مختبر الذكاء الاصطناعي · دليل
عُدّة الـ vibe coding: من الفكرة إلى تطبيق آمن، دون معرفة البرمجة
أصبح إنشاء تطبيق بوصفه لذكاء اصطناعي في متناول الجميع. لكن أغلب مشاريع الـ vibe coding تفشل في لحظتين تمرّ عليهما الدروس مرور الكرام: قبل البداية، لأن الطلب غامض، وبعدها، لأن لا أحد يتحقق من الأمان. يركّز هذا الدليل على هاتين اللحظتين، مع نماذج طلبات مصمّمة للمغرب بالفرنسية والدارجة، والحوادث الحقيقية الموثّقة، ولائحة التحقق قبل فتح تطبيقك لزبناء حقيقيين.
باختصار
- الـ vibe coding هو إنشاء تطبيق بوصف ما تريده لذكاء اصطناعي، دون قراءة الشيفرة التي يكتبها. مثالي لنموذج أولي، ومحفوف بالمخاطر لتطبيق يستقبل زبناء حقيقيين.
- الفشل يبدأ من الطلب: لا يخمّن الذكاء الاصطناعي الأدوار ولا قواعد عملك ولا ما يجب ألا يحدث أبداً. الطلب الجيد يكتب ذلك بوضوح. ومولّد دفتر التحملات يحضّره لك بالفرنسية أو الإنجليزية أو الدارجة.
- الحوادث الحقيقية موثّقة: تطبيقات مولَّدة كشفت بيانات مستخدميها، ووكيل مسح قاعدة بيانات. وغالباً للأسباب نفسها التي يمكن تفاديها.
- قبل النشر، تمنع إحدى عشرة عملية تحقق بسيطة، يمكن إنجازها دون معرفة البرمجة، أغلب الكوارث.
- الكلفة الحقيقية تتجاوز غالباً الاشتراك المعلن: احسب الرصيد المستهلك ووقتك والتصحيحات.
ما هو الـ vibe coding بالضبط؟
يعود التعبير إلى أندريه كارباثي، الباحث في الذكاء الاصطناعي الذي عمل في تسلا وOpenAI. في 2 فبراير 2025، وصف طريقة جديدة في البرمجة: تتحدث إلى الذكاء الاصطناعي، وتقبل كل تعديلاته دون قراءتها، وتعيد لصق رسائل الخطأ إلى أن تختفي، و«تنسى حتى أن الشيفرة موجودة». وأضاف أنها ممتعة لمشاريع عطلة نهاية الأسبوع التي تُرمى بعد ذلك. وقد ضاع هذا التحفّظ في الطريق.
يجب التمييز بين ممارستين:
- الـ vibe coding بمعناه الدقيق: تصف، ويبني الذكاء الاصطناعي، ولا تحكم إلا على النتيجة على الشاشة. وهو موضوع هذا الدليل.
- التطوير بمساعدة الذكاء الاصطناعي: مطوّر يؤطّر وكيلاً، ويراجع ويختبر ويحتفظ بالتحكم في الشيفرة. وهو موضوع دليل آخر: البرمجة مع وكيل ذكاء اصطناعي، المنهجية الناجحة.
كلاهما مفيد. الخطر هو نشر تطبيق صُنع بالطريقة الأولى أمام زبناء حقيقيين، مع الاعتقاد بأنه صُنع بالطريقة الثانية.
