أطلقت Vercel تحديثين أمنيين خلال أسبوع واحد، يشمل الأول ربط جلسات الدخول بالأجهزة لتقليص مخاطر سرقة ملفات تعريف الارتباط، ويتضمن الثاني إطلاق نسخة تجريبية عامة لأداة فحص برمجي تعتمد على الذكاء الاصطناعي لمراجعة أكواد المطورين عبر مستودعات GitHub.
ترتكز الخطوة الأولى على تقنية Device Bound Session Credentials (DBSC)، ويوضح Malte Ubl، المدير التقني في منصة Vercel، أن طرح التقنية يجري تدريجياً نظراً لحداثتها ووجود حالات استخدام دقيقة مثل تطبيقات OAuth. ويقتصر دعم التقنية حالياً على متصفحات Chrome ضمن أنظمة macOS وWindows، بينما تطور الشركة بديلاً متوافقاً مع المتصفحات الأخرى، إلى جانب تقنية مشابهة تعرف باسم DPoP مخصصة لواجهة سطر الأوامر Vercel CLI.
وتشير وثائق متصفح Chrome إلى توليد زوج من المفاتيح عند تسجيل الدخول، مع حفظ المفتاح الخاص داخل مكونات عتادية آمنة مثل وحدات TPM عند توفرها. تعتمد الجلسة على ملفات تعريف ارتباط قصيرة الأجل، وفور انتهاء صلاحية أحدها، يطالب المتصفح بإثبات امتلاكه للمفتاح الخاص قبل إصدار ملف بديل، وتمنع هذه الآلية استخدام ملفات مسروقة لتجديد الجلسات من أجهزة خارجية. وفي حال غياب وسائط التخزين الآمنة، تعمل التقنية وفق المسار التقليدي دون تعطيل الدخول، مع إشارة الوثائق إلى قدرة البرمجيات الخبيثة النشطة لحظة تسجيل الجلسة على استخراج المفتاح الخاص.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
يتمثل التحديث الثاني، المعلن عبر مدونة Vercel في 2 نوفمبر 2026، في إطلاق أداة Vercel Security Review بنسخة تجريبية عامة لفرق Pro وEnterprise. تمثل الأداة قدرة إضافية لمهام Vercel Agent إلى جانب مراجعة الأكواد والتحقيق، وتبدأ عملها تلقائياً بعد تفعيلها لفحص الشفرة البرمجية عند كل عملية دفع باتجاه مستودعات GitHub المرتبطة، سواء تمت عبر طلبات الدمج أو الدفع المباشر.
تعتمد آلية الفحص على مقارنة الدفعة بنسخة أساسية سابقة، مقتصرة على الأكواد المعدلة فقط، وتتخذ الأداة عمليات النشر السابقة للفرع كأساس للمقارنة، وتؤكد Vercel أن هذا الأسلوب ينهي عملية الفحص في غضون ثوانٍ. تتتبع الأداة مسارات الوصول إلى الكود المتغير وتتحقق من الحمايات القائمة مع إعادة تقييم أي نتيجة قبل الإبلاغ عنها، وتوضح الشركة دور ذلك في كشف الأخطاء المنطقية، كغياب ضوابط الصلاحيات، التي تتجاوزها أدوات الفحص المعتمدة على مطابقة الأنماط.
تعرض النتائج ضمن لوحة الثغرات في منصة Vercel، وتُدرج كتعليقات على طلبات الدمج في المستودعات الداخلية والخاصة. وتكتفي الأداة بنشر تقرير عام يحدد الأجزاء المراجعة دون تفصيل الثغرات في المستودعات العامة لمنع الظهور العلني للثغرة قبل معالجتها. ويتاح للمطورين سحب تفاصيل النتائج عبر الأمر البرمجي vercel security vulnerabilities ليتولى وكيل البرمجة الخاص بهم مهمة الإصلاح.
من جانبها، تتيح لوحة التحكم خيار Fix with Vercel Agent للثغرات القابلة للمعالجة، حيث يتحقق الوكيل من استمرارية الثغرة وينفذ إصلاحاً مبسطاً مع تحديث الاختبارات. وتؤكد منصة Vercel تطويرها المستمر لتقديم مقترحات إصلاح فورية يمكن تطبيقها مباشرة من طلب الدمج، وهي ميزة قيد التجهيز حالياً.
تستمر إتاحة الفحوصات مجاناً حتى 10 نوفمبر 2026، لتخضع بعدها لنموذج تسعير Vercel Agent المعتمد على تكلفة الرموز من مزود النموذج مضافاً إليها 0.25 دولار لكل مليون رمز. وتشدد وثائق الشركة على أن الأداة تحلل الكود المصدري وليس التطبيق أثناء التشغيل، ولا تمثل تدقيقاً أمنياً متكاملاً أو اختبار اختراق، ولا تضمن خلو التطبيقات من الثغرات بشكل نهائي.
