چرا هوش مصنوعی می‌تواند زیرساخت‌های دیجیتال جهان را تهدید کند

در اوایل این ماه، مقامات جهانی درخواست کردند که مدیران وب‌سایت‌ها به‌سرعت به‌روزرسانی‌های اضطراری را اجرا کنند پس از اینکه یک بنیاد برنامه‌نویسی غیرانتفاعی اشکالات امنیتی حیاتی را که می‌تواند هکرها را قادر به نفوذ به سیستم‌ها کند، نشان داد.

وب‌سایت‌های دولتی و شرکت‌ها به مدت کوتاهی از خطوط اینترنتی خود بازماندند تا آسیب‌پذیری‌های موجود را برطرف کنند، که این آسیب‌پذیری‌ها به عنوان PHP2Shell شناخته می‌شود و توسط متخصصان امنیت سایبری مستقل با استفاده از هوش مصنوعی (AI) کشف شده است.

این آسیب‌پذیری‌ها در کد یک زبان برنامه‌نویسی وب منبع باز که به طور گسترده استفاده می‌شود، PHP، به مدت بیش از یک دهه وجود داشته است. اما به دلیل پیچیدگی زیاد، این آسیب‌پذیری‌ها به دلیل استفاده از هوش مصنوعی پیشرفته به چشم انسان‌ها نمی‌آمد.

اما متخصصان امنیت سایبری، همچنین کسانی که نرم‌افزارهای مهم را حفظ می‌کنند، می‌گویند PHP2Shell می‌تواند اولین در یک سری از اشکالات امنیتی باشد که توسط هوش مصنوعی جدید کشف شده است. آنها می‌گویند بسیاری از زیرساخت‌های دیجیتال حیاتی جهان توسط داوطلبان نگهداری می‌شوند که اغلب منابع و زمان کافی برای پاسخ به تهدیدات جدید کشف شده ندارند.

“بسیاری از افراد در جامعه امنیت هوش مصنوعی گفته‌اند که این یکی از اولین حوزه‌هایی است که شاهد تأثیرات مخرب هوش مصنوعی خواهیم بود،” گفت پیتر اسلاتری، دانشمند تحقیقاتی در FutureTech MIT، که به بررسی نحوه برخورد متخصصان امنیت سایبری با این فناوری جدید و ردیابی حوادث واقعی شامل هوش مصنوعی می‌پردازد.

یک دنیای دیجیتال ساخته شده بر اساس کار داوطلبانه

PHP در سال ۱۹۹۵ با تلاش برنامه‌نویس دانمارکی-کانادایی راسموس لردورف شروع شد، که به دنبال این بود که تعداد بازدیدکنندگان رزومه آنلاین خود را پیگیری کند. در طول زمان، دیگران در سراسر جهان نرم‌افزار لردورف را بهبود بخشیدند و آن را محبوب‌تر کردند.

مانند دیگر پروژه‌های کد منبع باز، هر کسی می‌توانست نرم‌افزار را دانلود کند، تغییر دهد و بهبودهای خود را به اشتراک بگذارد. وب‌سایت‌هایی مانند فیسبوک و ویکی‌پدیا با استفاده از PHP ساخته شدند، که حدود ۷۰ درصد از وب‌سایت‌های جهان را پشتیبانی می‌کند.

در سال ۲۰۲۱، یک بنیاد غیرانتفاعی به نام بنیاد PHP راه‌اندازی شد تا توسعه را هماهنگ کند. مانند بسیاری از بنیادهای دیگر که نرم‌افزارهای منبع باز را نگهداری می‌کنند، آن‌ها با بودجه‌ای اندک عمل می‌کنند.

بیشتر زیرساخت‌های دیجیتالی که مصرف‌کنندگان استفاده می‌کنند، توسط نرم‌افزارهای منبع باز پشتیبانی می‌شود. مرورگر Mozilla Firefox منبع باز است، همچنین زبان‌هایی مانند Perl، Python و JavaScript. نرم‌افزاری که به کامپیوتر اجازه می‌دهد با دیگران در اینترنت ارتباط برقرار کند، اغلب منبع باز است، و بسیاری از سرورها از محصولات مانند Apache HTTP Server استفاده می‌کنند که توسط بنیاد نرم‌افزار Apache نگهداری می‌شود.

