مواقع أنشأتها منصات الذكاء الاصطناعي تكشف بيانات سرية للعلن — دراسة RedAccess

تَعِد منصات إنشاء المواقع بالذكاء الاصطناعي — Lovable وBase44 وReplit وNetlify — كل شخص بأن يصبح مطوّرًا في ثوانٍ معدودة. لكن تحليلًا أجرته RedAccess، وهي شركة متخصصة في الأمن السيبراني، كشف عن مشكلة واسعة النطاق: ففي آلاف المواقع المنشورة، تقبع كلمات المرور ومفاتيح API وبيانات سرية أخرى في متناول الجميع.

حجم التسريبات: آلاف المواقع مخترَقة

تستضيف منصة Lovable وحدها أكثر من 20 ألف موقع عام. وحين حلّل باحثو RedAccess جزءًا كبيرًا من هذه المشاريع، تبيّنت مشكلة منهجية وخطيرة: يُدخل المستخدمون في كثير من الأحيان معلومات سرية ضمن الأوامر النصية (prompts)، فتنتقل بعد ذلك إلى الشيفرة المولَّدة. وغالبًا ما لا يدركون أن البيانات التي تُترك في الأمثلة أو التعليقات، أو التي تُلصق عن طريق الخطأ من الحافظة، ستكون مرئية لكل من يفتح الشيفرة المصدرية للموقع.

ويزيد الأمر سوءًا أن المنصات تنشر المواقع عمدًا عبر عناوين URL عامة، وأن الشيفرة المصدرية كثيرًا ما تكون متاحة مباشرة في أداة عرض المصدر داخل المتصفح.

وقد عثرت RedAccess في الوصول المفتوح على ما يلي:

• كلمات مرور ورموز API في الشيفرة المصدرية
• مفاتيح للخدمات السحابية (AWS وGoogle Cloud وAzure)
• عناوين بريد إلكتروني وأرقام هواتف محمولة للموظفين
• روابط للوحات إدارة وخدمات داخلية
• نُسخ كاملة من قواعد بيانات تحتوي على معلومات شخصية للعملاء
• بيانات دخول SSH وكلمات مرورها للوصول عن بُعد إلى الخوادم

المنصات تُلقي المسؤولية على المستخدمين

يتبنّى مطوّرو Lovable وBase44 وReplit وNetlify موقفًا موحّدًا: فهم يوفّرون الأدوات، والمستخدمون هم المسؤولون عن المحتوى الذي يُدخلونه فيها. ومن الناحية الشكلية، هذا الموقف مبرَّر — كما أن صانع السكين لا يتحمل مسؤولية أن يجرح أحدهم غيره بسكين.

غير أن خبراء الأمن يشيرون إلى فارق جوهري: فهذه المنصات صُمّمت وتُسوَّق صراحةً لأشخاص لا خبرة لهم في البرمجة. وحين يكون النظام موجّهًا إلى مبتدئين لا يعرفون، بحكم تعريفهم، ما هو مفتاح API ولماذا لا ينبغي تركه في الشيفرة، فعلى المطوّر إما أن يضيف تحذيرًا بارزًا جدًا، وإما أن يدمج فحصًا تلقائيًا وحظرًا للبيانات الحساسة قبل النشر.

«صُمّمت هذه المنصات لأشخاص لا يعرفون أساسيات أمن المعلومات. وحين يُبنى النظام لأجلهم، يتحمل صانعه مسؤولية توفير الحماية الأساسية»، بحسب دراسة

RedAccess.

ماذا يعني ذلك للصناعة

تغيّر مولّدات الذكاء الاصطناعي مشهد تطوير الويب تغييرًا جذريًا: فهي أرخص وأسرع بعدة أضعاف من توظيف مطوّر ذي خبرة. لكنها تخلق فئة جديدة من مشكلات الأمن لم يضعها الجيل السابق من المطوّرين في حسبانه أصلًا.

أما الشركات التي تستخدم هذه الخدمات، فالنصيحة لها بسيطة: إذا كنتم تستخدمون Lovable أو Replit أو منصات مشابهة، فراجعوا الشيفرة المولَّدة قبل نشرها في بيئة الإنتاج (production). ولا تمرّروا أبدًا إلى أنظمة الذكاء الاصطناعي كلمات مرور حقيقية أو مفاتيح API أو وصولًا إلى بيانات سرية. استخدموا قيمًا بديلة ثابتة.

وبالنسبة إلى المنصات نفسها، فهذه فرصة سانحة. فأول شركة تضيف فحصًا تلقائيًا مدمجًا للشيفرة بحثًا عن تسريبات البيانات، وتحظر النشر (deploy) عند اكتشاف معلومات حساسة، ستحصل على ميزة تنافسية كبيرة تتمثل في ثقة العملاء من الشركات والجهات الحكومية. وستبقى RedAccess حينها مجرد حكاية عن زمن كانت فيه الصناعة لا تزال غير حذرة.