اگر امروز مدیر یک تیم مهندسی هستید و بخش زیادی از کدبیس شما توسط عاملها نوشته شده، احتمالاً در بازرسیهای امنیتی ماه آینده شکست خواهید خورد. باید بدانید که تا ۲ آگوست ۲۰۲۶، نبودِ مستندات دقیق درباره اینکه «چه خطی را چه کسی یا چه مدلی نوشته»، از یک توصیه فنی به یک ریسک حقوقی تبدیل میشود. این تاریخ سررسیدی است که یک بحران حکمرانی برای تیمهای مهندسی ایجاد میکند که به عاملهای خودگردان متکی هستند.
به نقل از مستندات قانون هوش مصنوعی اتحادیه اروپا (EU AI Act)، بهویژه ماده ۵۰، تمامی محتواهای تولیدشده توسط ماشین باید دارای نشانهگذاریهای قابل خواندن توسط ماشین باشند. اگرچه تمرکز این قانون عمدتاً روی محتواهایی است که با کاربر در ارتباط هستند، مانند چتباتها، رسانههای مصنوعی و جعلهای عمیق (Deepfake)، اما اثر موجی آن اکنون به بازرسیهای خرید و امنیت رسیده است. منطق ساده است: وقتی یک شرکت مجبور شود منشأ متون تبلیغاتی تولیدشده توسط AI را ثابت کند، تیمهای خرید سازمانی دقیقاً همان سؤالات را درباره نرمافزارهایی که میخرند، میپرسند و خواستار شفافیت در مورد منشأ کد میشوند.
تا سال ۲۰۲۴، توسعهدهندگان با هوش مصنوعی مانند یک ابزار تکمیل خودکار ساده برخورد میکردند. در آن زمان، دقیقاً ندانستن اینکه کدام خطوط توسط AI تولید شده، پذیرفتنی بود. اما در سال ۲۰۲۶، واقعیت تغییر کرده است؛ ما با عاملهای هوش مصنوعی (AI Agents) روبهرو هستیم — دستیارهای ویژهای که میتوانند بهتنهایی یک پروژه را برنامهریزی کرده، Pull Request ارسال کنند و کل ماژولها را یکشبه بازسازی (Refactor) کنند. در بسیاری از تیمها، اکنون اکثریت خطوط ادغامشده (Merged lines) توسط هوش مصنوعی تولید میشود. این شکاف میان پذیرش سریع ابزارها و حکمرانی کندِ سازمانی، نبودِ «منشأ کد» را به یک بدهی مالی و قانونی ملموس تبدیل کرده است.
زمینه حقوقی و مقرراتی
قوانین کپیرایت لایهای دیگر از ریسک را اضافه میکند. اداره کپیرایت ایالات متحده (U.S. Copyright Office) بر این باور است که آثار صرفاً تولیدشده توسط هوش مصنوعی، قابل ثبت کپیرایت نیستند. بنابراین، برای محافظت از مالکیت معنوی که توسط انسان خلق شده است، شرکتها اکنون باید بخشهای تولیدشده توسط هوش مصنوعی را در کدبیس خود شناسایی کرده و آنها را از آثار انسانی تفکیک (Disclaim) کنند.
در دنیای امروز، نویسندگی کد یک مسئله طیفی است، نه یک پاسخ بله یا خیر ساده. این طیف از «تایپ تکتک کاراکترها توسط انسان» شروع میشود، به «نوشتن پرامپت توسط انسان و ویرایش خروجی» میرسد و در نهایت به «برنامهریزی و اجرای کامل تغییرات توسط عامل در حالی که انسان در خواب است» ختم میشود. اداره کپیرایت دقیقاً میخواهد بداند هر فایل در کجای این طیف قرار میگیرد. در این راستا، ابزارهای جدیدی مانند Revise تلاش میکنند تا با استفاده از ثبت دقیق تاریخچه تایپ، امکان اثبات انسانیت نویسنده را فراهم کنند تا تفکیک آثار انسانی از ماشینی تسهیل شود.
