RuStore يدمج الذكاء الاصطناعي في أمن المعلومات: كيف تؤتمت VK مراجعة المهام والشيفرة البرمجية وفحوصات DAST

قدّم RuStore سيناريو عمليًا لاستخدام الذكاء الاصطناعي في أمن المعلومات: لا للعرض الشكلي ولا لاستبدال المختصين، بل لتخفيف أكثر مراحل العمل تكرارًا داخل دورة الإصدار. وقد أسند فريق أمن المعلومات إلى الأتمتة ثلاثة مجالات يقضي فيها المهندس عادةً أغلب وقته في التحليل الأساسي والتصفية: المعالجة الأولية لمهام Security Check، ومراجعة التغييرات في merge request، والاختبار الديناميكي للتطبيقات.

والمنطق بسيط: إذا استطاعت الآلة جمع السياق بسرعة، وإبراز المخاطر النمطية، واستبعاد المشكلات الواضحة، يتوفر للإنسان مزيد من الموارد للقرارات المعقدة والحالات المثيرة للجدل والتحليل المعمّق للبنية المعمارية.

يمثل هذا تحولًا مهمًا في نهج الأمن التطبيقي نفسه. ففي تطوير المنتجات، لم يعد أمن المعلومات منذ زمن طويل مقتصرًا على الحوادث الحرجة النادرة ومطاردة الهجمات المعقدة. فمعظم العبء عمل تشغيلي متواصل: قراءة صياغات المهام، ومعرفة ما الذي يتغير بالضبط في الوظائف، وفهم البيانات المتأثرة، وما التكاملات الجديدة، وأين قد تنشأ الثغرات وفق أنماط معروفة مسبقًا. هذا العمل إلزامي، لكنه يلتهم ساعات الخبراء. وتوسيع الفريق لمواجهة هذا التدفق ليس عقلانيًا دائمًا: فمع زيادة عدد المختصين يزداد حجم الروتين، لا عمق الخبرة وحده. لذلك لا يبدو الرهان على الذكاء الاصطناعي هنا تجربة رائجة، بل محاولة لإعادة توزيع الوقت داخل الفريق بصورة مستهدفة.

الاتجاه الأول هو فرز مهام Security Check في مرحلة مبكرة. فعادةً يحتاج المهندس إلى أن يفهم بسرعة طبيعة التغيير المطلوب، وأين يمس الأمن احتمالًا، ومدى الحاجة أصلًا إلى تحليل معمّق. وفي هذه العملية يستطيع الذكاء الاصطناعي جمع السياق الأساسي من صياغة المهمة، وتحديد المواضع الحساسة، وإبراز ما يشبه أنماط المخاطر المعروفة مسبقًا. وهذا مفيد خصوصًا حيث يكون تدفق المهام مرتفعًا، وتحتاج نسبة كبيرة من الطلبات في النهاية إلى تصنيف وتوجيه سريعين لا إلى تحقيق كامل.

الاتجاه الثاني هو تحليل الشيفرة في merge request. وهنا تكثر الفحوصات المتشابهة: التعامل مع مدخلات المستخدم، والصلاحيات، والرموز المميزة (tokens)، والأسرار، والتسجيل (logging)، والتحقق من صحة البيانات، والاستدعاءات الخارجية. وإذا كان النموذج قادرًا على المرور على هذه الطبقات كما يمر على قائمة تحقق، فإنه لا يصبح «مراجعًا بديلًا عن الإنسان»، بل مرشّحًا أول قبل التقييم الخبير.

المجال الثالث هو AI-DAST، أي استخدام النموذج في الاختبار الديناميكي للتطبيقات. وهو بالنسبة لفريق الأمن امتداد منطقي للفكرة نفسها: يمكن توحيد جزء من الفحوصات وتسريعه وتشغيله بصورة أكثر اتساقًا، دون انتظار أن تتاح للمهندس فسحة من الوقت للمرور اليدوي على السيناريوهات النمطية. وفي هذا النمط يفيد الذكاء الاصطناعي قبل كل شيء بوصفه مساعدًا لا يمل من تنفيذ الخطوات المتكررة، ويمكنه ملاحظة الانحرافات في سلوك التطبيق بسرعة أكبر. وهذا يقلل احتمال أن تضيع مشكلة نمطية بين تكرارات الإصدار لمجرد ضيق الوقت للمرور اليدوي.

ومع ذلك يبقى القرار النهائي بيد الإنسان: فالمهندس هو من يقيّم السياق، ويميّز المشكلة الحقيقية من الإنذار الكاذب، ويحدد مدى خطورة الإشارة المكتشفة على منتج بعينه وبنيته المعمارية.

على مستوى السوق، هذا مثال جيد على كيفية اندماج الذكاء الاصطناعي تدريجيًا في العمليات الداخلية الناضجة. فالقيمة الأكثر عملية هنا ليست في الوعود الرنانة بـ«أمن ذاتي التشغيل»، بل في خفض كلفة الروتين وتسريع الفحص الأولي دون فقدان السيطرة. وإذا ترسخ هذا النهج، فسيتمكن فرق أمن المعلومات من إنفاق وقت أقل على الفرز الآلي للمهام ووقت أكبر على نمذجة التهديدات وسيناريوهات الهجوم غير التقليدية والوقاية من الأخطاء قبل الإصدار. وربما يكون هذا هو الأثر الرئيسي لدى فرق المنتجات الكبيرة: لا تقليص دور الخبير، بل رفع ملحوظ في طاقته الاستيعابية.

وباختصار، يتعلق الأمر بإعادة توجيه الاهتمام نحو المواضع التي تحقق فيها الخبرة البشرية أقصى قيمة فعلية، والتي لا تستطيع الأتمتة حتى الآن أن تحل فيها محل الحكم الهندسي.