Платёжная безопасность при вибкодинге: две уязвимости, которые ИИ пропускает всегда

نُشر على Habr مقال عملي حول أمان المدفوعات في المنتجات المبنية بمساعدة الذكاء الاصطناعي: المؤلف — وهو مبرمج vibe coder بدون خبرة مهنية في التطوير — حلّل ثغرتين تعيد شفرات الشبكات العصبية إنتاجهما باستمرار، ووصف خمسة مستويات من الحماية توصّل إليها من خلال تجربته الشخصية.

لماذا يكون كود الذكاء الاصطناعي في المدفوعات أخطر من الأخطاء الصريحة

الأطروحة المحورية للمقال: الشبكة العصبية لا تكتب كوداً سيئاً — بل تكتب كوداً يبدو أنه يعمل. هذا فرق جوهري. السيناريو الأساسي يعمل: يضغط المستخدم على «ادفع»، تصل الأموال، يكون الاختبار ناجحاً. تظل الثغرة غير مرئية تماماً حتى يجدها مهاجم — لا مطوّر.

«أغلى خطأ في هذا النوع من العمل ليس أن الشبكة العصبية تكتب كوداً سيئاً، بل أنها تكتب كوداً يبدو أنه يعمل»، يكتب المؤلف في مقاله على

Habr.

لهذا السبب تحديداً يُعدّ وحدة الدفع منطقة مخاطر خاصة: الخطأ المخفي هنا لا يعني انهيار التطبيق، بل يعني خسائر مالية مباشرة — للمنتج أو للمستخدمين.

ثغرتان تُعيد الشبكة العصبية إنتاجهما بصورة ممنهجة

يُحدد المؤلف فشلَين نموذجيَّين في كود الدفع المولَّد بالذكاء الاصطناعي تحديداً:

• استبدال السعر — يقبل الخادم المبلغ من جسم طلب العميل دون مقارنته بالسعر الحقيقي في قاعدة البيانات. يغير المهاجم القيمة في DevTools ويدفع ثمن المنتج بأي مبلغ اعتباطي — حتى روبل واحد.
• غياب التحقق من الـ webhooks — يقبل الخادم إشعارات الدفع دون التحقق من توقيع نظام الدفع. يُتيح ذلك إرسال تأكيد معاملة وهمي والحصول على وصول إلى المنتج دون دفع حقيقي.
• يُعيد مساعدو الذكاء الاصطناعي إنتاج كلا النمطَين بانتظام: في بيانات التدريب، غالباً ما تبدو هذه الفحوصات «تفاصيل تنفيذ» فتُحذف.

وفق المؤلف، لا تُغلق الشبكة العصبية أياً من هاتين الثغرتين تلقائياً — يجب طلبهما صراحةً أو التحقق منهما يدوياً بعد توليد الكود.

كيف تتحقق من المنتج قبل الإطلاق

يصف المؤلف تقنية محددة: قبل التسليم، افتح المنتج في وضع التصفح الخاص — بدون رموز مميزة محفوظة أو ملفات تعريف ارتباط أو تفويض — وحاول إجراء دفعة بمعاملات طلب مُعدَّلة. الهدف هو محاكاة أفعال المهاجم بينما لا يزال هناك وقت لإصلاح الكود.

بالنسبة لمبرمج vibe coder بدون فريق أو code review، تحل هذه التقنية محل تدقيق الأمان والاختبار معاً: العائق الوحيد الحقيقي هو نظرته الشخصية من منظور المهاجم.

خمسة مستويات من الحماية

يصف المقال خمسة مستويات من حماية وحدة الدفع طوّرها المؤلف عملياً. وفق قوله، يتخطى الذكاء الاصطناعي جميع المستويات الخمسة عند التوليد الأول — دون طلب صريح في الـ prompt أو مراجعة يدوية، لن تكون موجودة في الكود. تفاصيل كل مستوى موجودة في النص الكامل: وفق المقال، تغطي التحقق من صحة البيانات الواردة من جانب الخادم، والحماية من الطلبات المتكررة، وتدقيق أحداث الدفع.

ما الذي يعنيه هذا

خفّض vibe coding العتبة للدخول في التطوير، لكنه لم يغيّر متطلبات الأمان التي يفرضها العالم الحقيقي على المنتجات التي تتضمن مدفوعات. يولّد الذكاء الاصطناعي بثقة المنطق الأساسي للتدفقات، لكنه يتخطى بصورة ممنهجة الحماية عند الحدود بين العميل والخادم. من يبني منتجات باستخدام الشبكات العصبية يحتاج إلى قائمة تحقق صريحة للنقاط الحرجة — أو إلى درس مكلف في بيئة الإنتاج.

الأسئلة الشائعة

ما الثغرات التي تتخطاها الشبكة العصبية في كود الدفع؟

وفق مؤلف المقال على Habr، يُتخطى نمطان باستمرار: استبدال مبلغ الدفع من جانب العميل (يقبل الخادم السعر من الطلب دون مقارنته بقاعدة البيانات) وغياب التحقق من توقيع الـ webhook من نظام الدفع. يُتيح كلاهما إجراء معاملة دون دفع حقيقي.

كيف يمكن لمبرمج vibe coder التحقق من أمان المدفوعات قبل الإطلاق؟

يوصي المؤلف بتقنية الجلسة النظيفة: افتح المنتج في وضع التصفح الخاص بدون تفويض وحاول إجراء دفعة بمعاملات مُعدَّلة. يحاكي هذا أفعال المهاجم ويُتيح اكتشاف الثغرات قبل الانتقال إلى بيئة الإنتاج — بدون فريق أو code review.