منصات بناء التطبيقات بالذكاء الاصطناعي نشرت آلاف التطبيقات المسرّبة للبيانات

تستخدم منصات مثل Lovable وBase44 وReplit وNetlify الذكاء الاصطناعي لتمكين أي شخص، حتى من دون مهارات برمجية، من إنشاء تطبيقات ويب متكاملة الوظائف في بضع ثوانٍ. لكن باحثي Wired اكتشفوا شرخًا في هذه اليوتوبيا: ففي الإنترنت المفتوح توجد آلاف التطبيقات التي تحتوي على بيانات سرية حرجة — مفاتيح API وكلمات مرور ورموز مصادقة. ولا أحد يفعل شيئًا حيال ذلك.

كيف تعمل منصات البناء بالذكاء الاصطناعي

تقوم خدمات مثل Lovable وBase44 على نماذج لغوية كبيرة من طراز GPT-4. يصف المطوّر ببساطة ما يحتاجه: «أنشئ تطبيقًا لتتبع النفقات مع تكامل Stripe». وخلال ثوانٍ يولّد النظام مكوّن React كاملًا أو تطبيق Vue بواجهته الأمامية ومنطقه البرمجي. بعد ذلك يمكن نشر المشروع فورًا عبر Netlify بضغطة زر واحدة، أو استضافته على Replit.

هذا ثوري من حيث سرعة التطوير. فالنسخة الأولية من المنتج (MVP) تتطلب عادةً أسابيع أو أشهرًا من العمل، أما هنا فالأمر يستغرق ساعات، وأحيانًا دقائق. ولا عجب أن مئات الآلاف من المطوّرين بدأوا باستخدام هذه الخدمات.

حجم المشكلة

قررت Wired التحقق مما يصل إلى الفضاء العام. فحلل الباحثون آلاف التطبيقات التي أُنشئت على هذه المنصات ونُشرت في الإنترنت المفتوح. وكانت النتيجة مروّعة: فقد احتوى جزء كبير منها على مفاتيح API وكلمات مرور قواعد بيانات وبيانات سرية أخرى.

هذه ليست حالات فردية من الإهمال، بل مشكلة منهجية: فالمنصات لا تملك آليات لمنع التسريبات. وعندما تُولَّد الشيفرة تلقائيًا وتُنشر بضغطة زر واحدة، تختفي ببساطة مرحلة المراجعة الأمنية.

ما البيانات التي تتسرب

• مفاتيح API لخدمات الجهات الخارجية — OpenAI وStripe وAWS وGoogle Cloud وTwilio. وكلها موجودة في شيفرة JavaScript من جهة العميل، وهي متاحة للتنزيل لأي شخص.
• كلمات مرور قواعد البيانات — بيانات الاعتماد الخاصة بـ MongoDB وPostgreSQL وMySQL كثيرًا ما تكون غير مشفّرة بالتجزئة (hash) وظاهرة في الشيفرة المصدرية للتطبيق.
• رموز المصادقة وملفات تعريف الارتباط الخاصة بالجلسات — التي يمكن بواسطتها اختراق حسابات الآخرين.
• مفاتيح التشفير الخاصة — المستخدمة لحماية بيانات المستخدمين.
• المعرّفات الداخلية والبنية المعمارية — فحتى لو كانت آمنة كلٌّ على حدة، فإنها معًا تكشف بنية التطبيق أمام الهجمات.

وعندما عثر الباحثون على هذه المفاتيح، تمكنوا من الوصول إلى حسابات المستخدمين وبياناتهم. والأدهى أن البوتات التي تمسح الإنترنت باستمرار بحثًا عن مثل هذه التسريبات تعثر عليها بالفعل بصورة تلقائية.

لماذا يحدث هذا

السبب الرئيسي بسيط: سرعة التطوير لا تترك وقتًا للأمان. فعندما يمكن إنشاء MVP خلال 10 دقائق، لا توجد مراجعة للشيفرة ولا فحص للثغرات ولا إجراء معياري. وفي المشاريع الكبيرة كان سيُكتشف ذلك.

السبب الثاني أن المنصات نفسها لا تفعل شيئًا. فهي لا تحذّر المطوّر من وجود مفتاح API في الشيفرة، ولا يوجد تنقية تلقائية للبيانات الحساسة، ولا تنبيه من نوع: «تأكد من حذف جميع كلمات المرور قبل النشر». يكفي أن تنشر، وينتهي الأمر.

السبب الثالث أن المطوّرين غير مدرَّبين. فشخص لم يكن يعرف البرمجة بالأمس يبني اليوم تطبيقًا بمنطق حقيقي، ولم يشرح له أحد قواعد الأمان الأساسية.

ماذا يعني ذلك

هذه حالة كلاسيكية من الدمقرطة التي لم تسر في الاتجاه الصحيح تمامًا. فالأدوات تتيح فعلًا لعدد أكبر من الناس الإنشاء، لكن مجال الأخطاء يتسع معها أيضًا.

بالنسبة إلى الشركات: إذا كنتم تستخدمون هذه المنصات لتطبيقات الإنتاج (production)، فإن مجرد إنشاء الشيفرة لا يكفي. تأكدوا من فحصها يدويًا بحثًا عن التسريبات قبل النشر. ابحثوا عن مفاتيح API في الشيفرة المصدرية، وعن كلمات المرور في ملفات الإعداد، وعن البيانات الخاصة في السجلات.

أما بالنسبة إلى المنصات نفسها فهذه لحظة حرجة. فهي بحاجة إلى فحوص أمنية مدمجة وتحذيرات عند اكتشاف المفاتيح، وربما حتى رفض النشر. وإلا ستتضرر سمعتها.