From Preventive to Reactive: How AI Coding Assistants Transform Developers' Security Awareness

تخيل تطوير البرمجيات كعملية بناء منزل. لسنوات طويلة، كان على المهندسين والبنائين التخطيط بعناية لكل طوبة، وسلك، وأنبونة لضمان عدم انهيار المنزل أو نشوب حريق فيه. لقد كانوا خبراء في "الوقاية"، حيث يفكرون في السلامة أثناء عملية البناء.

الآن، دخل "مساعد البرمجة بالذكاء الاصطناك". تخيل هذا الذكاء الاصطناعي كطاقم بناء فائق السرعة وموهوب للغاية، يمكنه بناء الجدران، وتركيب النوافذ، وتمديد الكهرباء في ثوانٍ معدودة. إنه مذهل من حيث السرعة. لكن هذه الورقة البحثية تجادل بأنه بينما يتفوق الذكاء الاصطناعي في بناء الهيكل، فقد غيّر بهدوء طريقة تفكير البنائين البشر في مسأية الأمان.

إليك تفصيل ما وجده الباحثون، باستخدام تشبيهات بسيطة:

1. التحول: من "البناء بأمان" إلى "فحص العمل"

قبل الذكاء الاصطناعي، كان المطور يفكر في الأمن أثناء كتابة الكود (وقائي). "يجب أن أتأكد من أن قفل هذا الباب قوي قبل أن أقوم بتركيبه".

مع الذكنا الاصطناعي، انقلبت العملية. يقوم الذكاء الاصطناعي ببناء الباب فوراً. الآن، لا يفكر المطور البشري في الأمن إلا بعد بناء الباب، أي خلال مرحلة الفحص (تفاعلي/رد فعل).

• المشكلة: يتعامل الذكاء الاصطناعي مع "جعل الشيء يعمل" كهدف وحيد. هو لا يفكر تلقائياً في "جعله آمناً" ما لم تطلب منه ذلك صراحة.
• النتيجة: يصبح الأمن مجرد فكرة لاحقة. أصبح الإنسان الآن "مُراجعاً" وليس "بناءً"، والمراجعون غالباً ما يغفلون عن بعض الأمور إذا كانوا في عجلة من أمرهم أو إذا وثقوا في البناء أكثر من اللازم.

2. وهم "الزميل المبتدئ"

كان لدى المطورين في الدراسة طريقة مثيرة للاه_م في التفكير تجاه الذكاء الاصطناعي؛ فقد عاملوه كـ موظف مبتدئ ذكي ولكنه يفتقر للخبرة.

• ما قالوه: "أنا أثق في الذكاء الاصطناعي، لكن عليّ مراجعة عمله لأنه ليس موثوقاً بنسبة 100%".
• ما فعلوه في الواقع: عندما يبدأون مهمة ما، يطلبون من الذكاء الاصطناعي "بناء صفحة تسجيل دخول" أو "إصلاح هذا الخطأ". لكنهم لا يضيفون أبداً تعليمات مثل: "تأكد من أن صفحة تسجيل الدخول هذه آمنة ضد المتسللين".
• التشبيه: تخيل أنك تقول لنجار مبتدئ: "ابنِ لي باباً"، وتتوقع منه أن يعرف ضمنياً أنك تريد أيضاً قفلاً عالي الأمان، رغم أنك لم تذكر الأقفال أبداً. سيبني النجار باباً جميلاً، لكنه بلا قفل. ثم يفترض الإنسان أن الباب آمن لمجرد أنه يبدو جيداً.

3. الخبرة لا تعني بالضرورة الأمان

قد تظن أن المطور الذي يبرمج منذ 20 عاماً (عصر ما قبل الذكاء الاصطناعي) سيكون أكثر أماناً من المطور الجديد الذي يعتمد فقط على الذكاء الاصطناعي (جيل الذكاء الاصطناعي).

