تكتب أدوات البرمجة بالذكاء الاصطناعي الكود بسرعة جامحة، لكن السرعة دون تدقيق ليست سوى طريقة أسرع لشحن الأخطاء. يرشدك هذا المقال إلى عملية واقعية مجرّبة لتدقيق الكود المولَّد بالذكاء الاصطناعي، واكتشاف الثغرات الأمنية وأخطاء المنطق والمخاطر الخفية والديون التقنية غير المرئية قبل أن يصل أيٌّ منها إلى نظام الإنتاج لديك.
يكتب الذكاء الاصطناعي الكود أسرع من أي إنسان. وهذه نقطته الأقوى، وهي في الوقت نفسه ما ينبغي أن يُبقيك مستيقظًا ليلًا. عندما يستخدم المطور GitHub Copilot أو ChatGPT أو أي مساعد برمجي آخر بالذكاء الاصطناعي، يبدو الناتج متقنًا، ويُصرَّف دون أخطاء، ويجتاز اختبارات الدخان الأساسية. ما يفتقر إليه غالبًا هو نوع التفكير العميق والسياقي الذي يلتقط الخطأ الذي لن تكتشفه إلا في الأسبوع الثالث من الإنتاج.
مراجعة الكود المولَّد بالذكاء الاصطناعي ليست كمراجعة الكود المكتوب بيد بشرية. البشر يرتكبون أخطاء متوقعة في أماكن متوقعة. أما الذكاء الاصطناعي فيرتكب أخطاء معقولة في كل مكان، وبثقة تامة. يقدّم هذا المقال إطارًا عمليًا واقعيًا لكيفية مراجعة الكود المكتوب بالذكاء الاصطناعي بأمان، ويغطي الثغرات الأمنية، ومصائد المنطق، وسوء معالجة الأخطاء، والأدوات التي تُسرّع العملية دون التفريط في الدقة.
إذا كنت تراجع الكود منذ سنوات، فأنت تعرف أن الإنسان الذي كتب دالة ما يفهم عادةً ما يُفترض أن تفعله، حتى عندما يكون الكود خاطئًا. يمكنه أن يجيب عن الأسئلة. لديه نية.
الذكاء الاصطناعي لا يملك نية بهذا المعنى. هو يولّد كودًا محتمل إحصائيًا بناءً على أمر نصي. لقد اطّلع على ملايين الأمثلة البرمجية، بما فيها المعيبة. وعندما ينتج مخرجاته، فهو يطابق الأنماط، ولا يحل المشكلات.
أخطر ما في الكود المولَّد بالذكاء الاصطناعي هو مدى صحته الظاهرية. يتّبع اصطلاحات التسمية، ويحتوي على تعليقات، ويستخدم بنية حديثة. وغالبًا ما يكون هيكله صحيحًا. سيوافق عليه المطور الذي يفحصه بسرعة دون تردد.
لكن هناك أنماط فشل محددة يقع فيها الذكاء الاصطناعي مرارًا:
user.balance يجب ألا ينخفض أبدًا عن الصفر في نطاق عملك.الأنماط المحددة التي تنجو من مراجعة الكود لكنها تفشل في الإنتاج:
| النمط | ما يفعله الذكاء الاصطناعي | لماذا يُعد خطأ |
|---|---|---|
| ابتلاع الأخطاء | catch (e) {} أو except: pass | يخفي الإخفاقات الحقيقية، ويجعل تصحيح الأخطاء مستحيلًا |
| التقاط الاستثناءات بشكل واسع | يلتقط Exception حين لا يهم سوى ValueError | يخفي أخطاءً لا علاقة لها |
| الوثوق بمدخلات المستخدم | يمرّر المدخلات الخام مباشرة إلى الاستعلامات أو الأوامر | ثغرات الحقن |
| مهلات زمنية مثبّتة في الكود | time.sleep(5) أو أعداد إعادة محاولة ثابتة | يفشل تحت الضغط أو عند ارتفاع زمن الاستجابة |
| غياب فحوص المصادقة | منطق عمل بلا التحقق من الأدوار | خطر تصعيد الصلاحيات |
لا تبدأ مراجعة الكود الجيدة من الفرق (diff). تبدأ قبل أن تفتح الملف.
عندما تراجع كود إنسان، تمنح كاتبه حسن الظن. تفترض أن له سببًا لاختياراته. لا تمنح الناتج الذي يولّده الذكاء الاصطناعي هذه المجاملة. تعامل معه كما تتعامل مع كود كتبه متدرّب موهوب في يومه الأول، قرأ كل كتب البرمجة المكتوبة لكنه لم يُطلق شيئًا إلى الإنتاج من قبل.
