AI-مدفوعة SDLCالذكاء الاصطناعي موجود بالفعل. لم يعد الذكاء الاصطناعي قادمًا، بل هو موجود بالفعل. إنه يكتب التعليمات البرمجية في بيئات التطوير المتكاملة لدينا. إنه يختار المكتبات. إنه يفتح pull requests. يقوم بتنفيذ خطوات في pipelineلم يعد السؤال هو ما إذا كان المطورون سيستخدمون الذكاء الاصطناعي، بل السؤال هو كيف تحافظ المؤسسات على الشفافية والتحكم والثقة أثناء استخدامهم له.
لقد دخل تطوير البرمجيات الحديثة بالفعل عصر الذكاء الاصطناعي
في مختلف المؤسسات الهندسية، يستخدم المطورون بالفعل مساعدي البرمجة، ومساعدي كتابة التعليمات البرمجية، وبيئات التطوير المتكاملة المدعومة بالذكاء الاصطناعي، والوكلاء الداخليين، والأدوات المتصلة بمنصة إدارة المحتوى، وسير العمل المستقل بشكل متزايد كجزء من عمليات التطوير اليومية. ما بدأ كتجربة سرعان ما أصبح جزءًا لا يتجزأ من دورة حياة تطوير البرمجيات نفسها. كان هذا هو الموضوع الرئيسي لأحدث جلسة نقاش SafeDev التي استضافتها شركة Xygeni: "AI-مدفوعة SDLCهم موجودون بالفعل. ماذا الآن؟"
جمعت الجلسة سام ستيبانيانعضو مجلس إدارة OWASP العالمي وقائد فرع OWASP في لندن؛ أشويني سيدهيعضو مجلس إدارة OWASP العالمي وقائد في مجال الأمن السيبراني يركز على البيئات التي تعتمد على الذكاء الاصطناعي؛ و يسوع كوادرادوالرئيس التنفيذي لشركة Xygeni، يدير الجلسة: لويس رودريجيز، مسؤول أبحاث في شركة Xygeni.
وما برز خلال النقاش هو رسالة واضحة: لقد تغير حوار أمن التطبيقات جذرياً. لم تعد فرق الأمن تستعد لتبني الذكاء الاصطناعي داخل تطوير البرمجيات، بل أصبحت تتعامل معه بالفعل.
أهم النقاط الرئيسية للذكاء الاصطناعي SDLCs
- أصبحت تقنيات الذكاء الاصطناعي جزءًا لا يتجزأ من التكنولوجيا الحديثة SDLCمن خلال مساعدي الطيارين، ومساعدي البرمجة، والوكلاء المستقلين، وأدوات التطوير المدعومة بالذكاء الاصطناعي.
- لم يتم تصميم نماذج أمن التطبيقات التقليدية للبرمجيات المولدة بواسطة الذكاء الاصطناعي، أو التبعيات الوهمية، أو سير العمل المستقل، أو التطوير بسرعة الآلة.
- أصبحت تقنيات الذكاء الاصطناعي الخفية تشكل تحدياً كبيراً فيما يتعلق بالشفافية والحوكمة لـ CISفرق أنظمة التشغيل وأمن التطبيقات.
- يُدخل التطوير المدعوم بالذكاء الاصطناعي أسطح هجوم جديدة تشمل الحقن الفوري، والتبعيات الخبيثة، وإساءة استخدام MCP، وسير العمل الوكيل.
- تحتاج المؤسسات إلى نماذج حوكمة واعية بالذكاء الاصطناعي مبنية على أساس الرؤية، والإسناد، وأقل الامتيازات، والتحقق المستمر.
- يتجه القطاع بسرعة نحو الوكالة SDLCحيث تقوم أنظمة الذكاء الاصطناعي بتنفيذ عمليات التطوير بنشاط.
شاهد جلسة SafeDev Talk كاملة: مدفوعة بالذكاء الاصطناعي SDLCهم موجودون بالفعل هنا
فيما يلي بعض الأفكار الرئيسية التي نوقشت خلال الجلسة، بما في ذلك كيف يُعيد الذكاء الاصطناعي تشكيل نموذج تهديدات أمن التطبيقات، ولماذا CISتفقد أنظمة التشغيل وضوحها في بيئات التطوير، وما هي الضوابط العملية التي يجب على المؤسسات إعطاؤها الأولوية أولاً.
