باگ کشف شده توسط هوش مصنوعی که می تواند به یک فاجعه امنیت سایبری تبدیل شود

Yui Mok—PA Images/Getty Images

در اوایل آگوست، Sagi Tzadik از یک عامل هوش مصنوعی خواست که یک نقص امنیتی را که در وردپرس پیدا کرده بود بررسی کند و ببیند آیا می‌توان همان ضعف را در برابر دروپال، یکی دیگر از سیستم‌های مدیریت محتوای محبوب، ایجاد کرد. هشت ساعت بعد، مامور گزارش داد که شکست خورده است. سپس اضافه کرد که در طول تلاش، نقصی در PHP پیدا کرد، زبان برنامه نویسی که هر دو سیستم - و 70٪ از وب - به آن وابسته هستند.

تزادیک، محقق امنیتی در شرکت امنیت سایبری Wiz، فرض کرد که هوش مصنوعی اشتباه کرده است. او به تایم می گوید: «مدل ها تمایل به توهم دارند. اما این اکسپلویت که از ضعفی که بیش از یک دهه کشف نشده بود استفاده کرد، کارساز بود.

بدون اطلاع تیم Wiz، محققان در یک شرکت امنیت سایبری دیگر، Calif - که با OpenAI کار می‌کند - از هوش مصنوعی برای یافتن یک نقص مرتبط استفاده کرده بودند. این نشان می دهد که هنگامی که هوش مصنوعی به یک سطح توانایی خاص رسید، کشف برخی از نقاط ضعف دیرینه مسئله زمان است. شرکت‌های هوش مصنوعی سعی کرده‌اند با دادن دسترسی زودهنگام به مدل‌های جدید هوش مصنوعی قبل از اینکه قابلیت‌های مشابه به کاربران مخرب برسد، مطمئن شوند که مدافعانی از جمله Wiz و Calif ابتدا به آنجا می‌رسند. این بار کار کرد.

این قسمت نگاهی اجمالی به مرحله جدیدی در امنیت سایبری دارد که در آن هوش مصنوعی به مدافعان کمک می‌کند تا آسیب‌پذیری‌ها را پیدا کنند و در عین حال زمان کمتری برای رفع آن‌ها به آنها می‌دهد. در حالی که اعلام این اشکال‌ها هشدار یک «مطالعه سایبری» را برانگیخته است که در آن هوش مصنوعی باگ‌های در حال ذوب جهان را کشف می‌کند و جامعه را در هرج و مرج فرو می‌برد، کسانی که به کشف آن کمک کردند خوشبین هستند. تزادیک می‌گوید: «ما در حال رفع آسیب‌پذیری‌ها با سرعت بی‌سابقه‌ای هستیم، و این در کل امنیت را کار بسیار خوبی می‌کند.

اما جزئیات نشان می دهد که چقدر همه چیز به فاجعه نزدیک شده است. اخبار مربوط به آسیب‌پذیری‌ها دو روز قبل از انتشار برنامه‌ریزی شده این وصله به صورت آنلاین پخش شد و نگه‌دارندگان PHP را بر آن داشت تا آن را یک روز جلوتر ببرند. ساعاتی بعد، در حالی که این وصله هنوز در دسترس نیست، کالیف به اشتباه ویدیویی را منتشر کرد که در آن بهره برداری از آن در حال کار است، و تلاش های کپی برداری چند برابر شد. Cloudflare هزاران نفر را قبل از اعلام عمومی، ده ها هزار نفر در عرض 45 دقیقه بعد از آن، صدها هزار نفر در عرض دو ساعت و در نهایت میلیون ها شمارش کرد.

حتی پس از انتشار این وصله، بسیاری از صفحات وب، از جمله صفحات وب سازمان‌های دولتی و بخش‌هایی از ویکی‌پدیا، برای احتیاط حذف شدند زیرا تیم‌های امنیتی برای نصب به‌روزرسانی تلاش می‌کردند.

تومر شوارتز، یکی از بنیانگذاران و CTO در ویز، می گوید: «اگر یک ماه زودتر، قبل از آماده شدن پچ، لو رفته بود، وضعیت بسیار متفاوتی بود.

