أنتروبك تدفع اختبار البرمجيات إلى عصر جديد من الأمن الذاتي بفعل الذكاء الاصطناعي

يشهد الأمن السيبراني تحولاً لافتاً مع دخول نماذج الذكاء الاصطناعي في قلب عملية فحص البرمجيات، لا كأداة مساعدة فقط، بل كطبقة تحليل قادرة على اكتشاف الثغرات بسرعة غير مسبوقة. هذا التطور، الذي يبرز مع أحدث معاينات Anthropic لنموذج Claude Mythos، يطرح سؤالاً أعمق من مجرد تحسين أدوات الحماية: ماذا يحدث عندما يصبح البرنامج قادراً على إثبات سلامته بنفسه؟

الفكرة لم تعد محصورة في تقليل الأخطاء أو تسريع التدقيق، بل في إعادة تعريف مكان الأمن داخل دورة تطوير البرمجيات. فبدلاً من الاعتماد على فحص ما بعد الكتابة، يتجه القطاع نحو نموذج تتداخل فيه عملية التطوير مع التحليل الأمني لحظة بلحظة. وهذا يعني أن الثغرات قد تُكتشف، وربما تُصحح، قبل أن تصل إلى بيئة الإنتاج.

من فحص متأخر إلى أمن يولد مع الكود

النهج التقليدي في الأمن البرمجي بُني على افتراض ثابت: الكود لن يكون مثالياً، وبالتالي ينبغي اكتشاف العيوب بعد إنشائه عبر الفحص، والاختبار، والمراجعة، والاستجابة للحوادث. هذا النموذج لا يزال ضرورياً، لكنه يعتمد على مبدأ رد الفعل أكثر من الوقاية الكاملة.

الجديد أن نماذج الذكاء الاصطناعي بدأت تكسر هذا الإيقاع. فهي قادرة على مراجعة قواعد برمجية ضخمة، والتقاط أنماط دقيقة قد لا يلاحظها البشر، وربط إشارات تبدو منفصلة في أنظمة مختلفة. ومع تزايد قدرتها على التحليل، لا تعود مجرد أداة تدقيق، بل تصبح شريكاً في البناء نفسه.

النتيجة المحتملة هي بيئة تطوير يمكن فيها تقييم الكود أثناء كتابته، ورصد المخاطر على الفور، واقتراح إصلاحات مبكرة، وربما منع فئات كاملة من العيوب من الوصول إلى النسخ النهائية. عند هذه النقطة، لا يعود الهدف هو تقليل عدد الثغرات فقط، بل منع ظهورها من الأساس.

إعادة تعريف معنى "التحول إلى اليسار"

لطالما استخدمت فرق التقنية مصطلح "التحول إلى اليسار" للدلالة على نقل الاختبارات الأمنية إلى مراحل أبكر من دورة التطوير. لكن التطبيق العملي لهذا المفهوم ظل في كثير من الأحيان يضيف مزيداً من الفحوص والتنبيهات، من دون تغيير جوهري في المنطق الأساسي: يُكتب الكود أولاً، ثم يُقيَّم لاحقاً.

ما يتشكل الآن يبدو مختلفاً. فبدلاً من توسيع سلسلة المراجعات بعد كتابة الشفرة، تظهر إمكانية لإدخال الذكاء الاصطناعي داخل عملية الإنشاء نفسها. بهذا المعنى، لا يصبح الأمن خطوة لاحقة، بل جزءاً مدمجاً في لحظة الإنتاج البرمجي.

هذا التحول مهم لأن الفارق بين العثور على المشكلة قبل النشر وبعده قد يكون الفارق بين خلل محدود وحادث واسع النطاق. وعندما تصبح أدوات التحليل أسرع وأكثر دقة، تصبح القيمة الحقيقية في اختصار الزمن بين ظهور الثغرة واكتشافها إلى الحد الأدنى الممكن.

الثقة لم تعد افتراضاً بل إثباتاً

في معظم الحالات، ما زالت الشركات تثق في البرمجيات اعتماداً على مؤشرات غير مباشرة، مثل سمعة المزود، أو الشهادات التنظيمية، أو نتائج مراجعة أمنية سابقة. هذه المؤشرات مهمة، لكنها تظل أدلة غير كاملة؛ فهي تشير إلى أن أحداً ما قام بالتحقق، لا إلى أن المنتج خالٍ فعلاً من المخاطر.

