مسحٌ في سبتمبر 2026 وجد 16,326 قاعدة بياناتٍ عامةً خلف تطبيقاتٍ حيّة، أغلبها مبنيٌّ بأدوات برمجةٍ بالذكاء الاصطناعي، والإصلاح إعدادٌ واحدٌ لا يتحقّق منه أحدٌ تقريباً

فحص باحثٌ نحو 300,000 موقعٍ في سبتمبر 2026 بحثاً عن علاماتٍ على إعدادِ خلفيّةٍ شائع، من النوع الذي يربط قاعدة بياناتٍ بتسجيل دخولٍ جاهزٍ ووصول API حتى يذهب تطبيقٌ جديدٌ للعمل الفعلي في أيامٍ بدل أشهر. من بين تلك المواقع، كانت 16,326 قاعدة بياناتٍ تحتوي على جدولٍ واحدٍ على الأقل يستطيع أيّ شخصٍ معه الرابط قراءته: دون كلمة مرور، دون تسجيل دخول، دون أي شيء. أكثر من نصفها أظهرت علاماتٍ على بياناتٍ شخصيةٍ حقيقيةٍ داخل تلك الجداول المفتوحة.

لم يخترق أحدٌ شيئاً للوصول إلى هذا. هذا هو الجزء الذي يستحقّ التوقّف عنده. الباحث لم يستغلّ ثغرةً؛ بل سأل قاعدة البيانات سؤالاً عادياً فأجابته، لأن الإعداد الذي كان سيرفض السؤال لم يُفعَّل قطّ. يعود السبب إلى كيفية بناء الجدول. إن بُني عبر لوحة التحكّم المرئية للمنصّة، تُفعَّل الحماية من تلقائها. وإن بُني بالطريقة التي يبني بها أداة برمجةٍ بالذكاء الاصطناعي خلفيّةً جديدة فعليّاً، عبر استدعاء API مباشر، فلا تُفعَّل.

هذا الفارق مهمٌّ بسبب من يبني الخلفيّات عبر مسار API الآن. إنه الطريقة الأسرع نمواً التي يُطلق بها فريقٌ صغيرٌ أو مؤسِّسٌ لأول مرّةٍ منتجاً يعمل: تصف ما تريد، وتترك أداة برمجةٍ بالذكاء الاصطناعي تُولِّد قاعدة البيانات، وتسجيل الدخول، والتطبيق في جلسةٍ واحدة. الأداة مبنيّةٌ لتجعل العرض التجريبي يعمل. أما كون البيانات خلفه محميّةً فعليّاً، فهذا ليس شيئاً تتحقّق منه أغلب هذه الأدوات، وتلك الفجوة هي ما تتناوله هذه القطعة: ما وجده مسح سبتمبر، وما تقوله البيانات الأوسع عن شيفرة الذكاء الاصطناعي عن سبب تكرار هذا، والفحص الواحد الذي كان سيكشف كل واحدةٍ من هذه الـ16,326 قبل أن يفعل باحثٌ ذلك.

لنبدأ بالمسح نفسه. بحث UpGuard، المنشور في 25 سبتمبر 2026، فحص نحو 300,000 نطاقٍ تُظهر علاماتٍ على هذا الإعداد، ووجد 16,326 قاعدة بياناتٍ بها جدولٌ واحدٌ على الأقل قابلٌ للقراءة العامة ^[1]. أكثر من نصفها حملت مؤشّراتٍ على بياناتٍ شخصيةٍ في مخطّطاتها: أسماء، بريدٌ إلكتروني، أرقام هاتف، سجلّات طلبات. مجموعةٌ أصغر تجاوزت ذلك، فكشفت كلمات مرورٍ مخزَّنةً أو رموز مصادقةٍ مباشرةً، وعددٌ قليلٌ حمل ما يبدو بيانات بطاقات دفعٍ ^[1]. لم يتطلّب أيٌّ من ذلك اختراق شيء. بنى الباحث قائمةً من النوع نفسه من المواقع التي يبنيها كلّ أحد، وتحقّق فقط مما إذا كان الباب الأمامي مغلقاً.

