ويليم ديلبار، المؤسس المشارك والرئيس التنفيذي لأيكيدو – سلسلة مقابلات

ويليم ديلبار، المؤسس المشارك والرئيس التنفيذي لشركة Aikido، رائد أعمال أسس عدة شركات للبرمجيات كخدمة، ومؤسس ذو خلفية تقنية قوية في بناء شركات برمجيات موجهة للمطورين. وقبل إطلاق Aikido عام 2022، شارك في تأسيس منصة الموارد البشرية Officient، ومبادرة الاستدامة FutureproofedCities، وشركة إدارة علاقات العملاء Teamleader. وفي الأخيرة شغل منصب المدير التقني وساعد على تنميتها لتصبح إحدى قصص النجاح البارزة في قطاع البرمجيات كخدمة في بلجيكا. وركز طوال مسيرته على تبسيط التحديات التقنية المعقدة في البنية السحابية وقابلية توسع خدمات البرمجيات والأمن السيبراني. وبقيادته، أصبحت Aikido سريعاً إحدى أسرع شركات الأمن السيبراني الناشئة صعوداً في أوروبا، بتركيزها على حلول أمنية عملية مصممة لفرق التطوير الحديثة.

أيكيدو شركة أمن سيبراني مقرها بلجيكا، تساعد المطورين وفرق الهندسة على تأمين التطبيقات والبيئات السحابية عبر منصة موحدة. وتجمع وظائف متعددة، منها فحص الشفرة وتحليل التبعيات وإدارة الوضع الأمني للسحابة والحماية أثناء التشغيل والاختبارات بمساعدة الذكاء الاصطناعي، في نظام واحد مبسط. ويهدف نهجها إلى تقليل التعقيد والإنذارات الكاذبة وإلغاء حاجة المؤسسات إلى إدارة منظومات أمنية مجزأة من عدة موردين. وتضع Aikido المطور أولاً، وتركز على الأتمتة والمراقبة المستمرة وتبسيط سير أعمال الإصلاح، لمساعدة الشركات على دمج الأمن مباشرة في دورة حياة تطوير البرمجيات.

ما الخبرات التي اكتسبتها من بناء شركات مثل Teamleader وOfficient وتنميتها، وقادتك إلى تأسيس Aikido Security عام 2022؟ وكيف أثرت خلفيتك كمؤسس تقني في رؤيتك لنهج أمن سيبراني أكثر ملاءمة للمطورين؟

خلال العقد الماضي وجدت شغفي في البرمجيات كخدمة الموجهة للشركات. شاركت في تأسيس ثلاث شركات ناشئة بصفتي المؤسس التقني المشارك والمدير التقني، وحققت ثلاث عمليات تخارج في مجالات تقنيات الموارد البشرية والفوترة ومحاسبة الكربون. كانت عوالم مختلفة تماماً، لكن جمعها الإصرار على بناء برمجيات لا تجعل الناس يرغبون في إلقاء حواسيبهم المحمولة من النافذة.

لكن الأمن كان يؤرقني في كل شركة منها. كان الخوف من تسرب البيانات حقيقياً، والأدوات المفترض أن تساعدنا تبدو كقمرة قيادة مقاتلة F-16: مكلفة ومربكة ومصممة لحامل دكتوراه في علوم الحاسوب، لا لفريق تطوير يحاول إطلاق البرمجيات بسرعة.

أسسنا Aikido Security لمعالجة هذا التحدي مباشرة. ونوفر للمؤسسات بمختلف أحجامها منصة موحدة لأمن البرمجيات تضع المطور أولاً، وتجمع ميزات الأمن الأساسية للشفرة والسحابة ووقت التشغيل في مكان واحد، لتسهيل إطلاق البرمجيات بأمان.

ومنذ ذلك الحين، سرّع الذكاء الاصطناعي تسليم البرمجيات أكثر ووسّع سطح الهجوم. وخطوتنا المقبلة هي تمكين المؤسسات من مواكبة ذلك ببرمجيات تؤمّن نفسها ذاتياً.

في فبراير أطلقنا Aikido Infinite، حلنا المستمر لاختبارات الاختراق بالذكاء الاصطناعي. وهو يتحقق من قابلية استغلال الثغرات ويستكمل دورة الإصلاح قبل وصول الشفرة إلى بيئة الإنتاج.