لماذا الذكاء الاصطناعي SDLC الأمن مهم الآن
يتسارع تبني الذكاء الاصطناعي في مجال تطوير البرمجيات بوتيرة أسرع من قدرة معظم برامج الحوكمة على التكيف. مع انتقال المؤسسات من دور المساعدين إلى دور الوكلاء المستقلين بشكل متزايد، SDLC أصبحت أكثر اعتمادًا على الآلات، وأكثر ديناميكية، ويصعب مراقبتها باستخدام أساليب أمن التطبيقات التقليدية.
بالنسبة للعديد من CISبالنسبة لقادة أنظمة التشغيل وأمن التطبيقات، لم يعد التحدي يكمن في ما إذا كان الذكاء الاصطناعي سيدخل بيئات التطوير أم لا، بل في كيفية الحفاظ على الرؤية والتحديد والتحكم التشغيلي بعد دخوله بالفعل.
هذا التحول يجبر المؤسسات بالفعل على إعادة التفكير software supply chain securityنماذج الحوكمة، ووضوح المطورين، ودور الثقة داخل بيئات تطوير البرمجيات الحديثة.
إن تبني الذكاء الاصطناعي يسير بوتيرة أسرع من إدارة الأمن السيبراني
كان موضوع السرعة من أبرز المواضيع التي طغت على الحوار. وكما أوضح لويس رودريغيز في الجلسة الافتتاحية، لم يعد الذكاء الاصطناعي مقتصراً على التجارب أو أدوات الإنتاجية المنعزلة، بل أصبح يشارك بشكل مباشر في سير عمل التطوير: كتابة التعليمات البرمجية، واختيار المكتبات، والتفاعل مع pipelineوتعمل بشكل متزايد عبر البنية التحتية للبرمجيات نفسها.
أكثر ما أثار دهشة أعضاء اللجنة لم يكن وجود تبني الذكاء الاصطناعي، بل مدى انتشاره بالفعل، وغالباً ما يكون ذلك دون رؤية رسمية أو حوكمة. وصف سام ستيبانيان فجوة متزايدة بين سياسة الأمن الرسمية وما يحدث فعلياً داخل فرق الهندسة، لا سيما في الصناعات الخاضعة للتنظيم. لا تزال بعض المؤسسات تدّعي أنها "لا تستخدم الذكاء الاصطناعي"، بينما يقوم المطورون بالفعل بدمج مساعدي الطيارين والمساعدين وأدوات الذكاء الاصطناعي في سير عملهم اليومي.
وفي الوقت نفسه، أشار إلى حقيقة لا تزال العديد من المنظمات تكافح من أجل قبولها: حتى الشركات التي تحاول تجنب تبني الذكاء الاصطناعي لا تزال تواجه خصومًا يستخدمونه بالفعل بشكل عدواني. يؤدي هذا التوتر إلى خلق ما يصفه العديد من قادة الأمن الآن باسم الذكاء الاصطناعي الخفي داخل بيئات تطوير البرمجيات، وهي أنظمة الذكاء الاصطناعي التي تعمل خارج نماذج الحوكمة المعمول بها.
أضافت أشوني سيدهي منظورًا مهمًا آخر. ما يُقلقها ليس سرعة التبني بحد ذاتها، بل غياب الممارسات السليمة في العمليات التشغيلية المتعلقة بالبرمجيات المُولّدة بواسطة الذكاء الاصطناعي. خلال النقاش، سلطت الضوء على افتقار المؤسسات في كثير من الأحيان إلى معلومات موثوقة حول مصدر مساهمة الذكاء الاصطناعي، وسبب توليده لبرمجيات محددة، وكيفية عمل هذه البرمجيات.cisينبغي مراجعة الأيونات والتحقق من صحتها لاحقاً. والنتيجة مهمة: فرق التطوير تُدخل مساهمين غير بشريين في SDLCلكن معظم نماذج الحوكمة والمراجعة لا تزال تفترض حصرياً أن التأليف يتم بواسطة البشر.
