«بدهی فناوری» سررسید شده است؛ آسیب‌پذیری کشف‌شده با هوش مصنوعی از دوره‌ای آشفته خبر می‌دهد
شرکت‌ها و نهادهای دولتی در این هفته برای رفع دو آسیب‌پذیری بحرانی در PHP، زبان برنامه‌نویسی‌ای که بخش بزرگی از وب‌سایت‌های جهان با آن کار می‌کنند، با یکدیگر به رقابت پرداختند.
این آسیب‌پذیری‌ها که هکرهای احتمالی می‌توانند از آن‌ها سوءاستفاده کنند، با کمک یکی از مدل‌های قدرتمند اوپن‌ای‌آی (OpenAI) شناسایی شدند. این رویداد یکی از برجسته‌ترین نمونه‌های توانایی هوش مصنوعی در حوزه حملات سایبری به شمار می‌رود.
خبرگزاری فرانسه (AFP) درباره پیامدهای این اتفاق با مایکل دنیل، رئیس ائتلاف تهدیدات سایبری و هماهنگ‌کننده پیشین امنیت سایبری کاخ سفید در دوران ریاست‌جمهوری باراک اوباما، گفت‌وگو کرده است. این مصاحبه به بررسی وضعیتی می‌پردازد که در آن ابزارهای هوش مصنوعی بیش از هر زمان دیگری می‌توانند نقص‌های نرم‌افزاری را با سرعت شناسایی کنند.
این مصاحبه برای رعایت اختصار و افزایش وضوح، ویرایش شده است.
این اتفاق درباره PHP چه چیزی به ما می‌گوید؟
ما در آستانه دوره‌ای نسبتاً آشفته قرار داریم؛ دوره‌ای که توانایی مدل‌های پیشرفته هوش مصنوعی آن را رقم می‌زند. سال‌هاست می‌گویم نتیجه منطقی توانایی این مدل‌ها در شناسایی آسیب‌پذیری‌ها با سرعت و در مقیاس گسترده، سرازیر شدن موجی از آسیب‌پذیری‌های نرم‌افزاری خواهد بود.
راب جویس، مدیر پیشین امنیت سایبری در آژانس امنیت ملی آمریکا، این وضعیت را به آتش‌سوزی بزرگی در جنگل تشبیه کرده است که نرم‌افزارهای قدیمی را پاک‌سازی می‌کند. من نیز از سررسید شدن بدهی فناوری صحبت کرده‌ام.
انگیزه‌ها در گذشته به‌گونه‌ای بوده‌اند که افراد و سازمان‌ها ترجیح می‌دادند نرم‌افزارهای خود را تا حد ممکن برای مدت طولانی نگه دارند. در محاسبه هزینه استفاده از این نرم‌افزارها نیز خطرهای ناشی از قدیمی بودن آن‌ها به‌درستی لحاظ نمی‌شود. بابت نگه‌داشتن نرم‌افزار قدیمی، هزینه مستقیمی در دفاتر مالی ثبت نمی‌کنید؛ اما در واقع این هزینه وجود دارد و تا زمانی که اتفاقی مانند این رخ ندهد، به‌صورت هزینه‌ای پنهان باقی می‌ماند.
سازمان‌ها باید چه اقداماتی انجام دهند؟
باید خود را برای به‌روزرسانی نرم‌افزارها آماده کنند، امکان به‌روز نگه‌داشتن مداوم آن‌ها را فراهم آورند و آمادگی داشته باشند به‌محض انتشار وصله‌های امنیتی، آن‌ها را نصب کنند.
با موجی از آسیب‌پذیری‌ها، وصله‌های امنیتی و اقدامات کاهشی روبه‌رو خواهیم شد و کیفیت و اهمیت همه آن‌ها یکسان نخواهد بود.
برای بسیاری از سازمان‌های کوچک‌تر که توان و منابع داخلی محدودی دارند، راهکار این است که ساختار سازمانی خود را به‌گونه‌ای تغییر دهند که بتوانند به‌روزرسانی‌های ارائه‌شده از سوی فروشندگان نرم‌افزار را با بیشترین سرعت ممکن دریافت و نصب کنند.
آیا همه آسیب‌پذیری‌ها خطرناک هستند؟
از نظر تاریخی، نرخ بهره‌برداری از آسیب‌پذیری‌ها حدود پنج تا شش درصد بوده است و هیچ نشانه‌ای وجود ندارد که این رقم در حال افزایش باشد. بااین‌حال، اکنون مهاجمان می‌توانند پس از شناسایی یک آسیب‌پذیری، بسیار سریع‌تر از گذشته از آن سوءاستفاده کنند.
در گذشته، معمولاً یک یا دو ماه طول می‌کشید تا نمونه اثبات مفهوم یک آسیب‌پذیری منتشر شود و یک یا دو ماه دیگر زمان لازم بود تا آن آسیب‌پذیری وارد مجموعه‌ابزارهای بهره‌برداری مورد استفاده مهاجمان شود. اکنون این فرایند نه در مقیاس ماه، بلکه در عرض چند ساعت یا چند روز اتفاق می‌افتد.
این وضعیت برای شرکت‌های بزرگ چه معنایی دارد؟
بیشتر کسب‌وکارها عملاً تحمل بسیار کمی برای خطر ازکارافتادن سامانه‌ها داشتند؛ به همین دلیل، پیش از انتقال یک وصله امنیتی به محیط عملیاتی، آن را به‌شدت آزمایش می‌کردند. اکنون دیگر چنین فرصتی در اختیار ندارند.
اگر احتمال آن‌که نصب یک وصله باعث اختلال در بخشی از سامانه شود یک درصد باشد، اما حمله سایبری احتمالی بتواند ۵۰ میلیون دلار به من خسارت وارد کند، آن‌وقت با یک دوراهی جدی روبه‌رو می‌شوم و باید میان این دو خطر دست به انتخاب بزنم.
آیا ابزارهای پیشرفته هوش مصنوعی در شناسایی نقص‌های واقعی قابل اعتماد هستند؟
در این زمینه، نتایج نادرست و هشدارهای بی‌مورد زیادی وجود دارد. آسیب‌پذیری کشف‌شده در PHP نمونه روشنی از یک نقص واقعی است؛ اما موارد فراوانی نیز وجود دارند که یا اساساً واقعی نیستند یا در نرم‌افزارهایی دیده می‌شوند که هرگز در معرض اینترنت قرار نگرفته‌اند. باید سازوکار اولویت‌بندی و ارزیابی این موارد را بهبود دهیم.
این روند طی دو یا سه سال آینده به کجا می‌رسد؟
قرار است این ابزارهای هوش مصنوعی را روی نرم‌افزارهایی به کار بگیریم که هنوز مستقر نشده‌اند. بنابراین، امیدواریم نرم‌افزارهایی که از این پس به کار گرفته می‌شوند، از همان ابتدا آسیب‌پذیری‌های کمتری داشته باشند. نرم‌افزارهای قدیمی به‌تدریج کنار می‌روند و زمینه برای رشد نسل جدیدی از نرم‌افزارها فراهم می‌شود که از پایه امنیت بیشتری دارند.
این روند به معنای حل شدن مشکل امنیت سایبری نیست، اما ماهیت این مشکل را در آینده تغییر خواهد داد.