SAST – فحص الشيفرة قبل تشغيلها

تحوّل محركات SAST الشيفرة إلى تمثيلات وسيطة – أشجار صياغة مجرّدة أو حقائق برمجية علائقية – وتطبّق عليها تحليلات تدفق التحكم وتدفق البيانات وTaint. فعلى سبيل المثال، يستخرج CodeQL الشيفرة إلى قاعدة بيانات ويصوغ الثغرات الأمنية كاستعلامات بامتداد للغة Datalog؛ بينما يطابق Semgrep الأنماط بنيويًا على شجرة الصياغة، مع المصادر والمصارف والمعقّمات (Sanitizers) كقواعد Taint. والحاسم للعمق: التحليل داخل الدالة الواحدة أمر قياسي – أما التحليل بين الإجراءات عبر حدود الملفات والدوال فهو ما يفصل بين فئات الأدوات، وهو مثلًا في Semgrep حكر على العرض التجاري.

وفقًا لمبرهنة Rice، فإن جميع الخصائص الدلالية غير البديهية للبرامج غير قابلة للحسم – فالتحليل الذي يكتشف جميع الثغرات ولا يُطلق إنذارًا كاذبًا أبدًا مستحيل رياضيًا. وكل أداة تختار جانبًا: التقريب الزائد (لا حالات فائتة في الفضاء المنمذج، مقابل إنذارات كاذبة منهجية – وقد وضع Cousot & Cousot الأساس لذلك عام 1977 بالتفسير المجرّد) أو التقريب الناقص (أدق، لكن مع فجوات). فالإنذارات الكاذبة إذن ليست خطأً في التنفيذ، بل ثمن النهج – والسؤال الوحيد هو من يفرزها.

تكمن نقاط قوة SAST في فئات الأخطاء ذات الشكل الثابت: الحقن، واستدعاءات التشفير غير الآمنة، وبيانات الدخول المضمّنة في الشيفرة، وأخطاء الذاكرة في C/C++ – مع تحديد دقيق للملف والسطر وموضع الشيفرة، وقبل وقت طويل من وجود تطبيق قابل للاختبار. ولذلك يضع OWASP SAMM الاختبارات الثابتة والديناميكية المؤتمتة منذ مستوى النضج 1 في مسار Security Testing: فهي خط الأساس القابل للتوسّع الذي يُبنى عليه الاختبار اليدوي الأعمق.

يحدّد OWASP النقاط العمياء بوضوح: أخطاء المصادقة والتفويض، والاستخدام الخاطئ للتشفير، وأخطاء منطق الأعمال يصعب اكتشافها آليًا أو يستحيل – أما أخطاء الإعدادات فلا تظهر في الشيفرة أصلًا. والقياس يؤكد ذلك: في دراسة ISSTA أجرتها TU München، فاتت ستة محللات C/C++ ما بين 47 و80 في المئة من 192 ثغرة أمنية حقيقية معروفة؛ وحتى الجمع بين جميع الأدوات ترك ما بين 30 و69 في المئة دون اكتشاف. تحتاج هذه الفئات إلى نمذجة التهديدات والمراجعات – أو إلى الاستدلال الدلالي.

وفقًا للأدبيات البحثية الموحّدة، فإن ما بين 35 و91 في المئة من تحذيرات التحليل الثابت لا تستدعي أي إجراء. ووجدت دراسة ميدانية – ممولة من أحد المزوّدين – شملت قرابة 3,000 مستودع عام في 2025 أكثر من 91 في المئة من الإنذارات الكاذبة في ثلاث فئات أخطاء كلاسيكية، وفي الحالة القصوى 1,166 نتيجة مقابل 6 إصابات حقيقية فقط. وأظهر تقييم لأكثر من 100 مليون نتيجة AppSec من 178 مؤسسة أن 2 إلى 5 في المئة فقط تتطلب إجراءً فوريًا. إرهاق التنبيهات (Alert Fatigue) ليس عاملًا ثانويًا، بل هو السبب الأكثر شيوعًا لفشل برامج SAST.

