RuStore نشرت الذكاء الاصطناعي في أمان المعلومات: كيف تقوم VK بأتمتة مراجعة المهام والأكواد واختبارات DAST

أظهرت RuStore نهجاً براغماتياً لاستخدام الذكاء الاصطناعي في أمن المعلومات: ليس لواجهة جذابة ولا لاستبدال المتخصصين، بل لتخفيف أكثر المراحل تكراراً من العمل ضمن دورة الإصدار. قامت فريق الأمن بأتمتة ثلاث مناطق يقضي فيها المهندسون معظم الوقت على المراجعة الأساسية والتصفية: المعالجة الأولية لمهام فحص الأمان، مراجعة التغييرات في طلبات الدمج والاختبار الديناميكي للتطبيقات. المنطق بسيط: إذا استطاعت الآلة جمع السياق بسرعة وإبراز المخاطر النمطية وتصفية المشاكل الواضحة، يتبقى للبشر موارد أكثر للحلول المعقدة بحق والحالات الحدودية والتحليل المعماري العميق.

هذا يمثل تحولاً مهماً في النهج تجاه الأمن التطبيقي. في تطوير المنتجات، لم يعد الأمن يقتصر على حوادث حرجة نادرة والبحث عن الهجمات المتطورة. الجزء الأكبر من عبء العمل هو العمليات المستمرة: يجب قراءة وصف المهام، ورؤية ما يتغير بالضبط في الوظيفة، وفهم البيانات المتأثرة والتكاملات التي تظهر والمكان الذي قد تنشأ فيه الثغرات وفقاً للأنماط المعروفة.

هذا العمل إلزامي، لكنه يستهلك ساعات الخبراء. توسيع الفريق لمواكبة هذا التدفق ليس دائماً عقلانياً: مع زيادة عدد المتخصصين يزداد حجم الروتين، وليس فقط عمق الخبرة. لذلك فإن المراهنة على الذكاء الاصطناعي هنا لا تبدو كتجربة عصرية، بل كمحاولة لإعادة توزيع الوقت بشكل موجه داخل الفريق.

الاتجاه الأول هو مراجعة مهام فحص الأمان في مرحلة مبكرة. عادة يحتاج المهندس إلى فهم سريع لما يتعلق به التغيير، حيث يتأثر الأمن بشكل محتمل وما إذا كان التحليل المتعمق ضرورياً حقاً. الذكاء الاصطناعي في هذه العملية يمكنه جمع السياق الأساسي من وصف المهمة وإبراز المناطق الحساسة وتسليط الضوء على الأشياء التي تشبه أنماط المخاطر المعروفة.

هذا مفيد بشكل خاص حيث يكون تدفق المهام عالياً وجزء كبير من الطلبات في النهاية يحتاج إلى تصنيف سريع وتوجيه وليس تحقيقاً كاملاً. الاتجاه الثاني هو تحليل الكود في طلبات الدمج. هناك عدد كبير بشكل خاص من الفحوصات الروتينية: التعامل مع إدخال المستخدم والتحكم في الوصول والرموز والأسرار والتسجيل والتحقق والاستدعاءات الخارجية.

إذا كان بإمكان النموذج المرور عبر هذه الطبقات مثل قائمة التحقق، فإنه يصبح ليس "مراجعاً بدلاً من الإنسان" بل مرشحاً أول قبل التقييم الخبير. المنطقة الثالثة هي AI-DAST، أي استخدام النموذج في الاختبار الديناميكي للتطبيقات. بالنسبة لفريق الأمن هذا استمرار منطقي للفكرة نفسها: يمكن توحيد بعض الفحوصات وتسريعها وتشغيلها بشكل متسق دون انتظار أن يجد المهندس وقتاً للمرور اليدوي عبر السيناريوهات النمطية.

في هذا الوضع، الذكاء الاصطناعي مفيد في المقام الأول كمساعد لا يتعب من أداء الخطوات المتكررة ويمكنه أن يلاحظ بشكل أسرع الانحرافات في سلوك التطبيق. هذا يقلل من احتمالية ضياع مشكلة روتينية بين تكرارات الإصدار ببساطة بسبب نقص الوقت للاختبار اليدوي. في الوقت نفسه، تبقى القرار النهائي للإنسان: إنه المهندس الذي يقيم السياق ويميز المشكلة الحقيقية عن التنبيه الكاذب ويفهم مدى أهمية الإشارة المكتشفة للمنتج المعين ومعماريته.

على مستوى السوق، هذا مثال جيد على كيفية دمج الذكاء الاصطناعي تدريجياً في العمليات الداخلية الناضجة. أكثر قيمة عملية هنا ليست في وعود رنانة بـ "الأمن المستقل" بل في تقليل تكلفة العمل الروتيني وتسريع الفحوصات الأولية دون فقدان التحكم. إذا استقر هذا النهج، ستتمكن فرق الأمن من قضاء وقت أقل على فرز المهام الميكانيكي ووقت أكثر على نمذجة التهديدات والسيناريوهات الهجومية غير البديهية والوقاية من الأخطاء قبل الإصدار.

بالنسبة لفرق المنتجات الكبيرة، هذا ربما سيصبح التأثير الرئيسي: ليس تقليل دور الخبير بل زيادة ملحوظة في إنتاجيته. في الأساس، يتعلق الأمر بإعادة توزيع الاهتمام لصالح تلك المناطق حيث تقدم خبرة الإنسان حقاً أقصى قيمة وحيث لا تزال الأتمتة غير قادرة على استبدال الحكم الهندسي.