این که یک پچ آماده شد، نتیجه یک دوی سرعت سازماندهی شده بود. پس از ارسال گزارش‌های کالیف و ویز به PHP، گروه‌ها با هم متحد شدند. محققان شرکت‌های رقیب یافته‌های خود را در کانال‌های مشترک به اشتراک گذاشتند، بدون اینکه قراردادی بر این ترتیبات حاکم باشد. در طول هفته‌های بعد، گروهی متشکل از تقریبا 15 نفر تقریبا هر روز صحبت می‌کردند تا آسیب‌پذیری‌ها را به منبع مشترک خود ردیابی کنند و راه‌حلی برای آن ابداع کنند. شوارتز می‌گوید این فرآیند «فقط بر اساس اعتماد بود».

این روند باید فشار فزاینده ای را تحمل کند. OpenAI گفته است که باگ‌های PHP در میان «چند آسیب‌پذیری مهمی هستند که قبلا پیدا کرده‌ایم و در حال رفع آن هستیم» و پیش‌بینی کرد که اکتشافات مشابه «در ماه‌های آینده به شدت افزایش خواهند یافت». همانطور که این یافته ها چند برابر می شود، تعداد اسرار خطرناکی که در انتظار رفع هستند نیز افزایش می یابد. شوارتز می‌گوید: «ما باید در تمام فرآیندهایمان، همه روش‌ها، همه پشته‌های فناوری‌مان تجدید نظر کنیم تا بتوانیم سرعت خود را در برابر مهاجمان حفظ کنیم.

اگرچه مدافعان با یک ضربه سر به میدان می‌روند، اما با یک نقطه ضعف دیگر روبرو هستند. مهاجمان فقط یک بار باید موفق شوند. شوارتز می گوید: «اما، به عنوان مدافع، باید مطمئن شویم که هر آسیب پذیری پوشش داده شده است.

هوش مصنوعی به مدافعان کمک می کند تا ابتدا این آسیب پذیری ها را پیدا کنند. پیش از این، آزمایش باگ‌های مشکوک ممکن بود هفته‌ها طول بکشد و محققان را وادار به اولویت‌بندی موارد امیدوارکننده می‌کرد. تزادیک می گوید، اما اکنون عوامل هوش مصنوعی به محققان اجازه می دهند تا بسیاری از ایده ها را به طور همزمان آزمایش کنند. "این ماهها تحقیق سنتی است که به چند روز خلاصه شده است - واقعا چند ساعت به روز."

اما حتی با هوش مصنوعی، این فرآیند کار فشرده است. تزادیک می‌گوید: پس از اینکه عامل به ویز کمک کرد تا آسیب‌پذیری PHP را کشف کند، هنوز نمی‌توانست نحوه عملکرد باگ را توصیف کند. توضیحات آن "فقط شیطنت" بود. او و همکارانش روزها را صرف باز کردن علت یک باگ و در نهایت تولید مجدد آن کردند.

هزینه یک محدودیت دیگر است. جاشوا ساکس، رهبر سابق فناوری امنیت هوش مصنوعی متا، که در ماه فوریه برای مشارکت در تاسیس Abundance Security ترک کرد، می‌گوید که با سازمانی کار می‌کند که تقریبا ۱ میلیون دلار با استفاده از Anthropic’s Mythos برای شناسایی باگ‌ها هزینه کرده است و اضافه می‌کند که باگ‌های بیشتری باقی مانده‌اند.

ساکس می‌گوید: «به‌عنوان یک صنعت، فکر می‌کنم ما در حال حاضر در چراغ‌های جلو هستیم.

در فضایی که امروز در آن هستیم، باید امنیت سایبری را به خوبی انجام دهید. آدام میرز، معاون ضد حریف CrowdStrike، می‌گوید: «این یک گزینه برای نیمه کاره نیست. اما حتی یک سوءاستفاده موفق فرصت‌های بیشتری را برای مداخله مدافعان فراهم می‌کند. او می‌گوید: «اکسپلویت‌ها اتفاق خواهند افتاد و این پایان داستان نیست. او می‌گوید: «این شروع حمله است.»