“امروزه جهان، از جمله فروشندگان نرم‌افزار اختصاصی، به نرم‌افزارهای منبع باز برای زیرساخت‌های دیجیتال خود وابسته است،” گفت آماندا بروک، مدیرعامل OpenUK، یک بنیاد غیرانتفاعی که از نرم‌افزارهای منبع باز پشتیبانی می‌کند.

بزرگترین شرکت‌های جهان مانند Meta، Google، OpenAI و Anthropic، به این زیرساخت‌های منبع باز داوطلبانه وابسته‌اند. حالا، ابزارهای هوش مصنوعی خود این شرکت‌ها اشکالات امنیتی در زیرساخت‌ها را با سرعت بیشتری کشف می‌کنند که نیاز به منابع بیشتری برای گروه‌هایی مانند بنیاد PHP برای حفظ آن‌ها دارد.

“با منابع موجود، امکان تعمیر همه آسیب‌پذیری‌های شناخته شده وجود ندارد،” بروک گفت. “بنیادها در حال تلاش برای مدیریت این چالش‌ها هستند، اما بنیادهای کوچک‌تر نمی‌توانند صدها میلیون دلار در بودجه داشته باشند و مدیریت این چالش‌ها با سرعت هوش مصنوعی غیرممکن است.”

یک جریان از باگ‌های جدید برای رفع

آسیب‌پذیری‌های PHP2Shell با استفاده از چندین مدل پیشرفته هوش مصنوعی کشف شده است که می‌توانند روش‌های پیچیده‌تری برای نفوذ به موانع امنیتی نسبت به انسان‌ها به کار بگیرند.

توسعه‌دهندگان نرم‌افزارهای دیگر نیز با استفاده از هوش مصنوعی، بیش از تعداد بیشتری از اشکالات امنیتی در گذشته کشف کرده‌اند زیرا از هوش مصنوعی برای بررسی دفاع‌ها استفاده می‌شود.

گوگل گفت که بیش از ۱۰۰۰ اشکال امنیتی در آخرین به‌روزرسانی مرورگر Chrome خود کشف کرده است، بیشتر از مجموع ۲۴ به‌روزرسانی قبلی. بنیاد پشت مرورگر Firefox، موزیلا، بیش از ۴۰۰ آسیب‌پذیری در آوریل کشف کرده است، که افزایش قابل توجهی از ۷۶ باگ کشف شده فقط یک ماه قبل است.

“ما شاید ۱۰ برابر بیشتر از معمول مشکل داریم زیرا از هوش مصنوعی برای پیدا کردن آن‌ها استفاده می‌کنیم،” گفت جارک پوتیک، بخشی از تیم امنیتی داوطلبانه بنیاد نرم‌افزار Apache. (در راستای اصول غیرهیerarارشی بنیاد، پوتیک گفت که او هیچ عنوان واقعی ندارد).

پوتیک گفت که یک “جنبش بین‌المللی” برای انجام اسکن‌ها با استفاده از مدل‌های هوش مصنوعی و شناسایی آسیب‌پذیری‌ها وجود دارد، مانند آنچه برای پیدا کردن باگ‌های PHP انجام شد. اما اسکن‌ها خود هزینه دارند – برای پرداخت توکن‌های مدل‌های هوش مصنوعی – و پس از آن، انسان‌ها باید آن‌ها را بررسی کنند تا مثبت‌های نادرست را حذف کنند.

“هر پروژه، هر بنیاد، همین الان این کار را می‌کند – زمان زیادی را برای پیدا کردن این مشکلات صرف می‌کنند،” گفت پوتیک. “هوش مصنوعی به پیدا کردن آن‌ها کمک می‌کند، اما باید چیزها را تأیید کنید، آن‌ها را بررسی کنید.”

