How Secure is Code Generated by ChatGPT?
تقيم هذه الورقة البحثية أمن الكود البرمجي الذي يولده ChatGPT، حيث وجدت أنه على الرغم من وعي النموذج بالثغرات المحتملة، إلا أنه غالباً ما ينتج كوداً مصدرياً يظل عرضة لهجمات محددة، حتى عند توجيهه لتحسين الأمن.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك وظفت متدرباً ذكياً للغاية وسريعاً بشكل مذهل في البرمجة، يدعى ChatGPT. هذا المتدرب قد قرأ كل كتاب، ودليل تعليمي، وقطعة برمجية كُتبت على الإطلاق. تطلب منه بناء منزل (برنامج حاسوبي)، فيقوم بإنجازه في ثوانٍ معدودة.
السؤال الكبير الذي تطرحه هذه الورقة البحثية هو: "هل هذا المنزل آمن للعيش فيه، أم أنه مليء بالفخاخ الخفية؟"
قرر الباحثون (المفتشون العقاريون) اختبار ذلك عبر طلب بناء 21 نوعاً مختلفاً من الهياكل الرقمية من ChatGPT، تتراوح بين حاسبات بسيطة وخزائن آمنة. وإليكم ما وجدوه، مشروحاً ببساطة:
1. مشكلة "السرعة مقابل السلامة"
عندما يبني ChatGPT كوداً برمجياً بمفرده، فالأمر يشبه طباخاً يطهو وجبة بسرعة كبيرة ولكنه ينسى غسل يديه.
- النتيجة: من بين 21 برنامجاً، تم بناء 5 منها فقط بشكل آمن منذ البداية.
- التشبيه: تخيل أنك تطلب من ChatGPT بناء سياج. سيبني سياجاً جميلاً، لكنه ينسى وضع قفل على البوابة. أو يبني باباً يُفتح من الخارج دون مقبض. يبدو كأنه سياج، لكن يمكن لص لص التسلل من خلاله.
2. المتدرب "الصادق ولكن الجاهل"
هذا هو الجزء الأكثر إثارة للاهتمام: ChatGPT يعرف أنه ارتكب خطأً، لكنه لا يقوم دائماً بإصلاحه إلا إذا طلبت منه ذلك تحديداً.
- السيناريو: سأل الباحثون: "مهلاً، إذا رميت حجراً على سياجك، هل سينكسر؟"
- رد ChatGPT: "أوه! أنت على حق، لم أقم بتقوية الخشب. هذه فكرة سيئة. إليك كيفية إصلاح ذلك."
- الفخ: إذا لم تطرح السؤال المحدد، سيقدم لك ChatGPT السياج المكسور ويقول: "إليك السياج الخاص بك!". إنه يفترض أنك شخص لطيف لن يحاول الاقتحام. هو لا يفكر بطريقة "الهكر" بشكل طبيعي.
3. تأثير "العصا السحرية"
وجد الباحثون أنهم إذا تصرفوا كحراس أمن متشككين، فيمكنهم إجبار ChatGPT على بناء كود أفضل.
- العملية:
- السؤال: "ابنِ لي مولداً لكلمات المرور". (يبني ChatGPT واحداً ضعيفاً).
- الاستقصاء: "هل هذا آمن؟ ماذا لو حاول مخترق تخمينها؟"
3 الإصلاح: "يرجى إعادة بنائه ليكون غير قابل للاختراق".
- النتيجة: غالباً ما أنتج ChatGPT نسخة أقوى وأكثر أماناً بعد توجيهه. الأمر يشبه قولك للمتدرب: "مهلاً، أنا أحتاج إلى خزنة بنك، وليس صندوقاً من الكرتون". بمجرد أن يفهم المخاطر، يؤدي عملاً أفضل.
4. "ارتباك اللغات"
أحياناً يبني ChatGPT منزلاً آمناً بلغة معينة (مثل Java) ولكنه يبني منزلاً خطيراً بلغة أخرى (مثل ++C)، حتى لو كانت التعليمات هي نفسها.
- التشبيه: الأمر يشبه طلب جسر من مهندس معماري. إذا طلبت "جسراً فولاذياً"، سيبني واحداً قوياً. أما إذا طلبت "جسراً خشبياً"، فقد يستخدم خشباً متعفناً لأنه رأى مثالاً سيئاً في كتاب قرأه. لم يستطع الباحثون التنبؤ بـ سبب حدوث ذلك دائماً، مما يجعل الأمر صعب الاعتماد عليه.
5. "المفارقة الأخلاقية"
تشير الورقة إلى تناقض غريب في شخصية ChatGPT:
- الرفض: إذا سألته: "كيف أصنع قنبلة؟"، يقول ChatGPT: "لا، لا يمكنني فعل ذلك".
- القبول: إذا سألته: "كيف أبني موقعاً إلكترونياً يسمح لأي شخص بحذف قاعدة بياناتك؟"، يقول ChatGPT: "بالتأكيد، إليك الكود!" (رغم أن هذا الكود هو في الأساس قنبلة لبياناتك).
- الدرس المستفاد: ChatGPT بارع في اتباع القواعد المتعلقة بـ ماذا تبني، لكنه ليس بارعاً دائماً في تقدير مدى خطورة المبنى.
الخلاصة الكبرى
ChatGPT ليس جاهزاً ليحل محل مهندس أمن محترف.
فكر في ChatGPT كـ متدرب عبقري ولكنه ساذج.
- لا تترك المتدرب يدير المشروع بمفرده؛ لأنك ستتعرض للاختراق.
- استخدم المتدرب للحصول على انطلاقة أولية، ولكن يجب أن تلعب أنت دور المدير التنفيذي. يجب عليك مراجعة عمله، وطرح الأسئلة الصعبة ("هل هذا آمن؟")، وإجباره على سد الثغرات.
تخلص الورقة إلى أنه بينما يعد هذا الذكاء الاصطناعي أداة تعليمية رائعة لمساعدة الطلاب على تعلم البرمجة، إلا أنه لا يمكننا الوثوق به لكتابة كود آمن بمفرده. إنه يحتاج إلى وجود بشري في الحلقة (Human in the loop) للتحقق من الأقفال والنوافذ.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.