بر اساس گزارش ایسنا، پس از آنکه یک بنیاد غیرانتفاعی در زمینه برنامه‌نویسی نقاط ضعف بحرانی امنیتی را شناسایی کرد که می‌توانست به هکرها اجازه نفوذ به سیستم‌ها را بدهد، در اوایل ماه اکتبر مقامات در سطح جهانی از مدیران وب‌سایت‌ها خواستند تا اقداماتی فوری برای به‌روزرسانی‌های امنیتی انجام دهند.
وب‌سایت‌های دولتی و شرکتی به صورت موقت از دسترس خارج شدند تا نقاط آسیب‌پذیری معروف به PHP۲Shell که توسط متخصصان مستقل امنیت سایبری با استفاده از هوش مصنوعی شناسایی شده بودند، وصله شوند.
این نقاط ضعف بیش از یک دهه در کد PHP، که یک زبان برنامه‌نویسی متن‌باز بسیار رایج برای وب است، وجود داشتند. با این حال، به دلیل پیچیدگی استخراج و بهره‌برداری از آنها بدون کمک هوش مصنوعی پیشرفته، مورد توجه قرار نگرفته بودند.
با این حال، کارشناسان امنیت سایبری و نگهدارندگان نرم‌افزارهای حیاتی می‌گویند PHP۲Shell می‌تواند نخستین نمونه از سیلی از نقاط ضعف امنیتی باشد که به وسیله هوش مصنوعی نوظهور شناسایی می‌شود. نگهدارندگان این زیرساخت‌های دیجیتال می‌گویند که بیشتر آنها توسط داوطلبانی که عموماً با کمبود منابع و زمان روبرو هستند، مدیریت می‌شوند و قادر به مقابله با تهدیدات جدید نیستند.
پیتر اسلاتری، دانشمند پژوهشی در گروه «فیوچرتِک» (FutureTech) دانشگاه ام‌آی‌تی که به بررسی نحوه تعامل متخصصان امنیت سایبری با تکنولوژی‌های جدید و رصد حوادث واقعی مرتبط با هوش مصنوعی می‌پردازد، اظهار داشت: «بسیاری از افراد در حوزه ایمنی هوش مصنوعی بر این باورند که این یکی از نخستین زمینه‌هایی خواهد بود که آثار منفی هوش مصنوعی را در آن مشاهده خواهیم کرد.»
دنیای دیجیتالی مبتنی بر کار داوطلبانه
پی‌اچ‌پی در سال ۱۹۹۵ به‌وجود آمد، زمانی که راسموس لردورف، یک برنامه‌نویس دانمارکی-کانادایی، در تلاش برای ردیابی تعداد افرادی بود که به رزومه آنلاین او مراجعه کردند. به مرور زمان، افراد دیگری از نقاط مختلف دنیا نرم‌افزار او را بهبود داده و به محبوبیت آن افزوده‌اند.
همانند دیگر پروژه‌های متن‌باز، هر فردی می‌توانست تغییرات را بارگذاری، اصلاح و به اشتراک بگذارد. وب‌سایت‌های مشهوری چون فیس‌بوک و ویکی‌پدیا با کمک پی‌اچ‌پی بنا شده‌اند و این زبان تقریباً ۷۰ درصد از کل وب‌سایت‌های جهان را تحت پوشش دارد.
در سال ۲۰۲۱، بنیاد غیرانتفاعی به نام بنیاد پی‌اچ‌پی تأسیس گردید تا هماهنگی‌های مربوط به توسعه این زبان را به انجام برساند. این بنیاد، همانند بسیاری از بنیادهای مختص نرم‌افزارهای متن‌باز، با کمبود بودجه مواجه است.
بیشتر زیرساخت‌های دیجیتال مورد استفاده عموم به وسیله نرم‌افزارهای متن‌باز پشتیبانی می‌شوند. مرورگر موزیلا فایرفاکس و زبان‌های برنامه‌نویسی نظیر پرل، پایتون و جاوا اسکریپت همگی از نوع متن‌باز هستند. نرم‌افزاری که به رایانه‌ها امکان برقراری ارتباط با سایرین در اینترنت را می‌دهد، معمولاً متن‌باز است و بسیاری از سرورها از محصولاتی نظیر «آپاچی اچ‌تی‌تی‌پی سرور» که تحت نظارت بنیاد نرم‌افزار آپاچی قرار دارد، بهره می‌برند.
آماندا براک، مدیرعامل سازمان غیرانتفاعی «اوپن یوکی» که از نرم‌افزارهای متن‌باز حمایت می‌کند، بیان داشت: «امروز، از جمله فروشندگان نرم‌افزارهای اختصاصی، زیرساخت دیجیتال خود را متکی به نرم‌افزار متن‌باز می‌دانند.»
بزرگترین شرکت‌های جهان، نظیر متا، گوگل، اوپن‌ای‌آی و آنتروپیک، به زیرساخت‌های متن‌باز ساخته شده توسط داوطلبان وابسته هستند. اکنون، ابزارهای هوش مصنوعی که همین شرکت‌ها توسعه داده‌اند، نقاط ضعف امنیتی در زیرساخت‌ها را با سرعتی شگفت‌انگیز شناسایی می‌کنند، سرعتی که برای بنیادهایی مانند بنیاد پی‌اچ‌پی به منابع بسیار بیشتری نیاز دارد.
