المشكلة: السرعة تضاعفت، والمراجعة لم تتضاعف
خلال العامين الماضيين تغيّرت طريقة كتابة الكود جذريًا. صار المطوّر العربي — موظفًا كان أو مستقلًا — يصف الميزة بالعربية أو الإنجليزية، فيأتيه ملف كامل جاهزًا للتشغيل خلال ثوانٍ. المشكلة أن ما تغيّر هو سرعة الإنتاج فقط؛ أما خطوة المراجعة الأمنية فبقيت كما كانت: خطوة يدوية يتخطّاها الكثيرون لأن الكود «يعمل».
وهنا يكمن الفخ. الكود المولَّد بالذكاء الاصطناعي يعمل غالبًا من المحاولة الأولى، ويبدو نظيفًا ومنظّمًا ومعلّقًا بشكل جيد، وهذا بالضبط ما يخدع العين. الأخطاء التي يرتكبها ليست أخطاء صياغة تكشفها الترجمة، بل قرارات أمنية خاطئة: نقطة نهاية بلا تحقّق من الصلاحيات، مفتاح API مكتوب في الملف، أو إدخال مستخدم يذهب إلى الصفحة دون تهذيب.
ما تقوله أرقام 2026 بالتحديد
صدر في 2026 تقريران يستحقان الانتباه. الأول من شركة Veracode (تموز 2026) اختبر مخرجات عدد من النماذج على مهام برمجية، ووجد أن نحو 44% من مهام توليد الكود أدخلت ثغرة أمنية خطيرة، وأن متوسط «معدل النجاح الأمني» عبر النماذج بقي عند 56% تقريبًا — أي بلا تحسّن يُذكر عن التقرير السابق، في الوقت الذي صارت فيه صحة الصياغة البرمجية شبه كاملة.
الأهم أن الضعف غير موزّع بالتساوي. في القياس نفسه كان أداء النماذج جيدًا في تفادي حقن SQL (نحو 83%) واختيار خوارزميات تشفير سليمة (نحو 87%)، لكنه انهار في نوعين تحديدًا: البرمجة العابرة للمواقع (XSS) بنحو 15% فقط، وحقن السجلات (Log Injection) بنحو 12%. بعبارة أوضح: النموذج يحميك من الثغرة الشهيرة التي قرأ عنها كثيرًا، ويتركك مكشوفًا في الثغرة الأقل شهرة.
التقرير الثاني قياس أجرته شركة Arnica في تشرين الأول 2026 على ستة نماذج من خمسة مزوّدين، داخل أدوات الوكلاء التي تُستخدم فعليًا، وعلى تطبيقات بلغات Python وTypeScript وJava وC#. النتيجة: قرابة 47% من القرارات الأمنية في الكود المولَّد كانت خاطئة في غياب قواعد أمنية صريحة، و70% من الجلسات أدخلت ثغرة حرجة أو عالية الخطورة، و31% منها نسخت مفتاح API مزروعًا في نص المهمة ودفعته إلى المستودع.
ملاحظة منهجية مهمة: الجهتان تبيعان أدوات أمن تطبيقات، والأرقام مأخوذة من تقاريرهما الترويجية، والتقريران يقيسان شيئين مختلفين (مخرجات نموذج مقابل سلوك وكيل كامل) فلا يصحّ جمع النسبتين أو مقارنتهما مباشرة. لكن اتجاه الإشارة واحد وواضح بما يكفي لتغيير طريقة عملك.
الثغرات التي تتكرر أكثر من غيرها
اللافت في قياس تشرين الأول أن الثغرات المتكرّرة ليست «هجمات متقدّمة»، بل أساسيات منسيّة. أكثرها تكرارًا كان:
- غياب التحقّق من الصلاحيات أو كسره — نقطة نهاية تتحقّق من هوية المستخدم ولا تتحقّق من حقّه في الوصول لهذا السجل تحديدًا. كان هذا أعلى بند في القياس بفارق واضح.
- الأسرار المكتوبة داخل الكود — مفاتيح، كلمات مرور قواعد بيانات، رموز وصول، تُكتب مباشرة في الملف «مؤقتًا» ثم تُنسى.
- استهلاك موارد بلا حدود — حلقات ومعالجات بلا سقف للحجم أو المهلة أو عدد الطلبات، وهي بوابة هجمات تعطيل الخدمة.
- صلاحيات زائدة — حاويات تعمل بصلاحية الجذر، وأدوار سحابية واسعة أكثر مما تحتاجه المهمة.
- فجوات إدارة الجلسات — غياب حماية CSRF، أو عدم إبطال الجلسة بعد تسجيل الخروج أو تغيير كلمة المرور.
انظر إلى القائمة بعين المستقل أو صاحب المشروع الصغير: هذه ليست ثغرات تُكتشف بتجربة التطبيق يدويًا، وكلها تمرّ بصمت لأن التطبيق يعمل بشكل طبيعي تمامًا بوجودها.
الإجراء الأرخص والأكبر أثرًا: اكتب قواعدك حيث يقرؤها الوكيل
الخبر الجيد في قياس تشرين الأول هو أن المعالجة ليست مكلفة. عندما وُضع ملف قواعد أمنية صريحة داخل المستودعات — بحيث يقرأه الوكيل قبل أن يكتب — انخفض معدل القرارات الأمنية الخاطئة من نحو 47% إلى نحو 17%، ونزلت الأسرار المكتوبة في الكود إلى جزء بسيط مما كانت عليه. والأهم أن الوكيل صار يصلح ثغرات قديمة موجودة أصلًا في المشروع أثناء عمله.
