البرمجة بالذكاء الاصطناعي أم البرمجيات المخصصة: هل يكفي Lovable لتشغيل نشاطك؟
ما المقصود بـ«Vibe Coding»؟
مصطلح «Vibe Coding» يصف بناء البرمجيات بوصف ما تريده بلغة عادية، ثم ترك الذكاء الاصطناعي يكتب الشيفرة. وتذهب أدوات مثل Lovable وBolt.new وBase44 أبعد من ذلك: تكتب «تطبيق حجوزات لعيادتي مع لوحة تحكم»، وبعد دقائق يصبح لديك تطبيق يعمل، بشاشات وقاعدة بيانات ورابط عام.
بالنسبة لأصحاب الأعمال، هذا أمر مثير فعلًا؛ فأفكار كانت تحتاج أسابيع من نقاشات الميزانية صار بالإمكان تجربتها في عصر يوم واحد. والسؤال الحقيقي ليس: هل تعمل هذه الأدوات؟ فهي تعمل. بل: فيمَ تفيد؟ ومتى تتحول بهدوء إلى مصدر خطر؟
أين تتألق منصات بناء التطبيقات بالذكاء الاصطناعي؟
عند استخدامها في مكانها الصحيح، توفّر هذه المنصات وقتًا ومالًا حقيقيين:
- النماذج الأولية والعروض التفاعلية لتوضيح فكرتك للمستثمرين أو الشركاء أو فريقك.
- أدوات داخلية بلا بيانات حساسة، مثل متتبّع بسيط أو حاسبة لغرض محدد.
- التحقق من فكرة المنتج (MVP): اختبار ما إذا كان العملاء يريدون المنتج فعلًا قبل الاستثمار في بنائه كاملًا.
- استكشاف أفكار تجربة المستخدم بسرعة، ثم التخلّي عمّا لا ينجح.
القاسم المشترك في كل هذه الحالات أن التطبيق قصير العمر، أو قليل المخاطر، أو لا يلمس بيانات عملاء حقيقية. هنا تكمن نقطة قوته.
ماذا تكشف الأبحاث الأمنية؟
تبدأ المشكلة حين يتحول النموذج الأولي بصمت إلى نظام إنتاجي: مستخدمون حقيقيون، وبيانات حقيقية، ومدفوعات حقيقية. وقد درست عدة فرق بحثية ما يحدث فعلًا في هذه الحالة. كثير من هذه النتائج صادر عن شركات أمن سيبراني لها مصلحة في الموضوع، لكن النمط متّسق:
- فحصت شركة Escape نحو 1,400 تطبيق إنتاجي بُنيت على منصات البرمجة بالذكاء الاصطناعي (منها Lovable وBase44 وBolt.new)، وأفادت بوجود 2,038 ثغرة شديدة الخطورة، وأكثر من 400 سرّ مكشوف مثل مفاتيح API، و175 حالة كشف لبيانات شخصية بينها بيانات طبية ومالية. (مدونة Escape)
- وفحصت Red Access أكثر من 5,000 تطبيق من هذا النوع منشور للعامة، وأفادت بأن نحو 40% منها يكشف بيانات حساسة.
- وأفاد باحثون في Wiz بأن منصة Base44 كانت تكشف نقاط تسجيل غير موثّقة ومن دون مصادقة، كان من الممكن أن تتيح للمهاجمين إنشاء حسابات موثّقة على تطبيقات خاصة.
- ورصد تحالف أمن السحابة (Cloud Security Alliance) ارتفاع الثغرات المسجّلة (CVE) المنسوبة إلى شيفرة مولّدة بالذكاء الاصطناعي من 6 في يناير 2026 إلى 15 في فبراير ثم 35 في مارس 2026. الأعداد صغيرة، لكن الاتجاه واضح. (مذكرة CSA البحثية)
وهناك خطر أحدث في سلسلة التوريد البرمجية: النماذج اللغوية «تتوهّم» أحيانًا حزمًا برمجية لا وجود لها، فيسجّل المهاجمون هذه الأسماء ويملؤونها بشيفرة خبيثة، وهو أسلوب بات يُعرف باسم Slopsquatting. وإن لم يراجع أحد ما ثبّته الذكاء الاصطناعي، فقد يسحب تطبيقك شيفرة من شخص غريب.
المشكلة ليست في الذكاء الاصطناعي
من السهل أن نستنتج أن الشيفرة المكتوبة بالذكاء الاصطناعي سيئة، لكن هذا ليس الدرس. فرق الهندسة المحترفة، ومنها فريقنا، تستخدم أدوات البرمجة بالذكاء الاصطناعي يوميًا. الفرق فيما يحيط بها:
- مراجعة الشيفرة من أشخاص يفهمون ما تفعله.