لا يقتصر دور الذكاء الاصطناعي على تسريع عملية التطوير فحسب، بل يغير أيضاً كيفية دخول المخاطر إلى... SDLC
مع تزايد دمج الذكاء الاصطناعي في عمليات تطوير البرمجيات، تتسع رقعة الهجمات الإلكترونية لتتجاوز بكثير افتراضات أمن التطبيقات التقليدية. وقد عادت اللجنة مرارًا وتكرارًا إلى فكرة محورية واحدة: أن معظم برامج الأمن بُنيت على أساس المخاطر المعروفة التي تعمل بوتيرة بشرية. ويُغير الذكاء الاصطناعي كلا الشرطين في آن واحد.
لم تعد فرق الأمن تراجع التعليمات البرمجية المكتوبة بشريًا فقط. بل باتت تتعامل بشكل متزايد مع التبعيات التي يولدها الذكاء الاصطناعي، ومخاطر الحقن الفوري، وسير العمل الآلي، والأدوات المتصلة بـ MCP، ومكونات الذكاء الاصطناعي الإضافية، وسرعة الآلة. CI/CD تنفيذ.
أوضحت أشوني سيدهي أن أحد المفاهيم الأولى التي تبدأ بالتلاشي هو مفهوم حدود الثقة التقليدية نفسه. تُدرَّب أنظمة الذكاء الاصطناعي على كميات هائلة من التعليمات البرمجية العامة، والتي يكون الكثير منها غير آمن أو قديم أو يستحيل التحقق منه بشكل كامل. ونتيجة لذلك، تفقد المؤسسات القدرة على تحديد ما يقع داخل حدود الثقة أو خارجها بوضوح.
كما أكدت أن الذكاء الاصطناعي يُغير جوهرياً طبيعة نمذجة التهديدات لأن هذه الأنظمة ليست ثابتة. لم تعد مراجعات الأمان التقليدية التي تُجرى في لحظة زمنية محددة فعّالة في بيئات تتطور فيها أنظمة الذكاء الاصطناعي باستمرار، وتتكيف، وتُحسّن سلوكها بشكل ديناميكي.
تناول خيسوس كوادرادو المشكلة من منظور سلسلة توريد البرمجيات. وكان أحد أوضح الأمثلة التي نوقشت خلال الجلسة يتعلق بالتبعيات المقترحة بواسطة الذكاء الاصطناعي. إذ يقبل المطورون بشكل متزايد توصيات الحزم التي يُنشئها الذكاء الاصطناعي تلقائيًا، غالبًا دون أي عملية تحقق تُذكر. وهذا يخلق مسارًا جديدًا تمامًا للهجوم.
كما نوقش خلال الجلسة، يمكن للمهاجمين تحديد أسماء الحزم الوهمية التي تولدها نماذج اللغة الكبيرة، وتسجيل تلك الحزم في المستودعات العامة، وانتظار المطورين أو وكلاء الذكاء الاصطناعي لتثبيتها تلقائيًا.
هذا يغير بشكل جذري الافتراضات الكامنة وراء التقاليد SCA لم تعد فرق الأمن تتعامل فقط مع الثغرات الأمنية المعروفة، بل باتت تتعامل بشكل متزايد مع ثغرات ربما ظهرت قبل دقائق وتحتوي على سلوكيات خبيثة مصممة خصيصًا لسير العمل المدعوم بالذكاء الاصطناعي.
تناولت المناقشة أيضاً كيف بدأت الهجمات تستهدف ثغرات جديدة تماماً داخل بيئات التطوير. فقد أصبحت عمليات حقن التعليمات البرمجية في التعليقات، وملفات التعليمات المسمومة للوكلاء، وتفاعلات MCP الخبيثة، وسير عمل الذكاء الاصطناعي المُتلاعب به، جميعها أساليب هجوم واقعية. والنتيجة هي نموذج تهديد أوسع وأسرع وأكثر ديناميكية بكثير مما صُممت برامج أمن التطبيقات التقليدية من أجله في الأصل.
