أمن الذكاء الاصطناعي يحتاج إلى رأي ثانٍ

يكتب الذكاء الاصطناعي البرمجيات بوتيرة أسرع من قدرتنا على تأمينها. فهل تواكب هذا التغير؟

قبل أن تنتهي من قراءة هذه الجملة، سيكون المطورون ووكلاء الذكاء الاصطناعي قد أودعوا بضعة آلاف من التعديلات البرمجية. وفي مثل هذا الوقت من العام الماضي، كان العدد سيبلغ نحو 150 تعديلًا.

شهد العام الماضي تسارعًا مذهلًا في إنتاج البرمجيات بالذكاء الاصطناعي. وسجّلت GitHub 7.38 مليار عملية إيداع للتعديلات البرمجية في سبتمبر 2026 وحده، أي أكثر من خمسة أضعاف إجمالي العدد قبل عام. وتداعيات هذا الانفجار على الأمن بالغة الخطورة؛ فكل عملية إيداع من هذه العمليات تتضمن شيفرة يُفترض أن يفهمها أحدهم ويصونها ويؤمّنها. ووجدت Cloud Security Alliance أن المطورين الذين يستعينون بالذكاء الاصطناعي في شركات Fortune 50 يودعون الشيفرات بمعدل يفوق نظراءهم بثلاث إلى أربع مرات، بينما ارتفع عدد النتائج الأمنية التي يتوصلون إليها شهريًا بنحو عشرة أضعاف.

والآن، تأملوا من سيتحمل تبعات هذه الزيادة. لم يتغير حجم فريق مسؤول أمن المعلومات مقارنة بالعام الماضي، لكن حجم الأعمال المتراكمة لم يبقَ على حاله. فبلاغات الثغرات تتزايد، والإصلاحات الشهرية تتراجع، والثغرات الحرجة التي لم تُعالج آخذة في التوسع. وليس مستغربًا أن تقول Gartner إن إنهاك مسؤولي أمن المعلومات أصبح خطرًا تشغيليًا جسيمًا.

إغراء أحدث النماذج

عندما يكون الرقم بهذا الحجم، يميل المرء إلى السعي وراء رقم أكبر: نتائج أكثر، وتغطية أوسع، وعمليات فحص أكثر. لكن ذلك يشبه تفريغ قارب يغرق والمطالبة بدلو أكبر، بينما ما تحتاج إليه هو العثور على موضع التسرب. لا يُقاس برنامج الأمن بكمية ما يكتشفه، بل بمدى صحة ما يكتشفه، وبعدد النتائج الأشد خطورة التي تُعالَج بالفعل.

تتفوق نماذج الذكاء الاصطناعي الرائدة في اكتشاف أساليب استغلال جديدة وثغرات غير مدرجة في الفهارس، بفضل الاستدلال الاحتمالي. لكن النتائج تتفاوت؛ إذ لا تتطابق نتائج سوى نحو ثلث عمليات الفحص عند فحص الشيفرة نفسها خمس مرات، وفقًا لأبحاث Checkmarx.

لهذا السبب يظل التحليل القائم على القواعد مهمًا، رغم هذا التفاوت. فهو أقل مرونة من الذكاء الاصطناعي الرائد، لكنه يطبق المنطق المثبت بالطريقة نفسها في كل مرة، ما يتيح للفرق الوثوق بالنتائج والتحقق منها. ويكتشف الذكاء الاصطناعي ما قد تفوته القواعد، مثل نقاط الضعف المألوفة في أشكال غير مألوفة، أو العيوب التي لا تصبح قابلة للاستغلال إلا عند تفاعل أجزاء منفصلة من الشيفرة. ويكشف الجمع بين الذكاء الاصطناعي والتحليل القائم على القواعد مزيدًا مما يهم، مع عدد أقل من الإنذارات الكاذبة.

ليس في هذا ما يدعو إلى رفض الذكاء الاصطناعي، بل إنما يعني أن الأمن يحتاج إلى رأي ثانٍ. أيًا كانت الأداة التي تختارها، فاحكم عليها وفق ثلاثة أسئلة.

السؤال الأول: موثوقية النتائج

حين يشير الماسح إلى وجود مشكلة، فهل تستحق وقتك؟

موثوقية النتائج تعني الثقة. فالنتيجة غير الصحيحة تكلّف المطور عصرًا كاملًا، وتنتقص أكثر قليلًا من مصداقية فريق الأمن. وعند التوسع، تكون الإيجابيات الكاذبة سببًا في توقف الفرق عن الإصغاء. إذ تصبح التنبيهات كأنها «إنذار كاذب» وتتلاشى وسط ضجيج الخلفية.

هنا تبرز أهمية الاتساق. فالتحليل الحتمي يعطي الإجابة نفسها كل مرة عند فحص الشيفرة نفسها، ما يعزز الثقة ويجعل النتائج قابلة للتدقيق.

السؤال الثاني: الدقة

هل تكتشف المجموعة الكاملة للمشكلات الأشد أهمية؟

توضح موثوقية النتائج ما إذا كانت النتيجة تستحق وقتك، لكنها لا تكشف ما أغفله الماسح. ونستخدم مقياسًا عمليًا يُعرف باسم درجة F1، تعود أصوله إلى علم البيانات. وتقيس درجة F1 الأداء على مقياس من 1-0، استنادًا إلى عاملين:

• الإحكام: نسبة النتائج المُبلّغ عنها التي تكون صحيحة. ويعني الإحكام المرتفع عددًا أقل من الإنذارات الكاذبة.
• الاستدعاء: نسبة الثغرات الحقيقية التي يكتشفها الماسح بالفعل. ويعني الاستدعاء المرتفع أن القليل يفلت من الكشف.

