مساعدات البرمجة بالذكاء الاصطناعي انتصرت. معركة الأمن بدأت للتو.

خلقت سرعة تبني الذكاء الاصطناعي في هندسة البرمجيات شرخًا لم يكن من المفترض أن يظهر. على جهة، تبنت فرق التطوير مساعدات البرمجة بوتيرة مذهلة. وعلى الجهة الأخرى، لا يزال الجهاز الأمني المسؤول عن إدارة هذا الكود يعمل وكأن كل سطر قد كتبه إنسان واحد بسرعة متوقعة. يحدد تقرير شركة Salt Security لشهر يونيو 2026، المعنون "مساعدات البرمجة بالذكاء الاصطناعي والتحدي الأمني الجديد"، هذه الفجوة بعبارات صارخة – ويقدم مصطلحًا قد يُحدد الحقبة القادمة من أمن التطبيقات: الانحراف الأمني (Security Drift).

مفارقة التبني: أدوات سريعة، ضوابط بطيئة

لم تعد مساعدات البرمجة بالذكاء الاصطناعي مجرد تجربة على الهامش. وجدت أبحاث Salt أن 67% من المؤسسات تفيد بأن هذه الأدوات تُستخدم على نطاق واسع عبر فرق التطوير لديها . وتتوقع الشركة أن يتجاوز الكود المُساعَد بالذكاء الاصطناعي 50% من إجمالي كود المؤسسات بحلول عام 2027 – وهي عتبة ستجعل الكود المولّد آليًا هو المُدخل المهيمن على أنظمة الإنتاج .

في أي ركن آخر من أركان تكنولوجيا المؤسسات، كان نمو بهذا الشكل ليكون مدعاة للاحتفال. لكن المشكلة تكمن فيما يحدث عندما يصل هذا الكود دون استجابة أمنية متناسبة. 90% من قادة الأمن أخبروا Salt بأنهم قلقون بشدة من المخاطر التي يُدخلها الكود المولّد بالذكاء الاصطناعي . وقلقهم ليس نظريًا. تظهر أحدث اختبارات شركة Veracode، التي استشهد بها تقرير Salt، أن معدل النجاح الأمني للكود المولّد بالذكاء الاصطناعي يبلغ حوالي 55% – وهو رقم لم يتغير تقريبًا على مدار عامين، مما يعني أن ما يقرب من نصف الكود المولّد يحتوي على ثغرات معروفة عندما لا تُقدم أي توجيهات أمنية صريحة .

من بين المشاركين في استطلاع Salt، أشار 29% إلى أنماط البرمجة غير الآمنة باعتبارها الخطر الأكبر، بينما قال 15% إن القلق الرئيسي هو عدم التوافق مع سياسات الأمن الداخلية . ينبع كلا الخوفين من نفس السبب الجذري: مساعدات البرمجة بالذكاء الاصطناعي تُدرّب على كود عام، وليس على سياسات الأمن الخاصة بأي مؤسسة، أو أطرها الصناعية، أو متطلبات الامتثال لديها .

الانحراف الأمني: عندما لا يلاحظ أحد ما يتم شحنه للإنتاج

يقدم التقرير "الانحراف الأمني" (Security Drift) كالآلية التي تحول مفارقة التبني إلى مخاطر حقيقية. الفكرة واضحة. تكتب المؤسسة قواعدها الأمنية في صفحات ويكي، وملفات PDF، ومعرفة قبلية لم يقرأها مساعد الذكاء الاصطناعي مطلقًا. يولد المساعد كودًا صحيحًا نحوياً ومفيدًا وظيفيًا، لكنه ينتهك بصمت تلك السياسات الداخلية. ولا أحد يلتقط ذلك لأن عمليات المراجعة لا تستطيع المواكبة .

وهذا يقودنا إلى واحدة من أكثر نتائج التقرير قابلية للتطبيق – وإثارة للقلق – حول الحوكمة. لا يزال 38% من المؤسسات يعتمدون بشكل أساسي على المراجعة اليدوية للكود للتعامل مع مخرجات مساعدات البرمجة بالذكاء الاصطناعي. لقد تجاوز حجم الكود المولّد بالذكاء الاصطناعي بالفعل ما يمكن للمراجعين البشريين فحصه بشكل ذي معنى، وتشير توقعات Salt لعام 2027 إلى أن هذه الفجوة ستزداد اتساعًا . فقط أقلية صغيرة من المؤسسات قامت بدمج حواجز حماية أمنية مؤتمتة في سير عمل البرمجة بالذكاء الاصطناعي .