لكن الصورة ليست وردية بالكامل، وهذا ما يجب أن تأخذه من القياس: حتى مع القواعد، أكثر من نصف الجلسات أدخلت كودًا فيه ثغرة واحدة على الأقل، وبعض الفئات ساءت بدل أن تتحسّن (استهلاك الموارد والصلاحيات الزائدة تحديدًا)، كما تضاعف عدد التغييرات الكاسرة في الجلسة الواحدة. القواعد تقلّص المساحة، ولا تغني عن المراجعة ولا عن بوابة الدمج والفواحص الآلية.
الخلاصة العملية في سطر: القواعد تمنع أكثر مما تكتشفه المراجعة، والمراجعة تكتشف ما تفوته القواعد، وأنت تحتاج الاثنين. وهنا يأتي دور برومبت المراجعة.
مدقّق أمني للكود المولّد بالذكاء الاصطناعي
هذا البرومبت جاهز على شبيك ومصمّم تحديدًا لهذه الحالة: أن يكون لديك كود كتبه الذكاء الاصطناعي ويعمل، وتريد قراءته بعين مدقّق أمني لا بعين من كتبه. يحوّل المساعد إلى مراجع أمني يفحص الكود بحثًا عن قرارات التحقّق والصلاحيات، والأسرار المكشوفة، وتهذيب المدخلات والمخرجات، وحدود الاستهلاك، ثم يعيد لك النتائج مرتّبة بحسب الخطورة مع التعديل المقترح لكل بند.
قيمته الحقيقية أنه يفحص الفئات التي تثبت الأرقام أن النماذج أضعف فيها — لا فحصًا عامًا فضفاضًا «هل هذا الكود آمن؟» الذي يعود دائمًا بجواب مطمئن بلا قيمة.
جرّب البرومبت الآن: مدقّق أمني للكود المولّد بالذكاء الاصطناعي
سير عمل من ثلاث خطوات قبل كل دمج
الخطوة الأولى — قبل الكتابة: ضع ملف قواعد في جذر المستودع (CLAUDE.md أو AGENTS.md أو ملف قواعد أداتك) يذكر صراحةً: كل نقطة نهاية تتحقّق من الصلاحية لا من الهوية فقط، الأسرار من متغيّرات البيئة حصرًا، كل إدخال يُهذّب قبل العرض وقبل التسجيل، وكل معالج له سقف للحجم والمهلة. جملة واحدة لكل بند تكفي، والمهم أن تكون في مكان يقرؤه الوكيل تلقائيًا.
الخطوة الثانية — بعد التوليد: خذ الملف المولَّد وشغّل عليه مدقّق أمني للكود المولّد بالذكاء الاصطناعي في محادثة جديدة ومنفصلة. هذه التفصيلة ليست شكلية: النموذج الذي كتب الكود في السياق نفسه يميل إلى الدفاع عن قراراته، أما محادثة نظيفة فتقرأ الكود كما هو.
الخطوة الثالثة — قبل الدمج: للكود الذي سيعيش طويلًا، أضف مراجعة لجودة البنية لا للأمن فقط، عبر مراجع كود Python متقدم إن كان مشروعك بـ Python. ثم أبقِ الفواحص الآلية وبوابة الدمج عاملة؛ فكما تقول الأرقام، شيء ما سيتسلّل دائمًا.
أربعة أخطاء تفقدك قيمة المراجعة
1) السؤال العام. «راجع أمان هذا الكود» يعيد لك قائمة عمومية مطمئنة. حدّد ما يفحصه ومن يستخدم التطبيق وما هي البيانات الحسّاسة فيه، وستتغيّر جودة الإجابة كليًا.
2) المراجعة في المحادثة نفسها. اطلب المراجعة في سياق جديد، وأعطِ النموذج الكود وحده لا تاريخ كتابته ولا تبريراتك.
3) لصق الأسرار في المهمة. لا تضع مفتاحًا حقيقيًا في نص الطلب إطلاقًا — ثلث الجلسات في القياس دفعت المفتاح الملصوق إلى المستودع. استخدم قيمة وهمية واضحة.
4) الثقة بأن الإصلاح نجح. عندما يقترح النموذج تعديلًا، اطلب منه بيان سبب الثغرة وكيف يمنعها التعديل تحديدًا، ثم تحقّق بنفسك. التصحيح الذي لا تفهمه ثغرة مؤجّلة.
جرّب وشارك نتائجك
خذ أحدث ملف كتبه لك الذكاء الاصطناعي هذا الأسبوع — ولو كان صغيرًا — وشغّل عليه مدقّق أمني للكود المولّد بالذكاء الاصطناعي. البرومبت يعمل مع ChatGPT وClaude وGemini، ولا يحتاج أدوات أو اشتراكات إضافية.
الأرجح أنك ستجد بندًا أو اثنين لم تكن تتوقّعهما، وأكثرها شيوعًا نقطة نهاية تتحقّق من الهوية وتنسى الصلاحية. شاركنا ما وجدته ونوع الثغرة التي تكرّرت في مشروعك — فتجارب المطوّرين العرب في هذا الموضوع تحديدًا ما زالت شبه غائبة، وكل تجربة تُنشر تفيد غيرك.