همزمان، بازبینیهای امنیتی و ارزیابیهای مشتریان سازمانی نیز به این سطح رسیدهاند. بازرسان اکنون مستقیماً درباره استفاده از AI در کدبیسها سؤال میکنند. پاسخهایی مانند «حدس میزنیم حدود ۶۰٪ کد با AI نوشته شده» در یک بازرسی رسمی دوام نمیآورند. تیمهایی که پاسخهای دادهمحور و مستند ارائه میدهند، قراردادهای سازمانی را بسیار سریعتر از تیمهایی که با «حس و حدس» پاسخ میدهند، نهایی میکنند.
چارچوب منشأ (Provenance Framework)
یک تاریخچه استاندارد در Git (git log) دیگر کافی نیست؛ زیرا کامیت توسط یک کاربر خاص تنها ثبت میکند که چه کسی دستور git commit را اجرا کرده است، نه اینکه چه کسی عملیات استدلال و تفکر را انجام داده است. بر اساس گزارشی از jonattan.in، یک سابقه منشأ قدرتمند باید برای هر تغییر به چهار سؤال مشخص پاسخ دهد:
- منشأ (Origin): آیا تغییر توسط انسان تایپ شده، توسط AI پیشنهاد شده، توسط AI نوشته شده و توسط انسان بازبینی شده، یا کاملاً خودکار بوده است؟
- ابزار (Instrument): دقیقاً کدام ابزار و مدل آن را تولید کرده است (مثلاً Claude Code، Cursor، Codex یا یک عامل داخلی) و تحت چه نسخهای؟
- قصد (Intent): چه پرامپت یا شرح وظیفه مشخصی باعث این تغییر شده است؟ یک Diff (تفاوت کد) بدون پرامپت مربوطه، مانند اثری بدون علت است.
- نظارت (Oversight): کدام انسان کد را بازبینی کرده و این بازبینی تا چه حد جامع و اساسی بوده است؟
این موضوع در واقع یک مسئله مهندسی زمینه (Context Engineering) است. پرامپت، فایلهایی که عامل خوانده است و دستورالعملهایی که دنبال کرده، در واقع توضیح واقعی کد هستند. منشأ در واقع همان مهندسی زمینه است که به سمت عقب در زمان هدایت شده است.
استراتژیهای عملی برای پیادهسازی
رهبران مهندسی میتوانند بدون خرید پلتفرمهای گرانقیمت سازمانی، از وضعیت «بیخبری» به «آماده برای بازرسی» حرکت کنند. پشته فنی لایهبندی شده زیر یک مسیر عملی ارائه میدهد:
تریلرهای کامیت (Commit Trailers): تیمها باید از حذف تگهای
Co-Authored-Byدست بردارند. برای مثال، Claude Code این تگها را بهصورت پیشفرض اضافه میکند. استانداردسازی اینها به تریلرهای قابل خواندن توسط ماشین (مثلاًAI-Origin: agent-authored, human-reviewedوAI-Tool: claude-code/2.x (claude-fable-5)) اجازه میدهد تا بهراحتی از طریق دستورgit log --format='%(trailers)'فیلتر شوند. یک سند توافق یکصفحهای و یک بررسی CI (Lint) که کامیتهای بدون برچسب را رد میکند، ۸۰٪ ارزش این سیستم را با هزینه صفر فراهم میکند.بایگانی جلسات (Session Archiving): هر عامل کدنویسی یک تاریخچه از جلسه (Session Transcript) تولید میکند که شامل پرامپتها، فایلهای خوانده شده و دستورات اجرا شده است. به جای اجازه دادن به تبخیر این اطلاعات در لپتاپهای محلی، تیمها باید آنها را بایگانی کنند. استفاده از یک Bucket ساده S3 که با SHA کامیت کلیدگذاری شده است، یک حدس را به یک رکورد قابل تأیید از گفتگوهای دقیق تولیدکننده کد تبدیل میکند. این امر به ویژه برای مقابله با چالشهایی است که در آن ابزارهای خودکار قادر به پاکسازی دستورات قدیمی و متناقض عاملها نیستند و باعث ایجاد سردرگمی در تاریخچه کد میشوند.
