Hardening vibe-coded web applications with an automated security-audit skill: a controlled comparison of two builds of the same app
تُثبت هذه الورقة أن دمج مهارة تدقيق أمني مؤتمتة في عملية "البرمجة بالنمط الشعوري" (vibe coding) يحسن بشكل جذري من أمن تطبيقات الويب المولدة بواسطة الذكاء الاصطناعي، مما يقلل المخاطر غير المعالجة بنسبة 99% ويقضي على جميع الثغرات الأمنية عالية الخطورة في مقارنة منضبطة بين نسختين من نموذج تجريبي لمتجر إلكتروني.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تبني منزلاً، ولكن بدلاً من وضع الطوب بنفسك، تطلب من روبوت موهوب وسريع للغاية القيام بذلك. تعطي الروبوت جملة بسيطة مثل: "ابنِ لي كوخاً دافئاً بباب أحمر"، وفي غضون ثوانٍ، يسلمك منزلاً يبدو مثالياً. هذا هو عالم "برمجة الأجواء" (vibe coding)، حيث تكتب الذكاء الاصطناعي تطبيقات كاملة تعمل بالفعل من خلال أوامر قصيرة. الأمر يشبه السحر: تحصل على منتج نهائي فوراً. لكن هنا تكمن المشكلة: الروبوت بارع في جعل الأشياء تبدو جيدة وتعمل بسرعة، لكنه غالباً ما ينسى الأمور المملة وغير المرئية المتعلقة بالسلامة. قد يترك الباب الأمامي مفتوحاً، أو ينسى تركيب أجهزة كشف الدخان، أو يترك البوابة الخلفية مفتوحة على مصراعيها لأن هذه الأشياء لا تجعل المنزل يبدو جميلاً في جولة سريعة.
في عالم أمن الكمبيوتر، تُسمى هذه الفجوات غير المرئية "ثغرات أمنية". فكر فيها كأنها شقوق مخفية في الأساس أو نوافذ لا تُقفل. بالنسبة لفريق محترف، هناك حراس أمن (خبراء بشريون) يفحصون هذه الأشياء قبل أن ينتقل أي شخص للعيش في الداخل. أما بالنسبة للمبني المنفرد الذي يستخدم الذكاء الاصطناعي، فلا يوجد أحد غيره ليفحص العمل. الروبوت يسلمك المفاتيم فحسب، وقد لا يعرف المبني حتى أن المنزل غير آمن. تسأل هذه الورقة سؤالاً بسيطاً وجوهرياً: إذا بنينا نفس المنزل مرتين - مرة باستخدام الروبوت وحده، ومرة أخرى باستخدام الروبوت بالإضافة إلى "روبوت مفتش أمني" يفحص عمله الخاص - فكم سيصبح المنزل الثاني أكثر أماناً؟ أراد الباحثون معرفة ما إذا كان إضافة فحص مؤتمت بسيط يمكن أن يحول تطبيقاً مهزوزاً وغير آمن إلى حصن دون إبطاء متعة وسرعة بناء "الأجواء".
التجربة: تطبيقان، واختلاف واحد كبير
أعد الباحثون تجربة منضبطة باستخدام متجر إلكتروني وهمي يسمى "Northwind". طلبوا من ذكاء اصطناعي بناء هذا المتجر مرتين. النسخة الأولى، ولنسمها التطبيق (أ)، بُنيت باستخدام الروبوت وحده. النسخة الثانية، التطبيق (ب)، بُنيت باستخدام نفس الروبوت، ولكن هذه المرة امتلك الروبوت "مهارة تدقيق أمني" ملحقة به. هذه المهارة تشبه مفتشاً لا يكل، يقوم بتشغيل حلقة مكونة من خمس خطوات: يمسح الكود، ويحدد المشكلات، ويصلحها، ثم يمسح الكود مرة أخرى للتأكد من أن الإصلاح قد نجح بالفعل.
كان مفتاح هذه التجربة هو أن الفرق الوحيد بين التطبيقين كان هذه المهارة الأمنية. كان الأمر (البرومبت) المعطى للذكاء الاصطناعي متطابقاً، والميزات الأساسية (المنتجات، عربة التسوق، الدفع) كانت هي نفسها تماماً. هذا ضمن أن أي اختلاف في السلامة لم يكن بسبب حظ الذكاء الاصطناعي أو تغيير التصميم، بل كان ناتجاً بحتًا عن المفتش الأمني.
