دليل
كيف تفحص الشيفرة المولّدة بالذكاء الاصطناعي بحثًا عن أسرار مسرَّبة
افحص لقطة المستودع، وتحقّق من انكشاف الأسرار في الواجهة الأمامية، وراجع تاريخ Git على حدة. تعرّف إلى ما يكتشفه vetkit وما تفعله حين تتسرّب بيانات اعتماد.
· قراءة في 5 دقائق · بقلم فريق vetkit
لفحص الشيفرة المولّدة بالذكاء الاصطناعي بحثًا عن أسرار مسرَّبة، شغّل أداة فحص الأسرار على إصدار المستودع الذي تنوي إطلاقه، وراجع الأدلة المتعلقة بالملف والسطر، وألغِ أي بيانات اعتماد مكشوفة. في vetkit، يتضمن Security Quick Scan اكتشاف الأسرار في المستودع؛ أما تاريخ Git وانكشاف المفاتيح على جانب المتصفح فيحتاجان إلى فحوص منفصلة. والتقرير النظيف لا يغطي إلا الملفات والفحوص التي جرى تشغيلها فعلًا.
1. اختر نطاق الفحص
قد تحتوي الشيفرة المولّدة على بيانات اعتماد منسوخة، أو على قيمة نائبة تبدو واقعية، أو على شيفرة لا تكشف المفتاح إلا حين تبني التطبيق. وهذه مشكلات مختلفة. حدّد الأدلة التي تحتاجها قبل تفسير النتيجة:
| السؤال | الفحص المناسب | الحدود |
|---|---|---|
| هل توجد بيانات اعتماد في ملفات المستودع المفحوصة؟ | Secrets (gitleaks)، المضمَّن في Security Quick Scan | اكتشاف قائم على الأنماط في النسخة المسحوبة، وليس دليلًا على غياب كل بيانات الاعتماد |
| هل حُذفت بيانات اعتماد من الملفات الحالية لكنها بقيت في الـ commits؟ | محلّل secrets-history المنفصل، حين يكون متاحًا في نطاق التدقيق المختار | تاريخ محدود؛ وليس جزءًا من Quick Scan |
| هل يمكن لإعدادات وقت البناء أن تكشف مفتاح مزوّد للمتصفحات؟ | فحوص تطبيقات LLM لأنماط الشيفرة المدعومة، إضافةً إلى فحصك أنت لمخرجات البناء | ليس جزءًا من Quick Scan؛ وتدقيق الشيفرة المصدرية لا يفحص أصولك المنشورة |
2. افحص إصدار المستودع المقصود
- اربط المستودع في vetkit، ثم اختر Security Quick Scan أو نطاق تدقيق متاحًا يتضمن اكتشاف الأسرار.
- تأكّد من المستودع والمرجع (ref) المستهدف. ففحوص المستودعات البعيدة لا ترى المحتوى غير المحفوظ في المحرّر ولا الملفات المحلية التي لم تدفعها (push). ولا تُودِع سرًّا مشتبهًا به لمجرد أن يصبح قابلًا للفحص.
- انتظر الاكتمال وراجع نتائج المحلّلات بحثًا عن أخطاء أو فحوص متخطّاة قبل قراءة النتائج. فأداة الفحص غير المتاحة ليست فحصًا ناجحًا.
إذا كنت تعمل عبر مساعد ذكي، فيشرح دليل MCP لـ Claude Code وCursor كيف تختار مستودعًا وتطّلع على نتائج التدقيق. استخدم قيمًا نائبة في الأوامر النصية؛ ولا تلصق أبدًا بيانات اعتماد حقيقية في المساعد لتسأله هل هي صالحة.
