الجانب المظلم للكود المولّد بالذكاء الاصطناعي: أزمة أمنية صامتة في 2026

الذكاء الاصطناعي يكتب الكود بسرعة مذهلة — لكن هل هو آمن؟ تكشف دراسات 2026 صورة مقلقة: بين 45% و70% من الكود المولّد بالذكاء الاصطناعي يفشل في اختبارات الأمان. المشكلة أن السرعة تخفي "دَينًا أمنيًا" صامتًا يتراكم في المشاريع. في هذا المقال نستعرض الأرقام الحقيقية، وأخطر أنواع الثغرات، وكيف تحمي مشروعك دون أن تتخلّى عن سرعة الذكاء الاصطناعي.

الأرقام المقلقة

اختبرت دراسة أكثر من 100 نموذج لغوي في مهام برمجية حسّاسة أمنيًا، فوجدت أن 45% من عيّنات الكود المولّد تُدخِل ثغرات من قائمة OWASP Top 10 — ونسبة لم تتحسّن عبر دورات اختبار متعددة رغم ادّعاءات المزوّدين. تحليل آخر وجد أن الكود المولّد يُنتج 2.74 ضعف عدد المشكلات الأمنية لكل طلب دمج (PR) مقارنة بالكود البشري.

والأخطر: عدد الثغرات المنسوبة رسميًا (CVE) للكود المولّد ارتفع من 6 في يناير 2026 إلى 35 في مارس — ويُقدّر الباحثون أن الرقم الحقيقي أعلى 5 إلى 10 أضعاف لأن معظم الأدوات لا تترك أثرًا يوثّق مصدر الكود.

المشكلة الأخطر: ثغرات معمارية لا أخطاء بسيطة

اللافت أن ما ازداد ليس الأخطاء التافهة، بل الثغرات المعمارية الخطيرة: مسارات تصعيد الصلاحيات ارتفعت بنسبة 322%، وعيوب التصميم بنسبة 153%. هذه بالضبط الثغرات التي تحتاج تفكيرًا سياقيًا عميقًا لاكتشافها — وهي الأكثر قابلية للاستغلال في الإنتاج.

أشهر أنواع الثغرات

1. بيانات اعتماد مضمّنة (Hardcoded Secrets)

وثّق تقرير 2026 نحو 28.65 مليون سرّ جديد مكشوف في مستودعات GitHub العامة خلال 2025 (زيادة 34% — أكبر قفزة سنوية). ولوحظ أن الكومِتات المدعومة بالذكاء الاصطناعي تكشف الأسرار بضعف المعدل البشري.

2. تبعيات مهلوسة (Slopsquatting)

عبر 2.23 مليون عيّنة كود، احتوت 19.7% على اسم حزمة غير موجود أصلًا — يخترعه النموذج، فيسجّله المهاجمون بحزمة خبيثة ويصطادون من يثبّتها.

3. تحكّم وصول مكسور وحقن

النماذج كثيرًا ما تتخطّى فحوص التفويض وتعقيم المدخلات، ما يفتح الباب لحقن SQL/الأوامر والوصول العابر للبيانات.

أرقام واقعية صادمة

فجوة الحوكمة

الموضوع المحوري: التبنّي يسبق الحماية. أطر تطوير البرمجيات (SDLC) وأدوات الأمان صُمّمت للكود البشري وتحتاج توسعة متعمّدة لمعالجة أنماط فشل الذكاء الاصطناعي. ويزيد الطين بلّة سلوك المطوّرين:

56% من المطوّرين يعترفون أنهم نادرًا ما يراجعون الكود المولّد سطرًا بسطر — وهذا بالضبط ما يحوّل السرعة إلى دَين أمني قد ينفجر لاحقًا.

كيف تحمي مشروعك؟

1. راجع كود الـ AI دائمًا — خصوصًا منطق التفويض والوصول للبيانات.
2. افحص الأسرار تلقائيًا (Secret Scanning) في الـ CI قبل الدمج.
3. تحقّق من التبعيات: تأكّد أن كل حزمة موجودة فعلًا وموثوقة قبل تثبيتها.
4. وسّع أمان الـ SDLC/CI ليشمل أنماط أخطاء الذكاء الاصطناعي، لا الكود البشري فقط.
5. مبدأ أقل صلاحية (Least Privilege) في كل شيء افتراضيًا.

أسئلة شائعة

هل أتوقّف عن استخدام الذكاء الاصطناعي في البرمجة؟ لا. المكسب في السرعة حقيقي، لكن عامل الكود المولّد كأنه من متدرّب موهوب لكن غير موثوق: استفد منه، وراجعه دائمًا قبل الإنتاج.

ما أخطر نوع ثغرة يجب أن أنتبه له؟ الثغرات المعمارية (تصعيد الصلاحيات، تخطّي التفويض) — لأنها الأصعب اكتشافًا والأكثر خطورة، وتحتاج مراجعة بشرية واعية.

كيف أتجنّب التبعيات المهلوسة؟ لا تثبّت أي حزمة يقترحها النموذج دون التحقق من وجودها فعلًا وسمعتها (عدد التنزيلات، المستودع الرسمي).

الخلاصة

الكود المولّد بالذكاء الاصطناعي يسرّع التطوير، لكنه يُدخل ثغرات بمعدل 45–70%، مع تصاعد موثّق في الثغرات المعمارية الخطيرة والأسرار المكشوفة والتبعيات المهلوسة. الرسالة ليست "توقّف"، بل "راجع وحوكِم": السرعة بلا مراجعة = دَين أمني. وظّف الذكاء الاصطناعي بذكاء، وابنِ حواجز أمان تناسب طبيعته الجديدة.