هوش مصنوعی، توانمندی محققان امنیتی را صدها برابر افزایش داد
تومر شوارتز، مدیر ارشد فناوری شرکت امنیتی Wiz، در پادکست TechCrunch توضیح داد که چگونه تیم آن‌ها با استفاده از هوش مصنوعی، خروجی محققان خود را بیش از صد برابر افزایش داده‌اند. وی همچنین هشدار داد که بسیاری از وب‌سایت‌ها هنوز این حفره‌های امنیتی بزرگ را برطرف نکرده‌اند و انتظار می‌رود چنین آسیب‌پذیری‌های مهمی در آینده رایج‌تر شوند.
پیش‌زمینه: کشف آسیب‌پذیری PHP2Shell و تأثیر آن
شوارتز در پادکست “Equity” گفت: «بدون هوش مصنوعی، پیدا کردن آن غیرممکن بود.» او توضیح داد که هوش مصنوعی به طور همزمان تعداد زیادی ایده را امتحان می‌کند و انسان‌ها فقط باید نتایج را برای یافتن تأثیرگذارترین موارد تأیید کنند. وی افزود: «اگر ۱۰ نفر از بهترین محققان آسیب‌پذیری Wiz را برای یافتن چنین حفره‌ای می‌فرستادیم، ممکن بود ماه‌ها، حتی تا ۱۲ ماه طول بکشد و در نهایت هم لزوماً موفق نمی‌شدیم.»
این صحبت‌ها به آسیب‌پذیری PHP2Shell اشاره دارد که هفته گذشته جامعه جهانی را شوکه کرد. این آسیب‌پذیری با امتیاز ریسک ۹.۲ در مقیاس CVSS، به مهاجمان اجازه می‌دهد بدون نیاز به نام کاربری و رمز عبور، از راه دور کد را روی سرور اجرا کنند. طبق گزارش وبلاگ رسمی Wiz، هر نسخه از PHP که در ۱۰ سال گذشته منتشر شده، حداقل تحت تأثیر یکی از این آسیب‌پذیری‌ها قرار گرفته است. تخمین زده می‌شود که PHP حدود ۷۰ درصد از وب‌سایت‌های جهان را پشتیبانی می‌کند، از جمله پلتفرم‌هایی مانند وردپرس، دروپال و مدیاویکی مورد استفاده در ویکی‌پدیا.
رویکرد Wiz با استفاده از هوش مصنوعی
Wiz از چارچوب داخلی خود به نام Atlas استفاده می‌کند که بر روی مدل‌های پیشرفته Google DeepMind، OpenAI و Anthropic بنا شده است. این چارچوب به طور همزمان مسیرهای متعددی را برای آزمایش مدل‌ها در نظر می‌گیرد. شوارتز بیان کرد که رویکرد آن‌ها به این صورت است که هر محقق ۲۰ ایده را مطرح می‌کند و آن‌ها را به Atlas می‌سپارد تا در طول یک آخر هفته اجرا کند. سپس در هفته بعد، نتایج را بررسی می‌کنند. او گفت: «اکنون می‌توانیم خروجی یک محقق را ۱۰۰ تا ۱۰۰۰ برابر افزایش دهیم.» در بسیاری از موارد، مدل‌ها نتایجی نزدیک به محصول نهایی ارائه می‌دهند و انسان‌ها فقط نیاز به تأیید دارند. ابزارهای ذکر شده در وبلاگ Wiz شامل Atlas، Gemini 4 Argon و GPT-5.6 Sol هستند و این شرکت اعلام کرده که یک محقق توانسته در یک هفته کاری را انجام دهد که قبلاً نیازمند تیم‌های جهانی در طول چندین ماه بود.
ریشه‌های آسیب‌پذیری و نقش هوش مصنوعی
شوارتز اشاره کرد که تیم PHP از قبل متوجه مشکلاتی در آن بخش شده بود و اطلاعات مربوط به آن از سال ۲۰۲۰ یا حتی قبل‌تر در دسترس بود، اما «هیچ‌کس نتوانسته بود کد حمله را بنویسد» و هیچ گزارشی مبنی بر امکان فعال‌سازی پایدار و از راه دور آن وجود نداشت. تغییر، در هوش مصنوعی بود. او گفت که اکنون می‌توان با صرف توکن‌های زیاد (واحد اندازه‌گیری پردازش متن توسط مدل‌ها) و جابجایی بین ایده‌های مختلف، کارهایی را در مقیاس بزرگ انجام داد که قبلاً به نیروی انسانی زیادی نیاز داشت. این امر باعث شد تا نقاطی که «همه به طور مبهم احساس می‌کردند حساس هستند» سرانجام مورد بررسی قرار گیرند.
