يعد الذكاء الاصطناعي جزءًا أساسيًا من تطوير البرمجيات الحديثة، حيث يتم الآن دمج نماذج اللغات الكبيرة مباشرةً في كيفية كتابة المطورين وإعادة تصميمهم وشحنهم للتعليمات البرمجية. ما بدأ كزيادة في الإنتاجية تطور بسرعة إلى تحول هيكلي، حيث أنتجت المؤسسات المزيد من الأكواد البرمجية بشكل ملحوظ في وقت أقل ودمجت المخرجات الناتجة عن الذكاء الاصطناعي في الأنظمة الحيوية.
مثل اعتماد نموذج اللغة الكبير (LLM). لقد نمت، وكذلك التوقعات. تفترض العديد من الفرق أن كل جيل جديد من النماذج سيقدم تحسينات قابلة للقياس في جميع المجالات، بما في ذلك نتائج أمنية أقوى. ويعكس هذا التوقع مدى تحسن البرامج التقليدية من خلال التكرار، حيث تتراكم التحسينات بمرور الوقت وتتزايد الجودة بشكل مطرد.
تتبع LLMs مسارًا مختلفًا.
التقدم يصل إلى الحدود
يعكس التباطؤ الحالي في تحسين النموذج القيد الذي يكمن في مقدمة الهندسة المعمارية والحوسبة: توافر وجودة بيانات التدريب. لقد استهلكت النماذج الحدودية بالفعل أغلب الأكواد العامة عالية الجودة، وتتكون البيانات الإضافية المستخدمة الآن على نحو متزايد من مخرجات تركيبية أو أشكال مختلفة من الأنماط القائمة.
يقدم هذا تأثيرًا تعليميًا متكررًا حيث تتدرب النماذج على مخرجات النماذج السابقة، مما يسمح للعيوب الصغيرة بالانتشار والتراكم. من الناحية العملية، يظهر هذا في التعليمات البرمجية كنقاط ضعف مألوفة – فقدان التحقق من الصحة، والاستعلامات غير الآمنة، وضوابط الوصول غير المكتملة. ويحدث ذلك حتى عندما يبدو المنطق المحيط سليمًا.
تستمر هذه المشكلات لأن النماذج لا تتكيف في الوقت الفعلي. يتم التدريب من خلال إنشاء إصدارات نموذجية جديدة مبنية على مجموعات بيانات ثابتة، مما يعني أن التحسينات مرتبطة بتوفر بيانات جديدة عالية الجودة.
الرمز الآمن غير متضمن
هناك قيود أخرى تأتي من طبيعة البيانات نفسها. يوجد الكود الأكثر أمانًا داخل بيئات المؤسسات مثل المؤسسات المالية وأنظمة الرعاية الصحية والمؤسسات الحكومية، حيث يظل خاصًا وخاضعًا لرقابة مشددة. لا يتم استخدام هذا الرمز لتدريب النماذج الحدودية.
وهذا يخلق فجوة هيكلية بين الممارسات التي تحدد تطوير البرمجيات الآمنة في بيئات الإنتاج والأمثلة التي يتم تدريب النماذج على تكرارها. حتى التحسينات المهمة في جودة كود المؤسسة لن تؤثر على سلوك النموذج، لأن هذه التحسينات لا تدخل أبدًا في مسار التدريب.
وبالتالي، تعكس النماذج الخصائص الأمنية للتعليمات البرمجية المتاحة للجمهور، والتي تتضمن أنماطًا قوية وضعيفة.
في الوقت نفسه، الذكاء الاصطناعي يزيد من مستوى الصوت من التعليمات البرمجية التي يتم إنتاجها بوتيرة تغير بشكل أساسي كيفية تراكم المخاطر. في حين أن التعليمات البرمجية التي ينشئها الذكاء الاصطناعي تقدم ثغرات أمنية بنفس كثافة التعليمات البرمجية المكتوبة بواسطة الإنسان تقريبًا، فإن معدل إنشائها أعلى بكثير، مما يؤدي إلى زيادة صافية في عدد الثغرات الأمنية التي تدخل النظام.
تكافح معظم المؤسسات بالفعل لمعالجة جميع نقاط الضعف التي تم تحديدها، كما أن إدخال الذكاء الاصطناعي في سير عمل التطوير يزيد من تدفق المشكلات الجديدة وتعقيد إدارتها.
المهاجمون يعملون في ظل ظروف مماثلة. تعمل الأتمتة على تقليل الوقت اللازم لتحديد نقاط الضعف واستغلالها، مما يؤدي إلى ضغط النافذة بين التعرض والاستغلال.
