کلیدهای سرقت‌شده API کلود و OpenAI چگونه بازار سیاه استخراج توانمندی از مدل‌های هوش مصنوعی را رونق می‌دهند

در روزهای پایانی اکتبر، یکی از بحث‌برانگیزترین گفت‌وگوها در میان توسعه‌دهندگان درباره عرضه مدل جدید هوش مصنوعی نبود؛ موضوع، رخنه‌ای امنیتی بود که هنوز اتفاق نیفتاده بود و آنچه این ماجرا درباره زنجیره تأمین رونق هوش مصنوعی آشکار می‌کرد. تئودور «تئو» براون، توسعه‌دهنده و مفسر حوزه فناوری، در پادکست t3.gg گفت: «هر پلتفرمی که کلیدهای API را نگهداری می‌کند، حالا هدف حمله است.» او در ادامه، خسارت‌های آن هفته را برشمرد: نفوذ به دو پلتفرم میزبانی، تشدید پیامدهای یک آسیب‌پذیری بحرانی در PHP به‌دلیل نقض زمان‌بندی افشای محرمانه و شکل‌گیری بازاری سیاه برای اعتبارنامه‌های سرقت‌شده هوش مصنوعی؛ بازاری که به گفته او، نه صرفاً مجرمان، بلکه خود آزمایشگاه‌های هوش مصنوعی به ایجاد آن دامن می‌زنند.

دیدگاه او با روایت متداول درباره رخنه‌های امنیتی تفاوت دارد. در این موارد، داده‌های سرقت‌شده فهرست مشتریان یا اطلاعات پرداخت نبودند، بلکه کلیدهای API بودند؛ رشته‌هایی از اطلاعات که به توسعه‌دهندگان امکان می‌دهند از طریق رابط برنامه‌نویسی کاربردی با کلود و OpenAI ارتباط برقرار کنند. دلیل ارزشمند بودن این کلیدها، به قلب رقابت میان شرکت‌های هوش مصنوعی مربوط می‌شود.

بازه زمانی آسیب‌پذیری تقریباً به صفر رسیده است

در طول دو دهه، متخصصان امنیت سایبری بر اساس الگویی نسبتاً قابل اتکا عمل می‌کردند: پژوهشگری یک نقص را پیدا می‌کند، عرضه‌کننده نرم‌افزار بی‌سروصدا آن را برطرف می‌کند و کاربران فرصت دارند پیش از آنکه مهاجمان وصله امنیتی را مهندسی معکوس کنند، سیستم‌های خود را به‌روزرسانی کنند. این فرصت که «بازه زمانی آسیب‌پذیری» نامیده می‌شود، به باور براون، با ظهور هوش مصنوعی تقریباً از بین رفته است.

او توضیح داد که عامل‌های هوش مصنوعی اکنون می‌توانند «تک‌تک تغییرات کد را با وسواس بررسی کنند و تغییرات مرتبط با امنیت را پیدا کنند». حتی لازم نیست در پیام ثبت تغییرات، عبارت «اصلاح امنیتی» ذکر شده باشد. یک مدل می‌تواند تفاوت‌های کد پیش و پس از اصلاح را بخواند، تشخیص دهد چه چیزی برطرف شده و برای نسخه‌های قدیمی‌تر، اکسپلویتی عملی تولید کند. اگر مدل یک آزمایشگاه پیشرو از انجام چنین کاری خودداری کند، مدل دیگری با وزن‌های باز ممکن است آن را انجام دهد. براون بارها به این مسئله بازمی‌گردد که امتناع مدل‌های پیشرفته از پاسخ‌گویی به درخواست‌های امنیتی، دست مدافعان را نیز می‌بندد و در عین حال، مهاجمان همچنان به گزینه‌های جایگزین دسترسی دارند.

