هوش مصنوعی ما را مجبور به پرداخت 40 سال بدهی فنی می کند

هوش مصنوعی ما را مجبور به پرداخت 40 سال بدهی فنی می کند

دینا جنکینا ویرایشگر محاسبات و سخت افزار در IEEE Spectrum است

در اواخر اکتبر، تعدادی از مسائل مهم امنیت سایبری آشکار شد. اما هیچ‌کدام بزرگ‌تر از آسیب‌پذیری PHP2Shell نبودند، که تعداد زیادی از وب‌سایت‌ها، از جمله وب‌سایت‌های ناسا، ویکی‌پدیا، کاخ سفید، و همه سایت‌های دیگری که بر روی وردپرس یا دروپال (در میان دیگران) اجرا می‌شوند را در معرض خطر سوءاستفاده‌هایی قرار می‌دهد که هم قادر به خواندن داده‌های حساس و هم اجرای کدهای مخرب سرور میزبان هستند.

تا آنجا که همه می‌دانند، از فاجعه جلوگیری شده است: هک توسط محققان امنیت سایبری کشف شد که آن را به بنیاد PHP گزارش کردند، و قبل از اینکه هر بازیگر بدی دست خود را به سوء استفاده کند، یک پچ منتشر شد. با این حال، PHP2Shell ممکن است قناری در معدن زغال‌سنگ باشد و به عنوان یک علامت هشدار برای آنچه در عصر هوش مصنوعی خواهد آمد، عمل می‌کند.

Matt Suiche، سرپرست تحقیقات امنیت هوش مصنوعی در استارتاپ امنیت سایبری Tolmo، می‌گوید: «یکی از چیزهایی که اکنون شاهد آن هستیم این است که تمام نرم‌افزارهای قدیمی که در 40 سال گذشته توسط انسان‌ها نوشته شده است در معرض افشای قرار گرفته است. اکنون زمان پرداخت بدهی فنی فرا رسیده است.»

PHP که در ابتدا مخفف "صفحه اصلی شخصی" بود، یک زبان برنامه نویسی است که در سال 1994 ایجاد شد و تا حد زیادی توسط سایت های قدیمی استفاده می شد. باگ زیربنای آسیب‌پذیری PHP2Shell در سال 2024 به بنیاد PHP گزارش شد. این اشکال باعث ایجاد یک نوع مشکل رایج به نام خطای خارج از حافظه می‌شود که در آن مقدار حافظه اختصاص داده شده به یک قطعه داده برای نگهداری داده‌ها بسیار کم است. به طور معمول، این نوع خطا باعث از کار افتادن برنامه می شود - نتیجه ای ناخوشایند اما ذاتا خطرناک نیست. و به این ترتیب اشکال بدون رسیدگی باقی ماند.

سومان جانا، دانشیار علوم کامپیوتر در دانشگاه کلمبیا، می‌گوید: «اگر در هر نقطه‌ای از زمان به هر یک نگاه کنید، تعداد زیادی گزارش باگ وجود خواهد داشت که در انتظار رفع شدن هستند، که فقط خرابی هستند. اکثر مردم آن‌ها را خیلی جدی نمی‌گیرند.»

"فقط این است که بسیاری از استدلال های بسیار خاص است که انجام آنها دردناک است. و فکر می کنم هوش مصنوعی در این زمینه کار بسیار خوبی انجام داده است." -سومان جانا، دانشگاه کلمبیا

در اوایل سال جاری، شرکت امنیت سایبری Calif پیشنهاد داد به طور مستقل PHP را با حمایت OpenAI ممیزی کند. طی دو هفته، یک محقق در کالیفرنیا با کمک ابزارهای هوش مصنوعی راهی برای استفاده از باگ خارج از حافظه برای اجرای کد دلخواه بر روی سرور میزبان پیدا کرد که به یک عامل مخرب اجازه می‌دهد بدافزار نصب کند یا داده‌های حیاتی را بخواند. اکنون، دیگر یک باگ جزئی نبود، بلکه یک آسیب‌پذیری حیاتی بود و تیم کالیفرنیا به بنیاد PHP هشدار داد که فورا روی یک پچ کار کند.

جانا می‌گوید در واقع بهره‌برداری از باگ مستلزم یافتن دقیق راهی برای پرش به نقطه خاصی از حافظه برای برنامه خاصی است که روی سرور اجرا می‌شود، و دقیقا مشخص می‌شود که کدام بیت‌ها به چه ترتیبی بازنویسی شوند تا کنترل سیستم را به دست آورند. او می گوید: «این واقعا علم موشکی نیست. "فقط این است که بسیاری از استدلال های بسیار خاص است که انجام آنها دردناک است. و فکر می کنم هوش مصنوعی در این زمینه کار بسیار خوبی انجام داده است."

