أمان المدفوعات في «الفايب كودينغ»: ثغرتان يتجاهلهما الذكاء الاصطناعي دائمًا

نشر موقع «هابر» مقالًا عمليًا عن أمان المدفوعات في المنتجات المبنية بمساعدة الذكاء الاصطناعي. مؤلف المقال مطوّر يمارس الفايب كودينغ دون خبرة مهنية في البرمجة، وقد حلّل ثغرتين يكرّرهما كود الشبكات العصبية حتمًا، ووصف خمسة مستويات للحماية توصّل إليها من تجربته الخاصة.

لماذا يكون كود الذكاء الاصطناعي في المدفوعات أخطر من الخلل الظاهر

الفكرة المحورية في المقال أن الشبكة العصبية لا تكتب كودًا سيئًا، بل تكتب كودًا يبدو سليمًا. وهذا فرق جوهري. فالسيناريو الأساسي يعمل: ينقر المستخدم على «ادفع»، وتصل الأموال، ويظهر الاختبار باللون الأخضر. وتظل الثغرة غير مرئية إلى أن يعثر عليها مهاجم، لا مطوّر.

«أغلى إخفاق في هذا العمل ليس أن الشبكة العصبية تكتب كودًا سيئًا، بل

أنها تكتب كودًا يبدو سليمًا»، يكتب المؤلف في مقاله على «هابر».

ولهذا تُعدّ وحدة المدفوعات منطقة خطر خاصة: فالخطأ الخفي هنا لا يعني تعطّل التطبيق، بل خسائر مالية مباشرة تلحق بالمنتج أو بمستخدميه.

ثغرتان تكرّرهما الشبكة العصبية بشكل منهجي

يحدد المؤلف إخفاقين يميّزان كود المدفوعات الذي يولّده الذكاء الاصطناعي تحديدًا:

• التلاعب بالسعر — يقبل الخادم المبلغ الوارد في جسم طلب العميل دون مطابقته بالسعر الفعلي في قاعدة البيانات. فيغيّر المهاجم القيمة عبر DevTools ويدفع ثمن المنتج بأي مبلغ يشاء، حتى لو كان 1 روبل.
• غياب التحقق من خطافات الويب — يقبل الخادم إشعارات الدفع دون التحقق من التوقيع الصادر عن نظام الدفع. وهذا يتيح إرسال تأكيد وهمي للمعاملة والحصول على المنتج دون دفع فعلي.
• يكرّر مساعدو الذكاء الاصطناعي النمطين كليهما بانتظام، لأن هذه الفحوص تبدو في بيانات التدريب غالبًا «تفاصيل تنفيذ» فتُحذف.

وبحسب المؤلف، لا تسدّ الشبكة العصبية أيًّا من هاتين الثغرتين تلقائيًا؛ فلا بد من طلب ذلك صراحةً أو من الفحص اليدوي بعد توليد الكود.

كيف تفحص المنتج قبل الإطلاق

يصف المؤلف أسلوبًا محددًا: قبل التسليم، افتح المنتج في وضع التصفح الخفي، أي بلا رموز مصادقة محفوظة ولا ملفات تعريف ارتباط ولا تسجيل دخول، وحاول إجراء عملية دفع بمعاملات طلب معدّلة. والهدف محاكاة تصرفات المهاجم ما دام هناك وقت لإصلاح الكود.

وبالنسبة إلى مطوّر الفايب كودينغ الذي لا فريق معه ولا مراجعة كود، يحلّ هذا الأسلوب محل تدقيق الأمان والاختبار معًا: فالحاجز الحقيقي الوحيد هو النظر إلى المنتج بعين المهاجم.

خمسة مستويات للحماية

يصف المقال خمسة مستويات لحماية وحدة المدفوعات توصّل إليها المؤلف بالممارسة. وبحسب قوله، يتجاهل الذكاء الاصطناعي المستويات الخمسة جميعًا عند التوليد الأول، ولن تكون موجودة في الكود دون طلب صريح في الموجّه (prompt) أو فحص يدوي. وتفاصيل كل مستوى في النص الكامل للمقال؛ إذ تغطي، بحسب المقال، التحقق من صحة البيانات الواردة على الخادم، والحماية من الطلبات المتكررة، وتدقيق أحداث الدفع.

ماذا يعني ذلك

خفّض الفايب كودينغ عتبة الدخول إلى التطوير، لكنه لم يغيّر متطلبات الأمان التي يفرضها الواقع على المنتجات التي تتضمن مدفوعات. فالذكاء الاصطناعي يولّد بثقة المنطق الأساسي للتدفقات، لكنه يتجاهل بشكل منهجي الحماية عند نقطة التقاء العميل بالخادم. ويحتاج من يبنون منتجات بالشبكات العصبية إلى قائمة فحص صريحة للنقاط الحرجة، وإلا فسيتلقّون درسًا مكلفًا في بيئة الإنتاج.

أسئلة شائعة

ما الثغرات التي تتجاهلها الشبكة العصبية في كود المدفوعات؟

بحسب مؤلف المقال على «هابر»، يتكرر تجاهل نمطين: التلاعب بمبلغ الدفع من جانب العميل (يقبل الخادم السعر من الطلب دون مطابقته بقاعدة البيانات)، وغياب التحقق من توقيع خطاف الويب الصادر عن نظام الدفع. وكلاهما يتيح إتمام معاملة دون دفع فعلي.

كيف يتحقق مطوّر الفايب كودينغ من أمان المدفوعات قبل الإطلاق؟

يوصي المؤلف بأسلوب الجلسة النظيفة: فتح المنتج في وضع التصفح الخفي دون تسجيل دخول ومحاولة إجراء عملية دفع بمعاملات معدّلة. وهذا يحاكي تصرفات المهاجم ويتيح كشف الثغرة قبل الانتقال إلى بيئة الإنتاج، دون فريق ودون مراجعة كود.