انتظار می‌رود شمار آسیب‌پذیری‌های کشف‌شده با هوش مصنوعی افزایش یابد؛ برنامه پنج‌مرحله‌ای OpenAI برای رسیدگی به آن‌ها
OpenAI چارچوبی پنج‌مرحله‌ای برای رسیدگی به آسیب‌پذیری‌های امنیتی بحرانی در نرم‌افزارهای پرکاربرد پیشنهاد کرده است. این فرایند حاصل دو ماه تلاش برای رسیدگی به نقص‌های امنیتی PHP است؛ زبان برنامه‌نویسی متن‌بازی که وب‌سایت‌ها و برنامه‌های تحت وب با آن اجرا می‌شوند. شرکت Calif یکی از این آسیب‌پذیری‌ها را با استفاده از مدل GPT-5.6 Sol متعلق به OpenAI و در چارچوب ابتکار این شرکت با نام Patch the Planet برای ارتقای امنیت نرم‌افزارهای متن‌باز شناسایی کرد. شرکت Wiz نیز به‌طور مستقل هر دو آسیب‌پذیری را کشف و گزارش کرد.
OpenAI در گزارشی نوشت: «با وجود اهمیت این موارد، این آسیب‌پذیری‌ها تنها بخشی از چندین نقص امنیتی مهمی هستند که تاکنون کشف کرده‌ایم و در حال رفع آن‌ها هستیم. انتظار داریم شمار موارد مشابه در ماه‌های آینده به‌شدت افزایش یابد.»
این چارچوب برای آسیب‌پذیری‌هایی طراحی شده است که تعداد زیادی از محصولات را به‌طور هم‌زمان تحت تأثیر قرار می‌دهند و به توزیع‌کنندگان نرم‌افزار و ارائه‌دهندگان خدمات فرصت می‌دهند تا خود را برای مقابله با آن‌ها آماده کنند. بااین‌حال، اگر ابزارهای هوش مصنوعی که به‌طور گسترده در دسترس هستند، از جمله ابزارهایی که مهاجمان سایبری نیز می‌توانند از آن‌ها استفاده کنند، فاصله کمی با مدل‌های پیشرفته‌ای داشته باشند که آسیب‌پذیری‌ها را کشف می‌کنند، ممکن است این فرصت محدود شود.
پنج مرحله؛ با حفظ اختیار مسئولان نگهداری نرم‌افزار
در مرحله نخست، مسئولان نگهداری نرم‌افزار، پژوهشگران و شرکای فنی وجود آسیب‌پذیری را تأیید می‌کنند، میزان تأثیر آن را می‌سنجند و وصله‌ای برای رفع مشکل تهیه و آزمایش می‌کنند. بخشی از این آزمایش‌ها به کمک مدل‌های پیشرفته هوش مصنوعی انجام می‌شود تا مشخص شود آیا می‌توان از سد وصله عبور کرد یا گونه‌های مشابهی از آسیب‌پذیری همچنان وجود دارند.
در مرحله دوم، سازمان‌های آسیب‌دیده پیش از انتشار عمومی اطلاعات فرصت پیدا می‌کنند اقدامات لازم را انجام دهند. برای مثال، یک توزیع‌کننده نرم‌افزار ممکن است وصله را برای نسخه‌ای قدیمی‌تر سازگار کند، یک شرکت میزبانی وب راهکار موقتی برای کاهش خطر را بیازماید و یک شرکت امنیت سایبری قواعدی برای دیوار آتش برنامه‌های وب تدوین کند. این قواعد ترافیک مخرب را پیش از رسیدن به برنامه مسدود می‌کنند.
در مرحله سوم، نهادهای دولتی نیز وارد فرایند می‌شوند. در پرونده PHP، OpenAI و شرکای آن با نیروی ویژه ابرهوش کاخ سفید، دفتر مدیر ملی امنیت سایبری آمریکا، آژانس امنیت سایبری و زیرساخت آمریکا (CISA) و شرکای بین‌المللی همکاری کردند. در مرحله چهارم، پس از نهایی‌شدن وصله و برنامه افشای اطلاعات، مسئولان نگهداری نرم‌افزار دامنه اطلاع‌رسانی را گسترش می‌دهند و توزیع‌کنندگان، ارائه‌دهندگان خدمات و اپراتورهای بیشتری را در جریان می‌گذارند. در مرحله پنجم، پس از انتشار وصله، راهنمایی‌های لازم منتشر می‌شود و تیم‌های مسئول تا زمان استقرار وصله‌ها از اپراتورها پشتیبانی می‌کنند.
چه کسانی زودتر مطلع می‌شوند و چه میزان اطلاعات دریافت می‌کنند؟
چارچوب پیشنهادی OpenAI برای تعیین افرادی که پیش از دیگران به اطلاعات دسترسی پیدا می‌کنند، سه عامل را در نظر می‌گیرد: نقش حفاظتی سازمان، مدت‌زمان موردنیاز آن برای اقدام و توانایی‌اش در مدیریت اطلاعات حساس. همین معیارها برای سازمان‌های مشابه نیز به کار می‌روند و تصمیم نهایی بر عهده مسئولان نگهداری نرم‌افزار است. میزان اطلاعاتی که هر مشارکت‌کننده دریافت می‌کند، متناسب با وظایف او خواهد بود؛ این اطلاعات می‌تواند از گزارش‌های ثبت‌شده در شبکه که نشانه‌های نفوذ را مشخص می‌کنند تا اکسپلویت‌های اثبات مفهوم و قابل اجرا را دربر بگیرد.
OpenAI نوشت: «حتی اطلاعات محدود نیز می‌تواند یک آسیب‌پذیری را آشکار کند.» بر اساس این برنامه، اگر از نقص امنیتی در دنیای واقعی سوءاستفاده شود، اطلاعات آن به بیرون درز کند، وصله‌ای عمومی جزئیات زیادی را فاش کند یا تأخیر در رفع مشکل خطر را برای کاربران افزایش دهد، تیم‌های مسئول باید زمان‌بندی افشای اطلاعات را دوباره بررسی کنند.
OpenAI خواستار همکاری در چه زمینه‌هایی است؟
OpenAI از مسئولان نگهداری نرم‌افزار، پژوهشگران و اپراتورها می‌خواهد درباره مدت‌زمان مناسب برای مهلت افشای آسیب‌پذیری‌ها، چگونگی ایجاد تعادل میان اطلاع‌رسانی زودهنگام به طیف گسترده‌ای از سازمان‌ها و خطر نشت اطلاعات، و روش رفع مشکلات در نسخه‌های قدیمی بسته‌های نرم‌افزاری که دیگر به‌روزرسانی امنیتی دریافت نمی‌کنند، نظر بدهند.
یکی از پرسش‌ها فراتر می‌رود: آیا دولت‌ها یا اپراتورها باید بتوانند از یک آسیب‌پذیری برای وصله‌کردن سامانه‌هایی استفاده کنند که مالک آن‌ها هستند یا مجاز به مدیریتشان هستند، حتی اگر دسترسی مدیریتی خود را از دست داده باشند؟ OpenAI تصویری از وضعیت نهایی مطلوب نیز ترسیم کرده است: اسکن مداوم سراسر اینترنت برای شناسایی آسیب‌پذیری‌ها؛ فرایندی که یا به مالکان وب‌سایت‌ها هشدار می‌دهد یا مستقیماً خود سامانه را وصله می‌کند.