نشرت Google في 3 سبتمبر Mantis، مطلقةً كإطار مفتوح المصدر الأداة التي تقول إنها جزء من نهجها الداخلي في العثور على الثغرات وإصلاحها بسرعة الآلة. وتؤتمت discovery, triage, reproduction and patching، مع دمج وكلاء critic وreview مع إعادة إنتاج معزولة في sandbox لإسناد النتائج.
الجملة التي أسيء فهمها
يقول منشور Google: «While sloppiness in AI code scanning frequently leads to hallucinated bugs and weak true-positive rates under 7%, we designed Mantis to be effective by combining industry-standard agentic techniques like critic and review agents with sandboxed reproduction of vulnerabilities for grounding.» يشير هذا الرقم إلى حالة المجال التي تضع Google نفسها في مواجهتها. إنه بيان المشكلة، لا نتيجة المنتج.
ما يخطئ فيه التأطير الشائع
خلال ساعات، كان رقم 7% يتداول بوصفه معدل الإيجابية الحقيقية الخاص بـ Mantis، وهو ما يعكس الادعاء بالكامل — إذ يحوّل انتقادًا لأساليب منافسة إلى اعتراف يتعلق بأداة Google. والنقطة الأصعب، والأجدر بالإشارة: المنشور لا يقدّم أي رقم دقة لـ Mantis. لا معدل إيجابية حقيقية، ولا نتيجة معيارية، ولا جدول مقارنة. يحصل القارئ على بنية موصوفة وادعاء بالفعالية. أما رقم 7% غير المسند، فهو الذي يقوم بالدور الاستدلالي في التغطية، تحديدًا لعدم وجود رقم مقاس بديل يمكن الاستشهاد به.
لماذا يعد الإسناد جزءًا من الادعاء التصميمي
البنية هي الإفصاح الجوهري. تقارير الثغرات المتخيلة هي نمط الفشل الذي حوّل أدوات فحص الشيفرة بالذكاء الاصطناعي إلى عبء على القائمين بالصيانة — فكل إيجابية كاذبة تستهلك وقتًا بشريًا في الفرز، وقد بدأت مشاريع مفتوحة المصدر ترفض التقارير المولدة بالذكاء الاصطناعي رفضًا قاطعًا. وتتمثل إجابة Mantis في إعادة الإنتاج المعزولة في sandbox: لا تُعد النتيجة نتيجةً إلا إذا تمكن الإطار من استدعائها. هذا هو الرد المعماري الصحيح، ويمكن التحقق منه من قبل أي شخص يشغّل الشيفرة، وهي ميزة طرحه مفتوح المصدر.
ما الذي ينقص
لا يذكر المنشور أي ترخيص. وبالنسبة إلى إطلاق مفتوح المصدر يستهدف القائمين على الصيانة ومشغلي البنى التحتية الحيوية، فإن الترخيص ليس تفصيلًا — فهو يحدد من يمكنه استخدام الأداة تجاريًا وتحت أي شروط. وعلى من يعتزم اعتمادها أن يقرأ المستودع، لا الإعلان.