لخص روعي إلياهو، الرئيس التنفيذي لشركة Salt Security، الموقف بصراحة: لقد فشلت الحوكمة في مواكبة كيفية تغيير مساعدات البرمجة بالذكاء الاصطناعي لعملية تطوير البرمجيات . أدوات التحليل الثابتة والديناميكية التقليدية (SAST/DAST) تلتقط المشكلات في مرحلة متأخرة جدًا من خط الإنتاج، عندما يصبح كل إصلاح إعادة كتابة وكل إعادة كتابة تأخيرًا .

مفارقة METR: الشعور بالسرعة رغم البطء

حوكمة الأمن ليست المجال الوحيد الذي تباعد فيه الإدراك عن الواقع. يسلط تقرير Salt الضوء على نتيجة من دراسة خارجية أصبحت نقطة مرجعية في نقاشات أدوات المطورين: التجربة العشوائية المحكمة التي أجرتها منظمة METR ونُشرت في يوليو 2025 .

أخضعت الدراسة 16 مطورًا مخضرمًا من مجتمع المصادر المفتوحة لـ 246 مهمة واقعية على مستودعاتهم البرمجية الناضجة – وهي قواعد كود يتجاوز متوسطها مليون سطر وتحظى بعشرات الآلاف من نجوم GitHub. تم توزيع المشاركين عشوائيًا إما لاستخدام أدوات الذكاء الاصطناعي (بشكل رئيسي Cursor Pro مع Claude 3.5/3.7 Sonnet) أو العمل بدونها .

النتيجة الرئيسية تم الاستشهاد بها مرات عديدة لدرجة أنها تكاد تصبح مجرد ضوضاء في الخلفية، لكن الأرقام تبقى صادمة. أكمل المطورون الذين يستخدمون الذكاء الاصطناعي المهام ببطء أكبر بنسبة 19% مقارنة بأولئك الذين عملوا دون أي مساعدة. قبل التجربة، توقع هؤلاء المطورون أن الذكاء الاصطناعي سيجعلهم أسرع بنسبة 24%. وبعد إكمال مهامهم، قدروا أن الأدوات جعلتهم أسرع بنسبة 20% تقريبًا – على الرغم من أن القياس الموضوعي أظهر أنهم كانوا أبطأ. تجاوزت الفجوة بين الإنتاجية المحسوسة والفعلية 39 نقطة مئوية .

لا تعني نتيجة METR أن أدوات الذكاء الاصطناعي عديمة الفائدة – فالسياق مهم بشدة. لوحظت مكاسب في سيناريوهات تعريف الموظفين الجدد بالعمل، وتوليد الكود النمطي الروتيني، والمهام التي يكون فيها المطورون أقل دراية بقاعدة الكود. لكن بالنسبة للمهندسين ذوي الخبرة الذين يعملون على مهام معقدة ومعتمدة على قاعدة الكود، تشير الأدلة إلى أن الأدوات يمكن أن تُدخل احتكاكًا لا يسجله المطورون بوعي .

Salt Code: فرض القواعد عند الموجه، لا في خط الإنتاج

زامنت Salt إصدار بحثها مع إطلاق منتج مصمم لمعالجة فجوة الحوكمة التي يحددها التقرير. في 1 يونيو 2026، قدمت الشركة Salt Code، وهو مكون جديد لمنصة "الأمن الوكيلي" (Agentic Security Platform) الأوسع لديها .

نهج Salt Code هو إيقاف الانحراف الأمني قبل أن يبدأ. بدلاً من فحص الكود المولّد بالذكاء الاصطناعي بعد وقوعه، يقوم بفرض قواعد الأمن والامتثال الداخلية للمؤسسة مباشرة داخل مساعد البرمجة بالذكاء الاصطناعي في لحظة توليد الكود. يعمل المنتج عبر الأدوات الرئيسية التي تعتمدها المؤسسات: Claude Code، وCursor، وGitHub Copilot، وWindsurf، وCodex، وGemini CLI .

الهدف هو جعل الكود المتوافق مع السياسات هو المخرج الافتراضي، وليس شيئًا يتطلب مسحًا وإعادة كتابة في مرحلة لاحقة. بالنسبة لفرق الأمن، يوفر طبقة سياسات واحدة عبر إنشاء الكود، وفحوصات خط الإنتاج، ومراقبة وقت التشغيل – وهو تحول من التقاط الأخطاء إلى منعها .

يبقى السؤال مفتوحًا حول ما إذا كانت Salt Code أو أدوات مشابهة ستغلق فجوة الحوكمة بالسرعة التي يتطلبها تبني الذكاء الاصطناعي. لكن اتجاه السير واضح. إذا كان التوقع صحيحًا – أن الذكاء الاصطناعي سيكتب أكثر من نصف كود المؤسسات في غضون ثمانية عشر شهرًا – فعندها يجب أن تنتقل سياسة الأمن من مرحلة مراجعة إلى إعداد افتراضي. البديل، كما يحذر تقرير Salt، هو انحراف أمني على نطاق صناعي.