یک ساعت طوفان سایبری ماه گذشته خاموش شد و تقریبا هیچ کس آن را گزارش نکرد

ماه گذشته، مرکز طوفان اینترنتی SANS برای اولین بار از دسامبر 2021 سطح تهدید خود را افزایش داد. طبق سوابق خود، این مرکز تنها 10 بار از سال 2010 این کار را انجام داده است. فنلاند وب سایت های دولتی را آفلاین کرد و سایت پارلمان هلند تاریک شد. آژانس امنیت ملی و مرکز امنیت سایبری ملی بریتانیا از سازمان‌ها خواسته‌اند تا هر سیستمی را که نمی‌توانند یکباره تعمیر کنند، آفلاین کنند.

شاید زیاد در مورد آن نشنیده باشید. دانش‌آموزان کلاس امنیت سایبری من این کار را کردند. من طرح سخنرانی بعدی مان را کنار گذاشتم تا آن را پوشش دهم.

علت اصلی PHP2Shell بود، یک جفت آسیب‌پذیری یا نقص امنیتی، در PHP، زبان برنامه‌نویسی پشت حدود 70 درصد وب‌سایت‌هایی که زبانشان شناخته شده است. این آسیب‌پذیری‌ها که به مهاجم اجازه می‌دهد سرور وب را تصاحب کند، حداقل از سال 2012 در کمین زبان وجود داشت تا اینکه محققی که با یک مدل OpenAI کار می‌کرد آنها را پیدا کرد. نگهبانان PHP یک پچ را در 21 اکتبر منتشر کردند، اما حملات از قبل در حال انجام بودند. و یک پچ فقط از سرورهایی که روی آنها نصب شده است محافظت می کند.

هوش مصنوعی اکنون می‌تواند از یک وصله استخراج کند که چه آسیب‌پذیری را برطرف می‌کند و چگونه از آن بهره‌برداری کند، کاری که زمانی به سرویس‌های اطلاعاتی یا گروه‌های هکر نخبه نیاز داشت. مدافعان هم ادامه ندادند. Qualys 167 میلیون نصب PHP بر روی سیستم های مشتریان خود شمارش کرده است. دوازده ساعت پس از افشای اطلاعات، از هر هزار یک مورد به روز شده بود.

این شکاف می تواند هفته ها طول بکشد. در 27 اکتبر، Anthropic گفت که مدل Claude آن یک اکسپلویت نوشته است که کنترل برخی از سرورهای لینوکس را از طریق آسیب‌پذیری در نحوه مدیریت اتصالات شبکه در اختیار می‌گیرد. توسعه دهندگان لینوکس آن را در 5 اکتبر برطرف کردند. از تاریخ 2 نوامبر، اوبونتو، یکی از پرکاربردترین نسخه‌های لینوکس برای سرورها، هنوز این مشکل را ارسال نکرده بود.

آسیب‌پذیری‌های اصلاح‌نشده جایی هستند که بسیاری از حملات مخرب شروع می‌شوند. در مارس 2017، بنیاد نرم‌افزار آپاچی آسیب‌پذیری را در Struts، نرم‌افزاری که شرکت‌ها از آن برای ساخت وب‌سایت‌ها استفاده می‌کنند، اصلاح کرد. دو ماه بعد، مهاجمان از آن برای نفوذ به Equifax استفاده کردند که پچ را نصب نکرده بود و به سرقت اطلاعات شخصی 147 میلیون آمریکایی ادامه دادند.

با استفاده از Media Cloud، آرشیو باز اخبار آنلاین، اندازه‌گیری کردم که رسانه‌های ملی در هشت روز پس از عمومی شدن هر کدام، ۲۵ رویداد بزرگ سایبری و پچ Struts را پوشش داده‌اند. هیچ یک از رسانه های ملی که من ردیابی کردم داستانی در مورد پچ منتشر نکرد. نقض Equifax میانه 16 داستان از هر 1000 مطلب منتشر شده در هر رسانه را به خود اختصاص داد.

اگر خونریزی کند منجر می شود. پوشاندن رخنه اما نه وصله مانند گزارش خرابی طوفان است اما هرگز پیش‌بینی آن را نمی‌بینید.

