هل البرمجيات المكتوبة بالذكاء الاصطناعي آمنة؟ الأسئلة التي يجب أن يطرحها المشتري

كيف أعرف إن كان الذكاء الاصطناعي قد كتب البرمجيات؟

«هل كتب الذكاء الاصطناعي هذه الشيفرة؟» سؤالٌ بلا جواب قابل للتدقيق. فكلّ فريق تقريبًا يستخدم مساعدًا اليوم، والمورّد الذي يدّعي العكس لا يستطيع إثباته؛ وكتابة «لن يُستخدم الذكاء الاصطناعي» في عقد هي كتابة بندٍ لا يمكن إنفاذه.

أما السؤال القابل للتدقيق فهو: بماذا مرّت هذه الشيفرة قبل الإنتاج؟ هل هناك اختبارات آلية، وهل فُحصت الاعتماديات، وهل راجعها إنسان سطرًا سطرًا، وهل سُجِّلت تلك المراجعة؟ فبوجود هذه الأربعة يصير أصل الشيفرة معلومةً ثانوية؛ وبغيابها لا يحميك مؤلّفٌ بشري.

لماذا يكتب الذكاء الاصطناعي شيفرة غير آمنة؟

عند كتابة الشيفرة، يُنتج النموذج اللغوي الاستمرارَ الأرجح لا الصحيح. وكلّما تكرّر نمطٌ في مصادره، اقترحه بسهولة أكبر — ومعظم الأمثلة التي تدور على الشبكة منذ عقد أنماطٌ تجاوزتها ممارسات الأمن اليوم. والنموذج ليس خبيثًا؛ إنّه يكرّر الشائع، والشائع ليس صحيحًا دائمًا.

لذلك تتجمّع العيوب ذات المنشأ النموذجي على نحو متوقَّع لا عشوائي: استدعاءات تشفير قديمة، واستعلامات قاعدة بيانات مركّبة يدويًا، وتحكّمٌ متساهل في الوصول، وأسرارٌ مضمَّنة في الشيفرة. وكلّها أمور تلتقطها الأدوات الآلية — شريطة أن تكون تلك الأدوات في خطّ النشر.

ما مخاطر الشيفرة التي يكتبها الذكاء الاصطناعي؟

إلى جانب العيوب التقليدية، يحمل الذكاء الاصطناعي التوليدي ثلاث مخاطر خاصة به، وهذه بالضبط هي الأسئلة التي يطرحها المشتري.

هل يقترح الذكاء الاصطناعي مكتبةً غير موجودة؟

أثناء اقتراح الشيفرة، قد يخترع النموذج اللغوي اسم حزمة لا وجود لها. وهذا في ذاته مجرّد خطأ؛ إذ يفشل التثبيت فيصلحه المطوّر. لكنّ المشكلة أنّ المهاجمين لاحظوا هذا السلوك: فيرصدون الأسماء التي تخترعها النماذج أكثر من غيرها وينشرون حزمًا حقيقية بتلك الأسماء. عندها تُثبَّت الحزمة، ويدخل نظامَك كلُّ ما وضعوه فيها.

والدفاع بسيط وآليّ بالكامل: تثبيت إصدارات الاعتماديات، والتحقّق من التواقيع والسلامة، وفحص الثغرات المعروفة عند كلّ إصدار. وهذه أصلًا جزء من خطّ نشر جيّد — فالمخاطرة إذن لا تطلب انضباطًا جديدًا بل أن يُطبَّق الانضباط القائم فعلًا.

كيف يُكتب بند الذكاء الاصطناعي في العقد؟

• كلّ شيفرة مسلَّمة تمرّ باختبارات آلية ومراجعة بشرية؛ ويُشارَك سجلّ المراجعة عند الطلب.
• تُثبَّت إصدارات الاعتماديات وتُفحص مقابل الثغرات المعروفة عند كلّ إصدار؛ وأيّ نتيجة حرجة توقف الإصدار.
• تُعالَج شيفرة العميل وبياناته في بيئة لا تُستخدم لتدريب النماذج؛ ويُسمّى المزوّد والمنطقة كتابةً.
• كلّ مسار يستطيع فيه النموذج تنفيذ معاملة حقيقية يحمل موافقة بشرية، وتُسجَّل الموافقة.
• تنتقل الشيفرة المصدرية وقائمة الاعتماديات وإعدادات النشر معًا عند التسليم — فبغياب أيّ واحد منها يتعذّر أيّ تدقيق.

