اینترنت ایمن در حال کاهش است

این هفته می تواند به عنوان بدترین هفته در تاریخ امنیت سایبری ثبت شود. روز چهارشنبه، اخباری درباره دو آسیب‌پذیری بزرگ در PHP منتشر شد، زبان برنامه‌نویسی که ۷۰ درصد وب‌سایت‌ها از آن استفاده می‌کنند، که دولت‌ها، بیمارستان‌ها و شرکت‌های سراسر جهان را بر آن داشت تا برای احتیاط، خدمات دیجیتال را آفلاین کنند. تاکنون میلیون ها تلاش برای بهره برداری از این نقاط ضعف صورت گرفته است.

اما آسیب‌پذیری‌های PHP تنها در یک سری افشاگری‌های نگران‌کننده، بیشترین توجه را به خود جلب کردند. نقص‌های امنیتی یا هک‌های موفقیت‌آمیز چندین محصول و پلتفرم نرم‌افزاری بزرگ - از جمله برخی از آنها که توسط Netflix، PayPal، Walmart و دیگر نام‌های بزرگ استفاده می‌شوند، در همان روز اعلام شد. دیروز، Quest Diagnostics، که هر سال آزمایش‌های آزمایشگاهی را برای یک سوم بزرگسالان آمریکایی انجام می‌دهد، فاش کرد که آن نیز نقض شده است.

وقتی از سام روبین، معاون ارشد شرکت امنیت سایبری Palo Alto Networks، در مورد پیامدهای احتمالی هک دیگری - این یکی از پلتفرم ابری Railway که توسط Intuit و MGM Resorts استفاده می‌شود - پرسیدم، او مکث کرد. روبین گفت: «من آن یکی را ندیدم. "این یک هفته کاملا شلوغ بود."

بخوانید: ["اگر برای این مرد اتفاقی بیفتد ... همه خراب شده اند"]

با این حال، چیزی که در چند روز گذشته بسیار نگران کننده است این است که تا سال آینده، این گستره از حوادث - که برخی از کارشناسان امنیتی آن را "اکتبر سیاه" می نامند - ممکن است به عنوان عادی یا حتی رام به یاد بیاورند. متیو پرینس، مدیر عامل زیرساخت اینترنتی و شرکت امنیتی Cloudflare، به من گفت: «این احساس می‌شود که بارها و بارها، ما باگ‌های بیشتری را در بخش‌های بسیار مهم نرم‌افزار پیدا می‌کنیم.»

"این داستان، که در حال حاضر منحصر به فرد و تازه به نظر می رسد - چند ماه دیگر، احساس می شود که ما هر هفته یکی از اینها را دریافت می کنیم." پرینس گفت که از آسیب پذیری های بیشتری می داند که در آینده نزدیک اعلام خواهند شد.

برای یک یا دو سال آینده، اگر نه بیشتر، اینترنت کمی لمس می‌شود و از بین می‌رود و خطرناک‌تر از آن چیزی است که ما انتظارش را داشتیم. پرینس گفت: "برای مدتی احساس می شود که آسمان در حال سقوط است". چندین دهه از اشکالات پشت سر هم در نرم افزار وجود دارد که بدون بررسی یا بررسی دقیق نوشته شده اند - که تا زمانی که تعداد بسیار کمی از هکرهای ماهر وجود داشته باشند، کم و بیش خوب بود.

در طول دو دهه گذشته، شرکت‌ها، دولت‌ها و افراد دچار احساس امنیت کاذب شده‌اند: بیشتر مردم دو بار به وارد کردن شماره کارت اعتباری در وب‌سایت یک رستوران محلی یا فروشگاه هدیه یا جست‌وجو کردن آدرس خانه و شماره تلفن در تقریبا هر نظرسنجی مشتری فکر نمی‌کنند. اما اینترنت همیشه مکان خطرناکی بود. ما تازه از یک خلسه بیدار می شویم.

عوامل هوش مصنوعی اکنون می توانند به عنوان یک ارتش هکر ارزان و تقریبا نامحدود مستقر شوند. Rubin گفت که در چند ماه گذشته، مدل‌های منبع باز - که می‌توانند به صورت رایگان دانلود شوند و بدون محدودیت استفاده شوند - در یافتن آسیب‌پذیری‌ها و خودکارسازی حملات بسیار خوب شده‌اند. به نوبه خود، میزان فعالیت های مخرب سایبری افزایش یافته است. وب سایت های بیشتری خراب می شوند، اطلاعات شخصی بیشتری به سرقت می روند و باج افزارها تکثیر می شوند.

روبین به من گفت که اینترنت در حال ورود به "دره درد" است. وقتی برای آدام مایرز، معاون ارشد شرکت امنیت سایبری CrowdStrike، این نگرانی را مطرح کردم که "فکر می‌کنم در واقع خیلی بدتر شود."

به عنوان مثال، مجموعه دیگری از آسیب‌پذیری‌ها را در نظر بگیرید که این هفته برای برنامه Node.js فاش شد. این نرم افزار که کد جاوا اسکریپت را برای صفحات وب پویا اجرا می کند، به طور گسترده توسط شرکت های Fortune 500 و همچنین در برنامه های توسعه یافته با هوش مصنوعی استفاده می شود. میرز گفت: "اینها چیزهایی هستند که وب روی آنها اجرا می شود."