اتصال خودکار (Automated Linking): ابزارهای جدیدی مانند brain0 (که همین ماه عرضه شد) بهطور غیرفعال جلسات را از Claude Code و Codex جذب میکنند. این ابزارها یک گراف تصمیم میسازند که هر کامیت را به پرامپتهای عامل پشت آن متصل میکند. این ابزارها بهصورت پیشفرض آفلاین عمل کرده و گواهیهای منشأ امضا شده ارائه میدهند و تنها به Node 20 نیاز دارند و هیچ خروجی دادهای (Egress) ندارند. الگوی کلیدی، ثبت پیوند پرامپت-به-کامیت در لحظه وقوع است، زیرا این پیوند بعداً قابل بازسازی نیست.
بهروزرسانی قالب PR: یک فیلد اجباری به قالبهای Pull Request اضافه کنید: «میزان دخالت AI (هیچ / دستیار / عاملمحور)» و نام انسان بازبین. از آنجایی که بازبین در لحظه بررسی پاسخ را میداند، ثبت آن تنها ۱۰ ثانیه زمان میبرد، در حالی که بازیابی این اطلاعات ۱۸ ماه بعد، هزینه یک پروژه کامل جرمشناسی (Forensic) را خواهد داشت.
چرا آشکارسازها شکست میخورند؟
بسیاری از تیمها سعی میکنند از آشکارسازهای کد AI به عنوان یک میانبر استفاده کنند. اما پژوهشها روشن میکنند که انتساب نویسندگی روی طیفی قرار دارد که یک آشکارساز نمیتواند آن را بازیابی کند. خروجیهای AI که بهشدت ویرایش شدهاند و کدهای اصیل انسانی بهسرعت به هم شبیه میشوند. تشخیص (Detection) یک حدس احتمالی است، در حالی که منشأ (Provenance) که در زمان نوشتن ثبت شده، یک سند است. بازرسان «سند» را میپذیرند، نه «حدس».
انگیزه استراتژیک
این تغییر صرفاً یک «نمایش اداری» یا رعایت تشریفات نیست. وقتی کدهای نوشته شده توسط AI بهطور صریح برچسب میخورند، تلاشهای بازبینی میتواند دقیقاً در جایی متمرکز شود که بیشترین ریسکها قرار دارند. علاوه بر این، عیبیابی یک خرابی با بازگشت به استدلال اولیه عامل شروع میشود، نه با حفاریهای باستانشناسانه در میان خطوط کد.
این دقیقاً همان نقطه عطفی است که دنیای عملیات (Ops) زمانی تجربه کرد که عاملها مسئولیت پیجرها (Pager) را پذیرفتند: خودمختاری بدون ردپای حسابرسی (Audit Trail)، یک وام با بهره سنگین علیه آینده است. هر موج قبلی از حکمرانی — از کنترل نسخه (Version Control)، بازبینی کد و CI تا SBOMها — تا زمانی که به استانداردهای ضروری تبدیل شوند، شبیه به کارهای اداری اضافی به نظر میرسیدند.
تیمهایی که قراردادهای سازمانی را میبرند، کسانی نخواهند بود که بیشترین کد را تایپ کردهاند، بلکه کسانی هستند که مستند کردهاند چه کسی (یا چه چیزی) آن را نوشته است. چشم خود را به «کد رویه» (Code of Practice) در مورد امضاهای شفافیت که همین ماه منتشر میشود باز بدارید تا ببینید رهبران صنعت چگونه این نشانهگذاریها را پیش از ضربالاجل ۲ آگوست استاندارد میکنند.
گام بعدی شما
- بررسی کنید آیا ابزارهای جاری شما (مانند Cursor یا Claude Code) تگهای منشأ را در کامیتها درج میکنند یا خیر.
- یک فیلد «میزان دخالت AI» را به قالب Pull Request تیم خود اضافه کنید.
- مستندات مربوط به «امضاهای شفافیت» (Transparency Signatures) را که این ماه منتشر میشود رصد کنید تا own با استانداردهای جهانی همگام شوید.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما درباره تراشههای Blackwell مراجعه کنید.
گفتگو