• النتيجة: وجدت الدراسة لا يوجد فرق.
• الواقع: سواء كنت خبيراً أو مبتدئاً، إذا لم تسأل الذكاء الاصطناعي تحديداً عن الأمن، فستنتهي بكما النتيجة ذاتها وهي كود برمجي محفوف بالمخاطر. "سنوات الخبرة" لم تساعد أحداً في اكتشاف أخطاء الذكاء الاصطناعي. الأشخاص الوحيدون الذين اكتشفوا الثغرات الأمنية هم من امتلكوا معرفة أمنية محددة وتذكروا سؤال الذكاء الاصطناعي: "هل فحصت وجود مشكلات أمنية؟".

4. "فخ الثقة"

الذكاء الاصطناعي واثق جداً من نفسه، ويتحدث بسلطة وثقة.

• الفخ: يميل المطورون إلى الثقة في مخرجات الذكاء الاصطناعي في كل شيء—سواء كان ذلك قائمة أسماء بسيطة ومملة (كود روتيني) أو نظاماً حساساً يتعامل مع أرقام بطاقات الائتمان (بيانات حساسة أمنياً).
• التشبيه: الأمر يشبه جهاز GPS يعطيك اتجاهات مثالية للذهي إلى البقالة، ولكنه بعد ذلك يعطيك بثقة اتجاهات خاطئة أثناء قيادتك عبر حقل ألغام. ولأن الـ GPS كان صحيحاً في المرة الأولى، فإنك تثق به عمياء في المرة الثانية، رغم أن المخاطر مختلفة تماماً. الذكاء الاصطناعي لا يقول لك: "مهلاً، هذا الجزء خطير ويحتاج إلى فحص إضافي".

5. المطورون يبتكرون "حِيلاً" خاصة بهم

بما أن الأدوات ومديرين لا يقدمون لهم دليلاً للسلامة، فإن المطورين يبتكرون قواعدهم الخاصة للبقاء آمنين.

• الحيل:
  • "لن أسمح للذكاء الاصطناعي بلمس ملفاتي مباشرة، سأسمح له بالقراءة فقط".
  • "سأقوم بإنشاء ملف 'قواعد خاصة' لإخبار الذكاء الاصطناعي بكيفية التصرف".
  • "بعد أن ينتهي الذكاء الاصطناعي، سأسأله: هل هناك أي شيء خطير فاتك هنا؟".
• المشكلة: هذه أفكار بارعة، لكنها غير رسمية. فهي ليست مدمجة في البرمجيات، والشركات لا تفرضها. وإذا كان المطور متعباً أو مستعجلاً، فقد يتخطى خطوات السلامة التي ابتكرها بنفسه.

الخلاصة

تخلص الورقة البحثية إلى أن الذكاء الاصطناعي لم يجعل المطورين "أغبياء" أو "مهملين". بدلاً من ذلك، فإن النظام مصمم بطريقة تدفع بالأمان إلى المرتبة الثانية.

• الذكاء الاصطناعي مصمم ليكون سريعاً وفعالاً.
• الإنسان مصمم ليكون مُراجعاً.
• الفجوة: يفترض النظام أن الإنسان سيتذكر إضافة عنصر الأمان، لكن طريقة عمل الأدوات (طلب مهمة، ثم الحصول على نتيجة) تشجع الإنسان على النسيان.

الحل المقترح:
لا يمكننا مجرد قول "حاولوا بجهد أكبر" للمطورين. نحن بحاجة لتغيير الأدوات والقواعد:

1. الأدوات: يجب أن يسأل الذكاء الاصطناعي: "هل هذا الكود لنظام آمن؟" قبل أن يبدأ في البناء. كما يجب أن يحدد تلقائياً الأنماط الخطيرة.
2. الشركات: تحتاج الشركات إلى تعليم المطورين كيفية استخدام الذكاء الاصطناعي بأمان كمهارة أساسية، وليس فقط كأداة لزيادة الإنتاجية. يجب عليهم توفير قوائم مراجعة وقواعد، حتى لا يضطر المطورون لابتكار حيل سلامة خاصة بهم أثناء العمل.

باختصار: الذكاء الاصطناعي محرك قوي، لكننا نقوده حالياً بدون حزام أمان، آملين أن يتذكر السائق ربطه. تقول هذه الورقة إننا بحاجة إلى تركيب حزام الأمان داخل السيارة نفسها.