برای روشن بودن، محققان کالیف (و همچنین OpenAI و Wiz، یک شرکت امنیت سایبری که آسیب‌پذیری‌ها را تأیید و گسترش داد) دانش عمیقی هم در مورد امنیت سایبری و هم از زبان PHP داشتند. جانا می‌گوید: «من ادعا نمی‌کنم که هوش مصنوعی می‌تواند همه این کارها را به تنهایی انجام دهد. واضح است که نمی‌تواند. اما در حال بهبود بسیار است، بنابراین 0.1 درصد برتر [متخصصان] می توانند کارهای بسیار بیشتری را انجام دهند، و همچنین درست زیر 0.1 درصد اکنون می توانند بدون درک تمام جزئیات دقیق به آنجا بروند.»

پس از افشای این اکسپلویت ها به بنیاد PHP، تیمی متشکل از چهار مهندس دو ماه را صرف توسعه یک پچ کردند تا در سریع ترین زمان ممکن منتشر شود.

جانا می‌گوید: «یک عدم تقارن اساسی در یافتن باگ‌ها و رفع اشکال‌ها وجود دارد. زیرا هنگام رفع اشکالات باید مطمئن شوید که می‌دانید تمام قسمت‌های آن حمله بسته است و همچنین هیچ عملکرد موجود را خراب نمی‌کنید.»

این عدم تقارن فشار زیادی را به مدافعان وارد می کند، به خصوص برای نرم افزارهای منبع باز مانند PHP. حفظ پروژه های منبع باز که علیرغم استفاده گسترده از جریان درآمد مشخصی ندارند، یک چالش طولانی مدت است که مقدم بر ابزارهای هک هوش مصنوعی است. اما این ابزارها موضوع را بیش از هر زمان دیگری مبرم می کنند.

یکی از راه‌های جلوتر ماندن از چنین مسائلی در آینده، توانمندسازی مدافعان با پول بیشتر و دسترسی به مدل‌های هوش مصنوعی امنیت سایبری مرزی است. جانا می‌گوید: «این آزمایشگاه‌های مرزی برخی از بودجه‌های نمادین خود را برای بررسی این اشکالات اهدا می‌کنند، که به نظر من عالی است. من فکر می کنم که این باید بیشتر اتفاق بیفتد، یا از طریق برخی تلاش های هماهنگ یا از طریق کمک های مالی.

جانا همچنین خوشبین است که ابزارهای تأیید رسمی برای خودکارسازی سمت وصله معادله نیز به سرعت در حال پیشرفت هستند، از جمله نسخه جدیدی از Anthropic در 22 اکتبر. جانا می‌گوید: «پچ توسط LLM تولید می‌شود، و سپس یک LLM اثبات درستی وصله را ایجاد می‌کند. "تنها کاری که توسط یک LLM انجام نمی شود، بررسی کننده اثبات است، زیرا کسی باید اثبات را بررسی کند، زیرا LLM ها توهم دارند. بنابراین، شما چیزی می خواهید که رسمی باشد."

امیدواریم که ترکیبی از مدل‌های تخصصی هوش مصنوعی و ابزارهای تأیید رسمی، وصله آسیب‌پذیری‌ها را تقریبا به اندازه یافتن آنها خودکار کند.

متیو گرین، دانشیار علوم کامپیوتر در موسسه امنیت اطلاعات دانشگاه جان هاپکینز، کمتر خوشبین است. او می‌گوید: «تا زمانی که اتفاق بدی رخ ندهد، هیچ‌کس این مشکل را حل نمی‌کند. و PHP2Shell آنقدر بد نبود که واقعا بد باشد. بنابراین وقتی یک اتفاق واقعا بد رخ می دهد، که شاید در اوایل سال 2027 اتفاق بیفتد، اتفاق بدی که افراد عادی از آن ناراحت می شوند، ناگهان مردم شروع به انجام این کار می کنند. ما همه چیز را تامین می کنیم.

در این بین، گرین می گوید، نرم افزار خود را به روز کنید. "اگر تلفن شما مانند "هی، یک به روز رسانی امنیتی موجود است، آیا می خواهید آن را نصب کنید" است، تا هفته آینده منتظر نمانید. فقط این کار را انجام دهید."

یک چیز مطمئن است - PHP2Shell فقط شروع است. جانا می گوید: «این مطمئنا آخرین مورد نخواهد بود. این فقط کسی است که آن را پیدا می کند. امیدواریم هکرهای کلاه سفید اول آن را پیدا کنند، مانند این.

دینا جنکینا یک ویرایشگر وابسته در IEEE Spectrum است که بر محاسبات و سخت افزار متمرکز است. او دکترای فیزیک اتمی دارد و در بروکلین زندگی می کند.