من الشيفرة المولّدة بالذكاء الاصطناعي تفشل في الاختبار الأمني
اختُبرت عبر أكثر من 100 نموذج و80 مهمة برمجية. وفي Java تبلغ نسبة الفشل 72 بالمئة.
Veracode GenAI Code Security ReportAI Code Security · AI-SAST · التحقق من الاستغلال
أمن الشيفرة في عصر الذكاء الاصطناعي
لا تزال الماسحات القائمة على القواعد تعثر بموثوقية على ما صُمّمت له: الأخطاء النحوية. أما ما يؤلم اليوم — التفويض المعطوب، ومنطق الأعمال، والصلاحيات المفترضة خطأً — فليس له توقيع. نحن نجمع القواعد واستدلال الذكاء الاصطناعي والتحقق من الاستغلال في منظومة يستطيع فريقكم تشغيلها فعليًا.
- تقييم للوضع خلال أسبوعين، ونتيجة موثوقة خلال 90 يومًا
- محايدون تجاه الأدوات: نقيّم حزمتكم التقنية، ولا نبيعكم واحدة
- أدلة إثبات تصمد أمام تدقيقات CRA وNIS2 والعملاء
أربعة أرقام تصف الوضع
جميعها من مصادر أولية ومصادر مشغّلين متاحة للعموم. وهي تفسّر معًا لماذا أصبح الحجم والسرعة مشكلة في آنٍ واحد.
يبقى Broken Access Control في المرتبة الأولى ضمن OWASP Top 10
في إصدار 2025 يشمل صراحةً BOLA وBFLA — وهي تحديدًا الأخطاء التي لا يوجد لها نمط.
OWASP Top 10:2025من الثغرات المعروفة المستغَلّة تتعرض للهجوم في يوم النشر
نسبة إدخالات KEV التي استُغلّت في يوم نشر CVE أو قبله، النصف الأول من 2026.
كتالوج CISA KEVمن ثغرات CVE الواردة لا تزال تُثرى بالكامل
تعمل NVD منذ أبريل 2026 في وضع الفرز. ومن ينتظر قواعد بيانات مكتملة ينتظر عبثًا.
NIST حول تحوّل NVDالماسح يقرأ النحو. والمهاجم يقرأ النية.
الفرق ليس مشكلة أدوات، بل مشكلة فئات. وكلا المثالين من التطبيق نفسه.
pythonمُكتشَف
# Findet jede Regel-Engine seit 2005query = "SELECT * FROM users WHERE id=" + req.iddb.execute(query)# → CWE-89 · SQL Injection · deterministisch erkennbar
استعلام SQL المركّب له شكل ثابت. ولهذا تحديدًا صُمّمت القواعد: سريعة وقابلة للتكرار ورخيصة بما يكفي لكل Commit. ولا يستبدل أحدٌ هذه الطبقة.
لذلك لا نستبدل شيئًا. بل نضيف فوقه طبقة ثانية قادرة على الاستدلال على النية.
ثلاث طبقات بدلًا من أداة واحدة
لكل طبقة فئة أخطاء خاصة بها، وإيقاع خاص، وتكلفة خاصة. اختاروا طبقة لرؤية قاعدة الاستخدام.
Layer 2
AI-SAST مع استدلال دلالي
- ما تكتشفه
- أخطاء مرتبطة بالنية: التفويض المعطوب، وIDOR وBOLA، ومنطق الأعمال، وغياب الفصل بين المستأجرين.
- أين تعمل
- بشكل موجّه على المستودعات عالية القيمة: الخدمات المكشوفة على الإنترنت، والمصادقة، وكل ما يتضمن بيانات شخصية أو بيانات متعلقة بالمدفوعات.
- كم تكلّف
- تكلفة متوسطة. ويُبرَّر الجهد بفئة الأخطاء لا بكميتها.
أسرع، أرخص، نحويةأبطأ، أغلى، أعمق
السؤال ليس أبدًا «أي طبقة»، بل «أي طبقة على أي مستودع وبأي إيقاع». وهذا التوزيع تحديدًا نعدّه معكم — مستنَدًا إلى درجة التعرّض وفئة البيانات، لا إلى الحدس.
قابلية الوصول فرضية. وقابلية الاستغلال دليل.
بين مقطع شيفرة مُعلَّم وخطر حقيقي أربع خطوات. ومن يتخطاها يرتّب الأولويات بالحدس.
- 01
النتيجة
قاعدة أو نموذج يُعلّم موضعًا في الشيفرة. ولا شيء أكثر من ذلك في هذه المرحلة.