- المصادقة والصلاحيات مصمّمة عن قصد: من يستطيع الدخول، وما الذي يراه كل دور ويعدّله.
- إدارة الأسرار بحيث لا تظهر مفاتيح API في المتصفح أو في مستودع عام.
- اختبارات وفحوص أمنية تعمل قبل أن يصل أي شيء إلى المستخدمين.
- بنية سليمة ونشر منضبط: بيئات منفصلة، ونسخ احتياطية، ومراقبة، وتحديثات.
تقع تطبيقات الـVibe Coding في المشاكل حين تُتجاوز هذه الخطوات، لا لأن نموذجًا لغويًا كتب المسودة الأولى.
منصة ذكاء اصطناعي أم برمجيات مخصصة؟
| منصة الذكاء الاصطناعي تكفي عندما… | تحتاج برمجيات مخصصة عندما… |
|---|---|
| يكون المشروع نموذجًا أوليًا أو عرضًا | يسجّل عملاء حقيقيون الدخول ويخزّنون بياناتهم |
| تكون البيانات وهمية أو غير حساسة | تتعامل مع بيانات شخصية أو طبية أو مالية |
| يستخدمه شخص واحد | تحتاج أدوار مختلفة إلى صلاحيات مختلفة |
| لا توجد مدفوعات | تستقبل مدفوعات أو تصدر فواتير |
| يعمل منفصلًا | يجب أن يتكامل مع ERP أو CRM أو بوابات الدفع أو واتساب |
| يكون قصير العمر | يجب أن يعمل بثبات لسنوات ويتوسع مع الزيارات |
| لا توجد جهة تنظيمية معنية | لديك متطلبات امتثال أو توطين للبيانات |
المسار الهجين الذي ننصح به
لست مضطرًا للاختيار بين السرعة والأمان. هذا مسار منطقي:
- ابنِ نموذجًا أوليًا بسرعة بالذكاء الاصطناعي. استخدم Lovable أو Bolt.new أو ما يشبههما لتحويل الفكرة إلى شيء يمكن تجربته.
- اختبره مع مستخدمين حقيقيين. اعرضه، وراقب كيف يستخدمه الناس، وقرّر ما يستحق البناء.
- أعد بناءه أو حصّنه مع فريق هندسي قبل إدخال بيانات حقيقية: مصادقة سليمة وصلاحيات مبنية على الأدوار (RBAC)، وسجلات تدقيق، ونسخ احتياطية، ومراقبة، وتوطين للبيانات عند الحاجة، وواجهة عربية تدعم RTL بجودة أصيلة لا مجرد قلب للاتجاه، وأداء يصمد تحت الضغط.
يتحول النموذج الأولي هنا إلى مواصفات حيّة؛ يختصر أسابيع من النقاش، ويُبنى النظام النهائي على قرارات اختبرتها مسبقًا.
أطلقت تطبيقًا مبنيًا بالذكاء الاصطناعي؟ ابدأ من هنا
إذا كان لديك تطبيق مبني بهذه الطريقة ويعمل الآن مع مستخدمين حقيقيين، فراجع هذه القائمة فورًا:
- غيّر جميع مفاتيح API والأسرار، وانقلها إلى متغيرات بيئة على الخادم.
- افحص قواعد قاعدة البيانات: تأكد من تفعيل الأمان على مستوى الصفوف (Row-Level Security) أو ما يعادله، بحيث لا يقرأ كل مستخدم إلا سجلاته.
- راجع ما هو مكشوف للعامة: مساحات التخزين، وصفحات الإدارة، ونقاط API، وروابط المعاينة.
- أضف المصادقة أو شدّدها على كل مسار API، لا على شاشة الدخول فقط.
- راجع الحزم البرمجية بحثًا عن حزم مجهولة أو مريبة، وحدّث القديم منها.
- فعّل النسخ الاحتياطي وتأكد فعليًا من قدرتك على الاستعادة.
- اطلب مراجعة أمنية من جهة لم تشارك في بناء التطبيق.
كيف تساعدك Cortex؟
نحن نحب هذه الأدوات، ونستخدم الذكاء الاصطناعي في سير عملنا لنسلّم أسرع. ما نضيفه هو الهندسة المحيطة به: البنية، والأمان، والتكاملات، والدعم على المدى الطويل. إن كان لديك نموذج أولي أثبت جدواه، يمكننا تحويله إلى منصة ويب جاهزة للإنتاج، أو مراجعة ما أطلقته بالفعل. وخطوة أولى جيدة هي معالج طلب عرض السعر.