توصف بيئات المطورين الآن بأنها إحدى أكبر النقاط العمياء الأمنية. ما الذي تغير مؤخراً وجعل القضية بهذه الأهمية؟

كانت أجهزة المطورين دائماً أهدافاً قيّمة، فهي تحمل بيانات اعتماد السحابة ومفاتيح SSH ورموز النشر على npm وإعدادات Kubernetes، وتتيح وصولاً مباشراً إلى الشفرة المصدرية. لكن ما تغير خلال الأشهر الستة إلى الاثني عشر الماضية هو اكتشاف المهاجمين مدى سهولة اختراقها عبر الأدوات التي يثق بها المطورون أصلاً. تابعنا ذلك طوال العام: Trivy وTanStack وBitwarden CLI وإضافة Nx Console في VS Code، والآن GitHub أيضاً. جميعها تعرضت للاختراق عبر أدوات المطورين، وكان الجهاز هو المستهدف في كل حالة.

المشكلة أن معظم فرق الأمن لا ترى ما يعمل فعلياً على هذه الأجهزة. تراقب أنظمة كشف التهديدات والاستجابة لها على الأجهزة الطرفية (EDR) مستوى التطبيقات، لكنها لا ترى الحزم أو الإضافات أو أدوات الذكاء الاصطناعي التي تعمل داخلها. وفي المقابل، يجلب المطورون يومياً حزماً وإضافات وأدوات ذكاء اصطناعي جديدة مع قدر ضئيل جداً من الفحص. وسهّلت النماذج اللغوية الكبيرة إنشاء برمجيات خبيثة مقنعة، فخفضت عتبة الدخول أمام المهاجمين عموماً. وكل هذه الهجمات تستغل الفجوة بين الموجود على أجهزة المطورين وما تستطيع فرق الأمن رؤيته فعلاً.

نحن نشهد موجة من هجمات سلسلة التوريد في الوقت نفسه الذي يصبح فيه الذكاء الاصطناعي شائعاً. كيف يغير الذكاء الاصطناعي التوازن بين المهاجمين والمدافعين؟

سهّل الذكاء الاصطناعي كثيراً إنشاء برمجيات خبيثة لسلاسل التوريد. فبناء حمولات هجومية مقنعة وتمويه الشفرة وفهم سجلات الحزم بما يكفي لإساءة استخدامها، كانت أموراً تتطلب مهارة تقنية حقيقية. أما الآن فيكفي اشتراك في نموذج لغوي كبير. رأينا ذلك مباشرة مع TeamPCP، التي كانت وراء معظم هجمات سلسلة التوريد الكبرى هذا العام، بما فيها اختراق GitHub الأخير. ليست مجموعة متقدمة تقنياً بصورة خاصة، لكنها نفذت هجمات كثيرة، وكان الذكاء الاصطناعي عاملاً مهماً في توسيع نشاطها. قبل عام كنا نتعامل مع اختراق حزمة منفردة. أما الآن فنرى ديداناً ذاتية التكاثر مثل Shai-Hulud وحملات مترابطة تنتقل بين سجلات الحزم، وتستخدم بيانات الاعتماد المسروقة من اختراق للانطلاق إلى التالي.

يساعد الذكاء الاصطناعي الدفاع أيضاً، ولكن بطرق مختلفة. تستطيع فرق الأمن إجراء اختبارات اختراق مستمرة على قاعدة الشفرة بأكملها باستخدام وكلاء يختبرون مئات مسارات الهجوم بالتوازي. وهذا يتيح وقتاً للقرارات التي ما زالت تتطلب تقديراً بشرياً. وعلى مستوى الأجهزة، يساعد أيضاً على اكتشاف الحزم الخبيثة مبكراً، بتحليل ما يجري تثبيته قبل وصوله إلى جهاز المطور. لكن الواقع أن المهاجمين يستفيدون حالياً من الذكاء الاصطناعي أكثر من المدافعين؛ إذ انخفضت عتبة إنشاء البرمجيات الخبيثة أسرع من عتبة اكتشافها.

تتحدث Aikido عن نقل الأمن إلى المراحل الأسبق من سلسلة التطوير. ماذا يعني ذلك عملياً للفرق التي تبني البرمجيات وتطلقها اليوم؟

أمضى معظم القطاع سنوات في نقل الأمن إلى مرحلة أبكر، داخل مسار التكامل المستمر والتسليم المستمر (CI/CD). لكن سطح الهجوم انتقل إلى ما هو أسبق من ذلك: جهاز المطور نفسه. واختراق GitHub مثال واضح؛ لم تكن المشكلة شفرة غير آمنة وصلت إلى الإنتاج، بل إضافة VS Code مخترقة على حاسوب مطور واحد، كانت تسرّب بيانات الاعتماد قبل أن يكتب أحد سطراً من الشفرة.

عملياً، يعني ذلك أن الأمن يجب أن يعمل باستمرار حيث تُكتب الشفرة وتُثبت الأدوات. ويشمل التحقق مما يعمل على أجهزة المطورين، واكتشاف الحزم والإضافات الخبيثة قبل وصولها، واختبار المخاطر القابلة للاستغلال تلقائياً مع تغير الشفرة بدلاً من انتظار مراجعة مجدولة. والهدف دورة مغلقة يصبح فيها الاكتشاف والتحقق والإصلاح جزءاً من سير التطوير، لا عملية منفصلة تأتي بعده.

