آنتروپیک برنامه دفاع از زیرساخت‌های حیاتی را با همکاری شرکت‌های امنیتی برای حفاظت از محیط‌های صنعتی OT راه‌اندازی کرد
آنتروپیک «ماموریت سایبری آنتروپیک» را راه‌اندازی کرده است؛ ابتکاری بلندمدت برای کمک به ایمن‌سازی زیرساخت‌های حیاتی و نرم‌افزارهای متن‌باز که با ارائه ابزارهای هوش مصنوعی، پژوهش‌ها و منابع فنی در اختیار مدافعان سایبری انجام می‌شود. این اقدام شامل «برنامه دفاع از زیرساخت‌های حیاتی» (CIDP) است که مدل‌های پیشرفته Claude آنتروپیک، مهندسان مستقر در محل و پژوهش‌های مربوط به تهدیدها را ترکیب می‌کند تا از فناوری عملیاتی (OT) مورد استفاده در شبکه‌های برق، سامانه‌های آب‌رسانی، کارخانه‌ها و شبکه‌های حمل‌ونقل محافظت شود.
شرکای بنیان‌گذار این برنامه شامل Accenture، Booz Allen، CrowdStrike، Deloitte، Dragos، Hitachi، Insane Cyber، Nozomi Networks، Palo Alto Networks، PwC و Rockwell Automation هستند. آنتروپیک اعلام کرد شماری از این شرکا هم‌اکنون با Claude برای شناسایی آسیب‌پذیری‌ها و کمک به مشتریان برای رفع آن‌ها همکاری می‌کنند. این شرکت ابتدا با گروه کوچکی از ارائه‌دهندگان خدمات کار می‌کند تا مشخص شود کدام رویکردها بیشترین اثربخشی و قابلیت اجرایی را دارند.
در بیانیه آنتروپیک آمده است: «این سازمان‌ها نماینده ارائه‌دهندگانی هستند که اپراتورها برای ایمن‌سازی این سامانه‌ها به آن‌ها متکی هستند؛ از شرکت‌های مشاوره و فناوری پیشرفته که برنامه‌های امنیتی را اجرا می‌کنند گرفته تا شرکت‌های امنیتی که از شبکه‌های تجاری و صنعتی محافظت می‌کنند و تولیدکنندگانی که تجهیزات را می‌سازند و وصله‌های امنیتی آن‌ها را ارائه می‌کنند. این کار آغاز شده است. چندین شریک هم‌اکنون با Claude برای رفع آسیب‌پذیری‌ها و کمک به مشتریان در انجام همین کار همکاری دارند.»
این شرکت افزود که دفاع از زیرساخت‌های حیاتی از جنبه‌های مختلف دشوار است و هوش مصنوعی نمی‌تواند همه این مشکلات را حل کند، اما معتقد است مدل‌های پیشرفته می‌توانند به شناسایی و اصلاح ضعف‌ها پیش از سوءاستفاده از آن‌ها برای قطع برق یا ناامن کردن آب آشامیدنی کمک کنند. نخستین گام، همکاری با گروه کوچکی از ارائه‌دهندگان برای یادگیری مؤثرترین و عملی‌ترین راهکارها است.
این ابتکار به چالش‌های امنیتی ناشی از سامانه‌های قدیمی OT می‌پردازد؛ سامانه‌هایی که اغلب برای نصب وصله‌های امنیتی نمی‌توان آن‌ها را از مدار خارج کرد و به دلیل محدودیت‌های عملیاتی، تجهیزات اختصاصی و خطرات ایمنی ممکن است سال‌ها آسیب‌پذیری‌های شناخته‌شده را حفظ کنند. آنتروپیک گفت مهاجمان تحت حمایت دولت‌ها سال‌ها برای ایجاد جای پا در سامانه‌های حیاتی تلاش کرده‌اند و افزایش دسترسی به مدل‌های قدرتمند هوش مصنوعی، هزینه بهره‌برداری از آسیب‌پذیری‌ها را کاهش داده است.
این شرکت مستقر در سان‌فرانسیسکو همچنین بر دشواری‌های مربوط به تأیید، اولویت‌بندی و رفع یافته‌های امنیتی تأکید کرد و گفت برخی آسیب‌پذیری‌های شناسایی‌شده در پروژه Glasswing ماه‌ها بدون رفع باقی مانده‌اند، در حالی که اصلاح برخی سامانه‌های OT در موارد نادر ممکن است دهه‌ها زمان ببرد تا به شکل ایمن اجرا شود.