در اوایل امسال، Anthropic پروژه Glasswing را راه‌اندازی کرد، که ۱۰۰ میلیون دلار اعتبار برای پشتیبانی از مدل پیشرفته Claude Mythos AI خود برای جستجوی آسیب‌پذیری‌های امنیتی در نرم‌افزارهای حیاتی جهان ارائه داد. در یک ماه، بیش از ۲۳۰۰۰ آسیب‌پذیری در بیش از ۱۰۰۰ پروژه منبع باز پیدا شد.

بنیاد نرم‌افزار Apache از یک برنامه دیگر به نام Alpha-Omega بهره‌برداری کرده است تا برای ۲۹۰ بسته نرم‌افزاری که نگهداری می‌کند، اسکن برای اشکالات امنیتی انجام دهد. این پروژه، که توسط شرکت‌هایی مانند Anthropic، Amazon، Google، Microsoft و OpenAI پشتیبانی می‌شود، سالانه حدود ۷ میلیون دلار هزینه دارد تا توسعه‌دهندگان منبع باز را در پیدا کردن اشکالات امنیتی حیاتی کمک کند.

اما کسانی که در پیدا کردن و رفع اشکالات امنیتی کار می‌کنند، می‌گویند که جهان تجاری می‌تواند بسیار بیشتر کمک کند، با توجه به ارزش سهام شرکت‌هایی که محصولات آن‌ها بدون نرم‌افزارهای رایگان مانند بسته‌هایی که بنیاد Apache ارائه می‌دهد، کار نمی‌کنند.

“آن‌ها کمک می‌کنند، اما ما به بازیگران فعال بیشتری در این زمینه نیاز داریم،” گفت پوتیک، “زیرا تأثیر آن بر جهان تجاری نسبت به جهان منبع باز بسیار نابرابر است”.

وقتی یک اشکال امنیتی بزرگ مانند PHP2Shell کشف شود، معمولاً به چندین داوطلب برای رفع آن نیاز است.

نگه داشتن زیرساخت اینترنت به‌طور ممکنه‌ترین و منبع باز است، گفت پوتیک. به عنوان مثال، بازیگران بزرگ مانند Google یا Microsoft می‌توانند، به جای خریدن چیزی مانند PHP، کارکنان خود را پرداخت کنند تا بخشی از وقت کاری خود را به نگهداری از پروژه‌های منبع باز اختصاص دهند که از آن‌ها استفاده می‌کنند.

هدف‌های واقعی

اشکال امنیتی Log4Shell در سال ۲۰۲۱، که به هکرها اجازه می‌داد تا کد را بر روی میلیون‌ها دستگاه از طریق یک کتابخانه عمومی که توسط بنیاد نرم‌افزار Apache نگهداری می‌شود، به صورت دوربرد اجرا کنند، نقش مهم نرم‌افزارهای منبع باز در امنیت سیستم‌ها را برجسته کرد. این اشکال امنیتی بدون استفاده از هوش مصنوعی کشف شد.

به زودی، خودروها، ماکروویوها و مجموعه‌ای از دستگاه‌های الکترونیکی متصل به اینترنت تحت تأثیر قرار گرفتند، گفت پوتیک.

“این لحظه‌ای بود که کل اکوسیستم فهمید که چقدر مهم است که به منبع باز توجه شود،” او گفت.

اشکالی مانند این، اگر توسط یک هکر بدخواه کشف و قبل از اینکه بتوان به دستگاه‌ها به‌روزرسانی کرد، استفاده شود، می‌توانست اختلال بزرگی ایجاد کند.

اسلاتری گفت که بانک اطلاعاتی حوادثی که او و همکارانش نگه می‌دارند نشان می‌دهد که تعداد آسیب‌پذیری‌هایی که کشف و برطرف می‌شوند، در حال افزایش است و زمانی است که برخی از آن‌ها در دنیای واقعی استفاده می‌شوند.

“ما شروع به دیدن تعداد بیشتری از آسیب‌پذیری‌هایی که کشف و برطرف می‌شوند و همچنین حملات به سیستم‌های گسترده می‌کنیم،” اسلاتری گفت. “ما مدت‌ها در این مسیر حرکت کرده‌ایم. الان چیزهای بیشتری برای حمله وجود دارد.”

توسط: عمر فروق