آیا هوش مصنوعی زیرساخت‌های شکننده اینترنت را آشکار خواهد کرد؟
اوایل این هفته، اطلاعیه‌ای نگران‌کننده منتشر شد: به‌دلیل شناسایی آسیب‌پذیری‌هایی تازه‌کشف‌شده در زبان برنامه‌نویسی متن‌باز PHP، صاحبان وب‌سایت‌ها باید فوراً سایت‌های خود را به‌روزرسانی و آسیب‌پذیری‌ها را برطرف می‌کردند. به کسانی هم که امکان به‌روزرسانی فوری نداشتند توصیه شد برای حفظ امنیت، وب‌سایت‌های خود را از دسترس خارج کنند.
در قسمت این هفته پادکست Equity تک‌کرانچ، من به همراه کرستن کوروسک و شان اوکین درباره اهمیت ماجرایی که به آن «فاجعه PHP» می‌گویند و احتمال تکرار چنین اتفاق‌هایی در آینده صحبت کردیم.
شان این اتفاق را «لحظه‌ای برای بازنگری جدی» توصیف کرد؛ رویدادی که نشان می‌دهد وقتی به لایه‌های بنیادی اینترنت می‌رسیم، انگار همه‌چیز با «چسب و رؤیا» سرپا نگه داشته شده است. با فراگیرتر شدن دسترسی به مدل‌های زبانی بزرگ و عامل‌های هوش مصنوعی، پیدا کردن چنین آسیب‌پذیری‌هایی نیز آسان‌تر خواهد شد. البته این آسیب‌پذیری‌های مشخص را پژوهشگران انسانی کشف کردند، نه مدل‌های هوش مصنوعی؛ موضوعی که در گزارش مربوط به این آسیب‌پذیری‌ها نیز به آن اشاره شده است.
کرستن در همین حال این احتمال را مطرح کرد که شاید در آستانه ورود به مرحله تازه‌ای از نگرانی‌های فاجعه‌محور باشیم؛ زیرا می‌توان تصور کرد که چگونه ممکن است از بانک‌ها سوءاستفاده شود. نگرانی‌های مربوط به داده‌ها و حریم خصوصی نیز باعث می‌شود ابعاد مسئله بسیار بزرگ‌تر از آن به نظر برسد که بتوان در حال حاضر به‌سادگی آن را حل کرد.
در ادامه، پیش‌نمایشی از گفت‌وگوی ما را می‌خوانید که برای افزایش وضوح و کوتاه‌تر شدن، ویرایش شده است.
شان اوکین: به نظر می‌رسد این هفته اینترنت از جنبه‌های مختلفی دچار اختلال شده است.
برای کسانی که تازه با این ماجرا روبه‌رو شده‌اند، فکر می‌کنم بهترین راه درک موضوع این است که به ده سال گذشته نگاه کنیم. چند بار در این مدت با موقعیت‌هایی مواجه شده‌ایم که چیزی از کار افتاده یا تا آستانه فروپاشی پیش رفته است؟ چند بار یک نفر که صرفاً از روی علاقه و به‌عنوان سرگرمی، مخزن کد کوچکی را نگهداری می‌کرده، متوجه فعالیتی مخرب شده و ناخواسته ما را از فروپاشی کامل زیرساخت اینترنت نجات داده است؟
حالا تصور کنید تعداد چنین مواردی یک میلیارد برابر شود؛ آن هم در شرایطی که مردم نه‌تنها به نرم‌افزارهای بسیار پیشرفته‌ای در قالب مدل‌های زبانی بزرگ دسترسی دارند، بلکه می‌توانند از این مدل‌ها بخواهند خودشان دست به کار شوند و با استفاده از عامل‌های هوش مصنوعی که برای رسیدن به هدفی مشخص طراحی شده‌اند، وظایف موردنظر را اجرا کنند.
این هفته شاهد دو روند هم‌زمان هستیم. از یک سو، تعدادی از آزمایشگاه‌ها و شرکت‌ها، از جمله گوگل و OpenAI، افرادی را برای شناسایی آسیب‌پذیری‌های نرم‌افزاری به کار گرفتند؛ آسیب‌پذیری PHP نیز یکی از همین موارد بود. از سوی دیگر، به نظر می‌رسد گروهی از افراد برای سوءاستفاده از این ضعف‌ها و نفوذ به وب‌سایت‌ها شتاب کرده‌اند. در نتیجه، برخی دولت‌ها وب‌سایت‌های خود را از دسترس خارج می‌کنند و حتی سایت‌های بسیار پربازدید نیز برای برطرف کردن آسیب‌پذیری، موقتاً از کار می‌افتند.
