ثغرات «الترميز بالإحساس»: كيف تفتح المواقع المولَّدة بالذكاء الاصطناعي ثغرات أمام المخترقين

أتاح الترميز بالإحساس (vibe coding) لملايين الأشخاص إنشاء تطبيقات دون معرفة بالبرمجة: يكفي وصف المهمة بلغة عادية ليولّد الذكاء الاصطناعي كودًا يعمل. هذا الأسلوب مريح وسريع، وغالبًا ما يعطي نتيجة ممتازة. لكن خلف هذه السهولة مشكلة لا يفكر فيها معظم المبتدئين أصلًا: الذكاء الاصطناعي يكتب كودًا يعمل، لكنه ليس آمنًا دائمًا.

قصة موقع واحد

استخدم بوب ستار، وهو مدير مشاريع في قطاع التقنية، الترميز بالإحساس لإنشاء موقع «Boomberg»، وهو أداة تعرض بوضوح حجم الأموال الضريبية الأمريكية التي تذهب إلى شركات التقنية. كان راضيًا عن النتيجة، فأطلق المشروع للعموم فورًا. وهذه هي طبيعة الترميز بالإحساس: سرعة من الفكرة إلى المنتج دون مراحل وسيطة.

لكن بعد عدة أشهر فقط اكتشف ستار أمرًا مقلقًا: يحتوي الكود على ثغرة حقن SQL. وهي ثغرة كلاسيكية يستطيع فيها المهاجم قراءة البيانات في قاعدة البيانات أو تعديلها بمجرد صياغة استعلام خاص. وكانت الثغرة موجودة منذ لحظة الإطلاق الأولى، لكن أحدًا لم ينتبه إليها.

«كان ذلك تقصيرًا واضحًا من جانبي. نقطة عمياء تامة عند تعلّم تقنية جديدة. وأنا واثق من أن آخرين يرتكبون الخطأ نفسه»، هكذا اعترف ستار في حديثه إلى

The Verge.

لماذا يغفل الذكاء الاصطناعي عن التهديدات

تُحسَّن أدوات البرمجة بالذكاء الاصطناعي لهدف واحد: أن ينفّذ الكود ما يُطلب منه. فهي تولّد نتيجة وظيفية بسرعة، لكن الأمان كثيرًا ما يتراجع إلى المرتبة الثانية أو يُهمَل تمامًا.

المشكلة ليست في جودة التوليد، بل في أن المستخدم عديم الخبرة في التطوير لا يعرف ما الأسئلة التي ينبغي طرحها. فالمهندس المتمرس يتحقق بعد كتابة الكود من أمور محددة: كيف تصل البيانات إلى استعلامات قاعدة البيانات، ومن يملك صلاحية الوصول إلى الوظائف الإدارية، وهل تسربت الأسرار إلى المستودع. أما معظم مستخدمي الترميز بالإحساس فلا تخطر لهم هذه الأسئلة أصلًا.

أبرز الثغرات في المشاريع المبنية بالترميز بالإحساس:

• حقن SQL — لا ينقّي الكود مدخلات المستخدم قبل تمريرها إلى قاعدة البيانات
• مفاتيح API المكشوفة — تنتهي الأسرار داخل الكود المصدري مباشرة
• التبعيات القديمة — استخدام مكتبات تحمل ثغرات معروفة
• نقاط النهاية غير المحمية — وظائف إدارية دون التحقق من التفويض
• ثغرات XSS — عرض غير آمن للبيانات في المتصفح

لا ينبغي التقليل من حجم الظاهرة

لم يعد الترميز بالإحساس ظاهرة هامشية منذ وقت طويل. فقد استقطبت Cursor وGitHub Copilot وReplit وLovable عشرات الملايين من المستخدمين، وكثير منهم يكتب الكود للمرة الأولى في حياته. بعض هذه المشاريع تجارب شخصية بلا مستخدمين حقيقيين. لكن بعضها الآخر يعمل فعليًا على الإنترنت، ويعالج بيانات حقيقية، ومتاح لأي شخص.

ومن المهم أن نفهم أن الثغرة التي وجدها ستار ليست غريبة أو نادرة. فحقن SQL مدرج في قائمة OWASP Top 10 منذ أكثر من 15 عامًا، ولا يزال من أكثر المشكلات انتشارًا في تطبيقات الويب. ويكرر الذكاء الاصطناعي هذه الثغرات لأنه تدرّب على كود كان يحتويها.

وما يجعل قصة بوب ستار دالّة هو أنه لم يحاول التحايل لاختصار الطريق، بل لم يكن يعرف ما الذي ينبغي فحصه أصلًا. وفي ذلك يكمن الخطر البنيوي الرئيسي للترميز بالإحساس: ليست النية السيئة، بل الجهل المنهجي.

ماذا يعني ذلك

يخفض الترميز بالإحساس عتبة الدخول إلى التطوير، لكنه لا يعفيك من المسؤولية عما تنشره على الإنترنت. فإذا كان المشروع يعالج بيانات المستخدمين، أو كان متاحًا من الإنترنت ببساطة، فإن إجراء تدقيق أمني أساسي أمر لا غنى عنه. ويمكن أن تبدأ بخطوات بسيطة: اطلب من الذكاء الاصطناعي نفسه فحص الكود بحثًا عن الثغرات، أو ادرس OWASP Top 10، أو اعرض المشروع على مختص لمراجعة سريعة. وهذه بداية جيدة.