تطبيقات الويب المبنية بالذكاء الاصطناعي تكشف البيانات الحساسة على مرأى الجميع

جاذبية إنشاء التطبيقات الفوري تصطدم بالأمن الأساسي

لقد جعلت أدوات بناء التطبيقات المدعومة بالذكاء الاصطناعي من الممكن تقريبًا لأي شخص أن ينشئ تطبيق ويب وينشره خلال دقائق. هذه السرعة جزء من جاذبيتها. وهي أيضًا، بشكل متزايد، جزء من المشكلة.

وفقًا لتقرير من Wired استنادًا إلى بحث أجرته شركة الأمن السيبراني RedAccess، وُجد أن آلاف التطبيقات العامة التي تم إنشاؤها بأدوات تشمل Lovable وReplit وBase44 وNetlify تفتقر إلى أي قدر ذي معنى من الأمن تقريبًا. وفي أكثر من 5,000 حالة، كانت التطبيقات متاحة لأي شخص يعرف الرابط أو يخمّنه. وقال دور زفي، المؤسس المشارك في RedAccess، إن نحو 40% من التطبيقات التي جرى فحصها كشفت معلومات حساسة.

المواد المكشوفة المذكورة في التقرير ليست بسيطة. وقال زفي إن البيانات شملت معلومات طبية وبيانات مالية وعروضًا تقديمية للشركات ووثائق استراتيجية وسجلات دردشة روبوتات العملاء. كما قالت Wired إنها تحققت من أن عدة تطبيقات مكشوفة ظهرت في لقطات الشاشة ما زالت تعمل ومتاحة على الإنترنت.

الأمر لا يتعلق فقط بالأخطاء البرمجية

أهم نقطة في التقرير هي أن كثيرًا من هذه الإخفاقات لم تكن عيوبًا برمجية دقيقة. بل كانت حالات لغياب ضوابط الوصول أو شبه غيابها. وبحسب ما ورد، سمحت بعض التطبيقات لأي شخص لديه متصفح بالوصول إلى البيانات. واعتمدت تطبيقات أخرى على حواجز واهية، مثل السماح للزائر بتسجيل الدخول باستخدام أي عنوان بريد إلكتروني.

وهذا التمييز مهم لأنه يغيّر نموذج التهديد. فرق الأمن معتادة على البحث عن عيوب قابلة للاستغلال في البرامج. لكن ما يصفه RedAccess هو شيء أكثر بدائية: تطبيقات تُنشر من دون أي تصور فعلي عمّن يجب أن يُسمح له بالدخول أصلًا.

وبهذا المعنى، لا يكمن الخطر الذي تخلقه تطبيقات “vibe-coded” في أن الذكاء الاصطناعي قد يضيف أخطاء جديدة فحسب، بل في أن الأدوات نفسها تقلل الاحتكاك اللازم لنشر البرامج إلى درجة تجعل بعض المنشئين يتجاوزون قرارات الأمن الأساسية بالكامل.

كيف جرى العثور على هذه التطبيقات

قالت RedAccess إن عملية البحث كانت مباشرة بشكل مفاجئ. فالمنصات المذكورة في التقرير تسمح للمستخدمين باستضافة التطبيقات على نطاقات الشركة نفسها بدلًا من النطاقات التي يسيطر عليها المستخدمون. ثم استخدم الباحثون عمليات بحث بسيطة عبر Google وBing تستهدف تلك النطاقات، إلى جانب مصطلحات بحث أخرى، لتحديد أعداد كبيرة من التطبيقات المبنية بالذكاء الاصطناعي.

هذه المعلومة ينبغي أن تثير القلق لدى مزودي المنصات والمنظمات التي تستخدم هذه الأدوات داخليًا. فهي تشير إلى أن التطبيقات المكشوفة لم تكن مخبأة في زوايا مجهولة من الويب، بل كان يمكن العثور عليها عبر طرق بحث عادية. وبمجرد أن تصبح قابلة للاكتشاف، يتحول أي غياب أو ضعف في المصادقة إلى مسار مباشر لكشف البيانات.

