دراسة: الذكاء الاصطناعي يكتب 45% من الأكواد بثغرات أمنية

يكتب مطورو البرمجيات الأكواد بسرعة غير مسبوقة، لكن الثمن الخفي بدأ يظهر. فقد وجدت دراسة شاملة لأكثر من 100 نموذج لغوي للذكاء الاصطناعي أن 45% من الأكواد التي تولدها تحتوي على ثغرات أمنية، في وقت أصبح فيه استخدام هذه الأدوات شبه شامل بين المبرمجين المحترفين. وتتيح هذه الممارسة، التي أطلق عليها باحث الذكاء الاصطناعي أندريه كارباثي (Andrej Karpathy) اسم «البرمجة الحدسية» (vibe coding)، للمطورين وصف ما يريدونه بلغة إنجليزية عادية ليتولى الذكاء الاصطناعي كتابة الكود الفعلي. وأثبتت فعالية لافتة في تسريع التطوير؛ إذ تظهر الأبحاث أن الفرق تنجز المهام الروتينية أسرع بنسبة 55%، فيما بنى ربع الشركات في أحدث دفعة من واي كومبينيتور (Y Combinator) قاعدة أكوادها بالكامل بهذه الطريقة. وفي الولايات المتحدة، يستخدم 92% من المطورين هذه الأدوات يومياً. ويسير الشرق الأوسط على النمط نفسه، إذ استخدم 75% من الموظفين في المنطقة أدوات الذكاء الاصطناعي في عملهم خلال العام الماضي، متجاوزين المتوسط العالمي البالغ 69%. ومكاسب السرعة حقيقية إلى درجة أن قاموس كولينز اختار «البرمجة الحدسية» كلمة العام 2025. لكن تحليل فيراكود (Veracode) لـ80 مهمة برمجية واقعية يكشف نمطاً مقلقاً. فبينما تحسنت نماذج الذكاء الاصطناعي كثيراً في كتابة أكواد تعمل، لم تتحسن على الإطلاق في كتابة أكواد آمنة. ووجدت الدراسة أن 86% من الأكواد المولدة تعجز عن صد هجمات البرمجة النصية عبر المواقع، وأن 88% منها لا تزال عرضة لثغرات حقن السجلات. وهذه ليست ثغرات نادرة أو معقدة، بل نقاط ضعف أساسية يُفترض أن يكتشفها أي مطور كفء. وتشتد المشكلة في لغات برمجة بعينها. فأكواد جافا التي يولدها الذكاء الاصطناعي تحتوي على عيوب أمنية في أكثر من 70% من الحالات. أما بايثون وسي شارب وجافا سكريبت فحالها أفضل قليلاً، لكنها لا تزال تسجل معدلات فشل بين 38% و45%. ولا يتفوق أداء النماذج الأكبر والأكثر تطوراً بشكل ملموس على النماذج الأصغر، ما يشير إلى أن الأمر قيد جوهري لا مشكلة سيحلها الجيل التالي من التقنية. وبالنسبة للشركات الناشئة التي تبني نماذج أولية سريعة لاختبار الأفكار، قد تكون هذه المخاطر مقبولة. فالقدرة على تحويل فكرة إلى نموذج عملي في ساعات بدلاً من أسابيع قد تعني الفرق بين الحصول على التمويل والإغلاق. لكن الأمر يختلف في أنظمة الإنتاج التي تخدم العملاء. فقد وجدت دراسة بريطانية أن الفرق أمضت وقتاً أطول بنسبة 41% في تصحيح الأكواد المولدة بالذكاء الاصطناعي بعدما تجاوزت أنظمتها 50,000 سطر. وجوهر المشكلة أن الذكاء الاصطناعي يبحث عن أقصر طريق إلى كود يبدو أنه يعمل، لا إلى كود آمن فعلاً. فعندما يُطلب من هذه الأنظمة الاستعلام من قاعدة بيانات، كثيراً ما تنتج أنماطاً رأتها آلاف المرات في بيانات تدريبها، بما فيها أخطاء أمنية شائعة مثل ثغرات حقن SQL. ويعمل الكود بشكل مثالي في الاختبار، لكنه يفتح أبواباً خلفية خطيرة يمكن للمهاجمين استغلالها. وتتبنى الشركات الأكثر استباقاً طريقاً وسطاً؛ فهي تستخدم الذكاء الاصطناعي لتسريع التطوير مع فرض فحص أمني إلزامي، واشتراط مراجعة بشرية لمسارات الكود الحساسة، وتتبع مقاييس جديدة تتجاوز سرعة كتابة الكود وحدها. ويتحول التركيز إلى قياس الأثر الفعلي، مثل الميزات التي أُطلقت والأخطاء التي عولجت، بدلاً من الاحتفاء بحجم الإنتاج وحده. ويرسخ الشرق الأوسط مكانته ساحة اختبار لهذه المقاربات. فمن المتوقع أن يصل الإنفاق على التقنية في المنطقة إلى 169 مليار دولار في 2026، بقيادة الحكومات ومزودي الحوسبة السحابية العملاقة لاستثمارات البنية التحتية. وعقدت الإمارات العربية المتحدة شراكة مع OpenAI وأوراكل وNVIDIA لبناء ما سيصبح أكبر مجمّع للذكاء الاصطناعي في العالم خارج الولايات المتحدة، فيما يستهدف صندوق الذكاء الاصطناعي السعودي البالغ 40 مليار دولار مراكز البيانات ومصنعي أشباه الموصلات. ومع ذلك، تظهر أبحاث ماكنزي أنه رغم بلوغ معدلات التبني 84% بين مؤسسات دول مجلس التعاون الخليجي، لم تصل سوى 31% منها إلى مرحلة التطبيق الناضج، ولا تستطيع سوى 11% نسب ما لا يقل عن 5% من أرباحها إلى الذكاء الاصطناعي. فالتوسع الكبير في البنية التحتية في المنطقة لم يُترجم بعد إلى قيمة متناسبة، ويعود ذلك جزئياً إلى أن تحديات الأمن والجودة نفسها تواجه المطورين سواء كانوا في وادي السيليكون أو دبي. وبحلول 2026، يتوقع المحللون أن 60% من أكواد البرمجيات الجديدة ستكون مولدة بالذكاء الاصطناعي، على أن ترتفع النسبة نحو 90% بحلول 2027. والشركات التي ستفوز ليست بالضرورة الأكثر اندفاعاً في تبني الذكاء الاصطناعي، بل تلك التي تقرن السرعة بالانضباط. فالميزة التنافسية الحقيقية ليست في سرعة توليد الكود، بل في سرعة بناء أنظمة آمنة وقابلة للصيانة ولا تتطلب إصلاحات مكلفة لاحقاً. ويستلزم ذلك الجمع بين قدرات الذكاء الاصطناعي والحكم البشري في تحديد متى تُمنح الآلة الثقة ومتى يُتحقق من عملها.