پیشتازی ابزارهای امنیتی هوش مصنوعی از قوانین کره جنوبی
بیش از ۶۰ مدیر اجرایی شرکت‌های کره جنوبی، از جمله مدیران ارشد امنیت اطلاعات، روز ۱۶ اکتبر در هتل وستین سئول پارناس در منطقه گانگنام سئول گرد هم آمدند. برگزارکننده این نشست، برخلاف انتظار، یک شرکت سنتی امنیت سایبری نبود، بلکه اوپن‌ای‌آی، شرکت آمریکایی فعال در حوزه هوش مصنوعی، بود. این شرکت از سامانه دفاعی مبتنی بر هوش مصنوعی خود با نام «دی‌بریک» (Daybreak) رونمایی کرد؛ ابزاری که برای شناسایی آسیب‌پذیری‌های امنیتی و پیشنهاد راه‌های رفع آن‌ها طراحی شده است.
شرکت‌های هوش مصنوعی که پیش‌تر به‌واسطه چت‌بات‌های خود شناخته می‌شدند، اکنون در حال ورود به حوزه امنیت سایبری هستند. انتروپیک ابزار «کلود سکیوریتی» (Claude Security) را عرضه کرده است که کد منبع نرم‌افزارها را برای یافتن آسیب‌پذیری‌ها بررسی می‌کند و در رفع آن‌ها نیز کمک می‌کند. گوگل هم «پروژه فیر‌ویند» (Project Fairwind) را معرفی کرده است؛ ابزاری مبتنی بر هوش مصنوعی با تمرکز بر امنیت که فقط در اختیار سازمان‌های تأییدشده قرار می‌گیرد. شرکت‌های کره جنوبی نیز به این عرصه وارد شده‌اند. سامسونگ اس‌دی‌اس و شرکت امنیت سایبری اس‌تو‌دبلیو به دی‌بریک پیوسته‌اند و شرکت تئوری (Theori)، فعال در زمینه هک اخلاقی، در برنامه‌های اوپن‌ای‌آی و انتروپیک مشارکت دارد. همچنین، در ۸ اکتبر، اس‌کی تلکام و آپ‌استیج با همکاری آهان‌لب و چند شرکت دیگر، کنسرسیومی برای امنیت هوش مصنوعی تشکیل دادند.
شتاب گرفتن توسعه این ابزارها چندان تعجب‌آور نیست. هکرها هم‌اکنون از هوش مصنوعی برای شناسایی نقاط ضعف سامانه‌ها با سرعتی بی‌وقفه استفاده می‌کنند. یک ابزار متن‌باز آزمون نفوذ مبتنی بر هوش مصنوعی که در گیت‌هاب، پلتفرم اشتراک‌گذاری کد میان توسعه‌دهندگان، در دسترس است، توسط هر کسی قابل دانلود است و می‌تواند برای اجرای حملات مورد استفاده قرار گیرد. اوایل همین ماه، روزنامه حاضر این ابزار را که ارتباط آن با حملات به مؤسسات مالی گزارش شده است، روی یک سرور آزمایشی امتحان کرد. سرور در کمتر از یک دقیقه نفوذپذیر شد. مدافعان انسانی به‌تنهایی نمی‌توانند با چنین سرعتی رقابت کنند. اکنون تیم‌های امنیتی نیز به ابزارهای هوش مصنوعی نیاز دارند تا پیش از مهاجمان، نقاط ضعف را شناسایی کنند.
با این حال، قوانین هنوز با این تحولات همگام نشده‌اند. بند ۱ ماده ۴۸ قانون شبکه‌های اطلاعاتی و ارتباطاتی کره جنوبی، دسترسی به شبکه بدون مجوز یا فراتر رفتن از محدوده دسترسی مجاز را ممنوع می‌کند. این قانون هیچ حمایت حقوقی مشخصی برای آزمون‌های امنیتی‌ای که با حسن نیت انجام می‌شوند، در نظر نگرفته است.