النتائج: دفعة هائلة في السلامة
كانت النتائج دراماتيكية. عندما قاموا بتقييم كلا التطبيقين على مقياس من 100 بناءً على 16 قاعدة أمنية مختلفة (مثل وجود "سياسة أمن المحتوى"، وهي بمثابة كتاب قواعد يخبر المتصفح بالسكربتات المسموح له بتشغيلها، و"سياسة المرجع"، التي تمنع التطبيق من تسريب تاريخ التصفح الخاص بك إلى مواقع أخرى)، كان الفرق هائلاً.
- التطبيق (أ) (بدون مهارة أمنية): سجل 58 من 100. كان يحتوي على 16 مشكلة أمنية، بما في ذلك أربع فجوات "عالية الخطورة". كانت هذه هي الثغرات الخطيرة، مثل غياب الأقفال على الأبواب الأمامية. تم قياس إجمالي "المخاطر" بـ 100 وحدة.
- التطبيق (ب) (مع المهارة الأمنية): سجل 99 من 100. قامت المهارة الأمنية بإصلاح كل شيء تقريباً. لقد قضت على جميع الفجوات الأربع عالية الخطورة وقللت عدد المشكلات الإجمالي من 16 إلى مشكلة واحدة فقط. انخفض إجمالي المخاطر من 100 وحدة إلى وحدة واحدة.
بالأرقام البسيطة، قللت المهارة الأمنية المخاطر غير المعالجة بنسبة 99.0%. المخاطرة الوحيدة المتبقية كانت تتعلق بفحص محدد يتطلب خادماً خلفياً (backend) حقيقياً (والذي لم يكن موجوداً في هذا العرض التجريبي)، لذا قامت المهارة بالإشارة بصدق إلى أن هذا الشيء لا يزال يحتاج إلى تدخل بشري بدلاً من الادعاء بأنه تم إصلاحه.
لماذا يهم هذا: ميزة "تجنب الخلل"
أحد أكثر الاكتشافات إثارة للاهتمام لم يكن فقط حول منع المخترقين، بل حول منع التطبيق من كسر نفسه. وجد الباحثون أنه إذا قمت ببساطة بإضافة قواعد أمنية صارمة إلى تطبيق فوضوي، فإن التطبيق غالباً ما يتعطل. على سبيل المثال، إذا أخبرت المتصفح "لا يُسمح بالسكربتات الخارجية"، ولكن التطبيق يحتوي على كود يحاول استخدام سكربتات خارجية، فإن التطبيق سيتوقف عن العمل.
كانت المهارة الأمنية ذكية بما يكفي لإدراك ذلك. فقبل إضافة القواعد الصارمة، عادت لتنظيف الكود، ونقلت الأنماط (styles) والسكربتات إلى الأماكن الصحيحة بحيث يظل التطبيق يبدو ويعمل بشكل مثالي. لقد منعت حدوث "الخلل" (glitches) التي قد لا يلاحظها المبني البشري إلا بعد فوات الأوان. لم تكتفِ بسد الثغرات فحسب؛ بل عززت الهيكل بأكمله حتى لا تؤدي قواعد السلامة إلى انهيار المنزل.
ما تقوله الورقة (وما لا تقوله)
الورقة واضحة جداً بشأن ما لا تثبته. هي لا تدعي أن التطبيق أصبح الآن "منيعاً" أو أنه يمكنك التوقف عن القلق بشأن الأمن تماماً. يؤكد المؤلفون أن هذا هو عرض تجريبي ثابت (متجر وهمي مع مدفوعات وهمية) وأن التطبيقات الحقيقية التي تحتوي على أموال حقيقية وبيانات مستخدمين حقيقية لا تزال بحاجة إلى خبراء أمن بشريين محترفين لإجراء اختبارات اختراق عميقة. التحسن بنسبة 99% محدد بالضوابط التي يمكن للمهارة أتمتتها في هذا النوع من التطبيقات.
ومع ذلك، تشير الورقة بقوة إلى أنه بالنسبة للملايين من التطبيقات الصغيرة التي يبنيها الهواة والمطورون المستقلون باستخدام الذكاء الاصطناعي، فإن هذا النوع من التدقيق المؤتمت والمدمج يعد تغييراً لقواعد اللعبة. إنها تقترح أنه من خلال دمج الفحوصات الأمنية مباشرة في سير عمل الذكاء الاصطناعي، يمكننا رفع "أرضية السلامة" للبرمجيات بمقدار هائل، وتحويل ما كان يُعت de عادياً من عادة خطيرة في "برمجة الأجواء" إلى شيء أكثر موثوقية بكثير. وتخلص الدراسة إلى أن هذا النهج هو خطوة رخيصة وعالية التأثير تجعل البرمجيات الناتجة عن الذكاء الاصطناعي أكثر أماناً بمقدار درجتين عشريتين تقريباً، وذلك ببساطة عبر جعل المسار الآمن هو المسار الافتراضي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.