الأمن ليس هو الهدف
يعكس سلوك LLMs في هذا السياق تصميمها. تعمل هذه النماذج على تحسين الفائدة والمعقولية، مما يجعلها فعالة للغاية في إنشاء كود عمل يتوافق مع هدف المطور. لا يعد الأمان هدفًا أساسيًا للتحسين، ولا يتم تمثيله بشكل ثابت في بيانات التدريب.
يقدم موفرو النماذج طبقات إضافية، مثل الأدوات والوكلاء المصممة لتحليل المخرجات واقتراح الإصلاحات، مما يؤدي إلى توسيع النظام بدلاً من تغيير سلوك النموذج الأساسي. تعمل هذه الإضافات على زيادة التعقيد التشغيلي والتكلفة مع تحويل المسؤولية إلى أسفل في عملية التطوير.
تبقى الديناميكية الأساسية دون تغيير. تقوم النماذج بإعادة إنتاج الأنماط التي تم تدريبها عليها، بما في ذلك عمليات التنفيذ غير الآمنة، مع عدم وجود مسار واضح في ظل الأساليب الحالية لتأمين المخرجات باستمرار.
فجوة الثقة
يؤدي غياب الأمن كهدف أساسي إلى مشكلة أوسع تمتد إلى ما هو أبعد من القدرة النموذجية وإلى كيفية تعامل المنظمات مخاطر البرمجيات.
لقد اعتمدت هندسة البرمجيات منذ فترة طويلة على الفصل بين إنشاء الكود والتحقق، حيث يكون النظام الذي ينتج الكود مختلفًا عن النظام الذي يتحقق من سلامته. ويضمن هذا الفصل الاستقلالية في التقييم ويوفر الثقة في النتيجة.
يقوم الكود الذي تم إنشاؤه بواسطة الذكاء الاصطناعي بضغط تلك الحدود. عندما يأتي التوليد والتحقق من الأنظمة ذات الصلة الوثيقة، تبدأ العملية في التشابه مع الشهادة الذاتية، حيث تكون نفس فئة التكنولوجيا مسؤولة عن إنتاج النتيجة والتحقق منها.
في السياقات الأمنية، لا توفر الشهادة الذاتية ضمانًا كافيًا.
في حالة ظهور ثغرة أمنية في النظام، تكون الثقة محدودة في الاعتماد على نفس النظام، أو نظام وثيق الصلة به، لتأكيد حل المشكلة.
الطريق إلى الأمام
لا تتحكم المنظمات في كيفية تدريب النماذج الحدودية، كما أنها لا تؤثر على مجموعات البيانات التي تشكل سلوك النماذج. ما يتحكمون فيه هو كيفية استخدام الذكاء الاصطناعي داخل بيئاتهم الخاصة والتحقق من صحة مخرجاته قبل النشر.
يجب على المؤسسات التعامل مع التعليمات البرمجية التي ينشئها الذكاء الاصطناعي على أنها مدخلات غير موثوقة، وتخضع لنفس التدقيق المطبق على مكونات الطرف الثالث. وهذا يتطلب التحقق المستقل، والاختبار المستمر تم دمجها في سير عمل التطوير وآليات الإدارة التي توفر رؤية لكيفية إنشاء التعليمات البرمجية ونشرها.
هذه هي المبادئ الراسخة ضمن أمن التطبيقات، كما أن النطاق والسرعة التي يقدمها الذكاء الاصطناعي تجعل تطبيقها المتسق أكثر أهمية.
وتعكس الهضبة في أداء النموذج الحدود الهيكلية في مناهج البيانات والتدريب. ستستمر التحسينات الإضافية، لكنها لن تغير بشكل أساسي الخصائص الأمنية للتعليمات البرمجية التي تم إنشاؤها بواسطة النموذج على المدى القريب.
لقد غيّر الذكاء الاصطناعي كيفية إنشاء البرمجيات، مما أدى إلى زيادة سرعة وحجم التطوير، في حين رفع المخاطر المتعلقة بالتحقق والمساءلة.
والسؤال الآن هو ما إذا كان بإمكان المؤسسات الوثوق في التعليمات البرمجية التي تختار نشرها.
كيف قام فريقك بتكييف عمليات مراجعة التعليمات البرمجية لمخرجات الذكاء الاصطناعي؟ راسلنا عبر البريد الإلكتروني على [email protected] لمشاركة ما ينجح — وما لا ينجح.
