google درّبت Carbon على أكثر من ذلك بكثير:

• الوكلاء طويلو المدى: مهام تستغرق ساعات أو أيامًا، مثل إعادة هيكلة كبيرة أو ترحيل إطار عمل.
• البرمجة وتطوير الويب الكامل (Full-stack): في WebDev Arena قفز 89 نقطة ليصل إلى المركز الرابع.
• الصور والفيديو: يفهم النموذج الاثنين، وتقول Google إنه تحسّن في المهام العلمية أيضًا.
• صعوبة خداعه: في اختبارات Google، نجحت هجمات حقن التعليمات (Prompt Injection) بنسبة 0%، وانخفضت تنبيهات السلوك الخطير بنحو 80%.

مرة أخرى، هذه أرقام Google. عندما يُتاح Carbon للمطورين، توقّع أن يكون نموذج برمجة أولًا، والأمن ميزة إضافية.

مشكلات شائعة وحلولها

1. لا تجد Carbon في تطبيق Gemini أو في قائمة نماذج API.
هذا طبيعي، فهو غير متاح للعامة بعد. إذا احتجت نموذجًا اليوم، فإن Gemini 4 Argon هو النموذج الرائد العام من Google.

2. موقع أو تطبيق يعرض عليك الوصول إلى Gemini Carbon أو مفتاح API خاص بـ Carbon.
هذا احتيال. الطريق الوحيد اليوم هو Google Cloud عبر Fairwind.

3. تقدّم فريقك بطلب ولم يحدث شيء.
يخدم Fairwind القطاعات ذات الأولوية أولًا. تواصل مع فريق حسابك في Google Cloud، وتأكد من أنك تستوفي شروط المصادقة متعددة العوامل وقواعد الفريق.

4. تريد فحص موقع عميل.
احصل على إذن مكتوب، واستخدم نسخة تجريبية، والتزم بالنطاق المحدد. هذا هو القانون، وهذه هي قواعد Fairwind.

الأسئلة الشائعة

ما هو Gemini 4 Carbon؟

Gemini 4 Carbon هو أقوى نموذج ذكاء اصطناعي تطوره Google، وقد أُعلن عنه في 28 أكتوبر 2026. دُرّب على إيجاد الثغرات الأمنية، والتحقق من إمكانية استغلالها، ثم ترقيعها.

هل أستطيع استخدام Gemini 4 Carbon اليوم؟

فقط إذا قبلت مؤسستك في برنامج Fairwind التابع لـ Google. لا توجد واجهة API عامة، ولا يظهر النموذج في تطبيق Gemini.

كم يكلّف Gemini 4 Carbon؟

تعلن Google عن سعر 2 دولار لكل مليون رمز إدخال و10 دولارات لكل مليون رمز إخراج خلال فترة التعريف، ثم 4 دولارات و20 دولارًا.

ما الفرق بين Gemini 4 Carbon وGemini 4 Argon؟

Argon (13 أكتوبر) هو النموذج الرائد العام من Google في AI Studio وواجهة API المدفوعة. أما Carbon فأقوى ومركّز على الأمن، لكنه مقصور حاليًا على المدافعين المعتمدين.

هل يستطيع Gemini 4 Carbon أن يحل محل مراجعة أمنية؟

لا. استخدمه خطوة أولى سريعة. يبقى الإنسان مسؤولًا عن قراءة كل ترقيع، وتشغيل الاختبارات، وتحمل مسؤولية الإصدار.

الخلاصة

Gemini 4 Carbon هو أقوى نموذج لدى Google، صُمم لإيجاد الثغرات الأمنية وإثباتها وترقيعها. وهو حاليًا متاح فقط للمدافعين المعتمدين في برنامج Fairwind. تسير مراجعة تطبيق PHP بواسطته وفق المراحل تحديد النطاق، ثم البحث، ثم الإثبات، ثم الترقيع، ثم يراجعها إنسان. الإصلاحات الأربعة السابقة تعمل اليوم، سواء استخدمت Carbon أو لم تستخدمه.

التالي في سلسلة أدوات الذكاء الاصطناعي: Google Antigravity Tutorial for Beginners، وهو محرر أكواد يعتمد على الوكلاء أولًا.

مقالات ذات صلة:

• مراجعة Kimi K3.1 Pro: هل يمكن أن يحل محل Claude لمطوري Laravel؟
• Laravel API Tutorial for Beginners
• Updated WordPress and Still Hacked? Patch PHP Now (PHP2Shell)

المصادر

• Google، “Introducing Gemini 4 Carbon” (28 أكتوبر 2026): https://blog.google/innovation-and-ai/models-and-research/gemini-models/introducing-gemini-4-carbon/
• Google DeepMind، برنامج Fairwind: https://deepmind.google/fairwind-program/
• Forbes، “Google limits Gemini 4 Carbon to vetted cyber defenders” (30 أكتوبر 2026): https://www.forbes.com/sites/janakirammsv/2026/10/30/google-limits-gemini-4-carbon-to-vetted-cyber-defenders/
• 9to5Google، إعلان Gemini 4 Carbon (28 أكتوبر 2026): https://9to5google.com/2026/10/28/gemini-4-carbon-announcement/
• Google، “Introducing Gemini 4 Argon”: https://blog.google/innovation-and-ai/models-and-research/gemini-models/introducing-gemini-4-argon/

تم التحقق من الحقائق بتاريخ 31 أكتوبر 2026. قد تتغير شروط الوصول والأسعار.

---

هذا المقال ترجمة عربية للمقال الأصلي باللغة الإنجليزية للكاتب عبد المهيمن شموط على mouhimen.dev.