العائلات الثلاث من الأدوات، وأثمنتها
| العائلة | أمثلة | لمن | ما يجب معرفته |
|---|---|---|---|
| مولّدات التطبيقات عبر الإنترنت | Lovable، Bolt، v0، Replit | المبتدئون، النماذج الأولية السريعة | كل شيء يجري في المتصفح؛ وغالباً ما توفّر قاعدةَ البيانات وتسجيلَ الدخول خدمةٌ خارجية (مثل Supabase)، وعليك تأمينها بنفسك. |
| محرّرات الشيفرة بالذكاء الاصطناعي | Cursor وما يشبهه | من يرتاح مع الحاسوب ومستعد للتعلّم | تحكم أكبر، لكن عليك التثبيت والاستضافة والنشر بنفسك. |
| الوكلاء في الطرفية | Claude Code وما يشبهه | المطوّرون أو الفرق المؤطَّرة | قوية جداً، ويمكنها أيضاً تنفيذ أوامر مدمّرة: يجب تأطيرها. |
الأثمنة، تحقّقنا منها في الصفحات الرسمية يوم 26 أكتوبر 2026 (بسعر صرف اليوم، 1 دولار ≈ 9.81 درهم):
| المنصة | المجاني | أول عرض مؤدّى عنه |
|---|---|---|
| Bolt | مليون رمز شهرياً (300 ألف يومياً) | Pro: 18 دولاراً شهرياً بفوترة سنوية، أي حوالي 177 درهماً |
| Replit | عرض مجاني محدود | Core: 20 دولاراً شهرياً، أي حوالي 196 درهماً (18 دولاراً سنوياً)؛ Pro: 100 دولار شهرياً |
| v0 (Vercel) | 7 رسائل يومياً | Plus: 30 دولاراً شهرياً لكل مستخدم، أي حوالي 294 درهماً |
| Lovable | 5 أرصدة يومياً (30 شهرياً كحد أقصى) | Pro وBusiness: الأثمنة غير معروضة للعموم في الصفحة التي اطّلعنا عليها |
تتغير هذه الأثمنة كثيراً: تحقّق منها قبل الاشتراك. وتذكّر قبل كل شيء: ليس الاشتراك هو ما يصنع الفاتورة، بل الرصيد المستهلك. كل طلب، وكل تصحيح، وكل «ما زال لا يعمل» يستهلك منه. والطلب الدقيق منذ البداية هو أفضل توفير.
قبل البداية: لماذا تفشل مشاريع كثيرة منذ الطلب
الذكاء الاصطناعي بارع جداً في كتابة الشيفرة، لكنه لا يعرف تجارتك. وكل ما لا تقوله، يختلقه. خمسة أشياء يجب أن تُكتب دائماً:
- من يستعمل التطبيق، ومن يحق له فعل ماذا. الزبون، وأنت، وفريقك، وعامل التوصيل: كلٌّ يرى أشياء مختلفة.
- البيانات، ولا شيء غيرها. الاسم، الهاتف، العنوان… كل معلومة زائدة معلومة أخرى يجب حمايتها، والقانون 09-08 يُطبَّق منذ أول معلومة.
- قواعد نشاطك. الأرقام تبدأ بـ 06 أو 07، والأثمنة بالدرهم، والطلبية تمرّ بحالة «للتأكيد» قبل إرسالها، والموعد لا يُحجز مرتين.
- ما يجب ألا يحدث أبداً. زبون يرى طلبيات زبون آخر، مفتاح سري ظاهر، حذف دون تأكيد. إن لم تكتبه، لن يتحقق منه أحد.
- المنهجية. الأسئلة أولاً، ثم الخطة، ثم مرحلة واحدة في كل مرة، تُختبر على هاتفك.
الطلب الذي يفشل:
اصنع لي تطبيقاً لبيع قفاطيني عبر الإنترنت مع الدفع عند الاستلام.
الطلب الذي ينجح (مقتطف):
أنت مطوّر متمرّس وحذر. أريد إنشاء تطبيق طلبيات عبر الإنترنت مع الدفع عند الاستلام لمتجر القفاطين الخاص بي. تطلب الزبونات دون حساب: الاسم، رقم هاتف مغربي (06 أو 07، متحقَّق منه)، المدينة، العنوان. أنا وحدي من يرى الطلبيات، في لوحة تحكم محمية بكلمة مرور، مع الحالات «للتأكيد، مؤكدة، مُرسلة، مُسلّمة، مُرجعة». يجب ألا تتمكن أي زبونة من رؤية طلبيات الأخريات. لا مفتاح سرياً في الشيفرة الظاهرة. اطرح عليّ أسئلتك أولاً، ثم اقترح خطة على مراحل.