این سازوکار توضیح می‌دهد که چرا براون افشای آسیب‌پذیری PHP را خطرناک‌ترین مورد در فهرست آن هفته می‌داند. هر دو نقص امتیاز ۹٫۲ در مقیاس CVSS داشتند؛ امتیازی نزدیک به بالاترین سطح شدت. این آسیب‌پذیری‌ها اجرای کد از راه دور را در هسته PHP امکان‌پذیر می‌کردند؛ وضعیتی که به‌طور غیررسمی از آن با عنوان «تبدیل PHP به شِل» یاد می‌شود. در چرخه‌ای معمول، فرصت سوءاستفاده از چنین نقصی قابل مدیریت بود، اما این بار به‌دلیل نقض محرمانگی زمان‌بندی‌شده افشا، شرایط متفاوت شد.

محرمانگی‌ای که دوام نیاورد

افشای هماهنگ آسیب‌پذیری‌ها تنها زمانی مؤثر است که همه طرف‌ها اصلاحات را طبق یک برنامه زمانی مشترک منتشر کنند. بنیاد PHP اعلام کرد که شرکت ChainGuard تصاویر کانتینری اصلاح‌شده PHP را چند ساعت زودتر از موعد عرضه کرده است. در نتیجه، مهاجمان توانستند وصله را بررسی کنند، در حالی که توزیع‌کنندگان دیگر هنوز مشغول آماده‌سازی به‌روزرسانی‌های خود بودند.

بر اساس فرض‌های قدیمی، چنین اتفاقی صرفاً دردسرساز است؛ اما در چارچوب تحلیلی براون، به یکی از بدترین سناریوهای ممکن نزدیک می‌شود. او تأکید می‌کند که برداشت‌های مرتبط با امنیت ملی از این رویداد اغراق‌آمیزند. اشاره به اف‌بی‌آی، نه آژانس امنیت ملی آمریکا (NSA)، تنها در بخشی از صحبت‌های او مطرح می‌شود و حتی در همان‌جا نیز بیشتر نشانه‌ای از شدت ماجراست تا توضیحی فنی. او گفت: «فکر می‌کنم اگر اف‌بی‌آی درباره آن در شبکه‌های اجتماعی مطلب منتشر کند، می‌توان گفت اوضاع واقعاً جدی است.»

اف‌بی‌آی از سازمان‌ها خواست فوراً سیستم‌های خود را به‌روزرسانی کنند، اگر این کار ممکن نیست سامانه‌های متصل به اینترنت را از دسترس خارج کنند، محل اجرای PHP را در زیرساخت‌های خود شناسایی کنند و مراقب فرایندهای PHP باشند که پوسته‌های خط فرمان را اجرا می‌کنند یا فایل‌هایی را دانلود می‌کنند. خود این توصیه گویاست: در دنیایی که هوش مصنوعی سرعت حملات را افزایش داده، پاسخ به یک نقص بحرانی بیش از پیش به قطع اتصال دستگاه وابسته شده است، نه صرفاً امید بستن به اینکه نصب وصله پیش از سوءاستفاده مهاجمان انجام شود.

آمار «۷۰ درصد وب با PHP اجرا می‌شود» گمراه‌کننده است

براون سپس کاری غیرمعمول در یک گفت‌وگوی امنیتی انجام می‌دهد: او یکی از آمارهایی را زیر سؤال می‌برد که مرتب تکرار می‌شود. معمولاً گفته می‌شود PHP حدود ۷۰ درصد وب را پشتیبانی می‌کند؛ رقمی که قرار است گستردگی فاجعه احتمالی را نشان دهد.