- 02
قابلية الوصول
يقع الموضع المُعلَّم على مسار يمكن استدعاؤه من الخارج.
- 03
التعرّض
الخدمة قابلة للوصول فعليًا: مسار الشبكة، والهوية، والإعدادات.
- 04
قابلية الاستغلال
نُفّذ الهجوم على البيئة العاملة ونجح. ومن هنا لم يعد مجرد اشتباه.
- 05
الأثر
ما يكمن خلف المسار يحدد ترتيب المعالجة.
لماذا يوفّر ذلك المال
كل مرحلة تُتخطّى دون دليل تولّد عملًا في المكان الخطأ. فالنتيجة المصنّفة حرجة دون مسار هجوم تكلّف فريق التطوير ساعات حقيقية وتقوّض الثقة في النتيجة التالية. وبالعكس، يبرّر المسار المُثبَت إيقافًا فوريًا للتسليم. ولا يمكن التمييز بين الحالتين إلا إذا كان التحقق جزءًا من العملية لا موضوعًا للنقاش.
ما نتولاه عنكم
لا نبني منظومة موازية. بل نرتّب سلسلة أدواتكم القائمة في منظومة متماسكة — ونتولى الأجزاء التي تتطلب معرفة متخصصة.
معمارية المسح وتقييم الأدوات
قبل إضافة أداة أخرى، نوضح أي طبقة تكون مجدية أصلًا على أي مستودع.
- تصنيف المستودعات حسب درجة التعرّض وفئة البيانات
- مقارنة محايدة تجاه الأدوات لحزمتكم التقنية القائمة
- نموذج للإيقاع والتكلفة لكل طبقة
إدخال AI-SAST ومعايرته
لا يكون تحليل الشيفرة الدلالي أفضل من معايير قبوله. ونحن نحددها قبل بدء التشغيل الأول.
- تجربة على مستودعات محددة
- معايرة مقابل نتائج معروفة تمت معالجتها بالفعل
- معايير قبول بدلًا من مؤشرات الشركات المصنِّعة
التحقق من الاستغلال والفحص المضاد
نتحقق على النظام العامل مما إذا كانت النتيجة تؤدي فعليًا إلى مسار هجوم.
- إثبات على النظام، لا على المخطط
- سلسلة أدلة لكل مسار مؤكَّد
- تسليم إلى فريق التطوير مع خطوات إعادة الإنتاج
Secure Code Review للشيفرة المولّدة بالذكاء الاصطناعي
تفشل الشيفرة المساعِدة في فئات يمكن التنبؤ بها. وهناك تحديدًا تبدأ المراجعة.
- التفويض، والفصل بين المستأجرين، ومعالجة الأخطاء
- دليل مراجعة لمالكي الشيفرة لديكم
- مخاطر الوكلاء والـ Prompts داخل المستودع نفسه
المعالجة والمسؤولية
حتى أنضج نتيجة تذهب سدى إذا لم يُسمَّ مسؤول عنها. نحن نسدّ الفجوة بين الاكتشاف والإصلاح.
- ربط مالكي الشيفرة حتى مستوى الشخص الواحد
- مقترحات تصحيح على شكل Pull Request
- اتفاقيات SLA حسب قابلية الاستغلال بدلًا من CVSS وحده
توفير أدلة الإثبات لـ CRA وNIS2 وتدقيقات العملاء
المخرجات نفسها تخدم التدقيق واستبيان العملاء وإثبات الحوادث — إذا أُعدّت على هذا النحو منذ البداية.
- تقارير الفحص والاختبار للوثائق الفنية
- دَين أمني بموعد استحقاق بدلًا من قائمة استثناءات
- مؤشرات تُظهر الأثر لا النشاط
أربع مراحل حتى نتيجة موثوقة
لا تغيير للمنصة ولا تحوّل شامل دفعة واحدة. يعمل هذا المسار بما هو متوفر أصلًا في معظم المؤسسات.
- المرحلة 1 · أسبوعان
تقييم الوضع
نراجع المستودعات والماسحات الموجودة وسجل النتائج والمسؤوليات. والنتيجة تصنيف حسب درجة التعرّض وفئة البيانات — وخط أساس صريح.
- المرحلة 2 · 4 أسابيع
التجربة
AI-SAST على أكثر المستودعات حساسية، مُعايَر مقابل نتائج معروفة. وبالتوازي أولى عمليات التحقق: أي المسارات قابلة للوصول فعليًا؟
- المرحلة 3 · 6 أسابيع
الترسيخ
بوابات في عملية البناء، ومقترحات تصحيح لمالكي الشيفرة، واتفاقيات SLA حسب قابلية الاستغلال. وتُوثَّق الاستثناءات ويُحدَّد لها تاريخ انتهاء.
