تأمين نظام بيئي لا مثيل له

لأكثر من عقدين من الزمن، كانت Roblox تسعى إلى تحقيق مهمة تتمثل في ربط مليار شخص بروح من التفاؤل والكياسة. وتستند هذه المهمة إلى الثقة — الثقة في أن المنصة آمنة لأكثر من 120 مليون مستخدم نشط يوميًا¹ يقومون بالإنشاء واللعب وبناء المجتمعات. ويتطلب الحفاظ على هذه الثقة برنامج أمان مصمم لمواجهة تحدٍ لا يوجد له سابقة حقيقية في هذا المجال.

تقوم معظم فرق الأمن في الشركات بحماية الشفرات التي يكتبها مهندسوها، والأنظمة التي تديرها فرقها، والبيانات التي تولدها أعمالها. أما في Roblox، فهذا ليس سوى جزء من الصورة الكاملة. تعمل منصتنا بفضل ملايين المبدعين الخارجيين، واقتصاد افتراضي حي، وبنية تحتية تمتد لتشمل مراكز البيانات المملوكة للشركة، وبيئات سحابية مؤقتة، وخدمات داخلية. كل هذا يعمل في وقت واحد، وكله يتطلب حماية مستمرة. التحديات الأمنية التي يخلقها هذا الوضع تختلف حقًا عن أي شيء آخر في عالم التكنولوجيا. أدناه، أشارككم كيف نفكر في تلك التحديات، وما قمنا ببنائه لمواجهتها، والخطوات التالية التي نتجه إليها.

نظام بيئي لا مثيل له

بالإضافة إلى تأمين الكود الذي تنتجه فرقنا الخاصة، يتضمن نموذج أعمال Roblox تشغيل كود غير موثوق به كتبته ملايين المبدعين الخارجيين. كل يوم، تنفذ Roblox نصوصًا برمجية من مبدعين قد يكونون جددًا أو عديمي الخبرة، وأحيانًا عازمين على تجاوز إجراءات الحماية لدينا. ولهذا السبب، يتعين على نموذجنا الأمني أن يفترض أن أي جزء من الكود قد يكون ضارًا أو قابلاً للاستغلال. لا تُعد تقنيات «الصندوق الرملي» والعزل ومراقبة وقت التشغيل مجرد ميزات إضافية هنا؛ بل هي الأساس الذي تعمل عليه المنصة بأكملها.

البنية التحتية التي تستند إليها المنصة معقدة بنفس القدر. إن تأمين Roblox يعني الحفاظ على رؤية مستمرة للتهديدات وتطبيق السياسات عبر بيئات لا يمكن أن تكون أكثر اختلافًا: بدءًا من مراكز البيانات المملوكة ذات الحدود الثابتة وصولًا إلى مثيلات السحابة المؤقتة التي تنشأ وتختفي في غضون ثوانٍ. وهذا يتطلب أتمتة وحوكمة للمجال قادرة على العمل بكلا السرعتين في آن واحد. وعلى عكس أمن المؤسسات التقليدي، حيث تتمثل الأصول الأساسية في البيانات والأنظمة الداخلية، فإن سطح الهجوم في Roblox يشمل اقتصادًا حيًا: ملايين العناصر الافتراضية التي تُباع مقابل عملة ذات قيمة نقدية حقيقية، والملكية الفكرية التي ينشئها المستخدمون والتي يعتمد عليها المبدعون في كسب رزقهم، والبنية التحتية للدردشة التي تخدم عشرات الملايين من الأشخاص. 

إذا حدث اختراق، فلن يكون مجرد حادثة تتعلق بالبيانات، بل سيكون ضررًا مباشرًا لأشخاص حقيقيين ودخل حقيقي. هذا الواقع هو الذي يحدد كل قرار نتخذه. هدفنا الأساسي هو جعل Roblox منصة الألعاب الأكثر أمانًا على نطاق واسع: منصة يمكن للمبدعين واللاعبين العمل فيها دون الحاجة أبدًا إلى التفكير في الأمن السيبراني. نقيس التقدم المحرز بعدد الحوادث التي تم منعها، بالإضافة إلى السرعة التي يمكن للفرق من خلالها إطلاق المنتجات بأمان، ومدى انتشار استخدام منصاتنا الداخلية، والأبحاث التي نساهم بها في المجتمع الأوسع.