هذا ليس تشاؤمًا. إنه معايرة. فكود الذكاء الاصطناعي غالبًا ما يكون جيدًا. لكنه يحتاج إلى مراجِع يحمل الشكّ المناسب.
السؤال ليس أبدًا "هل يبدو هذا صحيحًا؟" بل دائمًا "ما الذي يجب أن يكون صحيحًا حتى يفشل هذا؟"
قبل مراجعة الكود، اعرف الأمر النصي الذي وَلّده. ليس هذا ممكنًا دائمًا، لكن عندما يكون ممكنًا، فاقرأه بعناية. الأوامر النصية الغامضة تنتج كودًا غامضًا. إذا كان الأمر "اكتب دالة تسجيل دخول"، فلم يكن لدى الذكاء الاصطناعي أي فكرة عن إدارة الجلسات لديك، أو متطلبات تحديد معدل الطلبات، أو معيار تجزئة كلمات المرور لديك. كل ما افترضه هو فجوة محتملة.
الأمن هو المجال الذي يسبب فيه كود الذكاء الاصطناعي أكبر الأضرار. المخاطر ليست نظرية. إنها محددة، وتتبع أنماطًا متوقعة.
يولّد الذكاء الاصطناعي غالبًا استعلامات SQL أو أوامر shell أو HTML عن طريق دمج النصوص. هذه من أقدم الثغرات في تطوير البرمجيات، ويعيد الذكاء الاصطناعي إنتاجها باستمرار لأن جزءًا كبيرًا من بيانات تدريبه يفعل الشيء نفسه.
ما الذي تبحث عنه:
# Red flag: AI-generated SQL with string concatenation
query = "SELECT * FROM users WHERE name = '" + username + "'"
# What it should look like
query = "SELECT * FROM users WHERE name = %s"
cursor.execute(query, (username,))
كلما تدفّق إدخال المستخدم إلى استعلام قاعدة بيانات، أو أمر shell، أو مسار ملف، أو قالب HTML دون تنقية أو استخدام معاملات مُعلَّمة (parameterization)، فأنت أمام خطر حقن. ابحث تحديدًا عن دمج النصوص الذي يشمل متغيرات قد تأتي من إدخال المستخدم.
يولّد الذكاء الاصطناعي أحيانًا كودًا توضيحيًا يحتوي على مفاتيح API أو كلمات مرور أو رموز (tokens) مكتوبة مباشرة في المصدر. والأسوأ أنه قد يولّد بيانات اعتماد تبدو حقيقية لكنها وهمية، فيتركها المطورون لأنهم ينوون استبدالها لاحقًا، ثم لا يفعلون.
شغّل ماسحًا للأسرار قبل دمج أي كود مولَّد بالذكاء الاصطناعي. أدوات مثل truffleHog أو detect-secrets أو gitleaks تلتقط هذه الحالات تلقائيًا. أضفها إلى خط CI الخاص بك، واعتبرها مانعة للدمج.
أي بيانات اعتماد داخل الكود المصدري هي بيانات اعتماد مُسرَّبة، سواء كانت حقيقية أو عنصرًا نائبًا نسي أحدهم استبداله.
قد يقترح الذكاء الاصطناعي حزمًا قديمة، أو غير مُدارة، أو تحمل ثغرات CVE معروفة. هو لا يستطيع تصفح سجلات الحزم بحثًا عن الثغرات. ولا يعرف أي إصدار من مكتبة تلقى تصحيحًا أمنيًا حرجًا الشهر الماضي.
بعد مراجعة الكود المولَّد بالذكاء الاصطناعي، شغّل أدوات تدقيق التبعيات لديك:
npm audit لمشاريع Node.jspip-audit أو safety لمشاريع Pythonbundle-audit لمشاريع Rubyيجب التحقق من أي تبعية يُدخلها مخرج الذكاء الاصطناعي مقابل قواعد بيانات الثغرات الحالية قبل الدمج.
الأمن يحظى بالعناوين الرئيسية، لكن أخطاء المنطق هي المكان الذي يفشل فيه معظم كود الذكاء الاصطناعي فعلًا. هذه الأخطاء تُصرَّف بنجاح، وتجتاز الاختبارات، وتنجو من مراجعة الكود. لا تظهر إلا في ظروف محددة لم يأخذها الذكاء الاصطناعي في حسبانه.