استدلال او این است که این رقم تعداد صفحات را می‌شمارد، نه میزان ترافیک را، و بخش بزرگی از آن نیز به وب‌سایت‌های متروکه و بدون نگهداری مربوط می‌شود. او زبانه‌های باز مرورگر خود را مرور می‌کند؛ از Railway و گفت‌وگوی یوتیوب گرفته تا توییتر، توییچ، گیت‌هاب و سرویس‌های خودش؛ و می‌گوید هیچ‌یک از آن‌ها با PHP اجرا نمی‌شوند. برای روشن‌تر شدن نکته، مثالی می‌زند: اگر همه انسان‌هایی را که تاکنون زندگی کرده‌اند در محاسبه زمان متوسط استفاده روزانه از صفحه‌نمایش لحاظ کنیم، میانگین زمان استفاده هر نفر به کمتر از یک ساعت در سال می‌رسد. این عدد ممکن است از نظر ریاضی درست باشد، اما برای تحلیل کاربردی ارزشی ندارد.

او خطر را انکار نمی‌کند، بلکه محل اصلی آن را متفاوت می‌داند. وب‌سایت‌های رهاشده‌ای که سازندگانشان سال‌ها پیش آن‌ها را کنار گذاشته‌اند، بخش مهمی از سطح حمله را تشکیل می‌دهند. براون از وب‌سایتی برای خدمات ماهیگیری تفریحی یاد می‌کند که در دوران دبیرستان برای عمویش ساخته و پس از آن هرگز نگهداری نکرده بود؛ سایتی که بعدها مورد نفوذ قرار گرفت. او همچنین می‌گوید وردپرس، که به گفته او میزبان بیش از ۵۰ درصد وب‌سایت‌هاست، «حتی از PHP به‌تنهایی هم آسیب‌پذیرتر است». خطر عمدتاً در وب‌سایت‌های دولتی و کسب‌وکارهای کوچکِ رهاشده متمرکز است، نه لزوماً در بخش‌هایی از وب که بیشترین ترافیک را دارند. این تمایز برای سرمایه‌گذاران اهمیت دارد، زیرا یک آمار نگران‌کننده ممکن است محل واقعی نیاز به هزینه‌کرد برای رفع آسیب‌پذیری‌ها را پنهان کند.

دارایی سرقت‌شده اعتبارنامه بود، نه اطلاعات مشتریان

اگر آسیب‌پذیری‌های امنیتی ثبت‌شده در فهرست CVE بخش نخست اخبار آن هفته بودند، رخنه‌ها بخش دیگر آن را تشکیل می‌دادند. براون می‌گوید نیمه دوم ماجرا، یعنی حملات عملی، نگران‌کننده‌تر است؛ زیرا در هر دو مورد، آنچه به سرقت رفت دسترسی بود، نه اطلاعات.

OpenCode نمونه روشن‌تری از این وضعیت است. کلیدهای API که کاربران در بخش مدیریتی این پلتفرم و روی سرورهای آن ذخیره کرده بودند، از جمله کلیدهای Anthropic، OpenAI، Gemini و سرویس‌های دیگر، به سرقت رفتند و مورد استفاده قرار گرفتند. توسعه‌دهندگان گزارش دادند که کلیدهای OpenAI و Anthropic مصرف شده و حساب‌هایشان تعلیق شده است. همچنین گزارش‌هایی از سوءاستفاده‌هایی به ارزش حدود ۴۰۰ تا ۳۰۰۰ دلار در فاصله چند دقیقه پس از کشف کلیدها منتشر شد. OpenCode همه کلیدها را تعویض کرد و برای بازپرداخت هزینه‌ها و بازگرداندن حساب‌ها با آزمایشگاه‌های هوش مصنوعی همکاری کرد.

ماجرای Railway پیچیده‌تر بود. این شرکت فعالیت‌های غیرعادی را در سامانه‌هایی شناسایی کرد که متغیرهای محیطی مشتریان را ذخیره می‌کردند. طبق اطلاعیه شرکت، ممکن بود شخص ثالثی بدون مجوز به متغیرهای محیطی رمزگذاری‌شده دسترسی یافته باشد و در برخی موارد، محتوای رمزگشایی‌شده آن‌ها را نیز به دست آورده باشد. این اطلاعات محرمانه می‌توانست شامل کلیدهای API و اعتبارنامه‌های پایگاه داده و مخازن نرم‌افزاری باشد.