آنتروپیک اعلام کرد مأموریت سایبری این شرکت در آینده به شرکای بیشتر و بخش‌های بیشتری گسترش خواهد یافت تا نقاط ورودی قابل سوءاستفاده کاهش یابد و بازیابی از حملات علیه خدمات ضروری سریع‌تر انجام شود.
در این بیانیه آمده است: «در چارچوب پروژه Glasswing، شرکا آسیب‌پذیری‌های زیادی را کشف کردند، اما هنوز به کاهش کافی ریسک سایبری دست نیافته‌ایم. یافتن آسیب‌پذیری‌ها آسان‌تر از همیشه شده است، اما تأیید، اولویت‌بندی و رفع این یافته‌ها همچنان چالش‌برانگیز است.»
آنتروپیک افزود که بر اساس تجربه پروژه Glasswing، تلاش‌های جدیدی را برای حمایت از مدافعان آغاز کرده است. این شرکت همچنین اعلام کرد پروژه Glasswing را در برنامه گسترده‌تر «برنامه تأیید سایبری» خود ادغام کرده است؛ برنامه‌ای که دسترسی مدافعان بیشتری را به قدرتمندترین مدل‌هایش فراهم می‌کند. از طریق «ماموریت سایبری آنتروپیک» نیز این شرکت تخصص مهندسی، ابزارها و بودجه را برای کسانی که از زیرساخت‌های حیاتی و نرم‌افزارهای متن‌باز محافظت می‌کنند فراهم خواهد کرد.
در ماه ژوئن، آنتروپیک یک برنامه دفاع سایبری برای دولت‌های ایالتی، محلی، قبیله‌ای و سرزمینی آمریکا راه‌اندازی کرد. این شرکت گفت از آن زمان مدل‌های پیشرفته Claude و پشتیبانی فنی را در اختیار بیش از نیمی از ایالت‌های آمریکا و برخی از بزرگ‌ترین اپراتورهای زیرساخت حیاتی عمومی این کشور قرار داده است تا فرآیندهایی مانند اسکن کد، نصب وصله‌ها، واکنش به رخدادها و آزمایش نفوذ را سرعت ببخشد.
آنتروپیک گفت تقریباً همه نرم‌افزارها به کدهای متن‌باز وابسته هستند و بخش زیادی از این کدها توسط تیم‌های کوچک داوطلبانه نگهداری می‌شوند. این شرکت در پروژه Glasswing صدها پروژه پرکاربرد متن‌باز را اسکن کرد، بسیاری از آسیب‌پذیری‌های احتمالی را با بررسی انسانی ارزیابی کرد و یافته‌ها را از طریق فرآیند افشای هماهنگ آسیب‌پذیری‌ها به نگهدارندگان پروژه‌ها گزارش داد.
برخی نگهدارندگان که توانایی بررسی گسترده یافته‌ها را داشتند، درخواست کردند همه موارد کشف‌شده توسط مدل‌های آنتروپیک، چه بررسی شده توسط انسان و چه نشده، در اختیارشان قرار گیرد. در پاسخ، آنتروپیک سرویس «OSS Scanner» را راه‌اندازی کرده است؛ سرویسی اختیاری که با الهام از OSS-Fuzz گوگل طراحی شده و پروژه‌های ثبت‌نام‌شده را به‌صورت دوره‌ای و رایگان با استفاده از قدرتمندترین مدل‌های این شرکت بررسی می‌کند.
هر گزارش شامل نمونه‌ای از نحوه سوءاستفاده از خطا، توضیح آسیب‌پذیری و راهکار پیشنهادی برای رفع آن در صورت وجود است. این گزارش‌ها توسط مدل تولید می‌شوند و بدون بررسی انسانی ارسال می‌شوند؛ بنابراین نگهدارندگان سریع‌تر آن‌ها را دریافت می‌کنند، اما برخی گزارش‌ها ممکن است دارای خطاهایی مانند تعیین نادرست شدت آسیب‌پذیری باشند. آنتروپیک انتظار دارد نرخ موارد درست شناسایی‌شده بیش از ۹۰ درصد باشد و اعلام کرده است برای بهبود این نرخ و کیفیت اصلاحات تلاش خواهد کرد.
این سرویس برای پروژه‌هایی طراحی شده است که توانایی پیگیری یافته‌های ارائه‌شده را دارند. برای پروژه‌های دیگر، آنتروپیک همچنان افشاگری‌های بررسی‌شده توسط انسان را از طریق سیاست افشای هماهنگ آسیب‌پذیری‌ها ارائه خواهد کرد.
