يتم كتابة الكود بواسطة الذكاء الاصطناعي أسرع من قدرة فرق الأمن على مراجعته. تُظهر دراسة جديدة أجرتها مؤسسة لينكس بدعم ومشاركة ActiveState أن 58% من الفرق تنشر الكود بسرعة تفوق قدرة مراجعة الأمن على اللحاق بها؛ في الوقت نفسه، أفاد 60% من المشاركين أن مساعدي البرمجة القائمين على الذكاء الاصطناعي زادوا من عدد حزم البرمجيات الخارجية في مكتبات كودهم. لكن الفرق تُراجع فقط حوالي نصف الوقت التبعيات غير المباشرة التي تُدخلها هذه الحزم، أي "التبعيات العابرة".
ActiveState هي الجهة الراعية والمساهمة في هذا البحث الجديد. وقد دعم هذا البحث مؤسسة أمن مصادر مفتوحة (OpenSSF) ومؤسسة LF AI & Data. أعلنت ActiveState يوم الاثنين عن نتائج البحث بعنوان "حالة تأثير الذكاء الاصطناعي على أمن البرمجيات والأمن السيبراني 2026". يشير البحث إلى وجود فجوة متزايدة بين سرعة تطوير البرمجيات المدعومة بالذكاء الاصطناعي وقدرة المنظمات على حماية أمان الكود الذي تنتجه.
تشير الدراسات إلى أن هذه التحديات تصبح أكثر إلحاحًا مع تسريع الذكاء الاصطناعي لتكوين الكود واكتشاف الثغرات، حيث يقل الوقت المتاح للمنظمات لاكتشاف وإصلاح المشكلات قبل استغلال المهاجمين للثغرات الأمنية. وقد أبرز ثغرة PHP2Shell في أكتوبر 2026 هذا الإلحاح: حيث تم نشر تصحيح عاجل خلال ساعات قليلة بعد الإفصاح عن الثغرة، وتم الإبلاغ عن محاولات استغلال. تشير الدراسات إلى أنه مع تسارع اكتشاف الثغرات واستغلالها، تواجه المنظمات ضغطًا متزايدًا لضمان مواءمة مراجعات الأمان ومراجعة التبعيات وإصلاحات الثغرات مع هذا الوتيرة السريعة.
غطت هذه الدراسة 172 من متخصصي الأمن من الشركات ومشاريع مفتوحة المصدر. كما كشفت الدراسة أن الذكاء الاصطناعي يُعد جزءًا من الحل، لكنه يصاحبه بعض التنازلات. أفاد المشاركون أن 30% من الثغرات التي تم اكتشافها خلال العام الماضي تم الكشف عنها باستخدام أدوات مساعدة بالذكاء الاصطناعي؛ وذكر 69% من المشاركين أن هذه الأدوات حسّنت بشكل كبير من وضعهم الأمني. في المتوسط، زادت أدوات الذكاء الاصطناعي من سرعة العمل الأمني بنسبة 17%، لكن الإبلاغ الخاطئ عن الثغرات زاد من عبء العمل على المتخصصين بنسبة 30%، مما يبرز الحاجة إلى تحقيق توازن بين الكفاءة التي يوفرها الذكاء الاصطناعي والإشراف الأمني الفعال.
قال الرئيس التنفيذي لـ ActiveState، آبي كيرنز: "مساعدو البرمجة بالذكاء الاصطناعي لا يكتبون الكود فحسب، بل يختارون أيضًا الاعتمادات الخاصة بك، وتُظهر هذه الدراسة أن الفرق تتحقق فقط من حوالي نصف المحتوى الناتج. وهذا يتماشى مع ما نسمعه أسبوعيًا من العملاء. إبطاء المطورين لا يحل المشكلة. الحل هو تحديد ما يستحق الثقة قبل دخول الكود إلى مستودع الكود، بحيث يمكن للمطورين وأدواتهم الذكية البدء من المكونات التي وافقت عليها فرق الأمان."
تشمل الاكتشافات الرئيسية الأخرى:
- المهارات معرضة للخطر. 82% من المشاركين اتفقوا على أن الاعتماد المفرط على أدوات الذكاء الاصطناعي يضعف مهارات المطورين في الأمان.
- القلق يفوق الاستعداد. بالنسبة لكل تهديد مرتبط بالذكاء الاصطناعي تم قياسه، كان عدد المهنيين الذين أبدوا قلقًا أكبر من أولئك الذين شعروا بأنهم مستعدون. وأكبر فرق في هذا السياق كان في مجال استغلال الثغرات التلقائي والاختبار الضبابي الناتجين عن الذكاء الاصطناعي، حيث بلغ الفرق 41 نقطة مئوية.
