An Open-Agent Framework for Intelligent Compliance Analysis in Infrastructure as Code Using Large Language Models

في عالمنا الرقمي الحديث، لم تعد البنية التحتية التي تشغل تطبيقاتنا، وتخزن بياناتنا، وتدير خدماتنا، تقبع في غرفة خوادم مادية ذات صفوف من الأضواء الوامضة. بدلاً من ذلك، تعيش هذه البنية في السحابة، وهي شبكة واسعة من الحواسيب البعيدة التي تديرها شركات تكنولوجية ضخمة. وبالنسبة للمؤسسات التي تستخدم هذه الخدمات، فقد انتقلت مسؤولية الأمن. فبينما تضمن مزودو الخدمات السحابية عمل الأجهزة، يجب على العملاء ضمان إعداد التكوينات الرقمية بشكل صحيح. إن خطأً واحداً في كيفية فتح وعاء تخزين أو منح إذن شبكة يمكن أن يعرض المعلومات الحساسة للإنترنت بأكمله. ولإدارة هذا التعقيد، يستخدم المهندسون طريقة تسمى "البنية التحتية كبرمجية" (Infrastructure as Code). يعامل هذا النهج إعداد الموارد الرقمية مثل برنامج حاسوبي، حيث تُكتب القواعد في ملفات نصية يمكن للآلات قراءتها. وهذا يسمح بالاتساق والسرعة، ولكنه يعني أيضاً أن خطأً واحداً في الكود يمكن أن يُنسخ فوراً عبر مئات الأنظمة، مما يخلق ثغرة واسعة النطاق قبل أن يلاحظها أحد.

ولإمساك هذه الأخطاء، تعتمد فرق الأمن على أدوات مؤتمتة تفحص الكود بحثاً عن أخطاء معروفة، تماماً كما يجد مصحح الأخطاء الإملائية الأخطاء المطبعية. ومع ذلك، غالباً ما تكون هذه الأدوات التقليدية جامدة؛ إذ يمكنها إخبارك بأن قاعدة ما قد كُسرت، لكنها تجد صعوبة في شرح سبب أهمية ذلك أو كيفية إصلاحه بطريقة منطقية للمدقق البشري. ومن ناحية أخرى، فإن تقنية أحدث تُعرف باسم "نماذج اللغات الكبيرة" يمكنها قراءة الكود وتوليد تفسيرات باللغة الطبيعية، لكنها عرضة لابتكار معلومات غير صحيحة أو تقديم نتائج متضاربة عند استخدامها بمفردها. وقد تمثل التحدي للباحثين في دمج الموثوقية الصارمة للماسحات المؤتمتة مع القدرة التفسيرية لنماذج اللغات الذكية لإنشاء نظام يتسم بالدقة والوضوح في آن واحد.

قام فريق من الباحثين في جامعة الأميرة سمية للتكنولوجيا ببناء إطار عمل جديد يدمج بنجاح بين هذين النهجين. فقد صمموا نظاماً يستخدم أولاً محركاً صارماً قائماً على القواعد لفحص كود البنية التحتية بحثاً عن انتهاكات لمعايير أمنية محددة، ثم يمرر تلك الانتهاكات المؤكدة إلى نموذج لغة ذكي لتوليد تقارير واضحة ومفهومة للبشر واقتراحات للإصلاح. اختبر الباحثون هذا النظام على مجموعة كبيرة تضم 231 ملف تكوين من واقع العالم الحقيقي، ووجدوا أن النظام الهجين كان دقيقاً بشكل ملحوظ، حيث حدد الثغرات الأمنية بدقة تقارب 97 بالمائة في الحالات التي أطلق فيها تنبيهاً، بينما نجح أيضاً في رصد أكثر من 90 بالمائة من المشكلات الفعلية الموجودة في الملفات. وكان هذا الأداء أفضل بكثير من الأدوات الصناعية الحالية، التي تميل إلى الإبلاغ عن الكثير من المشكلات غير الضارة، مما يسبب عملاً غير ضروري للمهندسين.

يكمن جوهر إطار العمل الجديد هذا في عملية مكونة من خمس خطوات تحول الكود الخام إلى تقرير تدقيق مصقول. أولاً، يأخذ النظام ملفات التكوين الخام ويترجمها إلى تنسيق يمكن لمحرك الفحص فهمه. بعد ذلك، يقوم محرك سياسات حتمي، يعمل مثل حكم صارم، بفحص الكود مقابل مجموعة محددة من 16 قاعدة أمنية. تعتمد هذه القواعد على معيار NIST SP 800-53، وهو دليل معترف به على نطاق واسع للضوابط الأمنية المستخدمة من قبل الحكومات والمؤسسات. يبحث المحرك عن أنماط محددة، مثل وحدة تخزين تفتقر إلى التشفير أو منفذ شبكة مفتوح للعامة. ولأن هذا المحرك يتبع قواعد ثابتة، فهو لا يخمن أبداً؛ بل يبلغ فقط عما يمكنه إثبات أنه انتهاك.