شرکت‌ها در حال حاضر می‌توانند سامانه‌های خود یا سامانه‌های مشتریانی را که اجازه داده‌اند، با استفاده از هوش مصنوعی آزمایش کنند. کنسرسیوم امنیتی و ابزار دی‌بریک نیز در همین چارچوب فعالیت می‌کنند. اما هکرها برای نفوذ به سامانه‌ها از هر مسیر ممکنی، از جمله شرکای تجاری و دیگر ارتباطات خارجی، بهره می‌گیرند. هدف آزمون نفوذ این است که چنین مسیرهایی پیش از سوءاستفاده مجرمان شناسایی شوند. با این حال، هوش مصنوعی می‌تواند به‌طور مستقل راهی برای ورود به یک سامانه پیدا کند و در این فرایند از مرزهای قانونی عبور کند. حتی اگر هدف، تقویت امنیت باشد، دسترسی بدون مجوز ممکن است جرم محسوب شود. در نتیجه، شرکت‌هایی که می‌خواهند سامانه‌های دفاعی خود را در شرایطی شبیه به حملات واقعی آزمایش کنند، با خطرات حقوقی روبه‌رو هستند.
دولت نیز این خلأ قانونی را به رسمیت شناخته است. امسال، نخستین طرح آزمایشی خود را آغاز کرد که به هکرهای کلاه‌سفید ثبت‌شده اجازه می‌دهد سامانه‌های مشخصی را در هفت شرکت خصوصی و هشت نهاد عمومی با استفاده از هوش مصنوعی آزمایش کنند. افرادی که آسیب‌پذیری‌های کشف‌شده را گزارش دهند، از مسئولیت حقوقی معاف می‌شوند. با این حال، این حمایت فقط شامل همان ۱۵ سازمان است. کار برای تدوین معافیت قانونی گسترده‌تری که شرکت‌ها و نهادهای سراسر کشور را در بر بگیرد، تا سال ۲۰۲۷ آغاز نخواهد شد. احتیاط دولت از این نگرانی ناشی می‌شود که افشای آسیب‌پذیری‌ها به اعتبار شرکت‌ها لطمه بزند و خود فرایند آزمایش نیز اطلاعات شخصی را در معرض خطر قرار دهد.
دولت در حال توسعه مدل هوش مصنوعی اختصاصی خود با تمرکز بر امنیت نیز هست، اما این کار تازه در ماه سپتامبر آغاز شده و انتظار نمی‌رود سامانه تا سال آینده آماده شود. وزارت علوم و فناوری اطلاعات و ارتباطات کره جنوبی در جریان جلسه بررسی عملکرد پارلمانی در ۱۵ اکتبر اذعان کرد که این پروژه از تحولات روز عقب افتاده است. پس از هک شدن ۱۶ مؤسسه مالی، نهادهای ناظر مالی اعلام کردند که قصد دارند دفعات بررسی آسیب‌پذیری‌ها را افزایش دهند؛ به‌طوری که این بررسی‌ها، ابتدا در مؤسسات بزرگ، از سالی یک بار به دست‌کم دو بار در سال برسد. ایجاد زیرساخت لازم برای آزمون امنیتی مبتنی بر هوش مصنوعی همچنان در حد یک هدف باقی مانده و زمان‌بندی مشخصی ندارد. در حالی که هوش مصنوعی شبانه‌روز به جست‌وجوی نقاط ضعف مشغول است، واکنش اصلی این بوده که از کارشناسان انسانی خواسته شود بررسی‌ها را با دفعات بیشتری انجام دهند.
در همان جلسه بررسی پارلمانی، یکی از نمایندگان هشدار داد که مهاجمان با نیزه‌ای از پیشرفته‌ترین فناوری‌های هوش مصنوعی به میدان آمده‌اند، در حالی که مدافعان همچنان به سپری منسوخ از قرن بیستم متکی هستند. فناوری لازم برای ساخت سپری قدرتمندتر هم‌اکنون وجود دارد؛ آنچه کمبودش احساس می‌شود، مبنای قانونی روشنی برای استفاده از این فناوری است. دولت باید هرچه سریع‌تر با حمایت قانونی از آزمون‌های امنیتی‌ای که با حسن نیت انجام می‌شوند، از این فعالیت‌ها محافظت کند و طرح آزمایشی فعلی را به سازوکاری دائمی تبدیل کند.