ماه گذشته تفاوتی نداشت. فهرست اکتبر Media Cloud از نیویورک تایمز، واشنگتن پست و وال استریت ژورنال ناقص است. اما در هشت روز پس از عمومی شدن PHP2Shell در 20 اکتبر، CNN، Fox News، NPR و USA Today 5610 داستان منتشر کردند و تنها 9 مورد به آن یا دیگر آسیب‌پذیری‌های اصلی هفته اشاره کردند. دو آنها را در یک تیتر قرار می دهند.

نمودار: پوشش خبری ملی رویدادهای مهم سایبری. با حسن نیت برایان سی وارد

هر آسیب‌پذیری لایق عنوان نیست. رکورد 5461 مورد تنها در هفته 12 اکتبر منتشر شد که بیش از 15 برابر میانگین هفتگی در سال 2020 است. بیشتر آنها فقط برای متخصصان مهم هستند. اما برخی می توانند تقریبا همه را تحت تأثیر قرار دهند. مرکز طوفان 10 رویداد از این قبیل را از سال 2010 تا 2021 علامت گذاری کرد. برای شش مورد از آنها، رسانه ملی رسانه ملی هیچ خبری منتشر نکرد.

نمودار: آسیب پذیری های نرم افزار هفتگی منتشر شده در پایگاه ملی آسیب پذیری. با حسن نیت برایان سی وارد

سیستم‌های هوش مصنوعی قدرتمند به طور فزاینده‌ای این افزایش را هدایت می‌کنند. در دراز مدت، یافتن و رفع آسیب‌پذیری‌ها ما را ایمن‌تر می‌کند. در کوتاه‌مدت، هجوم سیل‌ای از اهداف وصله‌نشده را به مهاجمان می‌دهد.

مردم به چیزی معادل یک ساعت طوفان نیاز دارند. سرویس ملی هواشناسی ساعت ها و هشدارها را به زبان ساده صادر می کند و اتاق های خبر آن ها را حمل می کنند. CISA، آژانس امنیت سایبری و امنیت زیرساخت فدرال، باید همین کار را انجام دهد: زمانی که یک آسیب‌پذیری مهم در نرم‌افزارهای پرکاربرد ظاهر می‌شود، نظارت عمومی داشته باشد و هنگام شروع حملات هشدار دهد. اتاق های خبر در حال حاضر فراخوان خودرو و غذا را پوشش می دهند. آنها باید این هشدارها را نیز پوشش دهند.

کنگره ای که در ژانویه آغاز به کار می کند تصمیم خواهد گرفت که آیا و چگونه مرز هوش مصنوعی را پیش ببریم، چقدر برای آژانس هایی که به ما هشدار می دهند و چه کسی وقتی سرور بدون وصله یک شرکت مشتریانش را فاش می کند هزینه کنیم.

حتی شرکت های هوش مصنوعی نیز زنگ خطر را به صدا در می آورند. جیسون کلینتون، معاون رئیس امنیت اطلاعات آنتروپیک، ماه گذشته نوشت که اوضاع «قبل از اینکه بهتر شود بسیار بدتر خواهد شد» و از رهبران امنیتی خواست که «هم اکنون به هیئت مدیره شما مراجعه کنند و درخواست کمک کنند».

هوش مصنوعی هر هفته تهدید را تغییر می‌دهد، اما تصمیم‌گیری در مورد نحوه پاسخگویی همچنان بر عهده هوش انسانی است: قانون‌گذاران، هیئت‌مدیره شرکت‌ها و مردمی که به آنها پاسخ می‌دهند. هیچ یک از آنها نمی توانند خطراتی را که درباره آنها نشنیده اند بسنجید.

Equifax دو ماه فرصت داشت تا پچ خود را نصب کند. اهداف PHP2Shell قبل از وجود اهداف مورد حمله قرار گرفتند. ما منتظر طوفان نیستیم تا به مردم بگوییم طوفانی در راه است. ما نیز نباید منتظر باشیم تا این نقض به مردم بگوید.

نظرات بیان شده در نظرات Fortune.com صرفا نظرات نویسندگان آنها است و لزوما منعکس کننده نظرات و اعتقادات Fortune نیست.

این داستان در ابتدا در سایت Fortune.com منتشر شد