الطلب الثاني أطول، لكنه يجنّبك عشرات الذهابات والإيابات، أي رصيداً مستهلكاً، والأهم من ذلك الثغرات.
خمسة نماذج ملائمة للمغرب
لكل نموذج، إليك ما يجب تحديده حتماً. ويجمّع مولّد دفتر التحملات الطلب الكامل انطلاقاً من إجاباتك.
| التطبيق | يجب تحديده حتماً | الفخ المعتاد |
|---|---|---|
| طلبيات مع الدفع عند الاستلام | الطلب دون حساب، رقم هاتف متحقَّق منه، الحالات، تأكيد عبر واتساب، لوحة تحكم محمية | لوحة تحكم مفتوحة للجميع، أو طلبيات يقرؤها أي زائر |
| حجوزات (صالون، عيادة، دروس) | الخدمات، المدد، أوقات العمل، أيام الإغلاق، منع الحجز المزدوج، تذكير عبر واتساب | زبونتان في الموعد نفسه، أو سوء تدبير التوقيت |
| كتالوج منتجات | الصور، الأثمنة بالدرهم، الفئات، زر «اطلب عبر واتساب»، التسيير من طرف المسؤول | منتجات يمكن لأي شخص تعديلها |
| تتبع الطرود والمرتجعات | البحث بالرقم، سجل مؤرَّخ، أسباب الإرجاع، وصول محدود لعمال التوصيل | رقم هاتف يكفي لرؤية عنوان زبون آخر |
| أداة داخلية (مخزون، عروض أسعار) | حسابات الفريق بصلاحيات مختلفة، تنبيهات المخزون، عروض أسعار PDF مع الضريبة على القيمة المضافة | موظف يستطيع حذف كل شيء |
وبالدارجة؟
كثير من التجار يفكّرون في مشروعهم بالدارجة. وتفهم نماذج الذكاء الاصطناعي الكبرى الدارجةَ المكتوبة بالحروف العربية أكثر فأكثر، شرط الإبقاء على المصطلحات التقنية بالفرنسية كما تُقال في المغرب. إليك بداية طلب كامل كما يولّده المولّد:
نتا développeur عندك التجربة وكتخدم بالحذر. بغيت نصاوب تطبيق ديال الكوموندات أونلاين مع الخلاص عند الاستلام سميتو «Atlas Shop»، للخدمة ديالي: بيع القفاطين.
- فورمولير ديال الكوموند بلا كونط: السمية، النمرة المغربية (كتبدا ب 06 ولا 07، ومتحقق منها)، المدينة، العنوان وملاحظة
- حتى كليان ولا زائر ما خاصو يقدر يقرا، يبدل ولا يمسح المعلومات ديال الناس الآخرين.
- قبل ما تكتب حتى شي كود، سولني على كلشي اللي ماشي واضح.
إذا أجاب الذكاء الاصطناعي بشكل سيئ، أعد صياغة الطلب نفسه بالفرنسية: المضمون أهم من اللغة.
بعد ذلك: الحوادث الحقيقية ودروسها
قواعد بيانات مفتوحة للجميع
في مارس 2025، اكتشف المهندس مات بالمر أن تطبيقات أُنشئت بـ Lovable تسمح لأي شخص بقراءة قاعدة بياناتها، وأحياناً تعديلها: أسماء المستخدمين وبريدهم الإلكتروني، ومفاتيح واجهات برمجة لخدمات خارجية، بل وجداول أداء كان يمكن تغيير حالتها. سُجّلت الثغرة تحت المرجع الرسمي CVE-2025-48757، بدرجة خطورة 9.3 من 10. وتنفي Lovable مسؤوليتها، مذكّرة بأن على كل منشئ حماية بيانات تطبيقه، ثم أضافت فحصاً قبل النشر.