يولّد الذكاء الاصطناعي كودًا للمسار السعيد. يتعامل مع المدخل المذكور في الأمر النصي. لكنه لا يتعامل مع:
لكل دالة تراجعها، اسأل: ماذا يحدث إذا كان المدخل الأهم null؟ ماذا يحدث إذا استُدعيت الدالة بقائمة فارغة؟ ماذا يحدث إذا أعاد استدعاء الشبكة استجابةً 200 بجسم فارغ؟
إذا لم يجب الذكاء الاصطناعي عن هذه الأسئلة في الكود، فعليك إما أن تضيف المعالجة بنفسك، أو تعيد الكود للمراجعة.
يحب الذكاء الاصطناعي توليد كتل try-catch. المشكلة في ما يضعه داخل هذه الكتل. الالتقاطات الصامتة منتشرة في كل مكان. تسجيل console.log(err) ثم المتابعة وكأن شيئًا لم يحدث أمر شائع. وإعادة رمي خطأ عام حين كان المستدعي يحتاج إلى خطأ محدد أمر شبه شائع في كل مكان.
كل معالج استثناءات في كود الذكاء الاصطناعي يستحق فحصًا فرديًا:
حدود الحلقات هي المكان الذي يخطئ فيه الذكاء الاصطناعي بمعدل أعلى من البشر بشكل ثابت. كثيرًا ما يستخدم كود الذكاء الاصطناعي < حين يلزم <=، أو يتجاوز نهاية المصفوفة بعنصر واحد، أو يبدأ نطاقًا من 1 بينما يجب أن يبدأ من 0. هذه الأخطاء غير مرئية في الاختبارات الصغيرة، وكارثية عند معالجة بيانات حقيقية على نطاق واسع.
لأي حلقة أو نطاق في كود الذكاء الاصطناعي، تتبّع يدويًا التكرار الأول والتكرار الأخير وحالة عدم وجود أي عنصر.
المراجعة اليدوية ضرورية لكنها غير كافية. الأدوات الآلية تلتقط فئات من المشكلات يفوتها البشر تحت ضغط الوقت، وتفعل ذلك باستمرار.
التحليل الثابت هو خط دفاعك الأول. يعمل قبل أن ينظر أي إنسان إلى الكود، ويلتقط أسهل المشكلات تلقائيًا.
الأدوات الموصى بها حسب اللغة:
| اللغة | الأداة | ما الذي تلتقطه |
|---|---|---|
| Python | bandit، pylint، mypy | المشكلات الأمنية، وأخطاء الأنواع، والأسلوب |
| JavaScript / TypeScript | eslint، semgrep | مخاطر XSS، والسلوك غير المعرَّف |
| Java | SpotBugs، SonarQube | مؤشرات null، والتزامن، والأمن |
| Go | staticcheck، gosec | أمان الذاكرة، وأنماط الأمان |
| Ruby | brakeman، rubocop | الثغرات الخاصة بتطبيقات Rails |
اضبط هذه الأدوات لتعمل تلقائيًا على كل طلب سحب (pull request). أي كود مولَّد بالذكاء الاصطناعي لا يجتاز التحليل الثابت لا ينبغي أن ينتقل إلى المراجعة البشرية.
هنا مفارقة لافتة: الذكاء الاصطناعي هو أيضًا من أفضل الأدوات لمراجعة الكود المولَّد بالذكاء الاصطناعي. نموذج مختلف، يراجع الكود بأمر نصي موجّه نحو الأمن، سيلتقط أنماطًا أنتجها النموذج الأول بشكل خاطئ. وهذا ينجح لأن النموذجين دُرّبا بطرق مختلفة ولديهما نقاط عمياء مختلفة.
تشغيل مخرجات الذكاء الاصطناعي عبر مراجِع ذكاء اصطناعي آخر ليس بديلًا عن المراجعة البشرية. إنه مُرشّح يجعل المراجعة البشرية أسرع وأكثر تركيزًا.
نماذج لغوية كبيرة (LLM) على PicassoIA مصممة خصيصًا لهذا النوع من أعمال الاستدلال. يمكنك لصق مقطع كود، وإعطاؤه أمرًا نصيًا موجّهًا نحو المراجعة، والحصول على تحليل منظم في ثوانٍ، دون تبديل الأدوات أو إدارة مفاتيح API.
GPT 5 من أكثر النماذج قدرة على تحليل الكود. قوته في السياق الواسع: يستطيع أن يحتفظ بدالة كبيرة في الذاكرة، ويحدد مشكلات متعددة متداخلة، ويشرح كلًا منها بوضوح.
