خلّي الموديل يكسر تطبيقك قبل غيرك
عندك باحث أمني مجاني جالس في الترمينال. المشكلة إنك ما سألته شيء بعد.
أغلب الناس لما يطلقون تطبيق يفكّرون في الفيتشرز، في التصميم، في تجربة المستخدم. يفكّرون في كل شيء إلا في السؤال الأهم: مين يقدر يكسر هذا الشيء وكيف؟ الباحثون الأمنيون يبدأون من هنا بالضبط. والموديل يقدر يلعب نفس الدور، الحين، بدون انتظار وبدون فلوس.
🧩 إيش هو بالضبط
الفكرة بسيطة: بدل ما تسأل الموديل يساعدك تبني، تسأله يحاول يكسر اللي بنيته. تعطيه كودك أو وصف للوجيك اللي عندك، وتطلب منه يفكر كمهاجم.
الموديل ما يهاجم التطبيق فعلياً، لكنه يقرأ الكود بعين شخص يدور على ثغرات ويعطيك تقرير صريح عما يمكن استغلاله. يعني هو أشبه بمدقق حسابات لكن للأمان. يروي على الأرقام ويقول "هذا ما يجمع."
⚙️ كيف يشتغل
الموديل يقرأ الكود ويفهم السياق. لما تعطيه دالة أو endpoint أو حتى schema قاعدة بيانات، يقدر يكتشف أنماط معروفة بالثغرات ويشرح كيف يمكن استغلالها بالتفصيل.
الفرق بين طلب عشوائي وطلب محكم هنا وايد واضح. الطريقة الصح:
1️⃣ تقول للموديل في البداية: "أنت باحث أمني متخصص في اختبار اختراق تطبيقات الويب"
2️⃣ تعطيه الكود اللي تبي تختبره مباشرة وبدون تعديل
3️⃣ تطلب منه يوثّق كل ثغرة بمثال هجوم فعلي لا بس اسمها
4️⃣ تطلب منه يرتّب النتائج حسب الخطورة من الأعلى للأقل
5️⃣ تسأله عن إصلاح كل نقطة بشكل منفصل بعد ما تاخذ الصورة الكاملة
الموديل اللي يُعطى سياق واضح يرجع بنتائج أعمق بكثير من الموديل اللي تقوله بس "راجع هذا الكود".
🌍 وين تشوفه في حياتك
هذا النوع من التحليل يغطي أكثر الثغرات شيوعاً في تطبيقات اليوم:
🔓 حقن SQL: الموديل يشوف أي query مبنية بدمج نصوص مباشرة ويعرف فوراً إنها إشكالية
🌐 XSS أو حقن السكريبت: كل مكان يعرض input المستخدم مباشرة في الصفحة هو هدف
🔑 تجاوز المصادقة: منطق الـ JWT أو الجلسات اللي يبنى على افتراضات خاطئة
📡 كشف الـ API: endpoints ترجع بيانات حساسة ما تحتاجها الواجهة الأمامية أصلاً
🤖 Prompt Injection: إذا تطبيقك يستخدم نماذج AI، هذا يصير نوع ثغرة مختلف كلياً
🛠️ الأدوات اللي تستخدمها فعلاً
🔧 Claude (claude.ai أو الـ API)
الأقوى للمراجعة الأمنية للكود. يقدر يقرأ ملفات كاملة، يفهم العلاقة بين الدوال، ويعطيك تحليل مفصّل مع أمثلة هجوم حقيقية. الميزة إنه يشرح الثغرة ويقترح الإصلاح في نفس الرد وبنفس السياق.
كيف تبدأ:
1️⃣ افتح claude.ai أو وصّل الـ API للأداة اللي تشتغل فيها
2️⃣ ابدأ المحادثة بـ system prompt يحدد إنك تريد تحليل أمني لا مساعدة برمجية عامة
3️⃣ الصق الكود اللي تبي تفحصه مع وصف مختصر لوظيفته
🔧 OWASP ZAP (Zed Attack Proxy)
أداة مفتوحة المصدر تشغّلها على تطبيقك وهو شغّال وتكتشف ثغرات تلقائياً. Claude يراجع الكود ساكناً، وZAP ينقر على التطبيق الحي ويشوف كيف يردّ. الأثنين يكمّلان بعض.
