إليك ما يحتاج المبتدئون إلى معرفته للبرمجة بشكل آمن.
على المدى “ترميز الأجواء” انتشر في جميع أنحاء عالم التكنولوجيا منذ أوائل العام الماضي، بعد أن كتب المؤسس المشارك لـ OpenAI أندريه كارباثي عن تجربته في إنشاء التعليمات البرمجية من خلال التحدث فقط إلى نموذج الذكاء الاصطناعي دون التفكير حقًا في الكود نفسه. وكتب في X: “أنا فقط أرى الأشياء، وأقول الأشياء، وأشغلها، وأنسخها وألصقها، وهي تعمل في الغالب”. بريد التي أثارت هذا المصطلح.
في صناعة التكنولوجيا، أصبحت البرمجة الحماسية الآن هي الوضع الطبيعي الجديد. على الرغم من أنها طريقة قوية للتحرك بشكل أسرع بموارد أقل، إلا أن إنشاء تعليمات برمجية باستخدام الذكاء الاصطناعي لا تفهمها تمامًا أو لم تراجعها يمكن أن يشكل مخاطر أمنية خطيرة عليك وعلى أجهزتك وأي شخص يستخدم تطبيقك. شركة الأمن السيبراني التي تركز على تطبيقات الذكاء الاصطناعي جاذبية تقول إنها بحثت في شركات Fortune 50 ووجدت أن البرمجة الحماسية تجعل المهندسين أكثر إنتاجية بأربعة أضعاف ولكنها أدت إلى عشرة أضعاف عدد المشكلات الأمنية. لذا، لا تقم بالبرمجة الديناميكية دون اتباع أفضل ممارسات الأمان الأساسية هذه.
1. كن محددًا في الموجه وقم بإنشاء ملف تخفيض السعر
تعامل مع نموذج الذكاء الاصطناعي كما تفعل مع الجني الكسول. ستتخذ العديد من نماذج الذكاء الاصطناعي اختصارات سريعة لتقديم ما طلبته تقنيًا ولكن دون تنفيذ تدابير السلامة أو التحقق مرة أخرى من العمل. لا تفترض أن الذكاء الاصطناعي سيحافظ على خصوصية المعلومات الهامة، أو ينفذ أفضل ممارسات الأمن السيبراني، أو يفحص الكود الخاص به بحثًا عن عمليات استغلال محتملة.
قم بتوضيح ما تريده بأكبر قدر ممكن من التحديد، بما في ذلك مواصفات الخصوصية، والقيود المفروضة على من يمكنه الوصول إلى أي جزء مما تقوم بإنشائه وغيرها من حواجز الحماية الأمنية ووسائل الحماية التي تريد إضافتها إلى المشروع، مثل التشفير. يمكنك أيضًا أن تطلب منه الرجوع إلى قائمة OWASP من أهم نقاط الضعف للمساعدة في تجنب هذه المشكلات قبل كتابة التعليمات البرمجية.
ستمنحك معظم نماذج الذكاء الاصطناعي القدرة على إنشاء قواعد ثابتة أو ملفات سياقية، لذلك لا يتعين عليك تكرار نفس التعليمات في كل مرة تجلس فيها للبناء. أنشئ ملف تخفيض السعر (ملف .md) باستخدام أي نموذج من نماذج الذكاء الاصطناعي أو أضف معلومات إلى قسم “المعرفة” في الوكيل Lovable أو قسم “الذاكرة” إذا كنت تستخدم Replit. تعد ملفات تخفيض السعر بالذكاء الاصطناعي مفيدة لإضافة إرشادات السلامة لأن الذكاء الاصطناعي سيأخذ في الاعتبار تعليمات الملف مع كل مطالبة أو مهمة. وقبل البدء، يمكن أن يساعدك اختيار أدوات الترميز الديناميكي التي تدعم سجلات التدقيق في تتبع كل تغيير في مشروعك بسهولة أكبر.
2. احتفظ بمفاتيح API وكلمات المرور خارج الدردشة (والرمز)
ليس من الجيد أبدًا وضع مفاتيح واجهة برمجة التطبيقات أو كلمات المرور مباشرةً في مطالبة الذكاء الاصطناعي. لا ينبغي أبدًا أن يظهر هذا النوع من البيانات الحساسة في التعليمات البرمجية، لأنه إذا قمت بدفع التعليمات البرمجية الخاصة بك إلى Github لاحقًا، فستكون كل هذه المعلومات المهمة متاحة لأي شخص ليراها. إن تقييد ما يمكن لأداة الذكاء الاصطناعي الخاصة بك الوصول إليه يمكن أن يساعد أيضًا في منع ذلك هجمات الحقن السريع.
وبدلاً من ذلك، قم بتخزين البيانات الحساسة في مكان مخصص مدير كلمة المرور واستخدم علامات التبويب “المتغيرات البيئية” أو “الأسرار” في Replit أو Lovable أو Vercel. هذه هي الطريقة الأسهل والأفضل للمبتدئين.