براون اضافه می‌کند که سرویس استقرار نرم‌افزار این شرکت نیز از کار افتاده بود، اما تأکید دارد که این دو اختلال جدا از یکدیگرند و از ناپایداری سرویس انتقاد می‌کند. استقرارهای خود او از ساعت یک بامداد همان روز از دسترس خارج شده بودند و با وجود تعویض کلیدها، امکان استقرار مجدد را نداشت. او گفت Railway همواره یکی از ناپایدارترین بخش‌های زیرساختش بوده و اکنون از این نظر «به گیت‌هاب نزدیک شده است». براون اعلام کرد که در استفاده از این پلتفرم برای میزبانی نرم‌افزارهای مهم تجدیدنظر خواهد کرد؛ هرچند پذیرفت که حذف تبلیغاتی که برای این بخش در نظر گرفته بود، ده‌ها هزار دلار برایش هزینه خواهد داشت.

چرا کسی برای کلیدی پول می‌دهد که ظرف چند ساعت باطل می‌شود؟

براون در این مرحله توضیح‌های متداول را کنار می‌گذارد. به گفته او، تولید ایمیل‌های کلاهبرداری؟ مدل‌های ارزان با وزن‌های باز از عهده آن برمی‌آیند. ارزهای دیجیتال؟ «حرف بی‌معنی است.» او معتقد است پاسخ واقعی در استخراج توانمندی از مدل‌ها، یا «دیستیلیشن» (Distillation)، نهفته است.

آزمایشگاهی که نمی‌تواند از خدمات استنتاج Anthropic یا OpenAI به‌صورت قانونی و مستقیم استفاده کند، ممکن است با کلیدهای سرقت‌شده داده‌های آموزشی تولید کند؛ آن هم پیش از آنکه این کلیدها باطل شوند. داده ارزشمند در اینجا خروجی‌های عمومی یک چت‌بات نیست، بلکه ردپای عملکرد عامل‌های کدنویسی است: ثبت جزئیات چگونگی حل یک وظیفه به‌وسیله مدل در محیط ترمینال و با استفاده از ابزارها. گردآوری این ردپاها صرفاً از طریق استخراج اطلاعات از اینترنت ممکن نیست، زیرا دسترسی به بسیاری از محیط‌ها محدود است و نمونه‌های عمومی اندکی از این نوع وجود دارد. براون می‌گوید دسترسی به تعداد کافی از ردپاهای کلود به یک آزمایشگاه اجازه می‌دهد مدلی را با هدف دستیابی به توانمندی‌های مشابه آموزش دهد، بی‌آنکه ناچار باشد محیط‌هایی را که این داده‌ها در آن‌ها تولید شده‌اند، خودش بسازد.

او توضیح می‌دهد که خرید مستقیم چنین دسترسی‌ای امکان‌پذیر نیست، زیرا Anthropic فروش آن را ممنوع کرده است. بنابراین، سیاست این شرکت تقاضایی را ایجاد می‌کند که قصد دارد سرکوبش کند؛ با این تفاوت که این تقاضا به کانالی غیررسمی منتقل می‌شود. جدول زیر توضیح می‌دهد که چرا یک کلید با عمر کوتاه نیز می‌تواند ارزش مالی قابل توجهی داشته باشد.

