چرا هوش مصنوعی می تواند بسیاری از زیرساخت های دیجیتالی جهان را تهدید کند؟

در اوایل این ماه، مقامات در سراسر جهان از مدیران وب‌سایت‌ها خواستند تا به‌روزرسانی‌های اضطراری را انجام دهند، زیرا یک بنیاد برنامه‌نویسی غیرانتفاعی نقص‌های امنیتی مهمی را که می‌تواند به هکرها اجازه نفوذ به سیستم‌ها را نشان می‌دهد، علامت‌گذاری کند.

وب‌سایت‌های دولتی و شرکت‌ها برای اصلاح آسیب‌پذیری‌ها، با نام مستعار PHP2Shell، که توسط کارشناسان مستقل امنیت سایبری با استفاده از هوش مصنوعی (AI) کشف شده بود، برای مدت کوتاهی آفلاین شدند.

این آسیب‌پذیری‌ها برای بیش از یک دهه در کد یک زبان برنامه‌نویسی وب متن‌باز و پرکاربرد، PHP تعبیه شده بود. با این حال، آنها مورد توجه قرار نگرفتند، زیرا بهره برداری انسان از آنها بدون استفاده از هوش مصنوعی پیشرفته بسیار پیچیده بود.

اما کارشناسان امنیت سایبری و همچنین کسانی که از نرم افزارهای مهم نگهداری می کنند، می گویند PHP2Shell می تواند اولین مورد در سیل نقص های امنیتی باشد که توسط هوش مصنوعی در حال ظهور آشکار شده است. آنها می گویند بسیاری از حیاتی ترین زیرساخت های دیجیتالی جهان توسط داوطلبانی نگهداری می شود که اغلب منابع و زمان لازم برای پاسخگویی به تهدیدات تازه کشف شده را ندارند.

پیتر اسلاتری، دانشمند پژوهشی در FutureTech MIT که نحوه برخورد کارشناسان امنیت سایبری با فناوری جدید و ردیابی حوادث دنیای واقعی مرتبط با هوش مصنوعی را مطالعه می‌کند، گفت: افراد زیادی در جامعه ایمنی هوش مصنوعی بودند که می‌گفتند این یکی از اولین زمینه‌هایی است که ما می‌خواهیم تأثیر مضر هوش مصنوعی را ببینیم.

PHP در سال 1995 شروع شد، زمانی که برنامه نویس دانمارکی-کانادایی راسموس لردورف به دنبال ردیابی تعداد افرادی بود که از رزومه آنلاین او بازدید کرده اند. با گذشت زمان، دیگران در سراسر جهان نرم افزار Lerdorf را بهبود بخشیدند و محبوبیت آن افزایش یافت.

مانند سایر پروژه‌های کدنویسی منبع باز، هر کسی می‌تواند پیشرفت‌ها را دانلود، اصلاح و به اشتراک بگذارد. وب سایت هایی مانند فیس بوک و ویکی پدیا با استفاده از PHP ساخته شده اند که حدود 70 درصد از وب سایت های جهان را اجرا می کند.

در سال 2021، یک سازمان غیرانتفاعی اختصاصی، بنیاد پی اچ پی، برای هماهنگی توسعه راه اندازی شد. مانند بسیاری از بنیادهای دیگر که نرم افزار منبع باز را نگهداری می کنند، با بودجه ناچیزی کار می کند.

بیشتر زیرساخت‌های دیجیتالی که مصرف‌کنندگان استفاده می‌کنند، توسط نرم‌افزار منبع باز تامین می‌شود. مرورگر موزیلا فایرفاکس مانند زبان هایی مانند Perl، Python و JavaScript منبع باز است. نرم‌افزاری که به رایانه اجازه می‌دهد با دیگران در اینترنت ارتباط برقرار کند، اغلب منبع باز است و بسیاری از سرورها از محصولاتی مانند Apache HTTP Server استفاده می‌کنند که توسط بنیاد نرم‌افزار آپاچی نگهداری می‌شود.

آماندا براک، مدیر عامل OpenUK، یک سازمان غیرانتفاعی که از نرم‌افزار متن‌باز پشتیبانی می‌کند، می‌گوید: «دنیای امروز، از جمله فروشندگان نرم‌افزار اختصاصی، برای زیرساخت‌های دیجیتالی خود به نرم‌افزار منبع باز متکی است.

بزرگ‌ترین شرکت‌های جهان، مانند متا، گوگل، اپن‌آی و آنتروپیک، به این زیرساخت‌های منبع باز و داوطلبانه وابسته هستند. اکنون، ابزارهای هوش مصنوعی خود آن شرکت‌ها در حال کشف نقص‌های امنیتی در زیرساخت‌ها با سرعتی هستند که به منابع بسیار بیشتری برای گروه‌هایی مانند بنیاد پی‌اچ‌پی نیاز دارند تا بتوانند به آن ادامه دهند.

براک گفت: «به سادگی با منابع موجود، رفع تمام آسیب پذیری های شناخته شده امکان پذیر نیست. بنیادها در تلاش برای مدیریت این چالش‌ها هستند، اما بنیادهای کوچک‌تر صدها میلیون بودجه ندارند و مدیریت آن با سرعتی که هوش مصنوعی نیاز دارد غیرممکن است.»

آسیب‌پذیری‌های PHP2Shell از طریق چندین مدل پیشرفته هوش مصنوعی یافت شدند که می‌توانند از تلاش‌های بسیار پیچیده‌تر برای هک کردن موانع امنیتی گذشته نسبت به انسان‌ها استفاده کنند.