لماذا حدث ذلك: تستعمل هذه التطبيقات قاعدة بيانات Supabase يكون مفتاحها «العمومي» ظاهراً في المتصفح بحكم التصميم. ولا يكون غير مؤذٍ إلا إذا كان كل جدول محمياً بقواعد أمان على مستوى الأسطر (RLS). ومن دون هذه القواعد، يكفي هذا المفتاح لقراءة القاعدة كلها.
الدرس: اشترط في طلبك تفعيل الأمان على مستوى الأسطر في كل جدول، واطلب رؤية القواعد، واختبر بحسابين مختلفين (البند 1 من لائحة التحقق).
وكيل يمسح قاعدة البيانات
في يوليوز 2025، أجرى جيسون لِمكين، مؤسس SaaStr، تجربة vibe coding لمدة اثني عشر يوماً مع وكيل Replit. في اليوم التاسع، ورغم التعليمة بعدم تعديل أي شيء دون موافقته، نفّذ الوكيل أوامر مسحت قاعدة بيانات المشروع، وفيها سجلات أكثر من ألف مسؤول وشركة. ثم ادّعى خطأً أن الاسترجاع مستحيل. ووصف رئيس Replit الحادث بأنه «غير مقبول»؛ وصارت المنصة تفصل تلقائياً بين قاعدتي التطوير والإنتاج، وأضافت وضع «التخطيط» الذي لا يُجري أي تعديل.
الدرس: التعليمة في المحادثة لا تكفي. افصل قاعدة التجربة عن القاعدة الحقيقية، وخذ نسخاً احتياطية، واشترط التأكيد قبل أي حذف. وهذه القواعد مُدرجة تلقائياً في المولّد.
لائحة التحقق «جاهز للزبناء الحقيقيين»
إحدى عشرة عملية تحقق، يمكن إنجازها دون معرفة البرمجة. إذا فشلت واحدة منها فقط، فلا تنشر.
- أنشئ حسابين للتجربة (أو طلبيتين) وتأكد أن أياً منهما لا يرى بيانات الآخر.
- افتح التطبيق في نافذة خاصة دون تسجيل الدخول: يجب ألا تظهر أي بيانات للزبناء وأن تكون الإدارة غير متاحة.
- ابحث في شيفرة الصفحة (Ctrl+U أو أدوات المتصفح) للتأكد من عدم ظهور أي مفتاح سري.
- اطلب فحص قواعد أمان قاعدة البيانات جدولاً بجدول (RLS في Supabase).
- اختبر على هاتف حقيقي، باتصال بطيء، وبكل لغات التطبيق.
- أنجز طلبية أو حجزاً تجريبياً من البداية إلى النهاية، حتى رسالة واتساب.
- تعلّم تصدير بياناتك واسترجاعها: خذ نسخة احتياطية قبل كل تعديل كبير.
- انشر الإشعار القانوني وسياسة الخصوصية (القانون 09-08)، وصرّح بالمعالجة لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي عند الحاجة. يساعدك مولّد الإشعار القانوني.
- فعّل كلمات مرور قوية والمصادقة الثنائية على المنصة والاستضافة وقاعدة البيانات. وتحقق من كلماتك بـاختبار كلمة المرور.
- حدّد سقفاً للمصاريف على المنصة وعلى الخدمات المؤدّى عنها (الرصيد، واجهات البرمجة).
- اطلب من مهني مراجعة التطبيق قبل تسجيل زبناء حقيقيين فيه.
لا تلصق أبداً بيانات زبناء حقيقيين في محادثة مع الذكاء الاصطناعي «للتجربة»: استعمل بيانات وهمية، أو أخفِ هويتها أولاً بـأداة إخفاء الهوية.