اقدامات مقابله‌ای Anthropic به یک نظام سخت‌گیرانه نظارتی و انطباقی شباهت دارد: شناسایی تلاش برای استخراج توانمندی از طریق بررسی الگوهای درخواست، احراز هویت مشتریان، تعیین سقف استفاده متناسب با قدمت حساب و مسدودسازی کامل برخی نشانی‌های IP و مناطق جغرافیایی. براون می‌گوید Anthropic تلاش‌های آزمایشگاه‌های چینی برای جمع‌آوری این داده‌ها را مسدود کرده و به‌طور موقت شرکت‌های آمریکایی مانند Windsurf را نیز تحریم کرده است؛ اقدامی که بنا بر گزارش‌ها، به این گمان مربوط می‌شد که OpenAI ممکن است این شرکت را خریداری کند. او همچنین می‌گوید این شرکت دسترسی شرکت‌هایی در کره جنوبی، از جمله برخی سرمایه‌گذاران، را به‌دلیل ظن به فروش مجدد کلیدها به آزمایشگاه‌های چینی قطع کرده است.

برداشت براون این است که Anthropic هم از ایمنی و هم از جایگاه خود در بازار دفاع می‌کند و به‌عنوان فروشنده حق دارد چنین سیاستی را در پیش بگیرد. با این حال، او بر پیامد ساختاری این تصمیم تأکید می‌کند: «تمایل Anthropic به اینکه نگذارد آن‌ها به این توکن‌ها دسترسی پیدا کنند و از این خدمات استنتاج استفاده کنند، پیامد جانبی عجیبی ایجاد کرده است؛ کاربران، مشتریان و سازندگانی مانند Railway و OpenCode اکنون به شیوه‌هایی هدف حمله قرار می‌گیرند که پیش از این سابقه نداشته است.»

براون در میان صحبت‌هایش با لحنی کنایه‌آمیز به نکته‌ای اشاره می‌کند که می‌تواند نشانه‌ای از رقابت میان آزمایشگاه‌ها نیز باشد: به گفته او، هیچ‌کس، حتی خود گوگل، برای استخراج توانمندی از مدل Gemini تلاش نمی‌کند.

دو نوع مشکل متفاوت و مسئله امتناع مدل‌ها

براون با قاطعیت می‌گوید آسیب‌پذیری‌های افشاشده در Node.js، GitLab، PHP و Oracle هیچ ارتباطی با حملات فعال علیه Railway و OpenCode ندارند و از یکی دانستن این دو دسته به‌شدت انتقاد می‌کند. او گفت: «اگر فکر می‌کنید حمله به PHP با حمله به Railway یا OpenCode مرتبط است، امیدوارم بیش از حد به این حوزه توسعه نرم‌افزار وابسته نباشید، چون خیلی زود کلود جای شما را خواهد گرفت.»

او در میانه گفت‌وگو، فهرست موارد را نیز اصلاح می‌کند: رخدادی که هنگام ضبط برنامه برای Oracle اتفاق افتاد، یک آسیب‌پذیری ثبت‌شده در قالب CVE بود، نه یک حمله. مورد LightLLM نیز در هیچ‌یک از این دو دسته قرار نمی‌گیرد، زیرا یک خط لوله GitHub Actions ربوده‌شده باعث انتشار نسخه‌ای مخرب بر روی بسته‌ای موجود شده بود. براون همچنین یادآوری می‌کند که به‌روزرسانی امنیتی Node.js در ۲۱ اکتبر، شاخه‌های مبتنی بر نسخه‌های ۲۶، ۲۴ و ۲۲ را پوشش می‌دهد و نقص‌های مرتبط با OpenSSL و سامانه DNS کتابخانه c-ares را برطرف می‌کند.

در تمام این بحث‌ها، نارضایتی او از امتناع مدل‌ها از انجام برخی درخواست‌ها نیز به چشم می‌خورد. مدل‌هایی که بیشترین توانایی را برای یافتن و اصلاح نقص‌های امنیتی دارند، از جمله مدل‌های Anthropic، ممکن است از انجام کارهای امنیتی روزمره خودداری کنند، چون احتمال می‌دهند درخواست‌کننده مهاجم باشد. در نتیجه، مدافعان ناچار می‌شوند به مدل‌های دارای وزن باز روی بیاورند؛ همان گزینه جایگزینی که به گفته براون، مهاجمان نیز از آن استفاده می‌کنند.

