مهارة الفحص الأمني وتأمين التطبيقات

مهارة الفحص الأمني وتأمين التطبيقات — مهارة AI سير عمل أمني دفاعي منظّم للبرمجيات التي تملكها أو مخوّل باختبارها. تشغّل ما يمكن تشغيله محليًا عبر وكيل البرمجة، وتستخدم TestSprite (عبر MCP) للاختبار الوظيفي والتحقق من الصلاحيات عند توفره، وتصلح ما يمكن إصلاحه بأمان، وتنتهي بمخرجين: خطة إصلاح دقيقة بما يكفي لينفّذها وكيل ذكاء اصطناعي آخر خطوة بخطوة، وملخص بشري يقرأه المالك في دقيقتين. كيف تعمل — 8 مراحل: 1. الاستقبال: المستودع و/أو الرابط، تأكيد الملكية، مستوى العمق (أساسي / قياسي / صارم)، وما يجب تخطيه. تقرأ تقارير الفحص الخارجية وتتتبع كل بند حتى الإصلاح. 2. الاستطلاع: تكتشف الحزمة التقنية ومديري الحزم وإعدادات الاستضافة وأدوات الفحص المتوفرة. تكتب نموذج تهديدات قصيرًا. 3. الفحوصات حسب العمق: ترويسات وكوكيز الأمان، الأسرار المسرّبة في الكود وتاريخ Git، الحزم الضعيفة، فحص الكود، مراجعة يدوية، فحص ZAP سلبي، اختبارات TestSprite، فحص الحاويات، وقائمة SBOM. 4. الفرز: دمج التكرارات، تقييم الخطورة لسياق تطبيقك، مستوى الثقة، معرّفات ثابتة. 5. الإصلاح بترتيب آمن: الأسرار أولًا (تُدير المفاتيح أنت)، ثم مشاكل الكود الحرجة، ثم الترويسات. تشغّل البناء والاختبارات بعد كل دفعة. 6. التحقق: إعادة فحص كل بند وإثبات قبل/بعد. 7. التقرير: خطة إصلاح للذكاء الاصطناعي + findings.json + ملخص بشري بلغة المستخدم. 8. الصيانة: سير عمل GitHub Actions، إعداد Dependabot، وجدولة إعادة الفحص. القواعد: دفاعية فقط (بدون كود استغلال)، البيئة التجريبية قبل الإنتاج للمسح النشط، الأسرار لا تُطبع كاملة، تُطبّق CSP بوضع Report-Only أولًا. إعداد حسام الدين حسن — مهارة AI (maharaai.com).