يعود السبب إلى إعدادٍ افتراضيٍّ واحد. منصّة الخلفيّة وراء هذا المسح، كمعظم المنصّات التي تربط قاعدة بياناتٍ بوصول API جاهز، تُفعِّل حماية الوصول على مستوى الصفّ تلقائياً عند إنشاء جدولٍ عبر لوحة تحكّمها. أما إنشاء النوع نفسه من الجدول برمجيّاً، بالطريقة التي يعمل بها استدعاء API، وبالطريقة التي تبني بها أداة برمجةٍ بالذكاء الاصطناعي خلفيّةً فعليّاً عندما تُولِّدها في جلسةٍ واحدة، فلا تُفعَّل الحماية من تلقائها ^[1][2]. يتصرّف الجدول بالطريقة نفسها تماماً في الحالتين. الفارق أن نسخةً واحدةً منه تجيب على أي سؤالٍ يسأله أيّ أحد.

هذه ليست مصادفةً خاصّةً بمنصّةٍ واحدة. تقرير Veracode لأمان شيفرة الذكاء الاصطناعي التوليدي لعام 2026 اختبر أكثر من 100 نموذجٍ عبر أربع جولات قياسٍ، ووجد معدّل نجاحٍ أمنيٍّ متوسّطه 56٪، بالكاد تحرّك عن العام السابق، بينما تكتب هذه النماذج نفسها شيفرةً صحيحة الصياغة في كل مرّةٍ تقريباً ^[3]. الشيفرة تعمل في أغلب الأحيان. أما كونها آمنةً للتشغيل، فذلك قريبٌ من رمي عملة، وإعطاء النموذج دون تعليماتٍ أمنيةٍ واضحةٍ يرفع معدّل الفشل إلى نحو 44٪ ^[3]. النماذج المتخصّصة في البرمجة لم تُسجِّل نتيجةً أفضل في الأمان من النماذج العامّة في التقرير نفسه ^[3].

معيارٌ قياسيٌّ مستقلٌّ آخر يصل إلى النتيجة نفسها من زاويةٍ مختلفة. أخذ باحثون 200 طلب ميزةٍ حقيقيٍّ من مشاريع مفتوحة المصدر، كلّ حالةٍ منها كانت حالةً شحن فيها مطوّرٌ بشريٌّ إصلاحاً فيه ثغرةٌ أصلاً، وطلبوا من وكيل برمجةٍ بالذكاء الاصطناعي تنفيذ الطلب نفسه من جديد. أنتج الوكيل حلّاً صحيحاً وظيفيّاً في 61٪ من الحالات. لكن 10.5٪ فقط من تلك الحلول كانت آمنةً فعليّاً ^[4]. إخبار الوكيل بالثغرة المعروفة مسبقاً لم يُغيّر النتيجة بشكلٍ ملموس ^[4].

يمتدّ الكشف طبقةً أعمق من قاعدة البيانات. دراسةٌ أكاديميةٌ لعام 2025 شغّلت 576,000 عيّنة شيفرةٍ عبر 16 نموذجاً مختلفاً، ووجدت أن 19.7٪ من أسماء الحزم التي اقترحتها تلك النماذج لم تكن موجودةً أصلاً: تبعيّاتٍ مُخترَعةً تبدو معقولةً وليست حقيقية ^[5]. يستطيع أيّ شخصٍ تسجيل أحد تلك الأسماء المزيّفة على سجلّ حزمٍ عام، ويشحن داخله ما يريد، وقد فعل المهاجمون ذلك فعلاً: حزمةٌ بديلةٌ لباحث أمانٍ واحدٍ جذبت أكثر من 30,000 تنزيلٍ في ثلاثة أشهر فقط لأنها طابقت اسماً استمرّت النماذج باختراعه ^[5]. النماذج مفتوحة المصدر اختلقت هذه الأسماء بمعدّل 21.7٪ تقريباً، مقابل 5.2٪ للنماذج التجارية ^[5]، والخطر الأساسي لا يعتمد على أيّ نموذجٍ كتب الشيفرة. يعتمد على ما إذا تحقّق أحدٌ من أن كلّ حزمةٍ جلبتها حقيقيةٌ قبل أن تُشحَن.

الخيط المشترك عبر هذه النتائج الأربع هو أين يتوقّف التحقّق. كلّ أداةٍ هنا تفعل ما صُمِّمت لتفعله بامتياز: إنتاج شيفرةٍ تعمل. أما كون قاعدة البيانات خلفها محميّة، أو كون الحزم التي جلبتها موجودةً فعلاً، أو كون العرض الذي عمل في اليوم الأول لا يزال يعمل بأمانٍ في اليوم التسعين، فذلك ليس ما يُتحقَّق منه تلقائياً، وبالنسبة لـ16,326 قاعدة بياناتٍ حيّةٍ في سبتمبر 2026، لم يتحقّق منه أحدٌ آخر أيضاً.