لماذا قد تكون هذه مشكلة تنظيمية أكبر

وصف زفي نمط التسريب بعبارات شديدة، قائلًا إن المؤسسات تكشف البيانات الخاصة عبر تطبيقات vibe-coding، واصفًا ذلك بأنه أحد أكبر الأحداث على الإطلاق المتعلقة بفتح معلومات حساسة لأي شخص في العالم. وحتى مع الأخذ في الاعتبار المبالغات التي ترافق عادةً الإفصاحات الأمنية، فإن النمط الأساسي مهم.

إن انتشار أدوات تطوير الذكاء الاصطناعي داخل الشركات يعني أن إنشاء البرمجيات لم يعد حكرًا على فرق الهندسة التقليدية. فمديرو المنتجات والمحللون ومسوقو الشركات وفرق العمليات يستطيعون الآن بناء أدوات داخلية أو نماذج أولية موجهة للعملاء عبر مطالبة واحدة وزر نشر واحد. وهذا يغيّر من يكتب البرمجيات، لكنه لا يغيّر ما يمكن للبرمجيات أن تكشفه.

إذا ربط موظف تطبيقًا مبنيًا بالذكاء الاصطناعي ببيانات داخلية ونشره بالإعدادات الافتراضية، فقد تكون النتيجة تسريبًا كاملًا من دون أن يحتاج أي مهاجم خبيث إلى اختراق المحيط الدفاعي. يصبح التطبيق نفسه هو الاختراق.

التحول الثقافي وراء المشكلة

جزء من القصة هنا تقني، لكن جزءًا منها ثقافي أيضًا. تُسوَّق منصات البرمجة بالذكاء الاصطناعي على أساس الفورية. فهي تعد بأن البرمجيات يمكن إنتاجها كما تُنتج العروض التقديمية أو المستندات: بسرعة، وبشكل تكراري، ومن دون تدريب متخصص كبير. هذا وعد قوي، خصوصًا داخل المؤسسات التي تريد تسريع التجارب.

لكن البرمجيات ليست مجرد أثر إبداعي. إنها أيضًا سطح وصول. وكلما أصبح إنشاء التطبيقات أسهل، أصبح إنشاء تطبيقات غير آمنة على نطاق واسع أسهل أيضًا. وبهذا المعنى، تبدو قراءة تقرير Wired أقل كأنه مشكلة معزولة لأحد الموردين وأكثر كتحذير مبكر من فئة جديدة من تكنولوجيا المعلومات الظلية.

وتتفاقم المشكلة عندما يكون الاستضافة والنشر وسهولة الاكتشاف مدمجة في سير العمل نفسه. فإذا استطاع المستخدم إنشاء تطبيق وربط البيانات ونشره على نطاق منصة كبرى خلال دقائق، فعندها يجب أن تنتقل الحوكمة إلى مرحلة أبكر. وقد تكون مراجعة الأمن بعد النشر متأخرة جدًا.

ما الذي ينبغي أن يحدث بعد ذلك

لا يقدم التقرير ردودًا رسمية من كل منصة مذكورة، لذا فإن الاستنتاج الأكثر دفاعًا عنه هو استنتاج أوسع من أي شركة بعينها. تحتاج منظومات بناء التطبيقات بالذكاء الاصطناعي إلى إعدادات افتراضية أقوى فيما يخص المصادقة وكشف البيانات. ويحتاج المستخدمون إلى تحذيرات أوضح بشأن ما يصبح عامًا. كما ينبغي على المؤسسات أن تتعامل مع أدوات بناء التطبيقات القائمة على المطالبات باعتبارها بيئات تطوير برمجية حقيقية، لا أدوات إنتاجية غير ضارة.

والدرس الأوسع واضح. عندما يصبح إنشاء التطبيقات فوريًا، لا يمكن أن تظل الحماية خيارًا أو أمرًا مفترضًا. لن يُقاس الإنجاز الحقيقي في أدوات البرمجيات بالذكاء الاصطناعي فقط بسرعة نشر الكود، بل أيضًا بمدى قدرتها على منع البناة غير المتمرسين من نشر بياناتهم معها.

هذا المقال مبني على تقرير Wired. اقرأ المقال الأصلي.