بمجرد أن يحدد المحرك انتهاكاً، لا يتوقف النظام عند هذا الحد. بل يرسل تفاصيل الخطأ إلى نموذج لغة كبير، يعمل كوكيل استدلال سياقي. يُكلف هذا النموذج بثلاث مهام محددة: شرح المخاطر بلغة بسيطة، وربط الخطأ بالمعيار الأمني الرسمي الذي ينتهكه، وتوليد قطعة كود مصححة لإصلاح المشكلة. ولضمان عدم ارتكاب النموذج لأخطاء في الأجزاء الواقعية من التقرير، وضع الباحثون آلية أمان؛ حيث لا يُسمح للنموذج بتخمين اسم المعيار الأمني، بل يقوم النظام بالبحث عن الاسم الصحيح من قائمة موثقة وإدراجه تلقائياً. النموذج حر فقط في توليد الشرح وإصلاح الكود. علاوة على ذلك، أضاف الباحثون تعليمات صارمة إلى "الأمر" (prompt) الخاص بالنموذج لضمان أن يكون الكود الذي يكتبه صحيحاً من الناحية التركيبية وخالياً من النصوص غير الضرورية، وهي خطوة ثبت أنها أساسية للموثوقية.

تُظهر نتائج الدراسة قوة هذا النهج المشترك. فعند اختباره مقابل 231 ملف تكوين، حقق النظام دقة بلغت 96.9 بالمائة، مما يعني أنه عندما يشير إلى وجود مشكلة في ملف ما، فإنه يكون محقاً في معظم الحالات. كما حقق نسبة استدعاء بلغت 90.5 بالمائة، حيث نجح في العثور على الغالبية العظمى من الأخطاء الفعلية المخفية في الكود. وبالمقارنة، وجدت أداة صناعية رائدة تسمى Checkov، وهي مستخدمة على نطاق واسع في الصناعة، كل خطأ في مجموعة الاختبار، لكنها أيضاً صنفت ما يقرب من نصف الملفات السليمة على أنها مشكلة. إن معدل الإنذارات الكاذبة المرتفع هذا من شأنه أن يجبر فرق الأمن على إضاعة الوقت في التحقيق في مشكلات لا وجود لها. وفي المقابل، قدم إطار العمل الجديد إشارة أكثر وضوحاً، مما قلل من الضجيج مع الحفاظ على معدلات كشف عالية.

كشفت نظرة فاحصة على البيانات عن نمط واضح في أنواع الأخطاء التي تم العثور عليها. تضمن الانتهاك الأكثر شيوعاً عدم تشفير البيانات أثناء السكون، وهو ما شكل أكثر من 64 بالمائة من جميع المشكلات المكتشفة. ويتماشى هذا الاكتشاف مع الأبحاء السابقة التي تشير إلى أن نسيان تشفير البيانات المخزنة هو الخطأ الأمني الأكثر تكراراً في البيئات السحابية. كما نجح النظام في تحديد المشكلات المتعلقة بضوابط الوصول وسجلات التدقيق، مغطياً طيفاً واسعاً من المتطلبات الأمنية. وأشار الباحثون إلى أن قدرة النظام على توليد تقارير دقيقة وجاهزة للتدقيق تعد ميزة رئيسية، حيث تسد الفجوة بين الكشف التقني والتوثيق المطلوب للامتثال.

كما سلطت الدراسة الضوء على أهمية الضمانات المدمجة في النظام. فعندما اختبر الباحثون نموذج اللغة لأول مرة دون قيود صارمة، أنتج الكود المصحح الذي كان غالباً غير صالح تركيبياً أو مليئاً بالنثر غير الضروري. ومن خلال فرض قواعد تنسيق صارمة واستخدام جدول بحث موثق للبيانات الواقعية، حقق النظام نسبة نجاح بلغت 100 بالمائة في توليد قطع كود صالحة وربط دقيق للضوابط. وهذا يشير إلى أن موثوقية مثل هذه الأنظمة لا تأتي من ذكاء النموذج وحده، بل من التصميم الدقيق لسير العمل المحيط به.

على الرغم من النتائج القوية التي أظهرها النظام، فقد كان الباحثون حذرين في الإشارة إلى حدوده. يركز إطار العمل حالياً على مجموعة محددة من الضوابط الأمنية والموارد السحابية، ويعمل على الكود قبل نشره، مما يعني أنه لا يمكنه اكتشاف المشكلات التي تنشأ من التغييرات التي تُجرى على النظام الحي بعد النشر. بالإضافة إلى ذلك، فإن "الحقيقة الأرضية" (ground truth) المستخدمة لاختبار النظام مستمدة من مزيج من الاستدلالات المؤتمتة والإدخال اليدوي، والتي قد لا تعكس بدقة كل تفاصيل بيئة العالم الحقيقي. ورغم هذه الحدود، تقدم الدراسة إثبات مفهوم مقنع؛ فهي توضح أنه من خلال الجمع بين الدقة الصارمة للمحركات القائمة على القواعد والاستدلال المرن لنماذج اللغات، يمكن إنشاء أداة لتحليل الامتثال تكون دقيقة للغاية ومفيدة حقاً للمشغلين البشريين. ويشير هذا العمل إلى مسار مستقبلي حيث لا تكتفي أدوات الأمن المؤتمتة بإيجاد المشكلات فحسب، بل تساعد الفرق على فهمها وحلها بثقة.