الأمن كعامل تمكين، وليس كحارس

لقد انتهى عصر نموذج أمن المؤسسات القائم على الامتثال. ففرق الأمن التي تفرض المتطلبات وتترك للشركاء مهمة تحديد كيفية التنفيذ محكوم عليها بالفشل. ليس لأن المهندسين لا يهتمون بالأمن، بل لأن قيام آلاف المهندسين بتنفيذ ضوابط أمنية مخصصة يدويًّا أمر غير فعال. إذا لم تكن المنصة نفسها آمنة بشكل افتراضي، فلن يتسنى توسيع نطاق الأمن.

تقلب Roblox النموذج القائم على الامتثال رأسًا على عقب من خلال بناء منتجات داخلية تجعل المسار الآمن هو المسار الأسهل، دون إعفاء المطورين من مسؤوليتهم. في الممارسة العملية، يعني ذلك أن المفاتيح السرية يتم تغييرها تلقائيًا، بحيث لا يضطر أي مهندس إلى تذكر تحديث بيانات الاعتماد. ونعمل على أن يكون هدفنا الأساسي هو تحقيق اتصال بين الخدمات يتم المصادقة عليه افتراضيًا، دون الحاجة إلى قيام المهندسين بتوصيله بأنفسهم. توفر بطاقات تقييم الأمان لكل فريق رؤية حية لحالة الأمان لديه. الخيار الآمن متاح بالفعل — وتُظهر بطاقة التقييم فقط ما إذا كان يتم استخدامه وأين يمكن بذل المزيد من الجهد.

التبني المدروس للذكاء الاصطناعي في بيئة سريعة التغير

بينما تناقش الصناعة كيفية التعامل مع أدوات الذكاء الاصطناعي — حيث تعطي بعض الشركات الضوء الأخضر لاستخدامها دون ضوابط، بينما تحظرها شركات أخرى تمامًا — تتخذ Roblox نهجًا مختلفًا. نحن نتعامل مع اعتماد الذكاء الاصطناعي باعتباره مشكلة هندسية وأمنية يجب حلها، ونشارك ما نتعلمه مع المجتمع الأوسع. يعني الاعتماد المدروس في Roblox أننا نختبر، ونبني ضوابط، ثم نثق ونراقب. 

على سبيل المثال، قبل إعطاء الضوء الأخضر لأدوات البرمجة القائمة على الذكاء الاصطناعي داخليًّا، قمنا بإنشاء بيئة اختبار معزولة. هذا النوع من التحقق الصارم يحكم كيفية الموافقة على كل أداة جديدة للذكاء الاصطناعي للاستخدام الداخلي. الهدف ليس إبطاء سير العمل؛ بل التأكد من أننا، بينما نتحرك بسرعة، لا نخلق مخاطر تظل خفية حتى يفوت الأوان. وبهذه الطريقة، نبني خبرة عملية في المهارات التي تسعى الصناعة جاهدةً لتوظيفها الآن — فقد نما الطلب على مهارات الأمن السيبراني المتعلقة بالذكاء الاصطناعي بمقدار 2.5 مرة منذ عام 20202.

التزامنا تجاه المجتمع

يُعد أمن المعلومات في جوهره مشكلة دفاع جماعي. لا توجد شركة تتمتع بجدران عالية بما يكفي لصد خصم متحمس بمفردها، ولا تزداد قوة القطاع إلا عندما يتبادل الممارسون ما تعلموه. سيستمر مشهد التهديدات في التطور — فالذكاء الاصطناعي يعمل على تسريع التهديدات العدائية والجهات الفاعلة في مجال التهديدات — وكذلك سيتطور نهج Roblox في مواجهتها. ما لن يتغير هو التزامنا تجاه المبدعين الذين يعهدون إلينا بأعمالهم وسبل عيشهم، واللاعبين الذين يزورون منصة Roblox يوميًا متوقعين تجربة آمنة، ومجتمع الأمن الأوسع الذي نفخر بأن نكون جزءًا منه.

الأمن على هذا النطاق، وبهذه الدرجة من التعقيد، لا يوجد له خط نهاية. لكن فلسفتنا ثابتة: بناء أنظمة تجعل الأمن هو القاعدة، وليس الاستثناء. والاستثمار في الأبحاث والأدوات التي تواكب مشهد التهديدات المتطور. ومشاركة ما نتعلمه حتى تصبح الصناعة بأكملها أقوى.