الكلفة الحقيقية بالدرهم
لنأخذ تطبيق طلبيات صغيراً، يبنيه شخص لا يبرمج على مدى ثلاثة أشهر:
| البند | التقدير |
|---|---|
| الاشتراك في المنصة | حوالي 180 إلى 300 درهم شهرياً حسب المنصة، أي 540 إلى 900 درهم في ثلاثة أشهر |
| إعادة شحن الرصيد | متغيّر جداً: من صفر إلى بضع مئات من الدراهم شهرياً إذا تتالت التصحيحات |
| اسم النطاق | حوالي 100 إلى 200 درهم سنوياً |
| قاعدة البيانات والاستضافة | مجانيتان غالباً في البداية، ومؤدّى عنهما بمجرد أن يكبر التطبيق |
| وقتك | البند الأكثر استخفافاً: عشرات الساعات من الاختبار وإعادة الصياغة |
الـ vibe coding لا يُضاهى لـالتحقق من فكرة بكلفة منخفضة. ويصبح أغلى من مهني حين يجب أن يدوم التطبيق: كل وظيفة جديدة قد تكسر أخرى، ولا أحد يعرف الشيفرة حقاً.
متى تسلّم المشعل لمهني
يكفي الـ vibe coding ما دام تطبيقك نموذجاً أولياً. استعن بمطوّر حين:
- ستدخله بيانات زبناء حقيقيين، خاصة البيانات الحساسة (الصحة، وثائق الهوية)؛
- يتداول فيه المال: أداء عبر الإنترنت، فواتير، عمولات؛
- يكسر كل تعديل شيئاً آخر، ويدور الذكاء الاصطناعي في حلقة مفرغة؛
- يصبح التطبيق محورياً في نشاطك: أي عطل سيكلّفك مبيعات.
غالباً ما يكون النهج الأنسب مختلطاً: تبني النموذج الأولي بالـ vibe coding، ثم يفحصه مهني ويؤمّنه ويضعه في الإنتاج. تحتفظ بالسرعة، دون الثغرات.
أسئلة متكررة
هل يمكن فعلاً إنشاء تطبيق دون معرفة البرمجة؟ نعم، لنموذج أولي أو أداة بسيطة. أما لتطبيق يستقبل زبناء حقيقيين، فيجب على الأقل اتباع لائحة التحقق الأمنية، ويُستحسن فحصه من طرف مهني.
بأي منصة أبدأ؟ بالتي يسمح لك عرضها المجاني باختبار فكرتك. مولّدات التطبيقات عبر الإنترنت (Lovable، Bolt، v0، Replit) هي الأبسط؛ والطلب الذي يولّده مولّد دفتر التحملات يعمل عليها جميعاً.
هل يفهم الذكاء الاصطناعي الدارجة؟ أكثر فأكثر، خاصة بالحروف العربية مع المصطلحات التقنية بالفرنسية. إذا لم تكن النتيجة جيدة، أعد الصياغة بالفرنسية: مضمون الطلب هو الأهم.
هل بياناتي في أمان على هذه المنصات؟ المنصة تحمي خدمتها، لكن أنت المسؤول عن بيانات تطبيقك، وهو بالضبط ما ذكّرت به Lovable بعد ثغرة 2025. ومن هنا أهمية لائحة التحقق.
هل الشيفرة ملك لي؟ يتوقف ذلك على شروط كل منصة: تحقّق منها، وصدّر شيفرتك بانتظام (إلى GitHub مثلاً) حتى لا تبقى رهيناً لها.
المصادر
- أندريه كارباثي، تدوينة 2 فبراير 2025 على X التي أطلقت تعبير «vibe coding»، أعاد نشرها خصوصاً موقع Know Your Meme.
- NIST، الملف الرسمي CVE-2025-48757 (Lovable، أمان غير كافٍ على مستوى الأسطر، خطورة 9.3).
- مات بالمر، الكشف عن الثغرة CVE-2025-48757 (التسلسل الزمني والبيانات المكشوفة).
- eWeek، وكيل Replit يمسح قاعدة بيانات في الإنتاج؛ The New Stack، تفاصيل الحادث.
- صفحات الأثمنة الرسمية التي اطّلعنا عليها يوم 26 أكتوبر 2026: Bolt، Replit، v0، Lovable.