🤖 AI

From Theory to Practice: Code Generation Using LLMs for CAPEC and CWE Frameworks

تقدم هذه الورقة مجموعة بيانات مبتكرة تضم 615 مقتطفاً من الأكواد البرمجية الضعيفة عبر لغات Java وPython وJavaScript، تم إنشاؤها باستخدام نماذج GPT-4o وLlama وClaude لربط أوصاف أنماط الهجوم الشائعة (CAPEC) ونقاط الضعف الشائعة (CWE)، وذلك لمعالجة النقص في البيانات التفصيلية والمصنفة للثغرات الأمنية بهدف تطوير الأبحاث الأمنية وأنظمة الكشف القائمة على تعلم الآلة.

المؤلفون الأصليون: Murtuza Shahzad, Joseph Wilson, Ibrahim Al Azher, Hamed Alhoori, Mona Rahimi

نُشر 2026-04-06

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC0 1.0

المؤلفون الأصليون: Murtuza Shahzad, Joseph Wilson, Ibrahim Al Azher, Hamed Alhoori, Mona Rahimi

البحث الأصلي مُهدى إلى الملك العام بموجب CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تحاول تعلم كيفية إصلاح صنبور يسرب الماء، لكن الدليل الوحيد الذي تملكه هو قائمة تقنية جافة للأجزاء ومعدلات الضغط. يخبرك الدليل بما هو معطل، لكنه لا يوضح لك كيف يتناثر الماء في الواقع، أو كيف يبدو الجزء المعطل في الحقيقة. أنت تترك لتخمن وتجرب.

هذه هي بالضبط المشكلة التي واجهها الباحثون في جامعة شمال إلينوي (Northern Illinois University) فيما يتعلق بـ أمن البرمجيات.

المشكلة: دليل بدون صور

في عالم الأمن السيبراني، هناك "موسوعتان" ضخمتان تديرهما مجموعة تسمى MITRE:

CAPEC: قائمة بجميع الطرق المختلفة التي يمكن للمخترقين من خلالها مهاجمة البرامج (مثل "حقن SQL" أو "البرمجة عبر المواقع - Cross-Site Scripting").
CWE: قائمة بنقاط الضعف المحددة في الأكواد البرمجية التي تسمح بتلك الهجمات بالحدوث.

المشكلة؟ هذه الموسوعات مليئة بالتعريفات، لكنها تفتقر إلى فيديوهات "طريقة التنفيذ". فهي تصف الهجوم من الناحية النظرية، لكنها نادراً ما توفر أسطر برمجية فعلية تظهر كيف يبدو البرنامج المعرض للخطر. الأمر يشبه امتلاك قاموس للكلمات ولكن دون جمل توضح كيفية استخدامها.

بسبب هذا، يعاني المطورون والطلاب وخبراء الأمن لفهم كيفية عمل هذه الهجمات حقاً في العالم الحقيقي.

الحل: توظيف طباخ آلي فائق الذكاء

لإصلاح ذلك، قرر الباحثون استخدام نماذج اللغات الكبيرة (LLMs) — وهي نفس نوع الذكاء الاصطناعي الذي يشغل أدوات مثل ChatGPT. فكر في هذه الأنظمة كأنها طهاة آليون فائقو الذكاء قرأوا كل كتب الطبخ (مستودعات الأكواد) في العالم.

إليك كيف استخدموا الروبوتات:

الوصفة (المطالبة - The Prompt): لم يكتفِ الباحثون بسؤال الذكاء الاصطناعي: "اكتب كوداً سيئاً". سيكون ذلك مثل طلب "اصنع فوضى" من طباخ. بدلاً من ذلك، أعطوه وصفة محددة للغاية. لقد غدّوا الذكاء الاصطناعي بوصف الهجوم (من CAPEC) وقائمة نقاط الضعف (من CWE).
المكونات (السياق): في بعض الأحيان، لم يكن وصف الهجوم مفصلاً بما يكفي. لذا، استخدم الباحثون أداة ذكية (SBERT) للعثور على أكثر 5 "نقاط ضعف" صلة بالوصف لإضافتها إلى الوصفة. ضمن هذا أن يمتلك الذكاً الاصطناعي سياقاً كافياً لطهي مثال مثالي.
الطهي (التوليد): قام الذكاء الاصطناعي (تحديداً GPT-4o، جنباً إلى جنب مع Llama وClaude) بعد ذلك بتوليد مقتطفات برمجية فعلية بلغات Java وPython وJavaScript.
- كتب أكواداً تبدو طبيعية ولكنها تحتوي على فخ مخفي (ثغرة أمنية).
- أضاف تعليقات تشرح بالضبط أين يكمن الفخ ولماذا هو خطير.
- كتب ملخصاً يشرح "قصة" الهجوم.

