عفوًا! تحتوي معظم أوراق arXiv على معلومات لا يُقصد مشاركتها على الإطلاق

توصلت دراسة جديدة إلى أن ما يقرب من ثلاثة ملايين ورقة بحثية متاحة على خادم الطباعة المسبقة arXiv تحتوي على تفاصيل لم يقصد المؤلفون أبدًا مشاركتها.

حللت الدراسة، التي تم تحميلها على موقع arXiv في أبريل، وتم تقديمها في ندوة معهد مهندسي الكهرباء والإلكترونيات حول الأمن والخصوصية في سان فرانسيسكو، كاليفورنيا، في مايو، حوالي 2.7 مليون مقالة منشورة في المستودع حتى ديسمبر 2025، وهو ما يمثل 93% من المسودات المطبوعة. وجدت أن 88% من المشاركات التي تحتوي على ملفات مصدر LaTeX تضمنت شكلاً من أشكال المعلومات المخفية، بدءًا من الحجج بين المؤلفين المشاركين وقوائم المهام التي تعترف بنقاط الضعف في النص، إلى كلمات المرور، وإحداثيات نظام تحديد المواقع العالمي (GPS) التي يمكن أن تكشف عن عنوان منزل الباحث، ومفاتيح واجهة برمجة التطبيقات (API) – وهي سلاسل من الأحرف التي تعمل مثل كلمات المرور للمبرمجين.¹.

يقول جان بينيكامب، الباحث في مجال الأمن والخصوصية في جامعة RWTH Aachen في ألمانيا والمؤلف الأول للدراسة: “ما ذكرناه في الورقة هو في الواقع مجرد قمة جبل الجليد”. يوضح بينيكامب أن كل طبعة أولية يمكن أن تحتوي على إصدارات متعددة، تظل جميعها متاحة على الإنترنت، وقد أحصى الفريق 12 مليون ملف مصاحب أو “متدلي” والتي ستحتاج إلى فحص فردي لتقييم مدى تسرب البيانات بشكل كامل.

arXiv هو مستودع ما قبل الطباعة يحظى بشعبية خاصة في العلوم الفيزيائية والحسابية. تأسست عام 1991، وتتطلب المؤلفين الذين كتبت مخطوطاتهم بها مطاط – لغة ترميزية تُستخدم لتنضيد الأوراق العلمية – لتحميل ملفات مصدر LaTeX الخاصة بهم وإتاحتها إلى جانب ملف PDF. ولكن نظرًا لأن LaTeX يعمل مثل التعليمات البرمجية، فهو يدعم أيضًا التعليقات: سطور يمكن للمؤلفين قراءتها ولكنها لا تظهر في المستند النهائي.

يقول ريكاردو هنريكس، عالِم الفيزياء الحيوية بمعهد أنطونيو كزافييه للتكنولوجيا الكيميائية والبيولوجية في أويراس بالبرتغال، والذي يقوم بتحميل أوراقه البحثية على موقع arXiv: “إن الغالبية العظمى من الباحثين لا يهتمون إلا بملف PDF”. “وهذا أيضًا يجعل معظم الباحثين غير مدركين للتأثير المحتمل لترك التعليقات داخل ملفات LaTeX تلك.”

ما تعرض

قام بينيكامب وزملاؤه بفحص ثلاثة عناصر من تقديمات arXiv: الملفات المتدلية، والتي ليست ضرورية لإنتاج الورقة؛ البيانات الوصفية المضمنة في الصور وملفات PDF؛ والمحتوى مثل التعليقات في كود مصدر LaTeX. من بين أمور أخرى، أظهر التحليل محادثات خاصة بين المؤلفين المشاركين، بما في ذلك التعليقات البذيئة أو غير المزعجة أو المحرجة حول المنافسين في مجال الأبحاث وملاحظات المهام التي تعترف بنقاط الضعف التي لم يتم ذكرها في النص المنشور بدلاً من معالجتها.