براک تصریح کرد: «با منابع موجود، به سادگی ترمیم همه نقاط ضعف شناخته‌شده ممکن نیست. بنیادها در تلاش هستند تا این چالش‌ها را حل کنند، اما بنیادهای کوچک‌تر به شدت با کمبود بودجه مواجه‌اند و به این ترتیب نمی‌توانند با سرعتی که هوش مصنوعی ایجاب می‌کند، پیش بروند.»
سیلابی از نقص‌های جدید که رفع نشده‌اند
نقاط ضعف PHP۲Shell با استفاده از چندین مدل پیشرفته هوش مصنوعی شناسایی شدند که قادر به بهینه‌سازی تلاش‌های بسیار پیچیده‌تری نسبت به آنچه که انسان‌ها می‌توانستند انجام دهند، هستند.
توسعه‌دهندگان دیگر نرم‌افزارها نیز می‌توانند با یاری هوش مصنوعی، نسبت به گذشته، نقص‌های امنیتی بیشتری را کشف کنند.
گوگل اعلام کرد در به‌روزرسانی اخیر مرورگر کروم، بیش از ۱۰۰۰ نقطه ضعف امنیتی شناسایی کرده است که این رقم به مراتب بیشتر از مجموع ده‌ها به‌روزرسانی اخیر محسوب می‌شود. بنیاد موزیلا، توسعه‌دهنده مرورگر فایر فاکس، نیز در ماه آوریل بیش از ۴۰۰ آسیب‌پذیری امنیتی را شناسایی کرده است که نسبت به رکورد قبلی ۷۶ باگ کشف شده در ماه گذشته، افزایش چشمگیری به شمار می‌آید.
جارک پوتیوک، یکی از اعضای تیم امنیتی داوطلب در «بنیاد نرم‌افزاری آپاچی»، می‌گوید: «تعداد مشکلاتی که شناسایی کرده‌ایم می‌تواند تا ۱۰ برابر بیشتر از معمول باشد، چرا که از هوش مصنوعی برای یافتن آنها بهره می‌بریم.»
در ابتدای سال جاری، آنتروپیک پروژه‌ای به نام «گِلس‌وینگ» را راه‌اندازی کرد و ۱۰۰ میلیون دلار اعتبار برای حمایت از مدل پیشرفته هوش مصنوعی «کلود میتوس» خود جهت شناسایی آسیب‌پذیری‌های امنیتی در نرم‌افزارهای حیاتی جهانی اختصاص داد. در ظرف یک ماه، بیش از ۲۳ هزار آسیب‌پذیری در بالغ بر ۱۰۰۰ پروژه متن‌باز شناسایی شدند.
بنیاد نرم‌افزار آپاچی همچنین به پروژه‌ای دیگر به نام «پروژه آلفا-اومگا» برای اسکن نقاط ضعف امنیتی در ۲۹۰ بسته نرم‌افزاری که تحت نظر دارد، متوسل شده است. این پروژه که توسط شرکت‌های بزرگی چون آنتروپیک، آمازون، گوگل، مایکروسافت و اوپن‌ای‌آی حمایت می‌شود، سالانه حدود ۷ میلیون دلار برای یاری به توسعه‌دهندگان متن‌باز در شناسایی نقاط ضعف حیاتی هزینه می‌کند.
با این وجود، افرادی که به دنبال شناسایی و ترمیم نقاط ضعف امنیتی هستند، می‌گویند با در نظر گرفتن ارزش تریلیون دلاری شرکت‌هایی که محصولاتشان بدون نرم‌افزارهای رایگان مانند بسته‌هایی که بنیاد آپاچی ارائه می‌دهد، قابل اجرا نیستند، دنیای شرکتی می‌تواند اقدامات چشمگیری بیشتری انجام دهد.
پوتیوک افزود: حفظ زیرساخت اینترنت به نحوی که کم‌وبیش غیرمتمرکز و متن‌باز باشد، بسیار حائز اهمیت است. برای مثال، شرکت‌های بزرگ نظیر گوگل یا مایکروسافت می‌توانند به جای خرید نرم‌افزارهایی مثل پی‌اچ‌پی، به کارکنان خود حقوق بدهند تا بخشی از ساعات کاری خود را به نگهداری پروژه‌های متن‌باز تخصیص دهند.
چالش‌ها در عرصه واقعی
آسیب‌پذیری مشهور «Log۴Shell» که در سال ۲۰۲۱ شایع شد، توانسته بود به هکرها اجازه دهد که به‌طور دورنموداری و با بهره‌گیری از یک کتابخانه پرکاربرد که تحت نظر بنیاد نرم‌افزاری آپاچی قرار داشت، بر روی میلیون‌ها دستگاه کد اجرا کنند و اهمیت شدید نرم‌افزارهای متن‌باز را در امنیت سیستم‌ها به نمایش گذاشت. این نقطه ضعف بدون اتکا به هوش مصنوعی شناسایی شد.
در صورتی که چنین نقطه ضعفی به دست یک هکر بدخواه شناسایی می‌شد و پیش از اینکه فرصتی برای ترمیم سیستم‌ها ایجاد شود، مورد سوءاستفاده قرار می‌گرفت، می‌توانست به تبعاتی گسترده و جدی منجر شود.
طبق گزارش شبکه الجزیره، اسلاتری می‌گوید پایگاه داده‌ای که او و همکارانش از حوادث امنیتی به‌وجود آورده‌اند، نشان‌دهنده افزایش شمار نقاط ضعف شناسایی شده است و این تنها به زمان بستگی دارد که برخی از آنها در دنیای واقعی مورد بهره‌برداری قرار خواهند گرفت.
انتهای پیام
نظرات کاربران