Vercel تطلق deepsec: ماسح يعتمد على الذكاء الاصطناعي لاكتشاف الثغرات الخفية في الشيفرة البرمجية

أطلقت Vercel أداة deepsec مفتوحة المصدر، وهي إطار عمل (harness) يعتمد على الذكاء الاصطناعي للبحث عن الثغرات في قواعد الشيفرة الكبيرة. وهي أول ماسح أمني يعمل على بنيتك التحتية الخاصة وبمفاتيح API الخاصة بك، دون إرسال الشيفرة المصدرية إلى السحابة.

الفكرة بسيطة: بدلًا من إرسال شيفرة حساسة إلى خوادم طرف آخر، تحلّلها وكلاء Claude وGPT محليًا.

لماذا نحتاج إلى deepsec

غالبًا ما تُنتج الماسحات الأمنية الحالية (مثل أدوات SAST) عددًا كبيرًا من الإنذارات الكاذبة، بحيث تصبح نتائجها غير قابلة للاستخدام عمليًا. أما البديل الآخر فهو الاستعانة بشركة متخصصة في التدقيق الأمني، لكن ذلك مكلف ويستغرق وقتًا طويلًا.

تحاول deepsec سدّ هذه الفجوة: وكلاء ذكاء اصطناعي يعملون كمهندس أمن ذي خبرة، لكن بتكلفة أقل وبسرعة أعلى وبشكل محلي.

البنية والإمكانات

تستخدم deepsec نموذج Claude Opus 4.7 في وضع max effort ونموذج GPT-5.5 مع استدلال (reasoning) عالي المستوى. ويمكن للأداة العمل محليًا على حاسوبك المحمول، ولا يتطلب ذلك إعداد أي خدمات سحابية.

ولتوسيع النطاق إلى المستودعات الأحادية الكبيرة، تدعم deepsec التنفيذ المتوازي عبر Vercel Sandboxes: فخلال التطوير شغّلت Vercel عمليات مسح على أكثر من 1000 نسخة متزامنة. وقد يستغرق مسح مستودع كبير عدة أيام على جهاز واحد، لذلك يُعدّ التوازي عاملًا حاسمًا.

كيف تعمل عملية المسح

تتألف العملية من خمس مراحل:

• Scan — تعثر التعبيرات النمطية (regular expressions) على الملفات والدوال الحساسة أمنيًا
• Investigate — يحلّل وكلاء البرمجة (coding agents) كل مرشّح بعمق، ويتتبعون تدفقات البيانات، ويفحصون إجراءات التخفيف القائمة
• Revalidate — تمريرة ثانية من الوكلاء تستبعد الإنذارات الكاذبة وتعيد تصنيف مستوى الخطورة (severity) لكل نتيجة
• Enrich — يستخدم الوكيل بيانات git الوصفية لتحديد المطورين الذين ينبغي أن يصلحوا المشكلة
• Export — تُحوَّل النتائج إلى تعليمات عملية لإنشاء تذاكر (tickets) في نظام التتبع

النتائج على مشاريع حقيقية

اختبرت Vercel أداة deepsec على المستودعات الأحادية الخاصة بها وعلى مشاريع مفتوحة المصدر لعملائها. وأثارت النتائج إعجاب حتى مهندسي الأمن والمؤسسين من ذوي الخبرة.

ففي الشيفرة المفتوحة لمنصة dub.co (منصة لاختصار الروابط وأنظمة معقدة لإسناد المصدر (attribution) في برامج التسويق بالعمولة)، اكتشفت deepsec أخطاءً خفية في منطق المصادقة، وتحديدًا حالات حدّية دقيقة في شروط التحقق من الهوية. كانت هذه الأخطاء غامضة فعلًا: لم تكتشفها أدوات SAST القياسية، لكنها كانت قد تؤدي إلى وصول غير مصرّح به.

ودفعت هذه النتائج Vercel إلى تطوير إضافة ماسح مخصصة (custom scanner plugin) لفحص جميع مسارات المصادقة في مستودعاتها الأحادية الخاصة.

«نتلقى كثيرًا من التقارير الأمنية الآلية، لكن معظمها غير قابل للتطبيق.

deepsec هي الأداة الأولى التي عثرت على المشكلات نفسها التي كان مهندس الأمن سيضع عليها علامة، وهي في الوقت نفسه تعمل على بنيتنا التحتية.» — Steven Tey، مؤسس dub.co

ماذا يعني ذلك

تنتقل أتمتة المسح الأمني من نطاق الخدمات السحابية إلى نطاق الأدوات التي تضع الخصوصية أولًا (privacy-first). وبالنسبة إلى المطورين وفرق الأمن، يعني ذلك أنه يمكن البحث عن الثغرات دون إرسال الشيفرة إلى السحابة، مع خصوصية كاملة، وباستخدام مفاتيح API الخاصة بـ Claude وOpenAI المتوفرة لديهم أصلًا.

وتبدأ أدوات مثل deepsec في شغل المساحة الواقعة بين عمليات التدقيق الأمني الاحترافية المكلفة (التي تتطلب أسابيع وتكلّف مئات الآلاف) والماسحات الآلية غير الفعّالة (التي تُنتج 95% من الإنذارات الكاذبة). وقد يصبح ذلك معيارًا في خطوط الأمن (security pipeline) لدى الشركات الكبرى.