اختلال موقت وب‌سایت‌ها در پی شناسایی یک آسیب‌پذیری در PHP با کمک هوش مصنوعی
شناسایی آسیب‌پذیری‌های امنیتی در یکی از زبان‌های برنامه‌نویسی پرکاربرد جهان با کمک هوش مصنوعی، روز چهارشنبه (۲۱ اکتبر) دولت‌ها و سازمان‌های مختلفی را در اروپا و آمریکا وادار کرد تا هنگام تلاش برای نصب به‌روزرسانی‌های امنیتی، وب‌سایت‌های خود را موقتاً از دسترس خارج کنند.
بخش سایبری اداره تحقیقات فدرال آمریکا (FBI) هشدار داد که این آسیب‌پذیری‌ها ممکن است به عوامل مخرب اجازه دهند از راه دور کد اجرا کنند. این نقص‌ها به زبان برنامه‌نویسی PHP مربوط می‌شوند؛ زبانی که زیربنای بسیاری از وب‌سایت‌ها و برنامه‌های تحت وب است. به گفته این نهاد، چنین وضعیتی خطر به‌خطر افتادن اطلاعات حساس و شبکه‌ها را افزایش می‌دهد. FBI به مدیران وب‌سایت‌ها توصیه کرد اگر نمی‌توانند فوراً سیستم‌های خود را به‌روزرسانی کنند، وب‌سایت‌هایشان را موقتاً از دسترس خارج کنند.
برای نمونه، وب‌سایت دولت فنلاند روز چهارشنبه تنها به‌طور محدود در دسترس بود. در پیامی که به بازدیدکنندگان نمایش داده می‌شد، آمده بود که وب‌سایت‌های دولتی با اختلال موقت روبه‌رو هستند و تا زمان برطرف شدن مشکل، دسترسی به آن‌ها به‌طور کامل یا جزئی امکان‌پذیر نیست.
اسماعیل والنزوئلا، معاون آزمایشگاه‌ها، تحقیقات تهدیدات و اطلاعات امنیتی شرکت امنیت سایبری آرتیک ولف (Arctic Wolf)، گفت: «پیامدهای احتمالی این مسئله بسیار گسترده است.» او افزود PHP در حدود ۷۰ درصد از وب‌سایت‌هایی استفاده می‌شود که زبان برنامه‌نویسی سمت سرور آن‌ها مشخص است.
والنزوئلا اضافه کرد که این آسیب‌پذیری‌ها بخش قابل‌توجهی از زیرساخت‌های تجاری و کسب‌وکار اینترنت را در معرض خطر احتمالی قرار می‌دهند. او تأکید کرد که این مسئله به معنای آسیب‌پذیر بودن همه وب‌سایت‌ها نیست، اما این نقص‌ها به «رسیدگی فوری» نیاز دارند.
بنیاد PHP که توسعه‌دهندگان فعال در زمینه ایمن‌سازی این زبان برنامه‌نویسی را در بر می‌گیرد، روز چهارشنبه اعلام کرد اصلاحیه‌های مربوط به این آسیب‌پذیری‌ها را منتشر کرده است. این بنیاد همچنین دستورالعمل‌هایی برای به‌روزرسانی سیستم‌ها ارائه داد.
عامل‌های هوش مصنوعی در کشف این آسیب‌پذیری‌ها نقش داشتند. شرکت OpenAI در یک پست وبلاگی اعلام کرد که طی دو ماه گذشته، ائتلافی متشکل از پژوهشگران، شرکت‌های ارائه‌دهنده خدمات امنیتی و دیگر فعالان این حوزه را برای رسیدگی به آسیب‌پذیری‌های PHP هدایت کرده است.
این شرکت اعلام کرد: «مسئولیت اصلی اصلاح نقص‌ها و انتشار به‌روزرسانی‌ها بر عهده نگه‌دارندگان PHP بود. تیم‌های ما و شرکایی مانند ویز (Wiz)، کلادفلر (Cloudflare) و دیگران نیز با ارائه پژوهش، پشتیبانی فنی و هماهنگی همکاری کردند تا پیش از افشای عمومی آسیب‌پذیری‌ها، اقدامات حفاظتی لازم آماده شود.»
شرکت OpenAI که دفتر مرکزی آن در سان‌فرانسیسکو قرار دارد، این نقص‌ها را «یکی از تأثیرگذارترین مسائل امنیتی در سال‌های اخیر» توصیف کرد. این شرکت گفت به نظر می‌رسد هوش مصنوعی پیش از مهاجمان، این آسیب‌پذیری‌ها را شناسایی کرده است.
OpenAI افزود: «با وجود اهمیت این موارد، این باگ‌ها تنها بخشی از چندین آسیب‌پذیری مهمی هستند که تاکنون پیدا کرده‌ایم و در حال رفع آن‌ها هستیم. انتظار داریم شمار یافته‌های مشابه در ماه‌های آینده به‌شدت افزایش یابد.»
در ماه‌های اخیر، عامل‌های هوش مصنوعی در مجموعه‌ای از حوادث امنیتی خبرساز مقصر شناخته شده‌اند. این رویدادها آسیب‌پذیری‌های امنیتی مرتبط با هوش مصنوعی را برجسته کرده و پرسش‌هایی درباره چگونگی توسعه ایمن این فناوری به وجود آورده‌اند؛ به‌ویژه در شرایطی که استفاده از آن در سراسر جهان به‌سرعت گسترش می‌یابد. بااین‌حال، کارشناسان خاطرنشان کرده‌اند که هوش مصنوعی می‌تواند به کشف آسیب‌پذیری‌های سایبری نیز کمک کند؛ همان‌طور که در مورد PHP چنین نقشی داشت.
راگو نانداناکومارا، معاون راهبرد صنعت در شرکت امنیت سایبری ایلومیو (Illumio)، گفت: «در اینجا با یک تناقض مهم روبه‌رو هستیم. می‌خواهیم هوش مصنوعی آن‌قدر سریع عمل کند که بتواند آسیب‌پذیری‌هایی را پیدا کند که ممکن است از چشم انسان دور بمانند؛ اما در عین حال باید مطمئن شویم که سیستم‌های هرچه خودمختارتر، در محدوده‌هایی فعالیت می‌کنند که آن‌ها را می‌فهمیم و می‌توانیم کنترل کنیم.»
نانداناکومارا افزود: «هرچه هوش مصنوعی در شناسایی نقاط ضعف سریع‌تر شود، توجه به اتفاقاتی که پس از آشکار شدن این ضعف‌ها رخ می‌دهد اهمیت بیشتری پیدا می‌کند؛ به‌ویژه زمانی که سازمان‌ها نمی‌توانند فوراً همه سیستم‌های آسیب‌دیده را اصلاح کنند. درس این ماجرا آن نیست که هوش مصنوعی ذاتاً خطرناک یا ذاتاً محافظت‌کننده است؛ بلکه سرعت بدون کنترل، نوع تازه‌ای از مشکل امنیتی ایجاد می‌کند.»
والنزوئلا از شرکت آرتیک ولف گفت پیشرفت هوش مصنوعی همچنین در حال تغییر این برداشت است که چه نقص‌هایی را می‌توان عملاً مورد سوءاستفاده قرار داد. او خاطرنشان کرد برخی از این آسیب‌پذیری‌ها بیش از یک دهه وجود داشته‌اند.
او گفت: «آنچه تغییر کرد، کد زیربنایی نبود؛ بلکه توانایی شناسایی این نقاط ضعف و تبدیل آن‌ها به روش‌های عملی برای سوءاستفاده از آن‌ها بود.»