اختلال وب‌سایت‌ها؛ PHP چیست و چرا آسیب‌پذیری‌های آن نگرانی درباره هک با هوش مصنوعی را افزایش داده است؟
هوش مصنوعی آسیب‌پذیری‌های امنیتی مهمی را در زبان برنامه‌نویسی پرکاربرد PHP شناسایی کرده است. روز پنجشنبه، هم‌زمان با تلاش سازمان‌ها در سراسر جهان برای مقابله با خطر نفوذ هکرها، شمار زیادی از وب‌سایت‌ها از دسترس خارج شدند.
با توجه به اینکه پیشرفت سریع هوش مصنوعی نگرانی‌ها درباره افزایش خطر حملات سایبری را بیشتر کرده است، در ادامه به چند پرسش درباره این اتفاق پاسخ می‌دهیم.
PHP چیست و چه میزان کاربرد دارد؟
PHP که در اوایل دهه ۱۹۹۰ ایجاد شد، یک زبان برنامه‌نویسی رایانه‌ای است که به راه‌اندازی حدود ۷۰ درصد از وب‌سایت‌های جهان کمک می‌کند.
شرکت امنیت سایبری ویز ریسرچ (Wiz Research) از این زبان به‌عنوان «ستون فقرات وب» یاد کرده است. این شرکت می‌گوید با استفاده از هوش مصنوعی، آسیب‌پذیری‌هایی را در PHP کشف کرده که بیش از یک دهه پنهان مانده بودند.
نام PHP در ابتدا مخفف عبارت «صفحه خانگی شخصی» (Personal Home Page) بود. این زبان زیربنای بسیاری از پلتفرم‌های پرکاربرد طراحی وب است؛ بنابراین، آسیب‌پذیری‌های آن می‌تواند به هکرها اجازه دهد به وب‌سایت‌های مختلف، از فروشگاه‌های اینترنتی گرفته تا خدمات دولتی، نفوذ کنند.
روز چهارشنبه، اصلاحیه‌ای برای رفع این آسیب‌پذیری‌ها منتشر شد. بنیاد PHP نیز به واحدهای فناوری شرکت‌ها و سازمان‌های سراسر جهان هشدار داد: «اگر از PHP استفاده می‌کنید، ضروری است همین حالا آن را به‌روزرسانی کنید.»
در پی این هشدار، شمار زیادی از برنامه‌ها و وب‌سایت‌ها، از وب‌سایت پلیس پاریس گرفته تا یک برنامه ردیابی خواب برای بازی پوکمون، از دسترس خارج شدند تا توسعه‌دهندگان بتوانند با ایمن‌سازی کدهای زیربنایی خود، از نفوذ هکرها جلوگیری کنند.
هوش مصنوعی چگونه این آسیب‌پذیری‌ها را پیدا کرد؟
در ماه اوت، ویز و گروه‌های دیگری با استفاده از مدل‌های پیشرفته هوش مصنوعی، از جمله مدل‌های شرکت‌های بزرگ آمریکایی اوپن‌ای‌آی و گوگل، نقاط ضعف PHP را شناسایی کردند.
این یافته‌ها تا زمان آماده‌شدن اصلاحیه محرمانه نگه داشته شدند.
اوپن‌ای‌آی این آسیب‌پذیری‌ها را «یکی از تأثیرگذارترین آسیب‌پذیری‌های سال‌های اخیر» توصیف کرد و افزود که این اتفاق «آغاز مرحله‌ای تازه است که در آن هوش مصنوعی می‌تواند باگ‌های امنیتی‌ای را شناسایی کند که در مقیاس اینترنت تأثیر می‌گذارند».
شرکت امنیت سایبری کالیف (Calif) نیز به‌طور جداگانه و در جریان بررسی امنیتی کدهای PHP که بودجه آن را اوپن‌ای‌آی تأمین کرده بود، این آسیب‌پذیری‌ها را کشف کرد.
استیو کریسون، مدرس ارشد امنیت سایبری در پردیس سنگاپور دانشگاه جیمز کوک، به خبرگزاری فرانسه گفت: «مشکل ابزارهایی مانند هوش مصنوعی این است که به‌محض انتشار همه اطلاعات، افراد می‌توانند خیلی سریع از آن‌ها برای حمله و سوءاستفاده استفاده کنند.»
او افزود: «به همین دلیل است که همه برای رسیدگی به این مسئله با چنین فوریتی اقدام می‌کنند.»
آیا وب‌سایت‌ها تاکنون هک شده‌اند؟
دیمیتریوس سالامپاسیس از دانشگاه فناوری سوینبرن استرالیا گفت: «از دسترس خارج کردن وب‌سایت‌ها لزوماً به این معنا نیست که آن‌ها هک شده‌اند. این کار می‌تواند اقدامی مسئولانه برای محافظت از سامانه‌ها هنگام نصب به‌روزرسانی‌های امنیتی باشد.»
کریسون گفت: «تاکنون شواهدی که پژوهشگران امنیتی مشاهده کرده‌اند نشان می‌دهد هیچ‌کس به‌طور فعال با استفاده از روش‌های در دسترس، حملاتی را انجام نمی‌داده است.»
به گفته کریسون، نهادهای بزرگ‌تر، از سازمان‌های دولتی گرفته تا رسانه‌های خبری، احتمالاً می‌توانند وب‌سایت‌های خود را نسبتاً سریع ایمن کنند؛ اما ممکن است سامانه‌های دیگر همچنان آسیب‌پذیر باقی بمانند.
او هشدار داد: «وب‌سایت‌ها، سامانه‌ها و افرادی وجود دارند که اصلاً از این موضوع خبر ندارند و ممکن است تا روزها، هفته‌ها یا حتی ماه‌ها هم از آن مطلع نشوند.»
این گروه ممکن است شامل وبلاگ‌هایی باشد که افراد به‌صورت شخصی اداره می‌کنند و هکرها می‌توانند از آن‌ها برای انتشار ویروس‌های رایانه‌ای، ارسال هرزنامه یا توزیع محتوای مخرب استفاده کنند.
آیا ممکن است پیامدهای دیگری هم به دنبال داشته باشد؟
نقض امنیت داده‌ها ممکن است در آینده مشتریان را نیز تحت تأثیر قرار دهد؛ برای مثال، اگر از اطلاعات شخصی آن‌ها در حملات موسوم به «فیشینگ» استفاده شود. در این حملات، افراد فریب داده می‌شوند تا گذرواژه خود را در اختیار مهاجمان قرار دهند.
پیچیدگی و پیوستگی سامانه‌های آنلاین که اغلب از رابط‌های نرم‌افزاری متعلق به شرکت‌های ثالث استفاده می‌کنند، به این معناست که حتی پس از رفع مشکل اصلی نیز ممکن است برخی آسیب‌پذیری‌ها باقی بمانند.
راحات مسعود، مدرس ارشد امنیت سایبری در دانشگاه نیو ساوت ولز در سیدنی، گفت: «اگر شرکت‌های ثالث از PHP استفاده کنند، حتی اگر خودتان سامانه‌تان را وصله و به‌روزرسانی کرده باشید، باز هم امنیت ندارید.»
با این حال، کریسون تأکید کرد که امنیت سایبری تنها به PHP محدود نمی‌شود و اقدامات حفاظتی مؤثر باید شامل چندین لایه دفاعی باشد.