او ابزارهای امنیتی CodeRabbit را نمونه‌ای از راهکارهای مقابله با این مشکل می‌داند، زیرا این ابزار وظایف مختلف را به مدل‌های متفاوت می‌سپارد تا از امتناع‌های غیرضروری عبور کند. با این حال، بخش مربوط به این ابزار در گفت‌وگو یک بخش تبلیغاتی از سوی حامی مالی برنامه بود و نکته اصلی بحث، مسئله امتناع مدل‌ها از کمک به کارهای امنیتی است.

تناقض حل‌نشده ماجرا تقریباً عجیب است: ممنوعیت فروش خدمات استنتاج از سوی یک عرضه‌کننده به برخی خریداران، بازاری سیاه ایجاد می‌کند که در نهایت به رخنه در سیستم‌های شرکت‌های ثالث می‌انجامد؛ سپس مدل‌های همان عرضه‌کننده ممکن است از کمک به پاک‌سازی پیامدهای این حملات نیز خودداری کنند.

چه تحولاتی را باید زیر نظر گرفت؟

پیش‌بینی براون صریح است: اوضاع پیش از بهتر شدن، بدتر خواهد شد. او یادآوری می‌کند که شش ماه پیش، بازه‌ای سه تا نه‌ماهه را برای تشدید این وضعیت پیش‌بینی کرده بود و اکنون می‌گوید زمان‌بندی‌اش «دقیقاً درست از آب درآمده است». توصیه عملی او محدود و مشخص است: همه چیز را به‌روز نگه دارید، محل تمرکز رخدادهای امنیتی را زیر نظر بگیرید و کلیدهای API را جدا از یکدیگر نگهداری کنید تا در صورت لزوم بتوان آن‌ها را به‌سرعت باطل کرد.

برای سرمایه‌گذاران، نکته مهم این است که سیاست‌های آزمایشگاه‌های هوش مصنوعی اکنون به مجرایی برای انتقال ریسک در سراسر صنعت تبدیل شده‌اند. تصمیم‌های Anthropic و OpenAI درباره اینکه چه کسانی بتوانند خدمات استنتاج بخرند و این شرکت‌ها با چه شدتی تلاش‌های استخراج توانمندی از مدل‌ها را شناسایی کنند، فقط بر درآمد خودشان اثر نمی‌گذارد. این سیاست‌ها تقاضا را به بازارهای سیاه سوق می‌دهند؛ بازارهایی که ارائه‌دهندگان معمولی خدمات میزبانی را به هدف حمله تبدیل می‌کنند و هزینه قطعی سرویس و سرقت اعتبارنامه‌ها را بر دوش توسعه‌دهندگان کوچک می‌گذارند.

احضاریه‌های اخیر کمیسیون تجارت فدرال آمریکا (FTC) برای هر دو آزمایشگاه درباره افشای اطلاعات مرتبط با ایمنی و امنیت نیز اهمیت نظارتی این موضوع را افزایش داده است. هم‌زمان، با رقابت شرکت‌های رقیب برای کاهش فاصله توانمندی با مدل‌های پیشرو، انگیزه به‌دست آوردن ردپاهای عملکرد مدل‌ها، چه از راه قانونی و چه غیرقانونی، افزایش می‌یابد. هر سازمانی که زیرساخت نرم‌افزاری خود را روی پلتفرم‌های میزبانی مشترک اجرا می‌کند، باید فرض را بر این بگذارد که متغیرهای محیطی آن اکنون هدفی ارزشمند برای مهاجمان هستند. سرمایه‌گذارانی هم که عملکرد مالی این کسب‌وکارها را ارزیابی می‌کنند، باید احتمال دهند رخنه‌های امنیتی ناشی از سرقت اعتبارنامه‌ها به یکی از هزینه‌های تکرارشونده فعالیت در این صنعت تبدیل شود.