مع تنزيل وكلاء الذكاء الاصطناعي التبعيات والأدوات تلقائياً، كيف ينبغي للشركات إعادة التفكير في الثقة بالمصادر المفتوحة وشفرة الأطراف الخارجية؟

يجلب وكلاء الذكاء الاصطناعي التبعيات والأدوات تلقائياً في الوضع الافتراضي، مع قدر ضئيل جداً من الإشراف البشري. وهذا يغير نموذج الثقة جذرياً، لأن شفرة لم يختر أحد صراحة تثبيتها تعمل على أجهزة المطورين.

اختراق Vercel مثال واضح على ما قد يسوء هنا. لم تُخترق Vercel مباشرة. كانت لإضافة ذكاء اصطناعي مشروعة صلاحية OAuth للوصول إلى حساب Google لأحد الموظفين، واختُرقت تلك الإضافة في مرحلة أسبق عبر برمجية لسرقة المعلومات لدى المورد. ويتكرر النمط نفسه في المصادر المفتوحة: تصبح شفرة طرف خارجي موثوق مدخل الهجوم. ويتضاعف الخطر لأن اختراق محطة عمل مطور يمنح المهاجم مستوى وصول مهندس موثوق. ويمكنه تعديل الشفرة وإدراج تبعيات خبيثة أو نشر نسخ عُبث بها من برمجيات مشروعة. ثم تلتقط مسارات البناء هذه التغييرات، وتنتشر إلى المراحل اللاحقة عبر تحديثات موثوقة.

على الشركات أن تبدأ باعتبار كل ما يعمل على جهاز المطور جزءاً من سطح هجومها: وكلاء الذكاء الاصطناعي، والأدوات التي يثبتونها، والإضافات التي يعتمدون عليها، وكل شيء آخر. وإذا اقتصرت الرؤية على حزم المصادر المفتوحة المعروفة، فستغيب الطبقات التي تحدث فيها هذه الهجمات فعلاً.

فكرة البرمجيات التي تؤمّن نفسها ذاتياً جذابة. ما القدرات الأساسية اللازمة لتحقيقها على نطاق واسع؟

يتطلب ذلك دورة مغلقة. يجب أن يستطيع النظام اختبار مسارات هجوم حقيقية كلما تغيرت الشفرة، والتأكد من أن المشكلة قابلة للاستغلال فعلاً أو استبعادها إن لم تكن كذلك، ثم إنشاء الإصلاحات وتطبيقها ضمن سير التطوير وإعادة الاختبار للتأكد من نجاحها. ويجب أن تعمل الدورة كاملة باستمرار، دون انتظار شخص يحدد موعدها. ليس المقصود إخراج البشر من الأمن، بل إنجاز العمل المتواصل حتى تركز فرق الأمن على القرارات التي تتطلب تقديراً بشرياً فعلاً.

غالباً ما يعاني المطورون كثرة تنبيهات أدوات الأمن وإنذاراتها الكاذبة. كيف تساعد Aikido الفرق على التركيز على المهم فعلاً؟

قال ثلثا قادة الأمن في استطلاعنا State of AI in Security & Development إن فرقهم تجاوزت إجراءات أمنية أو تجاهلت نتائج أو أخّرت إصلاحات بسبب الإنذارات الكاذبة. هذه هي الكلفة الحقيقية للأدوات كثيرة الضجيج؛ فهي لا تهدر الوقت فحسب، بل تضعف الأمن فعلياً لأن الناس يتوقفون عن الثقة بالتنبيهات.

نعالج ذلك في Aikido بتحليل قابلية الوصول والفرز الآلي للنتائج. فبدلاً من الإبلاغ عن كل ثغرة وترك تحديد المهم لفريق الأمن، نحلل ما إذا كان يمكن الوصول إلى الثغرة فعلياً داخل الشفرة واستغلالها في بيئتكم. وإن لم يكن ذلك ممكناً، فلن يراها الفريق أصلاً. وهذا يخفض عدد التنبيهات بشدة، ويعني أن ما يصل منها يستحق اتخاذ إجراء.

تجمع منصتكم أمن الشفرة والسحابة ووقت التشغيل واختبارات الاختراق الآلية. لماذا يكون النهج الموحد أكثر فعالية من استخدام أدوات مستقلة متعددة؟

وجد بحثنا State of AI in Security & Development نتيجة تخالف المتوقع: فرق الأمن التي تعرضت لحوادث كانت تستخدم فعلياً أدوات من موردين أكثر من الفرق التي لم تتعرض لها. لم يكن استخدام أدوات أكثر يعني أمناً أفضل، بل ضجيجاً أكبر ونتائج مكررة ووقتاً أطول في الربط بين تنبيهات لوحات التحكم بدلاً من إصلاح المشكلات.

