قرار بود همین اتفاق بیفتد؛ تلاش کردیم به جهان هشدار دهیم: واکنش معاون امنیت اطلاعات آنتروپیک به حملات سایبری اخیر
در حالی که تیم‌های امنیت سایبری در سراسر جهان یکی از دشوارترین هفته‌های سال‌های اخیر را پشت سر می‌گذارند، جیسون دی. کلینتون، معاون ارشد امنیت اطلاعات شرکت آنتروپیک، پیامی منتشر کرده که بیش از آنکه آرامش‌بخش باشد، از پذیرش واقعیتی نگران‌کننده حکایت دارد: وقوع چنین بحرانی از ابتدا قابل پیش‌بینی بود و اوضاع پیش از آنکه رو به بهبود بگذارد، بسیار بدتر خواهد شد.
کلینتون این هشدار را در شبکه اجتماعی ایکس منتشر کرد؛ درست زمانی که تیم‌های زیرساخت در سراسر جهان همچنان درگیر نصب وصله‌های اضطراری برای دو آسیب‌پذیری بحرانی PHP بودند. هم‌زمان، شرکت هندی eMudhra نیز با پیامدهای به خطر افتادن کلید گواهی دیجیتال خود دست‌وپنجه نرم می‌کرد؛ رخدادی که به نمونه‌ای هشداردهنده از پیامدهای جهانی یک اشتباه در مدیریت اعتبارنامه‌های امنیتی تبدیل شده است.
کلینتون نوشت: «اوضاع در چهار روز گذشته هرقدر هم بد شده باشد، پیش از بهتر شدن بسیار بدتر خواهد شد. مدیران امنیتی، اجازه ندهید این بحران بدون نتیجه بگذرد. همین حالا سراغ هیئت‌مدیره شرکت‌هایتان بروید و درخواست کمک کنید؛ نه برای هوش مصنوعی، بلکه برای تقویت اصول اولیه امنیت. (باید حدود ۱۸ ماه دوام بیاوریم.)»
یکی از کاربران ایکس با بازنشر این پیام و نقل‌قول از آن، آنتروپیک و دیگر شرکت‌های فعال در حوزه هوش مصنوعی را متهم کرد که خودشان شرایطی را به وجود آورده‌اند که اکنون تیم‌های امنیتی برای مهار پیامدهایش به تکاپو افتاده‌اند. او نوشت: «شما و هم‌قطارانتان این هیولا را ساختید و حالا از ما می‌خواهید کمکتان کنیم خرابکاری‌اش را جمع‌وجور کنید.» پاسخ کلینتون صریح و بدون عذرخواهی بود: «بله. قرار بود از همان ابتدا همین‌طور شود. ما تلاش کردیم به جهان هشدار بدهیم.»
«بله. قرار بود از همان ابتدا همین‌طور شود. ما تلاش کردیم به جهان هشدار بدهیم.»
سونامی آسیب‌پذیری‌ها؛ موجی که هنوز به اوج نرسیده است
هشدار کلینتون بر پدیده‌ای متمرکز است که پیش‌تر از آن با عنوان «سونامی آسیب‌پذیری‌ها» یاد کرده بود. منظور او دوره‌ای است که در آن مدل‌های پیشرفته و پیشرو هوش مصنوعی با سرعتی چشمگیر در شناسایی، تحلیل و تبدیل ضعف‌های نرم‌افزاری به ابزار حمله توانمندتر می‌شوند؛ آن هم سریع‌تر از آنکه مدافعان بتوانند آسیب‌پذیری‌ها را برطرف کنند. به اعتقاد او، سازمان‌ها باید از همین حالا به سراغ روش‌های جداسازی شبکه، مانند ایزوله‌سازی فیزیکی شبکه‌ها (Air Gap) و دیودهای داده بروند، نه اینکه منتظر اصلاحات نرم‌افزاری بمانند که ممکن است به‌موقع آماده نشوند.
رویدادهای این هفته تصویری نگران‌کننده از چنین آینده‌ای ارائه کرده‌اند. مدیرعامل کلادفلر اعلام کرد که تنها چند ساعت پس از عمومی شدن اطلاعات آسیب‌پذیری‌های PHP، تعداد تلاش‌ها برای سوءاستفاده از آن‌ها از چند هزار به چند میلیون مورد افزایش یافت. در همین حال، دولت‌ها نیز برای جلوگیری از گسترش پیامدهای این ضعف‌های امنیتی وارد عمل شدند؛ نخست‌وزیر ژاپن و پلیس فدرال آمریکا (FBI) هر دو هشدارهای عمومی صادر کردند و از سازمان‌ها خواستند فوراً وصله‌های امنیتی را نصب کنند. در رویدادی جداگانه، پلتفرم ابری Railway از یک رخنه امنیتی خبر داد که به توقف استقرار نرم‌افزارها انجامید؛ زیرا احتمال می‌رفت اطلاعات محرمانه مشتریان افشا شده باشد. همچنین Node.js برای رفع آسیب‌پذیری بحرانی در رمزگشای Brotli که امکان اجرای کد از راه دور را فراهم می‌کرد، اصلاحیه‌هایی منتشر کرد. این اتفاق شرکت Vercel را نیز واداشت تا قوانین اضطراری جدیدی برای دیوار آتش خود اعمال کند.