كيف تبدأ:
1️⃣ نزّلها من zaproxy.org واختر الإصدار المناسب لنظامك
2️⃣ شغّل تطبيقك locally
3️⃣ في ZAP اختر "Automated Scan" وأدخل عنوان تطبيقك المحلي
4️⃣ قارن التقرير اللي يطلع مع نتائج Claude وشوف وين يتقاطعان
🔧 Burp Suite Community Edition
المعيار الصناعي لاختبار الاختراق. النسخة المجانية تكفي للمهام الأساسية. تشتغل كـ proxy بين متصفحك والتطبيق وتعطيك تحكم كامل في الطلبات.
كيف تبدأ:
1️⃣ نزّل النسخة المجانية من portswigger.net/burp/communitydownload
2️⃣ اضبط متصفحك يمرّ الحركة عبر Burp على البورت 8080
3️⃣ تصفّح تطبيقك وشوف الطلبات تجي في Burp، من هنا تقدر تعدّل وتختبر
💡 جرّب بنفسك: خطوة بخطوة
خذ أي دالة login أو form submission من مشروعك، سواء كانت بـ Python أو JavaScript أو PHP أو غيرها، والصقها في Claude مع هذا الـ prompt بالضبط:
1️⃣ افتح محادثة جديدة وابدأ بهذا النص بالضبط: "أنت باحث أمني متخصص في اختبار الاختراق. مهمتك تحليل الكود التالي واكتشاف كل ثغرة أمنية محتملة. لكل ثغرة أعطني: اسمها، كيف يستغلها مهاجم خطوة بخطوة، ومستوى الخطورة."
2️⃣ الصق الكود مباشرة بعد هذا النص بدون أي تعديل
3️⃣ بعد ما يعطيك النتائج، اسأله هذا السؤال بالضبط: "افترض إنك مهاجم عندك دقيقة واحدة على هذا الكود. وين تبدأ؟"
4️⃣ ستحصل على قائمة مرتّبة بالأولويات مع سيناريوهات هجوم حقيقية، مو قائمة نظرية جافة
النتيجة اللي تتوقعها: ثغرات محددة بأسمائها مع مثال استغلال ومقترح إصلاح. وإذا الكود كان نظيفاً، الموديل يقول ذلك، وهذا بحد ذاته معلومة ثمينة.
وش تسوي بعد ذا
✅ خذ أخطر ثغرة طلعت من التحليل وأصلحها قبل أي فيتشر جديد
✅ ابحث عن OWASP Top 10 وافهم كيف كل نقطة تنطبق على نوع تطبيقك تحديداً
✅ اسأل نفسك: إيش أكثر شيء في تطبيقي ما أبي أحد يوصله؟ ابدأ اختبارك من هناك
الموديل اللي عندك الحين جاهز يبدأ هذي المحادثة معك اليوم، قبل أي شخص آخر يبدأها بدونك.
———— English ————
Ask The Model To Break Your Own App
You have a free security researcher sitting in your terminal. You just never asked it to work.
Most developers think about features, design, and user flows when they ship something. The question they skip is the most important one: who can break this, and how? Security researchers start there. Frontier models can play that same role right now, at no cost and with no waiting list.
**What it actually is**
The idea is straightforward. Instead of asking the model to help you build something, you ask it to try to break what you already built. You give it your code or a description of your logic, and you ask it to think like an attacker.
The model is not literally attacking your app. It reads your code the way someone would who is scanning for exploitable patterns, then gives you an honest report of what it finds. Think of it like a financial auditor reviewing records and saying "this doesn't add up" except the records are your authentication logic and the gap is a session fixation bug.
