Can Developers rely on LLMs for Secure IaC Development?
تقيم هذه الدراسة نموذجي GPT-4o وGemini 2.0 Flash لتطوير البنية التحتية كبرمجية (IaC) بشكل آمن، وتجد أنه على الرغم من أن المطالبات الموجهة تحسن الكشف عن الروائح الأمنية في كل من المقتطفات المبسطة والمستودعات الواقعية، إلا أن النماذج لا تزال تعاني في توليد كود آمن، حيث لا تلبي سوى نسبة ضئيلة من المخرجات المعايير الأمنية حتى عند توجيه تعليمات صريحة بذلك.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تبني منزلاً، ولكن بدلاً من استخدام الطوب والملاط، أنت تستخدم الكود (البرمجية) لتجميع جدرانك ونوافذك وأنظمة الأمان الخاصة بك تلقائياً. هذا ما يسمى "البنية التحتية كبرمجية" (Infrastructure as Code - IaC). الأمر يشبه امتلاك روبوت يبني لك بنيتك التحتية الرقمية نيابة عنك.
المشكلة هي أنه إذا أعطيت الروبوت مخططاً سيئاً، فقد يبني منزلاً بأبواب غير مقفلة، أو نوافذ تطل على الشارع، أو خزنة مفتاحها ملصق على الباب الأمامي. هذه الأخطاء تسمى "روائح أمنية" (security smells).
تساءل مؤلفو هذه الورقة البحثية سؤالاً كبي-راً: هل يمكننا الوثوق بروبوتات الذكاء الاصطناعي (مثل GPT-4o وGemini) لمساعدتنا في كتابة هذه المخططات بأمان، أو لاكتشاف الأخطاء فيها؟
إليك ما وجدوه، مقسماً إلى قصص بسيطة:
1. اختبار "اكتشف الخطأ" (الرصد/Detection)
أعطى الباحثون الذكاء الاصطناعي نوعين من المهام: إيجاد الأخطاء في مقتطفات كود قصيرة (مثل تلك الموجودة في Stack Overflow) وإيجاد الأخطاء في ملفات مشاريع حقيقية كاملة (من GitHub).
- سيناريو "الطلب الغامض": تخيل أنك تطلب من حارس أمن: "انظر إلى هذا المنزل وأخبرني ما إذا كان آمناً".
- النتيجة: كان الذكاء الاصطناعي جيداً في رصد المشكلات الواضحة في المقتطفات القصيرة (بنسبة نجاح 70-80%). ولكن عند النظر في المشاريع الكاملة والمعقدة، فاته أكثر من نصف العيوب الخطيرة. كان الأمر كما لو أن الحارس لاحظ الباب الأمامي غير المقفل فقط، لكنه أغفل النافذة الخلفية المكسورة.
- سيناريو "خطوة بخطوة": قام الباحثون بعد ذلك بإعطاء الذكاء الاصطناعي قائمة مراجعة محددة: "أولاً، افحص الأقفال. ثانياً، افحص النوافذ. ثالثاً، ابحث عن ملاحظات تركها المالك السابق".
- النتيجة: حقق هذا نتيجة أفضل بكثير. ارتفعت قدرة الذكاء الاصطناعي على إيجاد الأخطاء بشكل كبير (لتصل إلى ما يقرب من 90% لأحد النماذج).
- العقبة: حتى عندما وجد الذكاء الاصطناعي الخطأ، نادراً ما قدم حلاً محدداً. كان الأمر أشبه بالحارس الذي يقول: "مهلاً، تلك النافذة مكسورة"، لكنه لا يسلمك الزجاج لاستبداله.
2. اختبار "البناء" (التوليد/Generation)
بعد ذلك، طلبوا من الذكاء الاصطناعي إنشاء مخططات جديدة من الصفر بناءً على طلبات محددة، بعضها صُمم لخداع الذكاء الاصطناعي لجعله يرتكب أخطاء (مثل: "استخدم قفلاً ضعيفاً" أو "اترك كلمة المرور داخل الكود").
- النتيجة: هنا تعثر الذكاء الاصطناعي أكثر من غيره.
- عندما طُلب منه بناء منزل آمن، بنى الذكاء الاصطناعي منزلاً آمناً في 7% فقط من الحالات.
- في الـ 93% من الحالات الأخرى، بنى منازل تحتوي على فخاخ مخفية (عيوب أمنية) وغالباً لم يحذر حتى من وجود هذه الفخاخ.
- حتى عندما صرخ الباحثون صراحةً: "اجعل هذا آمناً!"، ظل الذكاء الاصطناعي يبني منازل غير آمنة في حوالي 80% من الحالات.
3. تأثير "التقليد" (Copycat Effect)
تحقق الباحثون أيضاً مما إذا كان الذكاء الاصطناعي ينسخ فقط أمثلة سيئة رآها من قبل. ووجدوا أن الكود الذي يولده الذكاء الاصطناعي غالباً ما يشبه الكود الذي ولده ذكاء اصطناعي آخر أكثر من "الإجابات الصحيحة" الموجودة في المنتديات التي كتبها البشر. الأمر كما لو أن الذكاء الاصطناعي تعلم من مجموعة من الأشخاص الذين يرتكبون جميعاً نفس الأخطاء، بدلاً من التعلم من الخبراء.
الخلاصة
تخلص الورقة البحثية إلى أنه بينما يعد الذكاء الاصطناعي أداة قوية، فلا يمكنك حالياً الاعتماد عليه وحده للحفاظ على أمن بنيتك التحتية الرقمية.
- لإيجاد الأخطاء: هو يساعد، ولكن فقط إذا أعطيته تعليمات محددة للغاية وخطوة بخطوة. بدون هذا التوجيه، فإنه يغفل الكثير من المخاطر.
- لكتابة الكود: من الخطير جداً حالياً تركه يكتب كوداً أمنياً من الصفر. فهو غالباً ما يبني "منازل" بأبواب غير مقفلة ولا ينبهك إلى ذلك.
التشبيه: فكر في الذكاء الاصطناعي كمتدرب بناء سريع جداً وواثق جداً. إذا قلت له "أصلح هذا"، فقد يجد بعض الشقوق. ولكن إذا قلت له "ابنِ حصناً"، فمن المرجح أن يبني قلعة من الكرتون بقفل ورقي، ولن يخبرك أنها ليست آمنة في الواقع. لا تزال بحاجة إلى خبير بشري لتدقيق كل شيء.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.