حين يضيف مساعد البرمجة اعتماديات أسرع من فحصها

لم تعد إضافة مكتبة برمجية إلى مشروع مؤسسي تتطلب دائمًا أن يبحث عنها مطوّر ويختارها بنفسه. يستطيع مساعد البرمجة اقتراح الشيفرة ومعها الحزم والمكتبات وصور الحاويات التي تعتمد عليها. وكلما تسارعت إضافة هذه المكونات، ضاق الوقت المتاح لفحص مصدرها وثغراتها، واتسعت فرص دخول اعتماد خبيث أو مخترق إلى البرمجيات التي تبنيها الشركة وتشغّلها. 17

لماذا تتعثر الموافقات التقليدية؟

يرى كوينسي كاسترو، كبير مسؤولي أمن المعلومات في تشينغارد، أن توليد الشيفرة شبه الفوري سبق دورة العمل البشرية المعتادة: طلب اعتماد جديد، ثم مراجعته، ثم الموافقة عليه. تصبح طوابير الموافقات عنق زجاجة، فيما يستمر تراكم الاعتماديات في المشاريع. والمشكلة لا تقتصر على المكون الذي يختاره المطوّر مباشرة؛ فقد تجلب الاعتماديات مكونات أخرى معها. 17

ماذا تكشف نسبة 97%؟

في تقرير تشينغارد لشهر يونيو 2026، وقعت 97% من حالات الثغرات المرصودة في عينتها خارج أكثر 20 مشروعًا استخدامًا لصور الحاويات. النسبة تصف حالات ثغرات رُصدت ضمن العينة، ولا تعني أن 97% من المشاريع تحتوي ثغرات. لكنها توضح حدود التركيز الأمني على الأسماء الأشهر وحدها: فقد يتراكم قدر كبير من التعرض المقاس في «الذيل الطويل» من المشاريع الأقل ظهورًا.

وقد يبدو مشروع متفرع خبيث شبيهًا بمشروع مشروعٍ معروف، مع احتوائه شيفرة ضارة قد يختارها مساعد البرمجة أو المطوّر. وفي المقابل، لا تضمن الشهرة السلامة: ففي مارس 2026، طال اختراق توزيع أداة فحص الثغرات Trivy عبر GitHub Actions، واستُخدمت مسارات العمل المتأثرة لجمع بيانات اعتماد. وأظهر الحادث كيف يمكن لاختراق مكوّن موثوق أن يمتد أثره إلى جهات كثيرة تستخدمه. 17

أين يدخل مشروع جامعة إنديانا؟

بمنحة تبلغ 1.18 مليون دولار من المؤسسة الوطنية الأمريكية للعلوم، يخطط باحثون في جامعة إنديانا لتقييم المخاطر الأمنية في أدوات ونماذج ذكاء اصطناعي مفتوحة المصدر تُستخدم في البحث العلمي، ثم مساعدة المستخدمين على تحديد خيارات أكثر أمانًا. ويُذكر Jetstream2، وهو مورد حوسبة سحابية بحثية مدعوم من المؤسسة، ضمن البنية الحاسوبية المرتبطة بهذا العمل. لكن الوصف المتاح للمشروع لا يحدد آلية بعينها لتقييم النماذج، ولا يعد بأن البدائل الموصى بها ستكون خالية من المخاطر. 612

الخلاصة: لا تكفي سرعة إنتاج الشيفرة إذا غابت الرؤية إلى ما تدخله معها من اعتماديات. والسؤال الأمني لم يعد مقتصرًا على سلامة الشيفرة المكتوبة، بل يشمل مصدر كل مكوّن تصل إليه البرمجيات عبر سلسلة التوريد. 17