- المرحلة 4 · مستمر
التشغيل
تحليل Frontier دوري لأكثر التطبيقات حساسية، وتقرير المؤشرات، والتعديل المستمر. وعند الطلب كخدمة مُدارة.
ما يكون بين أيديكم في النهاية
مخرجات قابلة لإعادة الاستخدام — في Sprint وفي التدقيق وفي استبيان العملاء.
سجل مخاطر المستودعات
جميع المستودعات حسب درجة التعرّض وفئة البيانات والمسؤولية — أساس كل قرار بشأن الإيقاع.
الصورة المستهدفة للمسح
أي طبقة على أي مستودع وبأي تكرار، بما في ذلك تقدير التكلفة ومدة التشغيل.
قائمة النتائج المُتحقَّق منها
مسارات هجوم مؤكَّدة مع سلسلة الأدلة وخطوات إعادة الإنتاج — مفصولة بوضوح عن المؤشرات غير المؤكَّدة.
حزم الإصلاح
مقترحات تصحيح مرتبطة بالأسباب، على شكل Pull Request لمالكي الشيفرة المسؤولين حيثما أمكن.
تقارير الفحص والاختبار
بصيغة تتلاءم مع الوثائق الفنية وفق الملحق I من CRA.
تقرير المؤشرات
نسبة النتائج المُتحقَّق منها، والوقت من الاكتشاف حتى الإصلاح، ونسبة الإسناد، والدَّين الأمني حسب العمر.
الارتباط بالمعايير واللوائح التنظيمية
نعمل وفق مراجع راسخة — كي لا تقنع النتائج داخليًا فحسب، بل تكون قابلة للإثبات خارجيًا أيضًا.
قانون المرونة السيبرانية الأوروبي (CRA)
يشترط الملحق I الجزء II معالجة فعّالة للثغرات الأمنية طوال فترة الدعم؛ وتنتمي تقارير الاختبار والفحص إلى الوثائق الفنية.
اللائحة (EU) 2024/2847OWASP Top 10:2025
يبقى A01 Broken Access Control في المرتبة الأولى ويغطي صراحةً BOLA وBFLA. والجديد في A03: Software Supply Chain Failures.
owasp.orgOWASP ASVS
متطلبات قابلة للتحقق بدلًا من الآراء: تمنح مستويات التحقق مراجعة الشيفرة والاختبار نطاقًا محددًا.
Verification StandardNIST SSDF · SP 800-218
الإطار المرجعي لممارسات التطوير الآمن الذي يستند إليه العملاء والجهات الرقابية بشكل متزايد.
csrc.nist.govSLSA
سلامة سلسلة التوريد من الشيفرة المصدرية حتى المُخرَج — وهو المستوى الذي لا يغطيه مسح الشيفرة وحده.
slsa.devOWASP SAMM
نموذج نضج للعمل الأمني: يجعل التقدم على مدى سنوات قابلًا للمقارنة لا مجرد قابل للإبلاغ.
owaspsamm.orgأدلة للاطلاع
تستند أقوال هذه الصفحة إلى مصادر أولية ومصادر مشغّلين متاحة للعموم. وهي هنا بنسختها الأصلية.
- DARPA AI Cyber Challengeنتائج نهائيات 2025: أنظمة مستقلة على 54 مليون سطر من الشيفرة.
- Google Project Zero · Big Sleepكيف يعثر وكيل ذكاء اصطناعي على ثغرات أمنية في شيفرة مفتوحة المصدر حقيقية.
- VulnCheck State of Exploitationما مدى سرعة استغلال الثغرات الأمنية المنشورة فعليًا.
- FIRST EPSSترتيب الأولويات على أساس الاحتمالية كمكمّل لدرجة الخطورة وحدها.
- CWE Top 25أكثر فئات الثغرات الأمنية شيوعًا — مرجع لتغطية القواعد.
- OpenSSF Scorecardتقييم آلي للممارسات الأمنية في الاعتماديات مفتوحة المصدر.
تعمّقوا في المعرفة
صفحات معرفة مجانية في مجال التطوير الآمن للبرمجيات — دون نموذج ودون تسجيل.
لنتحدث عن مستودعاتكم.
30 دقيقة، دون حديث مبيعات. نحدد معًا أي طبقة تُحدث لديكم الفرق الأكبر — وما يمكنكم الاستغناء عنه.