النتيجة: "كتاب طبخ" جديد للأمن

أنشأ الفريق مجموعة بيانات جديدة ضخمة تحتوي على 615 مثالاً مختلفاً من الأكواد البرمجية المعرضة للخطر.

وللتأكد من أن الروبوتات قد قامت بعمل جيد، تصرف الباحثون كنقاد طعام:

هل يمكن تشغيل الكود؟ (هل كان الكود يعمل فعلياً أم كان مجرد هراء؟) نعم، في حوالي 90% من الحالات.
هل كان ذا صلة؟ (هل أظهر الكود بالفعل الهجوم الموصوف؟) نعم، اتفق الخبراء على ذلك في كل الحالات تقريباً.
هل كان قابلاً للقراءة؟ (هل كان من السهل فهمه؟) نعم، تم تقييم الكود بدرجات عالية جداً من حيث الوضو ص.

حتى أنهم تحققوا مما إذا كانت الروبوتات متسقة. إذا طلبوا من نفس الروبوت طهي نفس الطبخة خمس مرات، هل يحصلون على نفس النتيجة؟ نعم. كان الكود متطابقاً بنسبة 98-99% في كل مرة، مما يثبت أن الذكاء الاصطناعي لا يقوم بمجرد التخمين العشوائي.

لماذا هذا مهم؟

هذه المجموعة الجديدة من البيانات تشبه فتح صالة ألعاب رياضية للتدريب الأمني.

للطلاب: بدلاً من مجرد القراءة عن "أداة فتح الأقفال"، يمكنهم رؤية الأداة وهي تعمل وكيفية رصدها.
للمطورين: يمكنهم رؤية كيف تبدو "العادة السيئة" بالضبط في أكوادهم الخاصة حتى يتجنبوا ارتكاب الخطأ نفسه.
لباحثي الذكاء الاصطناعي: يمكنهم استخدام هذه المجموعة لتدريب أدوات ذكاء اصطناعي أخرى للعثور تلقائياً على هذه الثغرات الأمنية وإصلاحها في المستقبل.

العقبة (القيود)

يعترف الباحثون بأن الطهاة الآليين ليسوا مثاليين بعد.

أحياناً حاولوا كتابة أكواد لهجمات لا تتعلق بالبرمجيات على الإطلاق (مثل "تجاوز قفل مادي")، وهو أمر سخيف بعض الشيء لروبوت برمجي.
استخدموا ثلاث لغات برمجة فقط، رغم أن العالم يستخدم لغات كثيرة غيرها.

الخلاصة

هذه الورقة البحثية تدور حول سد الفجوة بين النظرية والتطبيق. من خلال استخدام الذكاء الاصطناعي لتوليد أمثلة واقعية للثغرات الأمنية، أنشأ الباحثون أداة قوية. إنهم يحولون التعريفات الجافة والمملة إلى أمثلة حية وحقيقية تساعدنا على بناء برمجيات أكثر أماناً للجميع.

باختاً: لقد علموا الذكاء الاصطناعي كيف يرينا "الأخطاء" (bugs) في النظام حتى نتمكن من تعلم كيفية سحقها قبل أن يفعل المخترقون ذلك.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "من النظرية إلى التطبيق: توليد الكود باستخدام النماذج اللغوية الكبيرة (LLMs) لأطر عمل CAPEC وCWE."

1. بيان المشكلة

تعالج الورقة فجوة حرجة في أبحاث الأمن السيبراني والتعليم: نقص الأمثلة العملية على مستوى الكود البرمجي المقابلة للأوصاف النظرية للثغرات.