لهذا بنينا Aikido منصة واحدة تغطي الشفرة والسحابة ووقت التشغيل والتبعيات ومسارات العمل. وعندما تجتمع الإشارات في مكان واحد، يمكن إزالة النتائج المكررة وفهم ما إذا كانت ثغرة الشفرة قابلة للوصول فعلاً في البيئة السحابية، وترتيب الأولويات وفق المخاطر الحقيقية بدلاً من اعتبار كل مخرجات أدوات الفحص متساوية في الإلحاح. تقضي الفرق وقتاً أقل في الفرز بين الأدوات وأكثر في إصلاح المهم. لكن على كل قدرة أن تكون قوية بمفردها أيضاً. فالمنصة المتوسطة في كل شيء لا تفعل سوى جمع المشكلة في مكان واحد. يجب أن يضاهي كل جزء البديل المستقل أو يتفوق عليه، وإلا سقطت حجة الدمج.

نمت Aikido بسرعة وحققت انتشاراً مهماً في وقت قصير. ما أكبر التحديات في بناء شركة أمن سيبراني وتنميتها بهذه الوتيرة؟

التحدي الواضح هو أننا شركة أمن سيبراني من بلجيكا. فقد تركز القطاع تقليدياً في تل أبيب ووادي السيليكون، وكان هناك شك أولي في إمكان ظهور منصة أمنية عالمية المستوى من مكان آخر. لكن ذلك البعد تحول إلى ميزة؛ لم نكن نعيد الأساليب نفسها. بدأنا بنهج يضع المطور أولاً ومنتج متكامل يسهل على الفرق اعتماده بنفسها. وهكذا أصبحنا بهدوء المنصة المهيمنة لأمن المطورين لدى الشركات الصغيرة والمتوسطة.

التحدي الأكبر هو الوتيرة نفسها. بلغنا مرتبة الشركات الناشئة المليارية في يناير 2026 مع جولة التمويل من الفئة B، وزادت الإيرادات إلى خمسة أمثالها العام الماضي. والآن يثق بنا أكثر من 100,000 فريق، من بينها Premier League وRevolut وSoundCloud. وخلال هذا العام وحده أطلقنا Device Protection لأمن سلسلة التوريد وInfinite لاختبار الاختراق بالذكاء الاصطناعي، وأقمنا شراكة مع Lovable لدمج الأمن في سير البرمجة بأسلوب vibe coding. التقدم بهذه السرعة مع الحفاظ على جودة مرتفعة في كل جزء من المنصة تحدٍّ دائم، لكنه تحدٍّ إيجابي.

مع تحول التطوير القائم أصلاً على الذكاء الاصطناعي إلى المعيار المعتاد، كيف يبدو مستقبل أمن البرمجيات خلال السنوات القليلة المقبلة؟

الحقيقة أن سير العمل الأمني التقليدي يواجه بالفعل صعوبة في المواكبة. فالمراجعات الدورية واختبارات الاختراق المجدولة والفحص اللاحق كلها تفترض وتيرة تطوير لم تعد موجودة فعلياً. وتُدخل الشفرة التي يولدها الذكاء الاصطناعي والوكلاء المستقلون تغييرات أسرع مما تستطيع تلك العمليات التحقق منه.

نعتقد أن الأمن يجب أن يصبح حلقة تغذية راجعة مستمرة مدمجة مباشرة في طريقة تطوير البرمجيات. نسمي ذلك البرمجيات التي تؤمّن نفسها ذاتياً. يُختبر كل تغيير في الشفرة مقابل مسارات هجوم حقيقية، ويُتحقق من قابلية استغلال النتائج فعلياً، وتُنشأ الإصلاحات ويعاد اختبارها، من دون انتظار إنسان يحدد موعد ذلك. توجد بالفعل صور أولية من هذا النهج، ونعمل على بنائه عبر الشفرة والسحابة ووقت التشغيل وسلسلة التوريد.

والخطوة التالية برمجيات تصون نفسها ذاتياً؛ فلا يقتصر الأمن على اكتشاف المشكلات وإصلاحها، بل يحافظ بنشاط على سلامة قاعدة الشفرة بمرور الوقت. ما زال ذلك أبعد زمناً، لكن أسسه توضع الآن. والمؤكد أن الذكاء الاصطناعي أسقط بالفعل حاجز تنفيذ الهجمات المتقدمة، لذلك يجب أن يتحرك الدفاع بالسرعة نفسها.

شكراً على المقابلة القيّمة. يمكن للقراء الراغبين في معرفة المزيد زيارة Aikido.