أكثر عاملَي ضبط فاعليةً منشوران: في Meta كان معدّل الإصلاح لعمليات الفحص الدفعية الليلية قريبًا من الصفر؛ وعندما انتقل التحليل نفسه إلى تعليق في مراجعة الشيفرة الخاصة بالـDiff، ارتفع إلى أكثر من 70 في المئة – المحرك نفسه، ونسبة الإنذارات الكاذبة نفسها. ولا تسمح Google في المراجعة إلا بالتحليلات التي تبقى نسبة إنذاراتها الكاذبة الفعلية دون 10 في المئة؛ وفعليًا يقع نظام Tricorder دون 5 في المئة بقليل. الدرس: توقيت التسليم وثقة المطوّرين يتفوقان على جودة الأداة.

OWASP Benchmark تطبيق Java قابل للتشغيل يضم 2,740 حالة اختبار قابلة للاستغلال فعليًا في 11 فئة؛ ويجري التقييم بمقارنة معدّل الإيجابيات الصحيحة بمعدّل الإيجابيات الكاذبة (مؤشر Youden). وتُكمّل مجموعة Juliet من NIST ذلك بحالات اختبار اصطناعية تغطي 118 CWE في C/C++ و112 في Java. احذروا من ادعاءات الشركات المصنِّعة مثل «اكتشاف بنسبة 100%»: فالمدوّنات علنية، والإفراط في التكيّف (Overfitting) ممكن – وتُظهر معايير أحدث مثل CASTLE أن لكل فئة أدوات أنماط إخفاق خاصة بها: التحقق الرسمي يقلّل الإنذارات الكاذبة لكنه يخفق خارج نموذجه؛ ونماذج LLM قوية على المقتطفات وأضعف مع ازدياد حجم الشيفرة.

في 2024/2025 تغيّرت الإحداثيات: ففي ديسمبر 2024 وضعت Semgrep قواعدها المُصانة تحت ترخيص احتكاري – فقام اتحاد من نحو عشرة مزوّدين أمنيين على إثر ذلك باشتقاق المحرك باسم Opengrep ‏(LGPL؛ وبعد عام: 43 إصدارًا وتحليل Taint عابر للدوال كمصدر مفتوح). كما سحبت Sonar محللات اللغات الخاصة بها من LGPL. وقسّمت GitHub في أبريل 2025 خدمة Advanced Security إلى Code Security (‏30 دولارًا أمريكيًا لكل Committer نشط شهريًا) وSecret Protection (‏19 دولارًا أمريكيًا). وأعادت Gartner في أكتوبر 2025، بعد توقف دام عامين، إصدار Magic Quadrant لاختبار أمان التطبيقات – بمشاركة 16 مزوّدًا ومع ASPM بوصفه بُعدًا للتقييم.

تتركّز الأرقام الأكثر صلابة في الفرز: قلّل وكلاء LLM خلف SAST الكلاسيكي الإنذارات الكاذبة على OWASP Benchmark بنسبة تصل إلى 88.6 في المئة مع فقدان 3.1 في المئة فقط من الاستدعاء؛ وعلى تنبيهات CodeQL حقيقية حدّدوا ما يصل إلى 93.3 في المئة من الإيجابيات الكاذبة. ووفقًا لبيانات القياس عن بُعد في المرحلة التجريبية، يختصر Copilot Autofix من GitHub زمن المعالجة الوسيط من 1.5 ساعة إلى 28 دقيقة. كما باتت أنظمة مستقلة مثل Google Big Sleep أو المتأهلين لنهائيات DARPA AIxCC تكتشف ثغرات أمنية حقيقية بشكل مستقل. وبذلك تتحرّك الحدود الواردة في البطاقة 4 – لكنها لا تختفي: الذكاء الاصطناعي يُكمّل الطبقات ولا يحلّ محلّها.