توسعه دهندگان نرم افزارهای دیگر نیز در حال کشف نقص های امنیتی بسیار بیشتری نسبت به گذشته هستند زیرا هوش مصنوعی برای بررسی دفاعیات استفاده می شود.

گوگل اعلام کرد که بیش از 1000 باگ امنیتی را در آخرین به روز رسانی مرورگر کروم خود کشف کرده است که بیشتر از مجموع دوجین به روز رسانی گذشته است. موزیلا، بنیان پشت مرورگر فایرفاکس، در ماه آوریل بیش از 400 آسیب پذیری امنیتی پیدا کرد که یک جهش قابل توجه از رکورد قبلی 76 باگ کشف شده تنها یک ماه قبل است.

جارک پوتیوک، بخشی از تیم امنیتی داوطلب در بنیاد نرم‌افزار آپاچی، می‌گوید: «شاید 10 برابر بیشتر از حد معمول مشکلات داریم زیرا از هوش مصنوعی برای یافتن آنها استفاده می‌کنیم. (با توجه به اخلاق غیر سلسله مراتبی بنیاد، پوتیوک گفت که عنوان واقعی ندارد).

پوتیوک گفت که یک "جنبش در سطح صنعت" برای انجام اسکن با استفاده از مدل‌های هوش مصنوعی و شناسایی آسیب‌پذیری‌های امنیتی وجود دارد، مانند آنچه برای یافتن باگ‌ها در PHP انجام شد. اما اسکن‌ها به خودی خود هزینه‌ای دارند – که برای پرداخت توکن‌های مدل‌های هوش مصنوعی استفاده می‌شود – و پس از آن، انسان‌ها باید روی آن‌ها منفذ بزنند تا موارد مثبت کاذب را از بین ببرند.

پوتیوک گفت: "هر پروژه، هر بنیاد در حال حاضر این کار را انجام می دهد - زمان زیادی را صرف یافتن این مسائل می کند." "هوش مصنوعی به پیدا کردن آنها کمک می کند، اما شما باید چیزها را تأیید کنید، باید آنها را بررسی کنید."

اما کسانی که روی یافتن و رفع نقص‌های امنیتی کار می‌کنند، می‌گویند با توجه به ارزش تریلیون دلاری شرکت‌هایی که محصولاتشان بدون نرم‌افزار رایگان مانند بسته‌هایی که بنیاد آپاچی ارائه می‌کند، کار نمی‌کند، دنیای شرکت‌ها می‌تواند کارهای بیشتری انجام دهد.

پوتیوک گفت: "آنها کمک زیادی می کنند، اما ما به بازیکنان فعال بیشتری در این زمینه نیاز داریم، زیرا این بسیار نامتناسب است - تاثیری که بر دنیای شرکت ها در مقایسه با دنیای منبع باز دارد."

هنگامی که یک نقص امنیتی بزرگ مانند PHP2Shell کشف می شود، اغلب به تعداد انگشت شماری داوطلب می رسد تا آن را برطرف کنند.

پوتیوک گفت که حفظ زیرساخت های اینترنت تا حد امکان غیرمتمرکز و منبع باز بسیار مهم است. به‌عنوان مثال، بازیکنان بزرگی مانند گوگل یا مایکروسافت می‌توانند به جای خرید چیزی مانند PHP، به کارکنان پول بدهند تا بخشی از ساعات کاری خود را به حفظ پروژه‌های منبع باز که استفاده می‌کنند اختصاص دهند.

آسیب‌پذیری Log4Shell 2021، که به هکرها اجازه می‌داد از راه دور کد را بر روی میلیون‌ها دستگاه از طریق یک کتابخانه پرکاربرد که توسط بنیاد نرم‌افزار آپاچی نگهداری می‌شود، اجرا کنند، بر نقش حیاتی نرم‌افزار منبع باز در امنیت سیستم تأکید کرد. این باگ بدون استفاده از هوش مصنوعی کشف شد.

پوتیوک گفت که ناگهان اتومبیل ها، مایکروویوها و مجموعه ای از دستگاه های الکترونیکی متصل به اینترنت آسیب پذیر شدند.

او گفت: "آن لحظه ای بود که کل اکوسیستم متوجه شد که مراقبت از منبع باز چقدر مهم است."

چنین اشکالی، اگر توسط یک هکر مخرب پیدا شود و قبل از اینکه فرصتی برای وصله دستگاه‌ها وجود داشته باشد مورد سوء استفاده قرار گیرد، می‌تواند باعث اختلال بزرگ شود.

اسلاتری گفت که پایگاه داده حوادثی که او و همکارانش نگهداری می‌کنند نشان می‌دهد که تعداد فزاینده‌ای از آسیب‌پذیری‌ها در حال شناسایی هستند و استفاده از برخی آسیب‌پذیری‌ها در دنیای واقعی مسئله زمان است.

اسلاتری گفت: «ما شروع به مشاهده آسیب‌پذیری‌های بسیار بیشتری می‌کنیم که به موقع شناسایی و رسیدگی می‌شوند، اما همچنین حملات به طیف گسترده‌ای از سیستم‌ها را مشاهده می‌کنیم. "ما برای مدت طولانی در این مسیر حرکت کرده ایم. اکنون چیزهای بیشتری وجود دارد که می توانید حمله کنید."