المشكلة التي يحلها هذا البرومبت
خلال العامين الماضيين تغيّرت طريقة كتابة الكود جذريًا: صار المبرمج يصف ما يريد، ويتولّى الذكاء الاصطناعي كتابة الدوال والواجهات البرمجية كاملة. المشكلة أن ما تحسّن هو الصياغة لا الأمان. تقرير Veracode لأمن الكود المولّد لعام 2026 يكشف أن معدّل نجاح الكود المولّد في الاختبارات الأمنية ما زال عالقًا عند 56% فقط، أي أن نحو 44% من مهام التوليد تُدخل ثغرة أمنية حقيقية إلى المشروع.
والأخطر أن الفشل ليس موزّعًا بالتساوي. الكود المولّد يتعامل جيدًا مع حقن قواعد البيانات (83% نجاح) وخوارزميات التشفير (87%)، لكنه ينهار تمامًا في تنقية المخرجات ضد XSS (15% فقط) وفي حقن السجلّات (12%). بعبارة أخرى: الثغرات التي ستقع فيها هي تحديدًا تلك التي لن يشتكي منها المترجم ولن يكشفها اختبار وظيفي، لأن الكود يعمل — وهذا بالضبط ما يجعلها خطيرة.
بالنسبة للمبرمج المستقل أو صاحب المشروع الصغير في منطقتنا، حيث لا يوجد غالبًا فريق أمن معلومات مخصّص، تصبح هذه الفجوة مسؤولية شخصية. وهنا يأتي دور البرومبت التالي.
مدقّق أمني للكود المولّد بالذكاء الاصطناعي
هذا البرومبت يحوّل أي أداة ذكاء اصطناعي إلى مهندس أمن تطبيقات يراجع كودك قبل نشره. لا يكتفي بقول "يوجد خطر محتمل"، بل يسلّمك تقريرًا من سبعة أقسام: حكم سريع بصلاحية النشر من عدمه، جدول ثغرات مرتّب من الأخطر إلى الأقل مع معرّف CWE وسيناريو الاستغلال العملي، ثم الكود المُصلَح فعليًا بصيغة قبل/بعد وليس نصيحة نظرية.
الأهم هو القسم الرابع: الثغرات الصامتة — ما الذي أغفله مولّد الكود أصلًا ولم يظهر كخطأ؟ صلاحيات الوصول على مستوى السجل الواحد، تحديد معدل الطلبات، الأسرار المكتوبة داخل الكود، وتسريب المعلومات الحساسة في رسائل الأخطاء. يختم البرومبت بقائمة تحقق خاصة بكودك أنت، واختبارات أمنية جاهزة للتشغيل تُثبت أن كل ثغرة حرجة أُغلقت بالفعل.
جرّب البرومبت الآن: مدقّق أمني للكود المولّد بالذكاء الاصطناعي
كيف تستخدم هذا البرومبت؟
ابدأ محادثة جديدة والصق البرومبت كاملًا، ثم املأ الحقول الموضوعة بين أقواس مربعة قبل الإرسال. أهم حقلين هما نوع البيانات التي يتعامل معها التطبيق وبيئة التشغيل، لأنهما ما يحدّد صرامة التدقيق: كود يعالج بيانات دفع على واجهة برمجية عامة يُقاس بمعيار مختلف تمامًا عن نموذج أولي داخلي.
بعدها أرسل الكود في رسالة منفصلة إن كان طويلًا، ودقّق ملفًا واحدًا أو وحدة وظيفية واحدة في كل مرة. رمي مشروع كامل دفعة واحدة يُنتج تقريرًا سطحيًا يمرّ على كل شيء ولا يمسك شيئًا. اختر مستوى "متشدد جدًا للإنتاج" قبل أي إطلاق حقيقي، و"متوازن" أثناء التجريب.
حين يصلك التقرير، طبّق الإصلاحات ثم أعد إرسال الكود المعدّل واطلب جولة تدقيق ثانية. هذه الجولة مهمة تحديدًا لأن الإصلاح نفسه قد يُدخل ثغرة جديدة — وهو سيناريو شائع أكثر مما يتوقع كثيرون.
نصائح للحصول على أفضل النتائج
1) كن دقيقًا في وصف السياق. "واجهة برمجية عامة على الإنترنت، بيانات شخصية للعملاء، مصادقة بـ JWT" تعطي نتيجة أعمق بمراحل من "تطبيق ويب". السياق هو ما يحوّل التدقيق من عام إلى مخصّص.
2) شغّل الاختبارات فعليًا. البرومبت يولّد من ثلاث إلى خمس حالات اختبار تنفيذية. تقرير لم يُختبر يبقى رأيًا؛ الاختبار هو ما يحوّله إلى دليل.
3) لا تكتفِ بجولة واحدة على الثغرات عالية الخطورة. اطلب من النموذج أن يشرح لك سيناريو الاستغلال خطوة بخطوة قبل أن تصلح — فهم الثغرة يمنعك من تكرارها في عشرة ملفات أخرى.
4) احتفظ بـ"درس المرة القادمة". المخرج السابع في البرومبت يعطيك صياغة قصيرة تضيفها إلى مطالباتك المستقبلية. بعد عشرة مشاريع سيكون لديك ملف تعليمات يمنع الثغرات من البداية بدل مطاردتها لاحقًا — وهذا هو المكسب الحقيقي على المدى الطويل.
جرّب وشارك نتائجك
البرومبت يعمل مع ChatGPT وClaude وGemini، ويمكنك استخدامه مع أي لغة أو إطار عمل — من Python وDjango إلى JavaScript وNext.js أو PHP وLaravel. لا يتطلّب أي أدوات إضافية ولا اشتراكات مدفوعة، فقط محادثة واحدة وخمس دقائق قبل النشر.
جرّبه على آخر ملف كتبه لك الذكاء الاصطناعي هذا الأسبوع، وشاركنا ما وجدته: كم ثغرة ظهرت؟ وهل كانت من النوع الصامت الذي لم يشتكِ منه أي اختبار وظيفي؟ تجاربكم هي ما يساعد بقية المجتمع على الانتباه لما قد يمرّ دون ملاحظة.