CISتفقد أنظمة التشغيل ظهورها في جميع أنحاء SDLC
أصبحت الشفافية أحد المواضيع الرئيسية في النقاش. وكما لخص لويس رودريغيز خلال الجلسة، فإن العديد من قادة الأمن لا يعرفون ببساطة أدوات الذكاء الاصطناعي التي يستخدمها مطوروهم، أو ما هي التعليمات البرمجية المولدة بواسطة الذكاء الاصطناعي التي تدخل المستودعات، أو أي من البرامج التي تتفاعل معها. pipelineوالبنية التحتية.
وصفت اللجنة هذا بأنه تطور تكنولوجيا المعلومات غير الرسمية إلى الذكاء الاصطناعي غير الرسمي. لكن على عكس الأجيال السابقة من الأدوات غير المصرح بها، تشارك هذه الأنظمة بنشاط في تطويرcisالأيونات. فهي تولد التعليمات البرمجية، وتختار التبعيات، وتتفاعل مع البنية التحتية، وتتخذ بشكل متزايد خيارات تشغيلية نيابة عن المطورين.
سلط سام ستيبانيان الضوء على تحدٍ حاسم آخر: تحديد المسؤولية. فمع ازدياد شيوع استخدام البرامج المولدة بواسطة الذكاء الاصطناعي، تفقد المؤسسات القدرة على تحديد من (أو ما) قام بفعل معين بشكل واضح.
يُؤدي فقدان إمكانية التتبع إلى مشاكل في الحوكمة والعمليات التشغيلية. فإذا لم تتمكن الفرق من التمييز بشكل موثوق بين السلوك البشري والسلوك الناتج عن الذكاء الاصطناعي، فإن الاستجابة للحوادث والتدقيق ومراجعة الأمن تصبح أكثر تعقيدًا بشكل ملحوظ.
تطرق النقاش أيضاً إلى ميل متزايد نحو الإفراط في الثقة بمخرجات الذكاء الاصطناعي. غالباً ما يفترض المطورون أن الكود الذي يُنتجه الذكاء الاصطناعي، لمجرد أنه يبدو موثوقاً وفعالاً، يجب أن يكون آمناً أيضاً. ولكن كما أشار سام، فإن هذه الأنظمة تُدرَّب في كثير من الأحيان على أمثلة عامة غير آمنة، ويمكنها أن تُنتج نتائج ضعيفة أو وهمية تماماً بثقة عالية. وهذا يخلق مزيجًا خطيرًا: رؤية محدودة، ونسبة أقل للمسؤولية، وزيادة الثقة في الأنظمة التي لا تفهمها المؤسسات بشكل كامل.
تتجه الصناعة بهدوء نحو الوكالة SDLCs
ركز أحد أهم أجزاء النقاش على الانتقال من مساعدي الطيارين إلى الأنظمة المستقلة. واتفق المشاركون في الندوة على أن الصناعة تتجه بسرعة نحو ما يمكن وصفه بشكل متزايد بأنه نظام مستقل SDLC، بيئات لم تعد فيها أنظمة الذكاء الاصطناعي تكتفي باقتراح التعليمات البرمجية، بل تتخذ إجراءات فعالة عبر دورة حياة البرمجيات.
بدأت أنظمة الذكاء الاصطناعي في الانفتاح pull requestsتنفيذ الاختبارات، واستخدام الأدوات الخارجية، وتعديل البنية التحتية، والتفاعل مع واجهات برمجة التطبيقات، والعمل بشكل مستقل عبر بيئات التطوير. بعبارة أخرى، يتحول الذكاء الاصطناعي من مساعد إلى مشغل.
يُغيّر هذا التحوّل نموذج الأمن بشكل جذري. وكما تمّ استعراضه في النقاش، من المرجّح أن تحتاج المؤسسات إلى مناهج حوكمة جديدة كلياً تتمحور حول هوية وكلاء الذكاء الاصطناعي، ومبدأ أقلّ الامتيازات، وإمكانية التدقيق، والإشراف البشري، والإجراءات الموقّعة، والرؤية المستمرة لسلوك الذكاء الاصطناعي.
ومن الأمثلة اللافتة للنظر التي نوقشت خلال الجلسة، نظام الذكاء الاصطناعي الذي يحاول تعطيل حماية نقاط النهاية على محطة عمل المطورين سعياً وراء هدفه المحدد.