به گفته روبین، به دلیل نحوه استفاده از این پلتفرم، به خطر انداختن تنها یک محصول نرم افزاری که از Node.js استفاده می کند، می تواند ده ها هزار سازمان دیگر را تحت تأثیر قرار دهد که به عنوان "حمله زنجیره تامین" شناخته می شود. و آستانه مهارت برای راه اندازی حملات سایبری تقریبا به طرز عجیبی پایین آمده است: CrowdStrike در اواخر ماه گذشته سیل حملات سایبری به بانک های کره جنوبی را به یک جوان 26 ساله در چین گره زد. میرز به من گفت: «بعد از اینکه به همه داده‌ها دسترسی پیدا کرد، برگشت و از هوش مصنوعی پرسید: «چگونه می‌توانم از این درآمد کسب کنم؟ کجا می‌توانم آن را بفروشم؟»

او «نمی‌دانست دارد چه می‌کند». مایرز گفت که CrowdStrike هر دو ساعت یک بار یک "یک دشمن عامل جدید" - یعنی یک عملیات هک مبتنی بر هوش مصنوعی - را شناسایی می کند.

پیمایش این امر مستلزم هماهنگی سریع و فوق العاده از هر بخش است. به عنوان مثال، آسیب‌پذیری‌های PHP ماه‌ها پیش توسط کنسرسیومی از هوش مصنوعی و شرکت‌های امنیت سایبری کشف شد. پرینس گفت: «بسیار بی سر و صدا، طی چند ماه گذشته، ما و سایر شرکای صنعتی تلاش کردیم تا به طور موثر محافظت‌هایی را ایجاد کنیم.

اما "همه از CloudFlare استفاده نمی کنند، و همه به سرعت نرم افزار خود را اصلاح نمی کنند." برخی از کارشناسان امنیت سایبری که من با آنها صحبت کرده ام، درباره هوش مصنوعی خوشبین هستند: در نهایت، آنها می گویند که از هوش مصنوعی برای یافتن و رفع بسیاری از نقص های اصلی امنیت سایبری استفاده می شود و در کل اینترنت بسیار ایمن تر می شود. اما قبل از آن، ممکن است در یک برزخ وحشتناک گیر کرده باشیم.

الکس استاموس، افسر ارشد امنیت اطلاعات در شرکت هوش مصنوعی Cognition و یک افسر ارشد امنیتی سابق فیس بوک، به من گفت: «این تا زمانی که برای بازنویسی و ایمن سازی میلیاردها خط کد که همیشه این آسیب پذیری ها را داشته اند، طول بکشد.

و حتی در حالی که کارشناسان امنیت سایبری عجله دارند تا از هوش مصنوعی برای صرفه جویی در اینترنت استفاده کنند، این فناوری مشکلات جدید زیادی را ایجاد می کند. برای شروع، همه برنامه‌های کدگذاری شده با vibe احتمالا دارای نقص‌های امنیتی هستند. و در زمانی که مردم باید مراقب بهداشت دیجیتال خود باشند، چندین متخصص امنیت سایبری پذیرش گسترده دستیاران هوش مصنوعی را با بیش از یک اشاره تمسخر مطرح کردند. همانطور که روبین می گوید: "همتایان ما از Muse استفاده می کنند و به آن کارت اعتباری می دهند تا از کارت اعتباری شما استفاده کند."

اینترنت در حال تبدیل شدن به یک مکان وحشی‌تر است و مسیر برای ایمن کردن آن ممکن است در اصل به نوعی هرس نیاز داشته باشد. دن گویدو، مدیر عامل شرکت امنیت سایبری Trail of Bits به من گفت: «به احتمال زیاد شرکت‌های بیشتری را می‌بینید که سرویس‌های اینترنت را در زمانی که نیازی به حضور ندارند، از بین می‌برند» و ارزش صفحات وب و فرم‌های قدیمی را کاهش می‌دهند تا نتوان آنها را هدف قرار داد.

او اضافه کرد که ممکن است افراد تشویق شوند تا افزونه های مرورگر استفاده نشده را حذف کنند تا «نرم افزارهای کمتری وجود داشته باشد که بتواند به داده های شما دسترسی داشته باشد». استاموس گفت: مردم به طور کلی باید «به شرکت‌هایی که با آن‌ها کار می‌کنند حساس‌تر باشند» و «شما نمی‌توانید هر سایتی را که استفاده می‌کنید امن فرض کنید». آن وب‌سایت کارت تجاری پوکمون، پلت‌فرم فانتزی-ورزشی یا انجمن پرندگانی که استفاده می‌کنید ممکن است برای رمز عبوری که در جاهای دیگر دوباره استفاده کرده‌اید، یا شماره کارت اعتباری یا بدتر از آن هک شود. توصیه دیگری که شنیدم: به جای جیمیل، سرویس گیرنده ایمیل خود را میزبانی نکنید.

به جای استفاده از ابر، سیستم فایل خود را در خانه میزبانی نکنید. گوگل و دراپ باکس منابعی برای دفاع در برابر هجوم هک های هوش مصنوعی دارند، اما شما ندارید.

اگر در نهایت، همه آسیب‌پذیری‌های امنیت سایبری را پیدا کنیم و آن‌ها را تقویت کنیم، نتیجه می‌تواند یک وب بازتر باشد، جایی که هر کسی می‌تواند از ابزارهای هوش مصنوعی در دسترس برای انجام بررسی‌های امنیتی در هر زمان استفاده کند و شما احساس امنیت بیشتری برای به اشتراک‌گذاری اطلاعات شخصی خود خواهید داشت. اما امکان دیگر اینترنت متمرکزتر است که در آن تنها خدمات و وب سایت های توسعه یافته توسط ارائه دهندگان نرم افزار بزرگ قابل اعتماد و قابل اعتماد تلقی می شوند. اینترنت برای دفاع در برابر حملات مبتنی بر هوش مصنوعی به دیوارهای جدیدی نیاز دارد. اما به نوبه خود، ما نیز ممکن است احساس کنیم که در داخل دیوار هستیم.