3. راجع كل نتيجة
اقرأ القاعدة ودرجة الخطورة ومسار الملف وموقع السطر. تستخدم نتائج الأسرار في vetkit مقتطفات محجوبة؛ فافحص الشيفرة المصدرية بشكل خاص لتميّز بيانات الاعتماد الفعلية من بيانات الاختبار الاصطناعية. وقد تنتج الأنماط العامة إنذارات كاذبة، وقد تفوت الصيغ غير المألوفة. ومجرد التطابق لا يحدّد ما إذا كانت بيانات الاعتماد لا تزال فعّالة.
امنح الأولوية لبيانات الاعتماد التي تتيح الوصول إلى الموارد السحابية أو المستودعات أو نشر الحزم أو بيانات الإنتاج. وسجّل الخدمة المتأثرة والمسؤول عن المعالجة دون نسخ السرّ إلى تذكرة أو لقطة شاشة أو محادثة. ولا تتجاهل نتيجة لمجرد أن المساعد يصف القيمة بأنها مثال.
4. تحقّق من الانكشاف في المتصفح ومن التاريخ
قد يبقى المفتاح خارج Git ومع ذلك يصل إلى المستخدمين عبر بناء الواجهة الأمامية. راجع استخدام متغيرات البيئة العامة واستدعاءات SDK الخاصة بالمزوّدين وإعدادات المجمِّع (bundler)، ثم افحص أصول المتصفح المولّدة في بيئة تتحكم فيها. راجع دليل مفاتيح API في الواجهة الأمامية للاطلاع على أمثلة. ففحص المستودع لا يبني تطبيقك تلقائيًا بأسرار النشر ولا يفحص حزم الموقع المباشر.
إذا كان من المحتمل أن تكون بيانات اعتماد قد أُودعت في وقت سابق، فأدرج فحص التاريخ المنفصل حيث يسمح نطاق التدقيق بذلك. نافذته الافتراضية 500 commit كحدّ أقصى، وقد تكون أصغر حين يكون تاريخ النسخة المسحوبة أقل عمقًا. وهو ليس بحثًا شاملًا في كل فرع أو نسخة متفرّعة (fork) أو نسخة من المستودع.
5. استجب ثم افحص من جديد
- ألغِ بيانات الاعتماد المكشوفة أو بدّلها لدى مزوّدها. فحذف سطر أو إعادة كتابة commit لا يُبطل مفتاحًا منسوخًا.
- انقل البديل إلى مخزن أسرار مناسب على جانب الخادم أو إلى بيئة التشغيل. وتأكّد من أنه لا يمكن تضمينه في شيفرة المتصفح أو طباعته في السجلات.
- راجع سجلات الوصول والاستخدام لدى المزوّد بحثًا عن نشاط غير متوقع. ونسّق أي تنظيف للتاريخ مع المتعاونين في المستودع؛ فالتبديل يبقى ضروريًا.
- شغّل فحصًا جديدًا على الإصدار المصحَّح وكرّر فحوص البناء أو التاريخ ذات الصلة. واحتفظ بالإصدار المستهدف للتدقيق مع سجل المعالجة.
المصادر والحدود
جرى التحقق في 1 نوفمبر 2026 مقابل إعداد Quick Scan في vetkit وتطبيقات محلّلات gitleaks وsecrets-history وLLM app. يشغّل Quick Scan فحوص الوضع الأمني وgitleaks وOSV؛ ولا يتضمن كل المحلّلات الموجودة في التدقيق الكامل. ويتخطّى تكامل gitleaks افتراضيًا الملفات الأكبر من 5 MB، وتخضع الفحوص لحدود على المستودع والملفات والوقت. راجع التغطية والتحذيرات الخاصة بالتشغيل الفعلي.
تصف الوثائق سير عمل التدقيق، ويوثّق كتالوج الفحوص العام القواعد المطوّرة داخليًا. وهذا الكتالوج ليس قائمة كاملة بتواقيع gitleaks الخارجية. يصف هذا الدليل خطوات الاكتشاف والمعالجة؛ ولا يضمن الفحص النظيف ولا الدرجة العالية أن التطبيق آمن.