وصله امنیتی رکوردشکن مایکروسافت، نفوذ به متا و تلاش سایبری OpenAI
برای نخستین بار پس از مدتی، مسائل امنیت سایبری مرتبط با هوش مصنوعی در صدر تحولات این حوزه قرار نگرفته‌اند. البته این به معنای آرام بودن هفته نیست؛ هرچند خبر تازه‌ای از دردسرساز شدن عامل‌های سرکش هوش مصنوعی منتشر نشده، تهدیدهای سنتی امنیت سایبری بیش از اندازه کافی برای ایجاد التهاب خبرساز بوده‌اند.
مایکروسافت در انتشار وصله‌های امنیتی اکتبر خود ۱٬۴۱۳ آسیب‌پذیری را برطرف کرده است؛ از جمله یک نقص ویندوز که پیش‌تر در دنیای واقعی مورد سوءاستفاده قرار گرفته بود. تعداد آسیب‌پذیری‌های رفع‌شده در یک ماه، از مجموع آسیب‌پذیری‌هایی که مایکروسافت در سراسر سال ۲۰۲۵ وصله کرده بود نیز بیشتر است. مقیاس این به‌روزرسانی قابل توجه است، اما نگرانی فوری‌تر به یک مورد مشخص مربوط می‌شود: آسیب‌پذیری CVE-2026-96951 می‌تواند سازوکارهای حفاظتی را که برای هشدار به کاربران درباره فایل‌های دانلودشده بالقوه خطرناک طراحی شده‌اند، دور بزند.
در تحولی دیگر، متا این هفته اعلام کرد مهاجمان از طریق مخازن GitHub به کدهای شرکت و حجم محدودی از اطلاعات شخصی دسترسی پیدا کرده‌اند. در همین حال، هرچند حملات مبتنی بر هوش مصنوعی در صدر اخبار قرار نداشته‌اند، رابطه میان هوش مصنوعی و امنیت سایبری همچنان در حال شکل‌گیری است. یکی از نشانه‌های این روند، گزارش‌هایی درباره ورود OpenAI به مذاکرات اولیه برای خرید شرکت امنیتی Trail of Bits است؛ اقدامی که می‌تواند توانمندی‌های این شرکت در حوزه امنیت سایبری را تقویت کند. این تحولات پرسش‌های متفاوتی درباره حفاظت از محیط‌های توسعه و چگونگی ایجاد توانمندی‌های امنیت سایبری در شرکت‌های هوش مصنوعی مطرح می‌کنند.
مایکروسافت ۱٬۴۱۳ آسیب‌پذیری را وصله کرد
به‌روزرسانی‌های امنیتی اکتبر ۲۰۲۶ مایکروسافت رکورد ۱٬۴۱۳ آسیب‌پذیری با شناسه CVE را پوشش می‌دهند. از این تعداد، ۱٬۱۰۲ مورد مربوط به ویندوز، ۱۳۴ مورد مربوط به Office، ۶۱ مورد مربوط به ابزارهای توسعه‌دهندگان و ۳۶ مورد مربوط به SharePoint Server هستند. Exchange Server، Azure و Defender نیز وصله‌هایی دریافت کرده‌اند.
اولویت اصلی، آسیب‌پذیری CVE-2026-96951 است؛ یک نقص امنیتی در قابلیت‌های امنیتی Windows Shell که شدت آن ۸٫۸ اعلام شده و امکان دور زدن سازوکارهای حفاظتی را فراهم می‌کند. مایکروسافت می‌گوید مهاجم می‌تواند با ترغیب کاربر به باز کردن فایلی دستکاری‌شده که از طریق ایمیل یا پیام‌رسانی فوری ارسال شده است، از این نقص سوءاستفاده کند. این آسیب‌پذیری به فایل‌های مخرب اجازه می‌دهد از محافظت‌های Mark of the Web عبور کنند؛ سازوکاری که به فعال شدن تدابیری مانند Defender SmartScreen و Office Protected View کمک می‌کند.
فهرست آسیب‌پذیری‌های شناخته‌شده و مورد سوءاستفاده آژانس امنیت سایبری و زیرساخت آمریکا (CISA) منبع مهمی برای اولویت‌بندی است، زیرا نقص‌هایی را مشخص می‌کند که معلوم شده در حملات مورد بهره‌برداری قرار گرفته‌اند. به نهادهای فدرال دستور داده شده بود این آسیب‌پذیری را تا ۱۶ اکتبر برطرف کنند. سازمان‌ها نیز باید میزان مواجهه خود با این نقص را ارزیابی و راهنمایی‌های مایکروسافت را دنبال کنند؛ زیرا تأیید سوءاستفاده از آن، این آسیب‌پذیری را به موردی ویژه و فوری تبدیل کرده است.
مایکروسافت هم‌زمان رویکرد متفاوتی را برای مدیریت حجم فزاینده وصله‌ها پیشنهاد کرده است. طرح «گروه‌های ریسک» یا Risk Cohorts، آسیب‌پذیری‌ها را بر اساس پرسش‌های مشترک درباره استقرار، میزان در معرض قرار گرفتن و مرزهای اعتماد دسته‌بندی می‌کند. مایکروسافت تأکید دارد که این دسته‌بندی‌های موقت جایگزین ارزیابی جداگانه هر CVE نمی‌شوند و راهنمایی‌های موجود برای به‌روزرسانی را نیز تغییر نمی‌دهند. چالش مدافعان امنیت این است که میان حجم بالای وصله‌ها و ضرورت شناسایی آسیب‌پذیری‌هایی که بیشترین خطر را برای محیط‌های خود ایجاد می‌کنند، تعادل برقرار کنند.