كما قام باحثون آخرون بتوثيق تسرب البيانات في مستودع arXiv. في يناير/كانون الثاني، أفاد جيوفاني أبروزيزي، عالم الكمبيوتر في جامعة ريكيافيك وجامعة ليختنشتاين في فادوز، والباحثة في أمن الويب أورور فاس في مركز إنريا في جامعة كوت دازور في صوفيا أنتيبوليس بفرنسا، عن تحليلهم لـ 600 ألف نسخة أولية، ووجدوا أن 27% منها تتضمن “بيانات متبقية” ليست ضرورية لإنتاج ملف PDF.². حدد تحليل تفصيلي لـ 200 من هذه المطبوعات الأولية “تفاصيل بحثية غير معلنة، أو وجود بيانات مهينة” في 20%، بما في ذلك تعليقات مثل “هل يعني هذا؟”

أرخايف في 20

وفي أكتوبر الماضي، أفاد باحثون في بودابست وأوسلو وأبو ظبي باستخدام نماذج لغوية كبيرة لمسح ما يقرب من 100 ألف ملف من ملفات arXiv، وحددوا “الإفصاحات الحساسة” في حوالي 10% منها.³. وشملت هذه أرقام الضمان الاجتماعي وبيانات اعتماد تسجيل الدخول وروابط التخزين السحابي الخاصة.

قام برادلي ريفز، عالم الكمبيوتر في جامعة ولاية كارولينا الشمالية في رالي، وفريقه بتوثيق شكل مماثل من تسرب بيانات الاعتماد في مستودعات التعليمات البرمجية المصدر لـ GitHub.⁴. ويقول إن مشكلة arXiv متميزة. على GitHub، يعرف المطورون أن مستودعاتهم عامة؛ عندما تتسرب بيانات الاعتماد، يحدث الخطأ في مساحة يعرفون أنها مرئية. لكن معظم الباحثين لا يعتبرون الملفات المصدر على arXiv بمثابة مستندات عامة، والكثير من التسريبات ليست بيانات اعتماد بل ملاحظات عمل خاصة. يقول ريفز إن “arXiv يكسر هذا النموذج العقلي نوعًا ما”.

يوافق أبروزيزي. ومع تضخيم وسائل التواصل الاجتماعي لأي اكتشاف، فإن تعليقًا واحدًا محرجًا يتم اكتشافه في ملف مصدر يمكن أن ينتشر بسرعة كبيرة. ويقول: “مثل هذه الأشياء يمكن أن تدمر حياة بعض الناس”.

وبعيدًا عن التعليقات، اكتشف بينيكامب وزملاؤه 265 مفتاحًا لواجهة برمجة التطبيقات (API)، و4 مفاتيح خاصة، و171 كلمة مرور. وقد وجدوا 7326 إرسالًا تحتوي على صور تحمل علامات نظام تحديد المواقع العالمي (GPS)، وفي 235 حالة، امتدت الإحداثيات إلى مسافات قابلة للتبديل. أكد فحص عشوائي لعشر حالات من هذا القبيل أن تسعة منها حددت كلاً من مبنى بحثي وعنوان سكني، مما يشير إلى أن المؤلفين كانوا يشاركون مواقع منازلهم عن طريق الخطأ. اكتشف الباحثون 699 رابطًا لمحرّر مستندات Google وتحققوا منها يدويًا، مما يمنح حق الوصول للتعديل لأي شخص يقوم بالنقر، ويكشف عن مراجعات النظراء والتفنيدات ومحاضر الاجتماعات. وفي 18 حالة، أدت الروابط إلى بيانات المسح من المشاركين في الدراسة. يقول بينيكامب: “في بعض الحالات، كان من الواضح تمامًا أن المقصود من ذلك أن يكون سريًا”.

وكجزء من الكشف المسؤول، اتصل الباحثون بـ 2660 مؤلفًا متأثرًا، استجاب 112 منهم لمسح المتابعة. قال 41% فقط من تلك المجموعة أنهم كانوا على علم بأن arXiv ينشر ملفات المصدر. “يقول arXiv هذا بشكل أساسي على الموقع“يقول بينيكامب، مضيفًا أن الموقع يوفر “تعليمات عالية المستوى” حول كيفية تنظيف الملفات المصدر، وأن “هذه مسؤولية المؤلف”.