در این میان، ماجرای eMudhra از منظر پیامدهای تجاری به یکی از هشداردهنده‌ترین نمونه‌های هفته تبدیل شده است. افشای به خطر افتادن کلید گواهی دیجیتال این شرکت باعث شد ارزش بازار آن تنها در دو روز حدود ۱۴۵۰ کرور روپیه، معادل ۱۴٫۵ میلیارد روپیه، کاهش یابد. سهام این شرکت پیش از آن نیز در پی انتشار خبر رخنه امنیتی، با افت ۲۰ درصدی به کف مجاز نوسان روزانه رسیده بود. پژوهشگران امنیتی که در حال بررسی جزئیات این حادثه هستند، احتمال داده‌اند علت اصلی آن اشتباهی بسیار ابتدایی بوده باشد: اشتباه گرفتن کلیدهای رمزنگاری ۲۵۶ بیتی با اعداد بین صفر تا ۲۵۶. این دقیقاً از همان نوع ضعف‌های بنیادی در رعایت اصول امنیتی است که کلینتون تأکید دارد باید پیش از اتکا به هرگونه سامانه دفاعی مبتنی بر هوش مصنوعی برطرف شوند.
نکته قابل توجه این است که ماهیت دوگانه مدل‌های پیشرفته هوش مصنوعی، یعنی قابلیت استفاده از آن‌ها هم برای دفاع و هم برای حمله، در همین بحران نیز آشکار شده است. شرکت OpenAI اعلام کرده که مدل GPT-5.6 Sol این شرکت به شناسایی یکی از آسیب‌پذیری‌های بحرانی PHP کمک کرده است؛ همان ضعفی که موجی از اقدامات اضطراری امنیتی را به راه انداخت. این اتفاق یادآور آن است که توانایی‌هایی که به مدافعان برای بررسی امنیت کدها کمک می‌کنند، به همان اندازه می‌توانند برای کشف زودهنگام آسیب‌پذیری‌ها و سوءاستفاده از آن‌ها به کار گرفته شوند.
چشم‌انداز ۱۸ ماهه؛ حرکت به سوی «Vulnzero» یا حذف آسیب‌پذیری‌ها
وقتی کاربران ایکس از کلینتون پرسیدند که پس از پایان بازه ۱۸ ماهه مورد اشاره او دقیقاً چه چیزی تغییر خواهد کرد، او به مفهومی اشاره کرد که خودش برای توصیف وضعیت مطلوب آینده ابداع کرده است: «Vulnzero» یا وضعیتی که در آن آسیب‌پذیری‌ها عملاً از میان می‌روند. به گفته او، قوانین مقیاس‌پذیری هوش مصنوعی سرانجام باعث خواهند شد توانایی‌های استدلالی بسیار پیشرفته در حوزه امنیت سایبری، در سطح مدل‌های موسوم به «Cyber Mythos»، به مدل‌هایی کوچک و ارزان منتقل شوند. هزینه اجرای این مدل‌ها آن‌قدر پایین خواهد آمد که تیم‌های توسعه نرم‌افزار در سراسر جهان بتوانند با صرف کسری از یک سنت، امنیت تک‌تک خطوط کد را به‌صورت لحظه‌ای بررسی کنند. در چنین شرایطی، می‌توان از ورود دسته‌های کاملی از خطاهای امنیتی به نسخه‌های منتشرشده نرم‌افزار جلوگیری کرد.
این چشم‌انداز بر همان نوع توانایی استدلالی پیشرفته‌ای تکیه دارد که آنتروپیک در دیگر پژوهش‌های خود نیز به نمایش گذاشته است. از جمله نمونه‌های اخیر می‌توان به فعالیت کلود در حل معمایی ۲۵ ساله در رمزنگاری مؤسسه ملی استاندارد و فناوری آمریکا (NIST) اشاره کرد؛ معمایی درباره منشأ مقادیر اولیه مورد استفاده در تولید منحنی‌های رمزنگاری ECDSA. کلینتون معتقد است چنین توانایی‌هایی در استدلال فنی عمیق، دقیق و پیگیرانه، سرانجام به بخشی پیش‌فرض از مجموعه ابزارهای توسعه نرم‌افزار تبدیل خواهند شد و در دسترس همه برنامه‌نویسان قرار خواهند گرفت.
با این حال، توصیه کلینتون به دیگر مدیران ارشد امنیت اطلاعات برای عبور از شرایط کنونی، برخلاف انتظار، کاملاً سنتی است. او به‌جای آنکه مدیران امنیتی را به استفاده شتاب‌زده از محصولات امنیتی نیمه‌کاره مبتنی بر هوش مصنوعی در میانه یک بحران فعال تشویق کند، از آن‌ها می‌خواهد از توجهی که اکنون در سطح هیئت‌مدیره شرکت‌ها به امنیت سایبری جلب شده، برای تأمین بودجه اقدامات بنیادی استفاده کنند؛ اقداماتی مانند مدیریت وصله‌های امنیتی، کنترل دسترسی و بخش‌بندی شبکه. این زیرساخت‌های اساسی شاید به‌اندازه فناوری‌های جدید جذاب نباشند، اما تا رسیدن به آینده‌ای که کلینتون ترسیم می‌کند، هیچ مدل هوش مصنوعی، هرقدر هم توانمند باشد، نمی‌تواند جای آن‌ها را بگیرد.
از نگاه کلینتون، آشفتگی کنونی بیش از آنکه اتفاقی غافلگیرکننده باشد، تأییدی بر هشدارهای پیشین اوست. همان‌طور که در پاسخ به منتقدانش گفت: «قرار بود از همان ابتدا همین‌طور شود.»