نفوذ به GitHub متا، کدها و داده‌های شخصی را افشا کرد
متا در حال اطلاع‌رسانی به حدود ۱٬۵۰۰ نفر است؛ زیرا یک گروه خارجی با استفاده از اطلاعات کاربری سرقت‌شده یکی از کارکنان، به برخی مخازن GitHub شرکت دسترسی پیدا کرده است. بیشتر افراد آسیب‌دیده کارکنان متا در آمریکا هستند. این شرکت چند هفته پیش از آغاز اطلاع‌رسانی‌ها در ۱۳ اکتبر، نفوذ را شناسایی کرده و برای واکنش به حادثه، GitHub و نیروهای انتظامی را در جریان گذاشته است.
متا به SecurityWeek گفته است حدود ۹۹ درصد داده‌های سرقت‌شده، اطلاعات تجاری بوده‌اند؛ از جمله کد نرم‌افزاری مرتبط با برخی محصولات شرکت. یک درصد باقی‌مانده شامل داده‌های شخصی بوده که طبق سیاست‌های شرکت نباید در مخازن قرار می‌گرفتند. متا نوع اطلاعات شخصی درگیر را مشخص نکرده و می‌گوید بخشی از داده‌هایی که در نگاه نخست شخصی به نظر می‌رسیدند، در واقع داده‌های مصنوعی یا داده‌های آزمایشی ناشناس‌سازی‌شده بوده‌اند.
این شرکت اعلام کرده است بر اساس بررسی‌های انجام‌شده با GitHub تاکنون، معتقد نیست مهاجمان مشخصاً داده‌های متا را هدف گرفته باشند. متا همچنین گفته است این حادثه ناشی از وجود آسیب‌پذیری در یکی از محصولاتش یا نفوذ به سامانه‌های داخلی شرکت نبوده است. این تمایزها اهمیت دارند، اما از میزان افشایی که در نتیجه دسترسی غیرمجاز به مخازن توسعه ایجاد شده، نمی‌کاهند.
متا اسرار و اطلاعات محرمانه‌ای را که در مخازن پیدا شده‌اند تغییر داده، امنیت محصولات خود را تقویت کرده و کنترل‌هایی را برای جلوگیری از ذخیره شدن داده‌های شخصی در GitHub به کار گرفته است. این شرکت همچنین در حال توسعه سازوکارهای اسکن پیشگیرانه است تا اطلاعاتی را که سهواً بارگذاری می‌شوند شناسایی کند. این حادثه نشان می‌دهد امنیت مخازن کد فقط به محافظت از دسترسی حساب‌های کاربری محدود نمی‌شود؛ سازمان‌ها باید آنچه توسعه‌دهندگان ذخیره می‌کنند را نیز محدود کنند، اطلاعات کاربری را زیر نظر بگیرند و داده‌های حساس را پیش از آنکه برای مهاجم قابل دسترسی شوند، شناسایی کنند.
گزارش‌ها: OpenAI به دنبال خرید Trail of Bits است
بر اساس گزارشی که The Information در ۱۳ اکتبر منتشر کرده، OpenAI در حال انجام مذاکرات اولیه برای خرید Trail of Bits، یک شرکت امنیت نرم‌افزار مستقر در نیویورک است که در ممیزی و رفع آسیب‌پذیری‌های پروژه‌های متن‌باز تخصص دارد. ارزش احتمالی این معامله مشخص نشده و مذاکرات نیز ممکن است در نهایت به توافق منجر نشود.
این مذاکرات گزارش‌شده پس از همکاری قبلی دو شرکت مطرح شده‌اند. OpenAI و Trail of Bits در ماه ژوئن پروژه‌ای با نام Patch the Planet راه‌اندازی کردند که پژوهش آسیب‌پذیری با کمک هوش مصنوعی را با بررسی تخصصی انسان‌ها ترکیب می‌کند تا به ایمن‌سازی نرم‌افزارهای متن‌باز کمک کند. Trail of Bits گزارش داده است که در هفته نخست این طرح، صدها باگ شناسایی شد، ۶۴ درخواست pull و ۵۱ issue در ۱۹ پروژه ثبت شد و ۳۷ وصله نیز تاکنون ادغام شده‌اند.
این همکاری توضیحی عملی برای هم‌افزایی احتمالی میان دو شرکت ارائه می‌دهد. یافتن یک آسیب‌پذیری تنها بخشی از کار است؛ پژوهشگران باید یافته‌ها را اعتبارسنجی کنند، شدت آن‌ها را بسنجند، راهکار رفع نقص را توسعه دهند و با نگه‌دارندگان پروژه‌ها هماهنگ شوند. طرح مشترک OpenAI از کارشناسان انسانی برای پالایش و رفع یافته‌ها استفاده می‌کند، نه اینکه صرفاً گزارش‌های بیشتری را به تیم‌های متن‌بازی اضافه کند که از قبل نیز تحت فشار هستند.
خرید Trail of Bits می‌تواند با گسترش جاه‌طلبی‌های OpenAI در حوزه امنیت سایبری، توان این شرکت برای پژوهش امنیتی در داخل مجموعه را افزایش دهد؛ با این حال، مذاکرات گزارش‌شده هنوز تأیید نشده‌اند. پرسش گسترده‌تر برای مدافعان امنیت این است که آیا شرکت‌های هوش مصنوعی عمدتاً ابزارهایی در اختیار تیم‌های امنیتی موجود قرار خواهند داد یا اینکه به‌تدریج خدمات و تخصص امنیتی خود را نیز ایجاد خواهند کرد. در شرایط فعلی، همکاری میان OpenAI و Trail of Bits نشانه‌ای از شکل‌گیری یک مشارکت رو به توسعه است، نه مدرکی برای قطعی بودن یک معامله.