چشم‌انداز امنیت سایبری به نقطه‌ای بحرانی و شکننده رسیده است و به مدیران امنیت هشدار داده می‌شود که خود را برای موجی از تهدیدها آماده کنند. در پی مجموعه‌ای از هشدارهای گسترده درباره آسیب‌پذیری‌های روزصفر و نقص‌های امنیتی بحرانی، از جمله انتشار وصله‌های اضطراری برای دو آسیب‌پذیری مهم PHP و به‌خطر افتادن کلید گواهی دیجیتال eMudhra، جیسون دی. کلینتون، معاون مدیر ارشد امنیت اطلاعات (CISO) شرکت آنتروپیک، هشداری جدی به صنعت فناوری داده است.
کلینتون در واکنش به رویدادهای سایبری اخیر، در شبکه اجتماعی ایکس (توییتر سابق) نوشت که موج کنونی سوءاستفاده از آسیب‌پذیری‌های امنیتی، تنها آغاز تحولی بسیار گسترده‌تر است.
او نوشت: «با وجود اینکه اوضاع در چهار روز گذشته تا این اندازه بد شده، پیش از آنکه بهتر شود، بسیار بدتر هم خواهد شد. مدیران امنیت، اجازه ندهید یک بحران بی‌ثمر بماند؛ همین حالا به سراغ هیئت‌مدیره سازمان خود بروید و درخواست کمک کنید. نه برای هوش مصنوعی، بلکه برای اصول اولیه امنیت. (باید حدود ۱۸ ماه دوام بیاوریم.)»
as bad as things have gotten in the past 4 days, they are going to get a lot worse before they get better. security leaders, never let a crisis go to waste: please go to your boards and ask for help right now. not for ai, for the basics. (we need to hold on for ~18 months.) https://t.co/bcZp4heDtS
— Jason D. Clinton 🔸 (@JasonDClinton)، ۲۲ اکتبر ۲۰۲۶
سونامی آسیب‌پذیری‌ها در راه است
فوریت هشدار کلینتون از آنچه او «سونامی آسیب‌پذیری‌ها» می‌نامد، ناشی می‌شود؛ موجی که به گفته او در راه است. با افزایش توانایی مدل‌های پیشرفته هوش مصنوعی در شناسایی، تحلیل و تولید کدهای بهره‌برداری از آسیب‌پذیری‌ها، ممکن است سرعت تبدیل نقص‌های نرم‌افزاری به ابزارهای حمله از چرخه‌های معمول مدیریت و انتشار وصله‌های امنیتی پیشی بگیرد.
کلینتون در بازنشر هشدارهای قبلی خود تأکید کرد که سازمان‌ها باید بی‌درنگ برای جداسازی زیرساخت‌های حیاتی اقدام کنند و منتظر انتشار اصلاحیه‌های نرم‌افزاری نمانند.
او نوشت: «سونامی آسیب‌پذیری‌ها تنها چند ماه دیگر از راه می‌رسد و برای وصله‌کردن زیرساخت‌های حیاتی وقت کافی نخواهد بود. جداسازی شبکه که در ادامه توضیح داده شده است، از جمله استفاده از شبکه‌های ایزوله از اینترنت و دیودهای داده، همین حالا ضروری است!»
این ارزیابی در شرایطی مطرح می‌شود که ابزارهای اسکن خودکار و مدل‌های هوش مصنوعی، کشف آسیب‌پذیری‌های پنهان در نرم‌افزارهای متن‌باز و زیرساخت‌های اینترنتی را بسیار آسان‌تر کرده‌اند. رویدادهای اخیر که در آن‌ها مدل‌های GPT به شناسایی نقص‌های امنیتی بحرانی کمک کردند، جنبه دوگانه این فناوری را نشان می‌دهند: همان قابلیت‌هایی که به مدافعان در بررسی امنیتی کدها کمک می‌کنند، می‌توانند در اختیار مهاجمان مخرب نیز قرار بگیرند تا پیش از انتشار وصله‌ها، زنجیره‌های حمله خودکار را به اجرا درآورند.
افق ۱۸ماهه: رسیدن به «Vulnzero»
وقتی کاربران در ایکس از کلینتون پرسیدند که قرار است طی ۱۸ ماه آینده چه تغییری رخ دهد، او تصویری از آینده ترسیم کرد که در آن، قوانین مقیاس‌پذیری هوش مصنوعی برتری را به‌طور پایدار به مدافعان بازمی‌گردانند.
کلینتون این وضعیت را «Vulnzero» نامید و توضیح داد: «قوانین مقیاس‌پذیری باعث خواهند شد قابلیت‌هایی در سطح مدل‌های سایبری پیشرفته‌ای مانند Mythos به مدل‌های کوچک و ارزان منتقل شوند. در سراسر صنعت توسعه نرم‌افزار، همه از مدل‌هایی استفاده خواهند کرد که هزینه بهره‌گیری از آن‌ها کسری از یک پنی است تا برای همیشه جلوی عرضه نرم‌افزارهای دارای آسیب‌پذیری امنیتی را بگیرند.»
به گفته کلینتون، دوره گذار حدوداً ۱۸ماهه با موجی از سوءاستفاده‌های خودکار و تهاجمی از آسیب‌پذیری‌ها همراه خواهد بود. اما راه‌حل بلندمدت، گنجاندن توانایی استدلال امنیتی در سطح مدل‌های پیشرفته در دل فرایندهای توسعه نرم‌افزار است؛ قابلیتی مشابه توانایی‌های پیشرفته حل مسئله کلود که در حل یک معمای رمزنگاری ۲۵ساله نیز مطرح شده است. هنگامی که مدل‌های کوچک و کم‌هزینه بتوانند در زمان کامپایل، امنیت کد را به‌صورت بلادرنگ بررسی کنند، صنعت نرم‌افزار قادر خواهد بود پیش از انتقال کد به محیط عملیاتی، از بروز دسته‌های کاملی از خطاهای نرم‌افزاری جلوگیری کند.
بازگشت به اصول اولیه: توصیه به مدیران ارشد امنیت اطلاعات
با وجود حمایت کلینتون از آینده دفاع سایبری مبتنی بر هوش مصنوعی، توصیه فوری او به مدیران امنیت، برخلاف انتظار، به فناوری‌های پیشرفته وابسته نیست: در حال حاضر باید بر اصول پایه و انضباط امنیتی تمرکز کرد.
به‌جای آنکه تیم‌های امنیتی در میانه بحران برای استفاده از ابزارهای هوش مصنوعی ناپخته و آزمایش‌نشده شتاب‌زده عمل کنند، باید از توجه هیئت‌مدیره به بحران بهره ببرند و بودجه لازم برای اقدامات بنیادی امنیتی را به دست آورند. تا زمانی که مدل‌های هوش مصنوعی نتوانند فاصله میان تولید نرم‌افزار و رفع خطاهای آن را به‌طور کامل از میان ببرند، مدیران امنیت باید با تکیه بر روش‌های دفاعی آزموده‌شده، قابل‌اتکا و مستحکم، سازمان‌های خود را از این دوره پرخطر عبور دهند.