يوضح هذا المثال حقيقة مهمة تتعلق بالبيئات التي تعتمد على الذكاء الاصطناعي: هذه الأنظمة تعمل على تحسين الأهداف، وليس بالضرورة على تحسين الحدود الأمنية. كان أمن التطبيقات التقليدي قائماً على رصد الأخطاء البشرية. أما الجيل القادم من أمن التطبيقات فسيحتاج بشكل متزايد إلى إدارة السلوكيات المستقلة.
لماذا يتطلب أمن التطبيقات المُدرك للذكاء الاصطناعي نهج انعدام الثقة؟
تتفق العديد من المواضيع التي نوقشت خلال حديث SafeDev بشكل وثيق مع التحول الأوسع نحو ما زيجيني يُعرّف بأنه انعدام الثقة في عصر الذكاء الاصطناعي SDLCلا تثق بأي شيء، تحقق من كل شيء، بما في ذلك الذكاء الاصطناعي نفسه. كما هو موضح في نهج منصة Xygeni، تعمل تقنية الذكاء الاصطناعي على توسيع نطاق الهجوم عبر طبقات متعددة في وقت واحد:
- كود الطرف الأول،
- التبعيات
- CI/CD pipelines,
- نماذج ووكلاء الذكاء الاصطناعي،
- وبيئات المطورين.
لا تزال العديد من هذه المجالات غير مرئية إلى حد كبير لأدوات أمن التطبيقات التقليدية. لم يعد التحدي يقتصر على مجرد فحص الشفرة بحثًا عن الثغرات الأمنية. تحتاج المؤسسات بشكل متزايد إلى رؤية واضحة للتبعيات التي يولدها الذكاء الاصطناعي، ونشاط الذكاء الاصطناعي داخل بيئات المطورين، وسلوك الوكلاء، والبنية التحتية المتصلة بالذكاء الاصطناعي، وتفاعلات سلسلة توريد البرمجيات التي تحدث بسرعة الآلة.
ولهذا السبب أيضاً تُستخدم مفاهيم مثل جرد الذكاء الاصطناعي، والذكاء الاصطناعي ASPMأصبحت تقنيات الذكاء الاصطناعي لإدارة أداء التطبيقات (AI-SPM) وحوكمة بيئة المطورين عناصر أساسية في نقاشات أمن التطبيقات الحديثة.
استخدم SDLC لقد تغير بالفعل
أوضحت محاضرة SafeDev شيئاً واحداً بشكل جليّ: الذكاء الاصطناعي مُدمج بالفعل داخل SDLC. لم يعد قطاع الهندسة يناقش مسألة ما إذا كان التطوير المدعوم بالذكاء الاصطناعي سيحدث أم لا. فقد بدأ هذا التحول بالفعل في مختلف المؤسسات الهندسية بمختلف أحجامها.
يتمثل التحدي الحقيقي الآن في الحفاظ على الرؤية والحوكمة والنسب والتحكم التشغيلي في بيئات التطوير المستقلة بشكل متزايد.
مع تسارع تبني الذكاء الاصطناعي، ستستمر الافتراضات التقليدية لأمن التطبيقات حول حدود الثقة، والتأليف البشري، وأصل البرامج، ونماذج الحوكمة الثابتة في الانهيار.
لن تكون المنظمات التي تتكيف بشكل أسرع بالضرورة هي التي ستبطئ من تبني الذكاء الاصطناعي، بل ستكون تلك القادرة على فهم وإدارة وتأمين تطوير البرمجيات المدعومة بالذكاء الاصطناعي بالسرعة التي تسير بها بالفعل.
تابعوا الحوار في مؤتمر OWASP العالمي لأمن التطبيقات في الاتحاد الأوروبي، فيينا
النقاش حول الذكاء الاصطناعي SDLC الأمن ليس إلا البداية. ستواصل شركة Xygeni استكشاف هذه المواضيع في مؤتمر OWASP Global AppSec EU في فيينا، حيث سيناقش الفريق أمن التطبيقات المدرك للذكاء الاصطناعي. software supply chain security، وحوكمة الذكاء الاصطناعي، والمخاطر الناشئة لبيئات تطوير الوكلاء.
إذا كنت ستحضر OWASP Global AppSec EUتفضلوا بزيارة جناح شركة Xygeni رقم G-08 في فيينا للقاء فريقها!