الفجوة: بينما توفر أطر عمل MITRE، وهي CAPEC (تصنيف وتعداد أنماط الهجوم الشائعة) و CWE (تعداد نقاط الضعف الشائعة)، كتالوجات شاملة لأنماط الهجوم ونقاط الضعف، إلا أنها تفتقر غالباً إلى مقتطفات كود مقابلة لها.
الإحصائيات: كشف تحليل لـ CAPEC v3.9 و CWE v4.14 أن ما يقرب من 40% من CAPECs و 47% من CWEs تفتقر إلى أمثلة برمجية. علاوة على ذلك، فإن توافر الكود الحالي منحاز بشدة نحو لغة Java، مع تغطية منخفضة للغاية للغة JavaScript (≈0.5% من CWEs) ولغة Python (≈2% من CWEs).
النتيجة: يعيق هذا النقص تطوير أدوات متقدمة للكشف عن الثغرات، ويحد من تدريب نماذج تعلم الآلة (ML)، ويجعل من الصعب على المعلمين والمطورين فهم كيفية تجلي الثغرات النظرية في الكود الواقعي.

2. المنهجية

يقترح المؤلفون مسار عمل (Pipeline) مبتكر لتوليد مقتطفات كود برمجية تحتوي على ثغرات لكل مدخل في CAPEC باستخدام النماذج اللغوية الكبيرة (LLMs). تتضمن العملية ثلاث مراحل رئيسية:

أ. إثراء البيانات والربط (CAPEC $\to$ CWE)

التحدي: بعض مدخلات CAPEC لديها عدد قليل أو لا يوجد لها CWEs مرتبطة بها في بيانات MITRE الرسمية، مما يؤدي إلى سياق غير كافٍ للنماذج اللغوية الكبيرة.
الحل: استخدم المؤلفون نموذج SBERT (Sentence-BERT) لإيجاد CWEs متشابهة دلالياً لـ CAPECs ذات الارتباطات الضعيفة.
الاستراتيجية:
- إذا كان لـ CAPEC عدد $\ge$ 5 من الـ CWEs المرتبطة، يتم استخدامها جميعاً.
- إذا كان لـ CAPEC عدد $< 5$ من الـ CWEs المرتبطة، يقوم النظام بإضافة أفضل الـ CWEs المتشابهة دلالياً (عبر SBERT) حتى يصل العدد الإجمالي إلى 5.
- يضمن هذا مدخلاً متسقاً وغنياً بالسياق (وصف CAPEC + 5 أوصاف CWE) للنموذج اللغوي الكبير.

ب. هندسة الأوامر (Prompt Engineering) وتوليد الكود

اختيار النموذج: النموذج الأساسي المستخدم هو GPT-4o. كما استخدمت الدراسة Llama 3 (70B) و Claude-3.5-Sonnet للتحقق من الاتساق.
إطار العمل: يستخدم مسار العمل إطار LangChain لإدارة التفاعل بين مجموعة البيانات والنموذج اللغوي الكبير.
تصميم الأمر (Prompt): يوجه أمر مهيكل النموذج ليعمل كخبير، حيث يقوم بتوليد مقتطف كود موجز بلغات Java أو Python أو JavaScript يجسد نمط هجوم CAPEC المحدد. يتطلب الأمر:
1. مقتطف كود.
2. وصف وظيفي.
3. تعليقات داخلية تشرح الثغرة وتربط أسطر معينة بمعرفات (IDs) الـ CWE.
4. مخرجات بتنسيق JSON.

ج. بناء مجموعة البيانات

تتكون مجموعة البيانات النهائية من 615 مقتطف كود لـ CAPEC عبر ثلاث لغات برمجة (Java، Python، JavaScript)، مما يجعلها واحدة من أكثر الموارد توسعاً في هذا المجال.