آنتروپیک OSS Scanner را نخستین گام در فعالیت‌های متن‌باز خود توصیف کرد و گفت هدف آن سرعت بخشیدن به انتقال یافته‌ها به نگهدارندگان، تسریع رفع مشکلات و بررسی معماری‌ها و روش‌های کدنویسی امن‌تر است. این شرکت قصد دارد با راهنمایی نگهدارندگان و بنیادهای متن‌باز پیش برود و تجربیات موفق را با دیگر پروژه‌ها به اشتراک بگذارد.
آنتروپیک اعلام کرد از سازمان‌های پشت کدهای متن‌باز پرکاربرد، از جمله بنیاد نرم‌افزار پایتون، Alpha-Omega و OpenSSF از طریق بنیاد لینوکس و همچنین بنیاد نرم‌افزار Apache حمایت مالی کرده است. این شرکت همچنین از Akrites و Gold Eagle پشتیبانی می‌کند؛ سازمان‌هایی که گزارش‌های آسیب‌پذیری از منابع مختلف را جمع‌آوری و هماهنگ می‌کنند تا فشار بیش از حدی بر نگهدارندگان وارد نشود.
آنتروپیک گفت مدل‌های هوش مصنوعی با توانایی‌های سایبری بالا اکنون به‌طور گسترده در دسترس مهاجمان قرار دارند، در حالی که ابزارهای دفاعی، از جمله ابزارهای خود این شرکت، هنوز به اندازه کافی در اختیار مدافعانی که به آن‌ها نیاز دارند قرار نگرفته‌اند. این شرکت OSS Scanner، برنامه تأیید سایبری، محصولات دفاعی ساخته‌شده توسط شرکا و Claude Security را از جمله تلاش‌های خود برای کاهش این شکاف معرفی کرد.
این شرکت پیش‌بینی کرد که طی دو سال آینده هوش مصنوعی به نفع دفاع سایبری عمل خواهد کرد و شناسایی خطاها پیش از انتشار، ساخت نرم‌افزارهای ذاتاً امن و دفاع فعال از سامانه‌ها را آسان‌تر خواهد کرد. با این حال، در کوتاه‌مدت ممکن است چنین وضعیتی برقرار نباشد؛ زیرا هزینه بهره‌برداری از آسیب‌پذیری‌ها کاهش یافته، اما تأیید، افشا و رفع آن‌ها همچنان کند است و به نیروی انسانی وابسته باقی مانده است.
آنتروپیک گفت موفقیت زمانی حاصل می‌شود که زیرساخت‌های حیاتی مانند آب، برق، حمل‌ونقل و ارتباطات در برابر حملات مهاجمان توانمند همچنان فعال بمانند، مسیرهای سوءاستفاده کاهش یابد و بازیابی پس از نفوذ سریع‌تر انجام شود. این شرکت تأکید کرد تحقق این هدف سال‌ها زمان می‌برد و مأموریت سایبری آنتروپیک با یادگیری مشترک از بخش‌های دولتی و خصوصی تغییر خواهد کرد.
در بیانیه آنتروپیک آمده است: «در ماه‌های آینده، برنامه دفاع از زیرساخت‌های حیاتی را به شرکای بیشتر و بخش‌های بیشتری گسترش خواهیم داد و آموخته‌های خود، از جمله مواردی که نتیجه نداده‌اند، را به اشتراک می‌گذاریم. همچنین انتظار داریم دیگر توسعه‌دهندگان هوش مصنوعی، شرکت‌های امنیتی و دولت‌ها تلاش‌های خود را انجام دهند و هر جا که به مدافعان کمک کند، با آن‌ها همکاری خواهیم کرد.»
این شرکت افزود: «همچنین فعالیت‌های خود را برای ایمن‌سازی متن‌باز و زنجیره تأمین گسترده‌تر خواهیم کرد. این کار شامل پژوهش درباره روش‌های جدید توسعه نرم‌افزار و روش‌های جدید دفاع از سامانه‌ها است. قصد داریم پژوهش‌های پیشرفته، ابزارها و منابع خود را برای کمک به دیگران در ایمن‌سازی نرم‌افزارها و زنجیره تأمین به اشتراک بگذاریم.»
در نوامبر گذشته، آنتروپیک هشدار داده بود که امنیت سایبری به نقطه عطفی حساس رسیده است و مدل‌های هوش مصنوعی به ابزارهایی قدرتمند برای عملیات دفاعی و تهاجمی تبدیل شده‌اند. این هشدار پس از گزارش‌هایی مطرح شد که بر اساس آن‌ها هکرهای مورد حمایت دولت چین در یک کارزار نفوذ در ماه سپتامبر از فناوری هوش مصنوعی آنتروپیک برای خودکارسازی حملات علیه شرکت‌های بزرگ و دولت‌های خارجی استفاده کرده بودند.