این اتفاق فرصتی برای مواجهه جدی با پیامدهای اتکای گسترده اینترنت به فناوری‌های متن‌بازی مانند PHP است. وقتی به بنیادی‌ترین لایه‌های اینترنت می‌رسیم، می‌بینیم که همه‌چیز با چسب و رؤیا سرپا مانده است.
آنتونی ها: چند نکته در این ماجرا بسیار قابل‌توجه است. یکی از آن‌ها این است که، دست‌کم تا جایی که من می‌دانم، با یک آسیب‌پذیری تازه روبه‌رو نیستیم؛ این ضعف از چند دهه پیش در PHP وجود داشته است.
PHP یکی از زبان‌های برنامه‌نویسی مورد استفاده برای ساخت بخش بزرگی از وب بوده است. بنابراین، این آسیب‌پذیری دهه‌ها وجود داشته، بی‌آنکه کسی از آن اطلاع داشته باشد. اتفاقی که افتاد این بود که شرکت‌های بزرگ حوزه هوش مصنوعی، از جمله Wiz که اکنون مالک آن گوگل است، توانستند این آسیب‌پذیری‌ها را با استفاده از مدل‌های زبانی بزرگ شناسایی کنند. توضیح اصلاحی: من در این مورد اشتباه کرده بودم. آسیب‌پذیری‌ها را پژوهشگران انسانی شرکت‌کننده در ابتکار «Hack the Planet» متعلق به OpenAI و Wiz کشف کردند، هرچند برای بهره‌برداری از این ضعف از هوش مصنوعی استفاده شد.
بخشی از محاسبات این است که باید هرچه زودتر این آسیب‌پذیری را برطرف کنیم، زیرا اگر بتوانیم با استفاده از مدل‌های زبانی بزرگ آن را پیدا کنیم، دیگران هم می‌توانند همین کار را انجام دهند. اما برای انتشار وصله امنیتی، باید وجود آسیب‌پذیری را اعلام کنیم. همین مسئله وضعیتی آشفته و اضطراری ایجاد می‌کند: «این آسیب‌پذیری دهه‌ها وجود داشته است. باید فوراً آن را برطرف کنید و اگر نمی‌توانید همین حالا این کار را انجام دهید، وب‌سایت خود را از دسترس خارج کنید. این آسیب‌پذیری تا این اندازه جدی است.»
کرستن کوروسک: به نظرم نکته مهم این است که بسیاری از مردم حتی نمی‌دانند وب‌سایتشان از PHP استفاده می‌کند؛ همان زبان برنامه‌نویسی متن‌باز چند دهه‌ای که به آن اشاره کردی.
برای کسانی که با آن آشنا نیستند، PHP مخفف عبارت رسمی «پردازشگر ابرمتن» است. این زبان یکی از اجزای اساسی سیستم‌های مدیریت محتواست که در پلتفرم‌هایی مانند وردپرس و دروپال به کار می‌روند و حدود ۷۰ درصد وب‌سایت‌ها از فناوری‌های مبتنی بر آن استفاده می‌کنند. صحبت از ده‌ها میلیون وب‌سایت است. آنچه بیش از همه توجهم را جلب می‌کند، همین گستردگی است. این ماجرا بلافاصله دو فکر را به ذهنم آورد. نخست اینکه این تازه آغاز راه است. چه نرم‌افزارهای قدیمی و ناایمن دیگری وجود دارند که ممکن است هدف سوءاستفاده قرار بگیرند؟
نکته دوم موضوعی بود که رسانه 404 Media در گزارشی بسیار خوب و مفصل به آن اشاره کرده بود: از بین رفتن پیوندهای اینترنتی. بسیاری از افراد، شرکت‌ها، دولت‌ها و حتی وب‌سایت‌های کوچک محلی، سایت‌های خود را از دسترس خارج می‌کنند. در نتیجه، شمار زیادی از پیوندها از کار خواهد افتاد و ممکن است دیگر نتوان به وب‌سایت‌هایی دسترسی داشت که بخش کوچکی از تاریخ را ثبت کرده‌اند؛ سایت‌هایی که شاید به‌جای برطرف کردن آسیب‌پذیری‌هایشان، برای همیشه تعطیل شوند.
