PHP Meltdown نشان می دهد که چگونه هوش مصنوعی باگ ها را قابل استفاده تر می کند

از آنجایی که تیم‌های امنیتی و مدیران وب در این هفته تلاش کردند تا باگ‌های عمومی PHP را اصلاح کنند، هکرهای جنایتکار به سرعت سعی کردند از معایب موجود در طبیعت سوء استفاده کنند. بر اساس تجزیه و تحلیل Cloudflare، میلیون‌ها تلاش برای بهره‌برداری در چند ساعت پس از انتشار آسیب‌پذیری‌ها انجام شد – با توجه به دسترسی گسترده به ابزارهای هوش مصنوعی که می‌تواند استفاده سریع از نقص‌ها را برای مهاجمان آسان‌تر کند، جای تعجب ندارد. تا کنون، سناریوی کابوس‌آور تصاحب و نقض گسترده قربانیان محقق نشده است.

بنیاد پی‌اچ‌پی می‌گوید هیچ بهره‌برداری موفقیت‌آمیزی از باگ‌ها، که مجموعا PHP2Shell نامیده می‌شوند، ندیده است و بسیاری از اکسپلویت‌های بالقوه عمومی که به صورت عمومی منتشر می‌شوند، بی‌اثر به نظر می‌رسند. با این حال، شاید جالب‌ترین نقش هوش مصنوعی در میان هرج و مرج این هفته این باشد که چگونه مدل‌های پیشرفته به محققان کمک کردند تا بهره‌برداری‌های عملی از آسیب‌پذیری‌ها را که حداقل تا حدودی سال‌ها درباره آن‌ها شناخته شده بود، کشف کنند.

به عبارت دیگر، هوش مصنوعی به تبدیل آسیب‌پذیری تاریخی به یک بحران کنونی کمک کرد. بنابراین آیا همه ما در شرف محاصره موجی از آسیب‌پذیری‌های حیاتی هستیم که دهه‌ها در حال گسترش است؟ محققان شرکت امنیتی Calif اولین کسانی بودند که آسیب‌پذیری‌های PHP2Shell را شناسایی کردند و در اوایل آگوست اکسپلویت‌هایی را ایجاد کردند - تا حدی با استفاده از ابزارهای هوش مصنوعی مرزی به عنوان بخشی از برنامه OpenAI's Patch the Planet، اما همچنین با استفاده از دانش انسانی متخصص از PHP، پویایی‌ها و نقاط ضعف آن. برخی از مسائل اساسی در سال 2024 شناسایی شدند، اما در آن زمان برای بهره برداری بسیار پیچیده تلقی می شدند.

پس از کشف کالیف، محققان OpenAI و شرکت امنیتی Wiz متعلق به گوگل به طور مستقل با استفاده از ابزارهای هوش مصنوعی نقص های PHP2Shell را کشف کردند. Sagi Tzadik، یک محقق امنیتی در Wiz می‌گوید: «این آسیب‌پذیری سال‌ها برای تیم PHP شناخته شده بود، اما چون نمی‌توانست توسط یک مهاجم – حداقل نه انسانی – مورد استفاده قرار گیرد، به آن رسیدگی نشد. هیچ نرم افزاری کامل نیست حتی در حیاتی‌ترین و اساسی‌ترین ابزارهای دیجیتالی، به ناچار نقص‌هایی وجود دارد، اما قابلیت‌های رو به رشد مدل‌های هوش مصنوعی، تجزیه و تحلیل و بهره‌برداری بالقوه از آسیب‌پذیری‌ها را سریع‌تر کرده است.

این امر فشار بیشتری را بر تیم‌های فناوری اطلاعات، توسعه‌دهندگان و ادمین‌هایی که منابع کافی ندارند وارد می‌کند. به‌روزرسانی‌های امنیتی مایکروسافت تنها در این ماه شامل رکورد 1453 آسیب‌پذیری امنیتی بود. در همین حال، بانک آمریکا اخیرا 1000 مشاور را برای رفع نقص های کشف شده توسط Anthropic’s Mythos استخدام کرده است. با این حال، محققان امنیتی تاکید می‌کنند که هوش مصنوعی در نهایت کار جدیدی انجام نمی‌دهد، بلکه پویایی موجود در کشف آسیب‌پذیری و افشای هماهنگ را بزرگ‌نمایی می‌کند. ما قطعا تعداد بیشتری از این اشکالات طولانی مدت را که در هر نسخه از نرم افزار در دهه گذشته یا هر چیز دیگری وجود دارد، خواهیم دید.

جیک ویلیامز، معاون تحقیق و توسعه در Hunter Strategy و هکر سابق NSA، می‌گوید: «اما من فکر می‌کنم که این میوه کم‌ارزش بسیار زیاد است. چیز دیگری وجود ندارد که دامنه خاص PHP را داشته باشد. این یک سطح حمله بسیار وحشی است - اکثر ابزارهای دیگر بر اساس طراحی در معرض اینترنت نیستند. محققان همچنین خاطرنشان می‌کنند که حتی با مدل‌های مرزی، بیشتر نمونه‌های هک پیشرفته با کمک هوش مصنوعی شامل تخصص انسانی نیز هستند.

همانطور که رایان آستین، محقق کالیفرنیا که برای اولین بار نقص های PHP را کشف کرد، این هفته نوشت: "هیچ مدلی به سادگی قادر به کشف "همه اشکالات" با دستورات ساده نیست. حداقل در حال حاضر." به طور خلاصه، مهندس امنیت و محقق، نیلز پرووس، می‌گوید، هرکسی می‌تواند حداقل برای مدتی از علاقه‌مندی‌های خود تماس بگیرد. او می‌گوید: «راستش، من واقعا نگران نیستم که هوش مصنوعی تعداد زیادی از باگ‌های تاریخی را پیدا کند که به تازگی قابل بهره‌برداری هستند – یا آسیب‌پذیری‌های جدیدی که عملا بدون هوش مصنوعی نمی‌توان از آن‌ها بهره‌برداری کرد.

مردم در حال حاضر بیش از یک سال است که به دنبال هوش مصنوعی هستند و برای یافتن آن به یک تیم بسیار ماهر نیاز است. حدس می‌زنم که خواهیم دید که آیا من کاملا در اشتباه هستم یا خیر، اما من شک دارم.