هل يستطيع الذكاء الاصطناعي أن يحل محل مديري الحزم؟ من npm إلى سجل المطالبات

تناول كاتب تقني روسي على منصة Habr فكرة طرحها المطوّر مارسيلو إيميريش (Marcelo Emmerich) في مقال على منصة Medium، مفادها استبدال مديري الحزم التقليديين مثل npm بـ«سجل مطالبات» (prompt registry). وفي هذا النظام لا ينشر مؤلفو المكتبات شيفرة جاهزة، بل مطالبات للذكاء الاصطناعي تولّد تنفيذاً مكتفياً بذاته مباشرة لدى المطوّر.

ما جوهر فكرة «سجل المطالبات»؟

بحسب تصوّر إيميريش، لا يثبّت المطوّر مكتبة جاهزة عبر npm install، بل يلصق المطالبة التي كتبها مؤلف المكتبة في أداة الذكاء الاصطناعي التي يستخدمها، فتولّد الأداة تنفيذاً للوظيفة في مكانه، مكيّفاً مع لغة البرمجة المحددة وخصوصيات المشروع. وكما يلاحظ كاتب Habr، فإن لهذا النهج منطقاً جذاباً: إذا كانت الشيفرة تُولَّد من جديد في كل مرة وفق المهمة، فستختفي التبعيات المتعدية (transitive dependencies)، أي المكتبات التي تجرّها مكتبة أخرى معها، وكذلك هجمات سلسلة التوريد (supply chain attacks) عبر الحزم المخترقة، وتعارضات الإصدارات بين التبعيات المختلفة في المشروع الواحد. وهذه كلها من نقاط الألم الكلاسيكية في التطوير الحديث.

لماذا يُعدّ هذا الاقتراح ساذجاً لكنه ليس بلا أساس؟

يصف كاتب Habr الفكرة بأنها ساذجة، لكنه يقرّ بأنها تشير إلى مشكلات حقيقية. فهجمات سلسلة التوريد، أي حقن شيفرة خبيثة عبر تبعية مخترقة في أعماق شجرة الحزم، تهديد جدّي يصعب التحكم فيه فعلاً. ومن شبه المستحيل يدوياً معرفة ما تحتويه جميع التبعيات المتعدية في مشروع كبير. أما فكرة «توليد ما نحتاجه بالضبط دون أي زيادة» فجذابة بدورها، إذ تَعِد بالتخلص من تضخّم التطبيقات الحديثة التي تسحب عبر سلاسل التبعيات عشرات الميغابايتات من الشيفرة غير المستخدمة.

أبرز النقاط في هذا التحليل:

• صاحب الفكرة الأصلية هو مارسيلو إيميريش، ونُشر مقاله على منصة Medium.
• البديل المقترح لمديري الحزم هو «سجل مطالبات» لتوليد الشيفرة في مكانها.
• المزايا المعلنة للفكرة: غياب التبعيات المتعدية، والحماية من هجمات سلسلة التوريد (supply chain)، وانعدام تعارضات الإصدارات.
• الحجة المضادة لكاتب Habr: التعقيد (تحليل TLS وJSON وUnicode) لا يختفي، بل يكفّ فقط عن أن يُسمّى «تبعية».

ما الذي تغفله هذه الفكرة؟

تتعلق الحجة المضادة الرئيسية التي يسوقها كاتب Habr بطبيعة تعقيد البرمجيات. فحتى لو ولّد كل مطوّر من جديد تنفيذ الوظائف الأساسية، مثل تشفير TLS وتحليل صيغة JSON والمعالجة الصحيحة لـUnicode، فإن هذا التعقيد لن يختفي. سينتقل ببساطة من مكتبة عامة كُتبت مرة واحدة ودقّقها المجتمع مراراً إلى آلاف التنفيذات المتوازية المولَّدة بصورة مستقلة، وقد يحتوي كل منها على أخطائه وثغراته الخاصة. وبعبارة أخرى، فإن التخلي عن مفهوم «التبعية» بحد ذاته لا يزيل المهمة نفسها، وهي تنفيذ منطق معقد يسهل الخطأ فيه، وإنما يغيّر من يحلّها ومتى.

ويعيدنا ذلك إلى المفاضلة الجوهرية في منظومات الشيفرة المفتوحة: فالمكتبات المركزية واسعة الاستخدام، على الرغم من مخاطر سلسلة التوريد، تستفيد من أثر الحجم، إذ تراجع آلاف الأعين الشيفرة نفسها، وتُكتشف الأخطاء وتُصلَح مرة واحدة للجميع. أما نموذج «ولّد من جديد لكل مشروع» فيفقد، في المقابل، هذا الاختبار الجماعي مقابل التخصيص وغياب التبعيات الخارجية. ولا يُعرف ما إذا كان هذا المقايضة مجدية، خصوصاً في المنطق البنيوي الحرج مثل التشفير أو تحليل بروتوكولات الشبكة، حيث تكون كلفة الخطأ مرتفعة ويصعب التنبؤ بالحالات الحدّية النادرة عند التوليد لمرة واحدة.

وتضم منظومة npm، التي يذكرها مارسيلو إيميريش في تحليله، ملايين الحزم، وما زالت أكبر سجل في العالم لتطوير JavaScript. وهي في الوقت نفسه من أكثر الأهداف تعرضاً لهجمات سلسلة التوريد، حين ينشر المهاجمون إصدارات خبيثة من حزم شهيرة أو مشابهة لها في الاسم، على أمل أن يثبّتها المطورون أو أنظمة البناء الآلية عن طريق الخطأ. وهذه الخبرة الطويلة في مواجهة مثل هذه الحوادث هي ما يفسّر لماذا تبدو فكرة التخلي كلياً عن الشيفرة المشتركة لصالح التوليد «من الصفر» جذابة لدى جزء من المجتمع، حتى لو كانت، كما يبيّن تحليل Habr، تنقل مشكلة التعقيد إلى مكان جديد أقل اختباراً بدلاً من أن تحلّها.