افشای اطلاعات و چالش‌های افشای هماهنگ
پس از نشت اطلاعات، طرف‌های درگیر در هماهنگی نگران شدند که دیگران با دانستن موقعیت تقریبی بتوانند با استفاده از هوش مصنوعی آسیب‌پذیری‌های مشابهی را کشف کنند، بنابراین تصمیم گرفتند زودتر آن را منتشر کنند. این امر باعث شد تا برخی پروژه‌های پایین‌دستی فرصت کافی برای انتشار وصله‌های امنیتی نداشته باشند. شوارتز گفت که افشای هماهنگ (اطلاع‌رسانی خصوصی به نگهدارندگان، رفع مشکل و سپس انتشار عمومی) «ذاتاً معیوب است.» برای اینکه طرف دفاع بتواند زودتر آماده شود، باید دایره افراد درگیر گسترش یابد و ممکن است این دایره به صدها نفر برسد، بنابراین «من کسی را برای نشت اطلاعات سرزنش نمی‌کنم.»
نگرانی از عدم رفع حفره‌های امنیتی
شوارتز اظهار داشت که Wiz به طور روزانه محیط‌های مشتریان و کل وب را برای شناسایی و نظارت اسکن می‌کند، اما «بیشتر بار کاری هنوز وصله نشده است.» او نگران است که این حفره‌های امنیتی وصله نشده، مدت زیادی باقی بمانند، زیرا رفع آن‌ها در وب‌سایت‌های فعال نیازمند یافتن مسئول مربوطه و سپس تأیید نصب نسخه جدید است.
وضعیت وب‌سایت‌های کوچک و توصیه‌ها
شوارتز در مورد وب‌سایت‌های کوچک گفت: «بسیاری از پلتفرم‌های بزرگ مانند هاستینگ وردپرس، Wix و GoDaddy از این موضوع اطلاع دارند و می‌توانند مستقیماً از طریق پنل پشتیبانی خود آن را رفع کنند یا به مشتریان خود اطلاع دهند.» او افزود: «خطر واقعی برای کسب‌وکارهای کوچکی است که در گذشته وردپرس را خودشان راه‌اندازی کرده‌اند و از پلتفرم‌های بزرگ استفاده نمی‌کنند.» او توصیه کرد که اگر مطمئن نیستید، با پلتفرم خود تماس بگیرید یا به وب‌سایت توضیحات php2shell.com که توسط Wiz راه‌اندازی شده، مراجعه کنید.
در این وب‌سایت ذکر شده است: «آسیب‌پذیری در خود PHP وجود دارد و کدنویسی امن وب‌سایت نیز از آن در امان نیست؛ تنها راه حل کامل، ارتقاء PHP و راه‌اندازی مجدد است. صرفاً به‌روزرسانی برنامه‌هایی مانند وردپرس، PHP زیرین را به‌روز نمی‌کند.» اولین نسخه‌های وصله شده شامل ۸.۲.۳۵، ۸.۳.۳۶، ۸.۴.۲۷ و ۸.۵.۱۲ هستند.
آینده آسیب‌پذیری‌های بزرگ
شوارتز پیش‌بینی کرد که «این تنها مورد نخواهد بود» و در هفته‌ها و ماه‌های آینده آسیب‌پذیری‌های مهم دیگری نیز اعلام خواهد شد. او گفت که ریتم «یک آسیب‌پذیری سالانه بسیار جدی» در حال تغییر است. وبلاگ Wiz آسیب‌پذیری PHP2Shell را با Heartbleed در سال ۲۰۱۴ و Log4Shell در سال ۲۰۲۱ مقایسه کرده و معتقد است این می‌تواند نقطه عطفی مشابه در عصر هوش مصنوعی باشد: زمانی که زمان و تخصص مورد نیاز برای چنین کارهایی کاهش می‌یابد و پیچیدگی دیگر مانعی نخواهد بود.
برای شرکت‌های کوچکی که تیم امنیتی ندارند، توصیه او بیشتر به سمت معماری سیستم است. اگر هر ماه یا حتی هر هفته آسیب‌پذیری‌های مشابهی رخ دهد، چرخه رفع اشکال دستی «هرگز نمی‌تواند همگام شود.» لازم است از اصول اولیه دوباره فکر شود: آیا سیستم می‌تواند در هر زمان آفلاین شود، به طور خودکار وصله شود، تمام محیط‌ها به صورت کد نوشته شوند و به طور مداوم مستقر شوند.
او معتقد است شرکت‌های کوچک در واقع مزیت دارند، زیرا تغییر سیستم‌های قدیمی برای شرکت‌های هزار نفره دشوار است. برای استارتاپ‌هایی که کسب‌وکارشان بر پایه اعتماد است و اطلاعات حساس شخصی را پردازش می‌کنند، بهتر است یک متخصص امنیتی یکی از بنیان‌گذاران مشترک یا اولین کارمندان باشد، در غیر این صورت «هر هفته مانند یک تمرین آتش‌نشانی خواهد بود.»