إذا كانت أداة الذكاء الاصطناعي التي تستخدمها لا تحتوي على ميزة مثل هذه المضمنة بالفعل، فسيتعين عليك إنشاء ملف .env “متغير بيئي” خلفي لهذه البيانات والتأكد من عدم نشر هذا الملف للعامة في أي مرحلة من العملية. وهذا يعني جعله جزءًا من ملف .gitignore والتأكد من عدم ظهوره أبدًا على الواجهة الأمامية للتطبيق أو موقع الويب.
للتحقق مما إذا كنت قد قمت بذلك بشكل صحيح، يمكنك استخدام TruffleHog، وهي أداة ستتحقق من التعليمات البرمجية الخاصة بك للتأكد من عدم تسريب معلومات حساسة عن طريق الخطأ.
3. حماية بيانات التطبيق
إذا كنت تقوم ببناء أي شيء يتضمن الكثير من البيانات، فقد يتضمن ذلك استخدام نوع من لغة الاستعلام الهيكلية، أو SQL، للتعامل مع هذه المعلومات. على سبيل المثال، تستخدم تطبيقات المستهلك مثل Spotify لغة SQL لتحسين أداء التطبيق عند نقل البيانات إلى المستخدم. يمكن أن تؤدي قواعد بيانات SQL الضعيفة إلى هجمات حقن SQL، مما يسمح للمتسللين بمسح تلك البيانات أو حذفها واستبدالها بما يريدون.
اطلب من الذكاء الاصطناعي تحديد معلمات الاستعلامات، وتعقيم المدخلات، واستخدام إجراءات الخادم للإجراءات الحاسمة، وتمكين الأمان على مستوى الصف (RLS) وإنشاء سياسات RLS إن أمكن. كل هذه الأساليب تجعل من الصعب استغلال التعليمات البرمجية وحمايتها لبيانات تطبيقك.
من الممارسات الجيدة أيضًا التأكد من أن الذكاء الاصطناعي يستخدم أحدث الإصدارات من المكتبات الموجودة. لقد ظن الذكاء الاصطناعي أيضًا بوجود حزم غير حقيقية أو قد تستخدم حزمًا ضارة عن طريق الصدفة، لذا ترقب هذا أيضًا.
4. تحديد المعدل هو صديقك
إذا كنت قد سمعت من أي وقت مضى عن هجمات DDoSيعد تحديد المعدل إحدى الطرق للمساعدة في حماية تطبيقك من الوقوع ضحية لأحد هذه الهجمات. يمكن أن يؤدي تحديد المعدل إلى منعها عن طريق تحديد عدد المرات التي يمكن فيها لشخص ما (أو روبوت) القيام بإجراء معين.
يمكن أن يؤدي تحديد معدل محاولة كلمة المرور إلى منع هجمات القوة الغاشمة وحشو بيانات الاعتماد. يعتمد المبلغ الذي تريده في تحديد السعر على ما يفعله تطبيق vibe الخاص بك. إذا كان تطبيقًا مجانيًا مثل برنامج الدردشة الآلي للدعم، فقد يؤدي تحديد السعر إلى حفظ حسابك المصرفي عن طريق تحديد عدد الرموز المميزة التي يمكن استخدامها يوميًا لكل مستخدم. إذا أمكن، حدد الحد الأقصى للسعر حسب معرف الحساب أولاً ثم حسب عنوان IP. بهذه الطريقة، لا يمكن للمتسللين إرسال رسائل غير مرغوب فيها بسهولة ولا يمكن التحايل على الحد الأقصى للمعدل VPN يستخدم.
تعد تدفقات مصادقة البريد الإلكتروني أو الهاتف واختبار CAPTCHA خطوات جيدة أخرى يمكنك إضافتها إلى تطبيقك للمساعدة في منع الأنشطة غير المرغوب فيها.
5. مراجعة واختبار عمل الذكاء الاصطناعي
إذا لم تتمكن من الاستعانة بمهندس برمجيات محترف لمراجعة مشروعك المشفر، فاطلب من الذكاء الاصطناعي تقييم عمله الخاص بحثًا عن عمليات استغلال محتملة، بما في ذلك اختباره مقابل مخاطر OWASP العشرة الأوائل حتى لو كنت قد اطلعت عليها مسبقًا. ثم استخدم نماذج الذكاء الاصطناعي الأخرى للبحث عن المشكلات المحتملة.
هناك أيضًا عدد من الأدوات التي يمكنها تقييم المشاريع المرمزة بما في ذلك Claude Code Security، أمن الدستور الغذائيو Stackhawk’s Wingman و CheckVibe و SafeToShip و Vibe App Scanner. لكن القضاء على الأخطاء لا يتوقف بعد الشحن، لذلك سيتعين عليك مراقبة تطبيق أو موقع vibe الخاص بك للتأكد من أن المشكلات تظل آمنة.