قد يبدو الماسح دقيقًا إذا لم يشر إلا إلى عدد ضئيل جدًا من المشكلات، أو شاملًا إذا أشار إليها كلها، لكن درجة F1 ستكون منخفضة في الحالتين. ويبلغ متوسط القطاع نحو 0.20. وقد بذلنا جهودًا كبيرة لمعالجة هذا التحدي، وحققنا نتائج تفوق دقة الماسح القياسي بثلاث إلى أربع مرات.

تجعل الدقة الأفضل كل ما يلي عملية الفحص أسهل على المطورين. فيقضي فريقك وقتًا أقل في التحقق ووقتًا أطول في الإصلاح.

السؤال الثالث: العائد على الاستثمار

كيف نحقق أقصى استفادة من الاستثمار والموارد؟

غالبًا ما يُتجاوز هذا السؤال خلال المرحلة التجريبية، ولا يُجاب عنه إلا في بيئة الإنتاج، وبأشد الطرق إيلامًا.

تحتسب النماذج الرائدة الرسوم وفق عدد الرموز، ويُستهلك الرصيد بصرف النظر عما إذا كانت عملية الفحص قد اكتشفت أي شيء. وتكلف عملية فحص مستودع يضم مليون سطر أكثر من ألف دولار وفق الأسعار المنشورة حاليًا. كما يتفاوت استهلاك النماذج للرموز تفاوتًا كبيرًا؛ إذ يختلف السعر باختلاف النموذج الذي تختاره ومقدار الاستدلال اللازم لإنجاز المهمة.

اضرب ذلك في عدد كل عمليات إيداع التعديلات البرمجية وطلبات السحب والمستودعات في مؤسسة واحدة. ويُقال إن Uber، التي تنفق 3.4 مليار دولار سنويًا على البحث والتطوير (R&D)، استنفدت كامل ميزانيتها المخصصة للذكاء الاصطناعي لعام 2026 بعد أشهر من طرح أدوات البرمجة بالذكاء الاصطناعي.

نطلق على ذلك «ضريبة الرموز». الأمر أشبه بقيادة سيارة فيراري لشراء حاجيات البقالة: فأنت تدفع ثمن قوة لا تحتاج إليها هذه الرحلة. أما بيانات الاعتماد المضمّنة في الشيفرة وحقن SQL، فهما نمطان متوقعان تغطيهما التحليلات الحتمية بموثوقية.

لا بد أن يتطور أمن التطبيقات

هذا هو المنطق الذي تقوم عليه بنية Checkmarx Fusion. فالمحركات القائمة على القواعد تحدد الحقيقة المرجعية على نحو قابل لإعادة الإنتاج وبتكلفة أقل من التحليل المعتمد على الرموز. أما النماذج المتقدمة، فتُوجَّه إلى ما لا تستطيع القواعد توقعه: الأنماط الجديدة، والمنطق المعقد، وإمكانية الاستغلال في سياقه. ثم تدمج طبقة تحليل النتائج هذه المخرجات في مجموعة واحدة موثوقة.

يوفر النهج الحتمي اليقين، ويوفر الذكاء الاصطناعي نطاقًا أوسع. وهكذا تتحسن التغطية والموثوقية معًا. وبالمقارنة مع نموذج لغوي كبير يعمل بمفرده، نحقق مطابقة للنتائج تصل إلى أربعة أضعاف، ودقة أعلى بمرتين إلى أربع مرات، وبتكلفة تقارب الثلث.

اكتشاف المشكلات ليس سوى البداية. وينطبق المنطق نفسه على الوقاية منها. لنأخذ مثالًا. فبتمكين المطورين في مرحلة إنشاء الشيفرة، داخل بيئة التطوير المتكاملة التي يكتبونها فيها، يمكننا منع المشكلات قبل ظهورها. وبالمثل، عندما يتعلق الأمر بالثغرات التي تنجح في اجتياز وسائل الوقاية، فلماذا لا نوفر للمطورين إصلاحات جاهزة للدمج لمعالجة أهمها؟ هذه هي التحديات التي نعمل على حلها، بهدف تقليص الأعمال المتراكمة القائمة تدريجيًا، وتحقيق أسرع أثر بأقل جهد.

الشيفرة قيد التشغيل. فهل تستطيعون مواكبتها؟

منح الذكاء الاصطناعي المهاجمين هدية السرعة. ولا يكمن سد هذه الفجوة في إضافة أداة أخرى، بل في اتخاذ قرار بشأن كيفية بناء البرمجيات وتأمينها في مؤسستكم بأكملها. فالشيفرة التي تُكتب اليوم ستُشغّل أعمالكم لسنوات. ولم يعد السؤال المطروح على قادة الأمن هو مقدار السرعة الإضافية التي يتيحها الذكاء الاصطناعي لكم في البناء، بل ما إذا كانت برامجكم قادرة على مواكبة ما ينشئه.

لذا، لا تدعوا الأرقام تشتت انتباهكم. اطرحوا ثلاثة أسئلة على أي برنامج: هل يمكنني الوثوق بما يكتشفه؟ وهل يكتشف قدرًا كافيًا مما يهم؟ وهل يمكن تطبيقه عمليًا في مؤسستي بأكملها؟ إن الجمع بين الدقة الحتمية والاستدلال المتقدم يمنحكم أفضل فرصة للإجابة بنعم عن الأسئلة الثلاثة كلها.

البرمجيات لا تتباطأ. ومهمتنا الآن هي سد فجوة المخاطر: المسافة بين سرعة إنشاء البرمجيات وسرعة اكتشاف المخاطر ومعالجتها.