والمشترك بين هذه البنود أنّ أيًّا منها لا يقول «لا تستخدم الذكاء الاصطناعي». بل يصف كلّ بند سلوكًا قابلًا للتحقّق ويطلب من المورّد إثباته.

من يتحمّل المسؤولية حين يخطئ الذكاء الاصطناعي؟

حين تقع حادثة أمنية، فالمفحوص ليس من كتب الشيفرة بل ما اتّخذتَه من تدابير بصفتك المسؤول عن البيانات. وعبارة «النموذج كتب تلك الشيفرة» ليست دفاعًا؛ فإن تسرّبت بيانات شخصية، وقعت عليك مباشرةً واجباتُ الإبلاغ وحفظ السجلات واتّخاذ التدابير التقنية. ولذلك لا ينفعك في التدقيق إلّا ما أُنتج قبل الحادثة: نتائج الاختبارات، وتقارير الفحص، وسجلات المراجعة.

وتقوم التزامات الامتثال فوق هذه السجلات، وأيّ نظام يقع في أيّ فئة موضوعٌ مستقلّ؛ ودليلنا عن تطوير البرمجيات بالذكاء الاصطناعي يتناول تصنيف المخاطر والالتزامات الناشئة عنه بالتفصيل.

هل أتعامل مع شركة تستخدم الذكاء الاصطناعي؟

استخدام الذكاء الاصطناعي ليس في ذاته سببًا للاستبعاد — فالبديل ليس خاليًا من المخاطر أيضًا. فالفريق الذي لا يستخدم الذكاء الاصطناعي ينجز العمل نفسه أبطأ وأغلى في الغالب، واحتمال أن تكون تلك الشيفرة غير متحقَّق منها هو نفسه. والمقارنة الصحيحة ليست «نموذج أم إنسان» بل «متحقَّق منه أم لا». وبهذا المقياس، يُخرِج فريقٌ يستخدم الذكاء الاصطناعي على خطّ نشر جيّد البناء عملًا أكثر أمانًا بوضوح من فريق بلا خطّ نشر أصلًا.

هل صيانة الشيفرة المكتوبة بالذكاء الاصطناعي أرخص؟

العكس غالبًا: قد ترتفع كلفة الصيانة. فبدل اتّباع بنية واحدة متّسقة، يُنتج النموذج حلولًا معقولة كلٌّ على حدة لكنّها مختلفة عن بعضها، فتبقى قاعدة شيفرة تؤدّي العمل نفسه بخمس طرق. وما يمنع ذلك ليس النموذج بل المراجعة البشرية وقرار معماري مكتوب. ومن يتخطّى المراجعة يردّ الوقت الموفَّر مع فوائده في السنة الثانية.

مورّدي لا يقول إن كان يستخدم الذكاء الاصطناعي — كيف أعرف؟

لا تحاول أن تعرف؛ قِس بدل ذلك. فلا سبيل موثوقًا من الخارج لتحديد أصل الشيفرة، ولو وُجد لما نفع. قِس التحقّق: اطلب تقرير تغطية الاختبارات، وسجلّ خطّ النشر لآخر عشرة إصدارات، وسجلّ مراجعة تغييرٍ تختاره عشوائيًا. فبهذه الثلاثة لا يهمّ الأصل؛ وبدونها لا يحميك مؤلّفٌ بشري.

هل المكوّنات مفتوحة المصدر مخاطرة؟

ليست المكوّنة نفسها بل كيف اختيرت وكيف تُحدَّث. فمساعدو الذكاء الاصطناعي يوصون بمكتبات مهجورة أيضًا، لأنّها كانت شائعة يومًا. وثلاثة أمور تُسأل: متى حُدِّثت هذه الاعتمادية آخر مرة، وكم شخصًا يصونها، وهل يسمح ترخيصها بإبقاء منتجك مغلقًا. والثالث هو الأكثر تخطّيًا والأثقل عاقبة.

هل يسلّم الفريق الذي يستخدم الذكاء الاصطناعي أسرع؟

نعم في الغالب، لكنّ الفارق أصغر ممّا يُدّعى، وموضعه هو المهمّ. فالذي يتسارع هو الحلّ المعروف لمشكلة معروفة؛ والذي لا يتسارع هو ضبط النطاق واختبار عمليات التكامل وتتبّع الأخطاء. وهذه المجموعة الثانية هي التي تحدّد موعد التسليم، ولذلك يبقى الاختصار في الجدول الإجمالي بين عشرة وعشرين بالمئة عادةً.

“أصل الشيفرة لا يُدقَّق؛ أما التحقّق منها فيُدقَّق. والثاني هو ما يجب أن يُكتب في العقد.”