التحول الذي يدفع به الذكاء الاصطناعي هنا أوسع من مجرد تحسين أدوات الكشف. إنه يفتح الباب أمام نموذج تصبح فيه الثقة قابلة للتحقق المستمر. بدل سؤال: هل نثق بهذه الشركة؟ يمكن أن يظهر سؤال أكثر دقة: هل يمكن لهذا البرنامج أن يثبت سلامته؟

إذا أمكن توثيق كل مكوّن، وإرفاق نتائج الفحص، وربطها بتواقيع رقمية يمكن التحقق منها لاحقاً، فإن الثقة تتحول من حكم تقريبي إلى عملية قياس قابلة للمراجعة. وهنا تدخل مفاهيم مثل قوائم مكونات البرمجيات SBOM، وسلامة سلسلة التوريد البرمجية، وبيانات الاعتماد القابلة للتدقيق، في قلب البنية الأمنية نفسها.

الأمن في عصر السرعة الآلية

ما يجعل هذا التطور أكثر حساسية هو أن الذكاء الاصطناعي لا يغير الدفاع فقط، بل يرفع أيضاً قدرة الهجوم. فالأدوات نفسها التي تستطيع البحث عن الثغرات وإصلاحها، تستطيع أيضاً العثور على نقاط الضعف واستغلالها. وبذلك تتسارع المنافسة بين المدافعين والمهاجمين إلى مستوى غير مسبوق.

هذا التسارع يضغط على الفاصل الزمني بين ظهور الثغرة واستغلالها. وإذا كان هذا الفاصل ضيقاً في السابق، فإنه قد يصبح أقصر بكثير في بيئة تعمل فيها النماذج الآلية بسرعة عالية. لذلك لم يعد الرد السريع كافياً وحده، بل يصبح المطلوب التقدم على المشكلة قبل وقوعها، أو على الأقل امتلاك ضمانات مستمرة حول ما يجري تشغيله فعلياً داخل المؤسسة.

في هذه المرحلة، تصبح الثقة الأمنية عملية ديناميكية لا تُبنى مرة واحدة. بل يجب أن تكون مستمرة، ومؤتمتة، وقابلة للتحديث مع كل تغيير في الكود أو الحزمة أو التبعية البرمجية.

من التحقق اليدوي إلى الثقة القابلة للتدقيق

تتجه المؤسسات إلى الاعتماد على مزيج من التحقق المستمر والتوثيق القابل للتدقيق من أجل إثبات أن البرمجيات مرت بمراحل مراجعة محددة. الفكرة لا تتعلق فقط بإصدار شهادة أمنية، بل بتوفير سجل يمكن للطرف الآخر التحقق منه في أي وقت، سواء كان عميلًا أو شريكًا أو جهة تنظيمية.

هذا ما يمنح مفاهيم مثل التواقيع المشفرة، وإثباتات الامتثال، وإدارة الهوية الرقمية، دوراً جديداً. فهي لا تعمل كطبقة توثيق شكلية، بل كعناصر في بنية تحتية تهدف إلى تحويل الثقة إلى أمر يمكن قياسه ومراجعته باستمرار.

ومع دخول الذكاء الاصطناعي على خط كتابة الكود وتدقيقه، يصبح هذا النهج أكثر إلحاحاً. فكلما زاد الاعتماد على الأنظمة الآلية في إنتاج البرمجيات، زادت الحاجة إلى آليات تثبت ما الذي جرى بناؤه، وكيف جرى بناؤه، وما الاختبارات التي مر بها، وما الذي تم إصلاحه قبل الإطلاق.

ما الذي ينتظر فرق التقنية

المشهد القادم لا يعني أن البرمجيات ستصبح مثالية. لكن المسار العام واضح: المزيد من الثغرات سيُكتشف أو يُمنع في وقت أبكر، والذكاء الاصطناعي سيصبح جزءاً أساسياً من عملية الدفاع والهجوم معاً، والثقة ستتحول تدريجياً إلى عنصر يمكن التحقق منه تقنياً لا مجرد افتراض إداري.

بالنسبة لفرق الهندسة والأمن، يعني ذلك إعادة بناء بعض السياسات والأدوات والممارسات حول فكرة أن الأمن ليس مرحلة منفصلة عن التطوير. بل قد يصبح جزءاً متصلاً به، يراقب الكود لحظة ظهوره، ويتابع ما يحدث له لاحقاً، ويستمر في إصدار أحكامه مع كل تحديث جديد.

وفي بيئة كهذه، لن يكون السؤال الأهم: هل البرمجيات آمنة بما يكفي؟ بل: هل تستطيع البرمجيات أن تثبت ذلك باستمرار؟