خطوة بخطوة:
Review this code for: (1) security vulnerabilities, (2) unhandled edge cases,
(3) error handling issues, (4) logic errors. For each issue found, explain
the risk and suggest a specific fix. Reference line numbers or variable names.
GPT 5.1 متاح أيضًا لسير العمل القائم على الوكلاء، إذا أردت أتمتة خطوط مراجعة متعددة المراحل.
Claude 4.5 Sonnet يتميز بقدرة خاصة على تحديد الثغرات الأمنية الدقيقة. فبينما يميل GPT إلى الاتساع، يتفوق Claude في العمق في سيناريوهات أمنية محددة.
للمراجعة الموجهة نحو الأمن، يكون Claude 4.5 Sonnet فعالًا بشكل خاص مع الأوامر التي تطلب منه الاستدلال خطوة بخطوة عبر نموذج تهديد. شيء مثل: "افترض أن مهاجمًا يتحكم في المعامل username. تتبّع كل مسار يسلكه هذا المعامل عبر هذا الكود، وحدد أين يمكن استغلاله."
Claude 4 Sonnet وClaude Opus 4.7 متاحان أيضًا على PicassoIA لمهام المراجعة الأكثر تطلبًا أو قواعد الكود الأطول التي تحتاج إلى استدلال أعمق.
يستخدم DeepSeek R1 استدلال سلسلة الأفكار (chain-of-thought)، ما يجعله جيدًا بشكل خاص في تتبع المنطق عبر مسارات الكود المعقدة. إذا كان لديك دالة ذات فروع متعددة، أو شروط متداخلة، أو إدارة حالة معقدة، فإن DeepSeek R1 سيستدل على كل فرع صراحةً بدلًا من تلخيصه على مستوى عالٍ.
DeepSeek V3.1 وKimi K2 Instruct يكملان الخيارات للمطورين الذين يريدون تشغيل الكود نفسه عبر نماذج متعددة ومقارنة النتائج. التداخل فيما يشير إليه كل نموذج هو ما يجب إصلاحه. أما الاختلافات فتستحق الفحص اليدوي.
تشغيل الكود نفسه المولَّد بالذكاء الاصطناعي عبر اثنين أو ثلاثة نماذج لغوية مختلفة من أعلى خطوات المراجعة عائدًا على الاستثمار. يستغرق خمس دقائق ويلتقط ما يفوته المراجع الواحد.
عملية المراجعة الجيدة ليست شيئًا تُرتّبه ارتجالًا في كل مرة. إنها قائمة تحقق قابلة لإعادة الاستخدام تتحول إلى عادة.
إليك قائمة مراجعة مختصرة للكود المولَّد بالذكاء الاصطناعي. استخدمها في كل مرة دون تخطي أي مرحلة.
المرحلة 1: قبل القراءة
المرحلة 2: الأمن
المرحلة 3: المنطق
المرحلة 4: الاختبار
ليس كل جزء من كود الذكاء الاصطناعي يستحق المراجعة. بعضه يجب رفضه كليًا.
ارفض عندما:
عدّل عندما:
الهدف ليس إصلاح كود الذكاء الاصطناعي حتى يجتاز المراجعة. الهدف هو شحن كود آمن وصحيح. وأحيانًا يكون المسار الأكثر كفاءة هو إعادة كتابة نظيفة بأوامر نصية أفضل.
إذا جعلك هذا المقال تفكر في كيفية استدلال نماذج الذكاء الاصطناعي على الكود، فأفضل خطوة تالية هي أن تختبر ذلك بنفسك. يمنحك PicassoIA الوصول إلى GPT 5 وClaude 4.5 Sonnet وDeepSeek R1 وKimi K2 Instruct وGemini 3 Pro وعشرات النماذج الأخرى، كلها في مكان واحد، دون أي إعداد.
خذ قطعة من كود الذكاء الاصطناعي لديك بالفعل. شغّلها عبر نموذجين أو ثلاثة مختلفة باستخدام أوامر المراجعة من هذا المقال. قارن ما يجده كل منها. ستلاحظ فورًا كيف تلتقط أساليب الاستدلال المختلفة مشكلات مختلفة، وستحصل على صورة أوضح عن فجوات المراجعة الحقيقية لديك.
النماذج المتاحة على PicassoIA ليست لكتابة الكود فقط. إنها لاستدلال عليه، وتدقيقه، وجعله أكثر أمانًا. هذه هي الحلقة التي تجعل التطوير المدعوم بالذكاء الاصطناعي يعمل فعلًا: أنتج بنموذج، وراجع بآخر، واشحن بثقة.
اختر لغتك
