أدوات الـ Vibe Coding رائعة، بس أحد يشرح لك وش يصير ورا الكواليس؟
أدوات الـ coding agents اللي تكتب لك الكود وتبني لك تطبيق كامل من وصف بسيط شي مذهل بصراحة، وأنا من أكثر الناس اللي يستخدمونها ومقتنع فيها. صار اللي ما يعرف برمجة يبني صفحة أو أداة في ساعة، وهذا شي حلو ولازم نشجعه. لكن المشكلة إن الأداة تبني لك التطبيق وتخفي عنك كيف يشتغل في الواقع، وناس كثير تستخدم النتيجة وهي ما تدري وش الخطر فيها.
وش يعني localhost؟
خلني أشرح لك مثال شائع. الـ agent يبني لك صفحة أو تطبيق ويشغله على جهازك، ويعطيك عنوان اسمه localhost — ومعناه حرفيًا: جهازك نفسه.
- لو فتحته أنت: تشوف الصفحة.
- لو صديقك كتب نفس العنوان: يفتح جهازه هو، مو جهازك.
عشان كذا ما أحد غيرك يشوف اللي بنيته. وتخيل الجهاز عمارة، والـ port هو رقم الشقة اللي يشتغل فيها البرنامج.
كيف تورّي أحد الصفحة؟ الـ tunnel
طيب، تبي تورّي أحد الصفحة. هنا تدخل أدوات الـ tunnel. أشهرها الحين Cloudflare Quick Tunnel: أمر واحد، بدون حساب، ويعطيك رابط عام.
الفكرة إن جهازك ما يفتح باب لأحد، بل هو اللي يتصل للخارج بشركة وسيطة ويخلي الخط مفتوح:
- جهازك يتصل لـ Cloudflare ويترك الخط مفتوحًا.
- الشركة تعطيك رابطًا عامًا.
- أي أحد يفتح الرابط يروح لها، وهي تمرر الطلب من الخط اللي فتحته أنت لين يوصل لتطبيقك.
مثل مكتب استقبال: الزوار يكلمون الاستقبال، والاستقبال يوصلهم لك.
الأداة موجودة من 2021، لكنها رجعت للواجهة في سبتمبر 2026 لما Cloudflare سوّت لها صفحة تعريف جديدة، وصارت أدوات الـ agents تستخدمها لمشاركة اللي تسويه.
وين الخطر؟ (مو في الـ tunnel نفسه)
وهنا الخطر — وهو مو في الـ tunnel نفسه.
الـ tunnel ما يفتح جهازك كله؛ يكشف بس التطبيق اللي وجهته له. لكن هالتطبيق صار قدام الإنترنت كله، وهو ما انبنى لكذا.
الـ agent غالبًا يعتبر إن جهازك بيئة آمنة، فما يحط تسجيل دخول ولا حماية، لأن الكود مكتوب على فكرة إن اللي يستخدمه أنت وبس. وأي أحد عنده الرابط — وحتى لو ما شاركته أنت — يقدر يجرب عليه.
وفيه نقطة أدق: التطبيق ما يقدر يفرق بين الزائر الغريب وبينك، لأن كل الطلبات توصله عن طريق جهازك نفسه. فأي كود يقول «الطلبات اللي من نفس الجهاز موثوقة» يصير يثق بالإنترنت كله.
لو انكسر التطبيق، وش اللي يصير؟
لو سمعت عن هروب الحاويات (container escape) في Docker فالفكرة قريبة، لكن هنا أسوأ:
| Docker | تطبيق على جهازك مباشرة | |
|---|---|---|
| العزل | فيه جدار عزل (الحاوية) | ما فيه جدار أصلاً |
| ماذا يحتاج المهاجم؟ | يكسر العزل عشان يوصل للجهاز | يدخل التطبيق ويشتغل بصلاحياتك أنت |
| ماذا يصل إليه؟ | بعد كسر العزل فقط | ملفاتك، مفاتيح SSH، كلمات السر، حسابات الكلاود، وشبكة بيتك |
وأخطر منها أدوات الـ agents نفسها: كثير منها يقدر يشغّل أوامر ويقرأ ملفات. فلو انكشفت لغيرك، ما يشوف صفحة بس — يستعمل صلاحياتها.
خلني أكون دقيق
هذا مو تلقائي. لازم تجتمع شروط:
- الـ tunnel شغال
- في التطبيق ثغرة أو وظيفة خطيرة بدون حماية
- للتطبيق صلاحيات حقيقية على الجهاز
وموقع ثابت يعرض ملفات بس أقل خطرًا بكثير من تطبيق ديناميكي له backend.
وأنا ما وجدت حالات موثقة لهالسلسلة بالذات من تطبيقات بناها agent — فأنا أتكلم عن خطر ناتج من طريقة التصميم، مو عن موجة هجمات شفتها.
ليش السيرفر الحقيقي مختلف؟
لأنه مبني من الأساس عشان يستقبل الناس:
- جدار ناري يقفل كل شي إلا اللي لازم
- شهادة HTTPS
- تسجيل دخول للأجزاء الحساسة
- تحديثات أمنية
- سجلات (logs) تنراقب
- معزول عن ملفات أي شخص
جهازك فيه بريدك وصورك وكلمات السر — وما هو مصمم يستقبل الغرباء.
وش أسوي عمليًا؟
- شغّل الـ agent وتطبيقه داخل حاوية (container) أو جهاز افتراضي معزول — عشان لو انكسر التطبيق ما يوصل المهاجم لباقي جهازك.
- حط كلمة سر أو تسجيل دخول قدام الـ tunnel.
- لو تبي بس تعرض صفحة: اعرضها كملفات ثابتة بدل تطبيق كامل.
- خلّ الـ tunnel مفتوح أقصر وقت ممكن، وسكّره أول ما تخلص.
- لا تخلي الـ agent يفتح tunnel بدون ما يسألك.
- إذا تبي شي يدوم: استضفه على منصة استضافة حقيقية — لا تخلي جهازك هو السيرفر.
المصدر
- Flavio Copes، The complete guide to Cloudflare Quick Tunnels، 23 سبتمبر 2026
- وثائق Cloudflare — TryCloudflare / Quick Tunnels