**How it works**
The model can read code and understand context. When you give it a function, an endpoint, or even a database schema, it recognizes patterns that match known vulnerability classes and explains how they could be exploited in practice.
The difference between a vague prompt and a structured one here is significant. Structured prompting consistently returns deeper findings:
1️⃣ Set the role first: "You are a security researcher specializing in web application penetration testing"
2️⃣ Paste the code you want tested, unmodified
3️⃣ Ask for each vulnerability by name, with a real attack example, not just a description
4️⃣ Ask for findings ranked by severity from most to least critical
5️⃣ Request a fix recommendation for each finding separately, after you have the full list
A model given clear context comes back with far deeper results than a model told to "just check this code for issues."
**Where you see it**
This kind of analysis covers the most common vulnerability classes in production apps today:
🔓 SQL Injection: the model spots query construction using string concatenation immediately and knows exactly how it breaks
🌐 Cross Site Scripting: any place that renders user input directly into the page is a target
🔑 Auth Bypass: flawed JWT logic, session fixation, or permission checks built on wrong assumptions
📡 API Overexposure: endpoints returning sensitive fields the frontend never actually needed
🤖 Prompt Injection: if your app passes user input to an AI model, that surface needs its own audit entirely
**🛠️ Tools you actually use**
🔧 Claude (claude.ai or API)
The strongest model available today for code security review. It can read entire files, understand the relationships between functions, and return structured findings with real attack examples. The key advantage is that it explains the vulnerability and suggests the fix in the same response, in context, without you needing to go back and forth.
How to get started:
1️⃣ Open claude.ai or connect the API to your editor or terminal environment
2️⃣ Begin your session with a system prompt that frames this as a security review, not a general coding assist
3️⃣ Paste the code you want reviewed with a brief description of what it is supposed to do
🔧 OWASP ZAP (Zed Attack Proxy)
An open source tool you run directly against your live app to find vulnerabilities dynamically. Where Claude reviews static code, ZAP pokes the running application and watches how it responds. The two approaches are complementary and often surface different issues.
How to get started:
1️⃣ Download it from zaproxy.org and choose the version for your operating system
2️⃣ Run your app locally
3️⃣ In ZAP, choose Automated Scan and enter your local app address
4️⃣ Compare the report it generates against what Claude flagged in the code review
🔧 Burp Suite Community Edition
The industry standard for penetration testing. The free edition handles most foundational tasks well. It sits between your browser and your app as a proxy, giving you full control over requests so you can intercept, modify, and replay them to probe for weaknesses.
How to get started:
1️⃣ Download the free edition from portswigger.net/burp/communitydownload
2️⃣ Configure your browser to route traffic through Burp on port 8080
3️⃣ Browse your app normally and watch requests appear in Burp, where you can intercept and test them
**💡 Try it yourself: step by step**
Take any login function or form submission handler from your project, in any language, and run it through this exact process:
1️⃣ Open a new Claude conversation and start with this prompt verbatim: "You are a security researcher specializing in penetration testing. Your task is to analyze the following code and identify every potential security vulnerability. For each one, give me: the vulnerability name, how an attacker would exploit it step by step, and the severity level."
2️⃣ Paste your code immediately after that prompt with no modification
3️⃣ Once you have the findings, follow up with this exact question: "Assume you are an attacker with one minute on this code. Where do you start?"
4️⃣ You will get a prioritized list with real attack scenarios built around your specific code, not a generic checklist
What to expect: named vulnerabilities with exploitation walkthroughs and fix suggestions. If the code is clean, the model will tell you that too, and that confirmation is valuable information in its own right.
**What to do next**
✅ Take the highest severity finding from the analysis and fix it before you ship any new feature
✅ Read through the OWASP Top 10 and map each category to your specific type of app
✅ Ask yourself what the single most sensitive piece of data in your app is, then start your next review from whatever code touches it
Security is not a step you add at the end. The model already in your terminal is ready to start this conversation with you today, before anyone else starts it without you.