- يحتل سلسلة التوريد المرتبة الأولى في قائمة المخاوف. تُعد هجمات سلسلة التوريد أكبر مخاوف خبراء الأمن، بنسبة 93٪؛ تليها حقن الأوامر، بنسبة 90٪؛ وعبء الصيانة الناتج عن التحديثات المتكررة للمكونات، بنسبة 87٪.
- عدم وضوح تحمل المسؤولية. فقط 30% من الفرق لديها وظائف مخصصة للتعامل مع التهديدات الأمنية المتعلقة بالذكاء الاصطناعي، وحوالي ثلث الفرق فقط لديها سياسات أمنية رسمية تشمل الذكاء الاصطناعي.
- الوضوح في التحديد يؤدي إلى عوائد. في الفرق التي لديها مناصب مخصصة لأمان الذكاء الاصطناعي، أفاد 75% بأنهم مستعدون بشكل كافٍ للهجمات المضادة ضد أنظمة الذكاء الاصطناعي؛ بينما في جميع المُستطلَعين، كانت هذه النسبة 50%.
- المراجعة البشرية ليست مطلوبة افتراضيًا. بين الفرق التي لديها سياسات أمان للذكاء الاصطناعي، فقط 57% تطلب مراجعة بشرية للرمز المُنشأ بواسطة الذكاء الاصطناعي.
تشير الدراسة إلى أن هذه النتائج مجتمعة تُظهر أنه مع زيادة اعتماد الذكاء الاصطناعي، هناك حاجة إلى تحديد مسؤوليات الأمان بشكل أكثر وضوحًا وتعزيز الحوكمة. كما تشير الدراسة إلى أن إنشاء مناصب متخصصة، ووضع سياسات واضحة، وتنفيذ الأدوات بشكل صحيح، يرتبط بمستويات أعلى من الاستعداد؛ لكن الاستطلاع لم يثبت أن هذه الممارسات هي السبب في هذا الفرق.
قالت لورا غوازيلي، مهندسة أمنية مسؤولة عن بنى الأمان لأنظمة الذكاء الاصطناعي/التعلم الآلي/النماذج اللغوية الكبيرة/الأنظمة الوكيلة في OpenSSF: "مع تسريع الذكاء الاصطناعي لتطوير البرمجيات، تحتاج المنظمات أيضًا إلى إدارة وحماية الكود الناتج بنفس درجة الحذر. ويبدأ ذلك من فهم النقاط في سلسلة توريد البرمجيات التي يُدخل فيها الذكاء الاصطناعي مخاطر، وتحديد من يتحمل مسؤولية معالجة هذه المخاطر، وضمان مواءمة ممارسات الأمان مع تغير طرق بناء البرمجيات."
توصي التقارير بأن تقوم المنظمات بتعيين مسؤول محدد لمخاطر الأمن المرتبطة بالذكاء الاصطناعي، ووضع سياسة رسمية لأمن الذكاء الاصطناعي، ودمج مراجعة بشرية للرمز المولّد، مع تعزيز التحكم في الاعتمادات المباشرة والاعتمادات التبعية. استنادًا إلى هذه النتائج، تقترح ActiveState تطبيق الحوكمة منذ لحظة إدخال مكونات مفتوحة المصدر، بحيث يمكن لفرق الأمن تحديد المكونات المسموح بها في سلسلة التوريد البرمجية قبل أن يقوم المطورون أو مساعدو الذكاء الاصطناعي بجلبها.
يمكن الاطلاع على التقرير الكامل "حالة تأثير الذكاء الاصطناعي على أمان البرمجيات والأمن السيبراني لعام 2026" على موقع Linux Foundation، ويتضمن نتائج البحث والتوصيات العملية: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
حول ActiveState
تُشير ActiveState إلى أن الشركة ملتزمة بضمان أمان سلسلة توريد البرمجيات من المصدر في عصر البرمجة بالذكاء الاصطناعي. وباستخدام ActiveState Curated Catalog — وهو مستودع خاص وتمت مراجعته لمكونات مفتوحة المصدر — يمكن لفرق الأمن تحديد المكونات المسموح بها في برامج الشركة قبل أن يتم إدخالها من قبل المطورين أو مساعدي البرمجة بالذكاء الاصطناعي. وتقول الشركة إن هذا يمنح فرق الأمن السيطرة، مع الحفاظ على سرعة تطوير فرق الهندسة. ويمكن لـ Curated Catalog العمل بالتكامل مع مستودعات القطع ومسحّات الذكاء الاصطناعي التي تستخدمها الفرق بالفعل. لمزيد من المعلومات، راجع activestate.com.
مصدر الرسالة: ActiveState