3. المساهمات الرئيسية

مجموعة بيانات مبتكرة: إنشاء مجموعة بيانات واسعة النطاق ومتنوعة تربط أنماط هجوم CAPEC بكود برمجي قابل للتنفيذ يحتوي على ثغرات في ثلاث لغات رئيسية.
منهجية الربط الدلالي: نهج قوي باستخدام SBERT لتعزيز ارتباطات CAPEC-CWE، مما يضمن سياقاً عالي الجودة للنماذج اللغوية الكبيرة حتى عندما تكون البيانات الرسمية شحيحة.
التحقق عبر النماذج: إثبات أن العديد من النماذج اللغوية الكبيرة الحديثة (GPT-4o، Llama، Claude) يمكنها توليد كود عالي الجودة ومتوافق دلالياً بشكل متسق.
مورد للتعلم الآلي والتعليم: توفير مورد مهيكل مصمم خصيصاً لتدريب نماذج تعلم الآلة للكشف التلقائي عن الثغرات، وليكون بمثابة مادة تعليمية للبرمجة الآمنة.

4. النتائج والتقييم

أجرى المؤلفون تقييماً صارماً ركز على القابلية للتجميع (Compilability)، والارتباط، والقابلية للقراءة، والاتساق.

القابلية للتجميع:
- نجح ما يقرب من 90% من مقتطفات الكود المولدة في التجميع بنجاح.
- أظهرت Python أعلى معدل نجاح، تلتها Java ثم JavaScript.
الارتباط بـ CAPEC:
- قام أربعة مراجعين مستقلين (طلاب دكتوراه) بتقييم 30 عينة عشوائية لكل لغة.
- اعتبر 100% من العينات ذات صلة بأوصاف CAPEC المقابلة لها من قبل ثلاثة مقيمين على الأقل.
- الاتفاق بين المقيمين: كانت درجات متوسط الاتفاق الزوجي (APA) عالية: 95.83% (Java)، 93.33% (Python)، و 96.67% (JavaScript).
القابلية للقراءة:
- تم تقييم الكود على مقياس من 1 إلى 5. حصلت لغة Python على أعلى الدرجات (غالبيتها 5/5)، مما يشير إلى الوضوح والهيكلية العالية.
الاتساق (تشابه جيب التمام - Cosine Similarity):
- باستخدام CodeBERT، قاس المؤلفون التشابه الدلالي بين الكود المولد من نفس النموذج (عبر 5 مجموعات بيانات) ومن نماذج مختلفة.
- الاتساق داخل النموذج الواحد: أظهر GPT-4o تشابهاً في جيب التمام $>0.99$ لـ Java/Python و $>0.98$ لـ JavaScript.
- الاتساق بين النماذج المختلفة: لوحظ توافق عالٍ بين GPT-4o و Llama و Claude، حيث تجاوز تشابه جيب التمام عموماً 0.98، مما يؤكد أن أنماط الثغرات المولدة قوية ومستقلة عن نوع النموذج.

5. الأهمية والعمل المستقبلي

الأهمية: يعمل هذا العمل على سد الفجوة بين كتالوجات الثغرات النظرية والتطبيق العملي. فهو يتيح تدريب نماذج تعلم آلة أكثر دقة للكشف عن الثغرات ويوفر معياراً (Benchmark) موحداً لتقييم أدوات أمن الكود.
القيود:
- بعض الكود المولد يتعلق بـ CAPECs غير برمجية (مثل الأقفال الفيزيائية)، وهي غير ذات صلة بتحليل البرمجيات.
- قد لا يكون الحد الثابت لـ 5 CWEs هو الأمثل لجميع الحالات.
الاتجاهات المستقبلية:
- تنفيذ آلية تصفية مسبقة لاستبعاد الـ CAPECs غير البرمجية.
- توسيع مجموعة البيانات لتشمل لغات أكثر (مثل C++، Go).
- دمج مجموعة البيانات في أدوات فحص الثغرات والمعالجة في العالم الحقيقي.
- استكشاف نماذج لغوية كبيرة أكثر تقدماً (مثل Claude-3 Opus) للحصول على دقة أعلى محتملة.

في الختام، تثبت هذه الورقة أن النماذج اللغوية الكبيرة، عندما يتم توجيهها بأوامر مهيكلة وسياق دلالي غني، يمكنها الاعتماد عليها لتوليد كود برمجي عالي الجودة، تعليمي، وذات قيمة بحثية، مما يساهم بشكل كبير في تطوير مجال أمن البرمجيات.