شان: آنتونی، به نظرم نکته بسیار خوبی را مطرح کردی. دیده‌ام که بسیاری از افراد از نحوه اعلام این آسیب‌پذیری‌ها ناراضی بوده‌اند؛ به‌ویژه از لحنی که به نظر می‌رسد OpenAI در مطلب خود به کار برده و نوعی خودستایی در آن دیده می‌شود.
همچنین به نظر می‌رسد چند نفر پیش از پایان مهلت محرمانه اعلام این خبر، اطلاعات را منتشر کرده‌اند و همین موضوع میان هکرها رقابتی به راه انداخته است. فکر می‌کنم متیو پرینس، مدیرعامل کلادفلر، همان کسی بود که در شبکه‌های اجتماعی نوشت تلاش‌ها برای هک از طریق آسیب‌پذیری PHP2Shell به میلیون‌ها مورد رسیده است.
در حوزه امنیت سایبری، وقتی چنین آسیب‌پذیری‌هایی کشف می‌شوند، معمولاً روند کار این است که اگر نرم‌افزار یک شرکت را از نظر امنیتی آزمایش می‌کنید، حتی اگر آن نرم‌افزار بخشی بنیادی باشد که رایانه‌های فراوان یا بخش‌هایی از اینترنت به آن وابسته‌اند، می‌توانید موضوع را به شرکت اطلاع دهید تا مشکل در همان چارچوب محدود بررسی شود. اما وقتی با ضعفی به این عمق و اهمیت بنیادی روبه‌رو هستیم، نمی‌توان به‌سادگی و به‌صورت محرمانه به تک‌تک افراد اطلاع داد.
البته شاید اگر هوش مصنوعی به‌اندازه کافی پیشرفته باشد، بتوان یک میلیارد عامل را مأمور کرد تا برای همه افرادی که کنترل بخشی از یک وب‌سایت را در اختیار دارند، ایمیل بفرستند. حالا حسرت روزهایی را می‌خوریم که مدیران وب‌سایت‌ها به‌راحتی قابل‌شناسایی بودند؛ شاید وجود چنین افرادی تا حدی به حل مشکل کمک می‌کرد. بااین‌حال، راه‌حل ساده‌ای برای این وضعیت وجود ندارد. فکر می‌کنم این اتفاق آغاز دوره‌ای از کشمکش‌های فراوان و ورود به مرحله‌ای تازه در امنیت سایبری است.
کرستن: پست متیو پرینس در شبکه‌های اجتماعی برای من بسیار گویا و در عین حال واقعاً ترسناک بود. نمی‌دانم شما هم دیدید یا نه، اما آمازون نیز مطلبی در وبلاگ خود منتشر کرد. آمازون شرکتی با منابع مالی بسیار زیاد است و ابزارها و تیمی در اختیار دارد که می‌توانند اتفاقات در حال وقوع را شناسایی کنند. این شرکت شبکه‌ای از تله‌های امنیتی یا سامانه‌های فریب‌دهنده را اداره می‌کند و در همین شبکه تلاش‌هایی برای سوءاستفاده از این آسیب‌پذیری را پیش از اعلام عمومی آن شناسایی کرده بود.
این موضوع دوباره مرا به همان مسئله اصلی برمی‌گرداند: آمازون ابزار، سرمایه و دانش لازم برای مقابله با چنین تهدیدهایی را دارد. اما وب‌سایت‌های بسیار زیادی وجود دارند که چنین امکاناتی ندارند؛ حتی ممکن است وب‌سایت‌های دولتی نیز از توجه و منابع امنیتی کافی برخوردار نباشند. از نظر من، بخش واقعاً ترسناک ماجرا همین است.
برخی افراد فعال در حوزه هوش مصنوعی احتمالاً این اتفاق را به سطح تازه‌ای از نگرانی‌های فاجعه‌محور خواهند رساند. می‌توان تصور کرد که چگونه ممکن است از بانک‌ها سوءاستفاده شود و نگرانی‌های مربوط به داده‌ها و حریم خصوصی نیز به این مسئله دامن می‌زند. در مجموع، ابعاد مشکل بسیار بزرگ‌تر از آن به نظر می‌رسد که بتوانیم همین حالا آن را برطرف کنیم. برای همین، مشتاقم ببینم دو اتفاق چگونه پیش می‌روند: نخست، واکنش مردم تا چه اندازه افراطی خواهد شد؛ و دوم، آیا در پی این ماجرا استارتاپ‌های تازه‌ای شکل می‌گیرند یا به ابزارهای متن‌بازی که شرکت‌هایی مانند انویدیا ارائه می‌کنند روی خواهیم آورد تا لایه‌های امنیتی جدیدی ایجاد کنیم.