«تورستن هولز» (Thorsten Holz) یکی از پژوهشگران برجسته و شناختهشده در حوزه امنیت سایبری است. او بهعنوان مدیر علمی مؤسسه ماکس پلانک برای امنیت و حریم خصوصی و عضو هیئتعلمی مرکز امنیت اطلاعات هلمهولتز (CISPA) در آلمان فعالیت میکند.
تمرکز اصلی پژوهشهای او بر امنیت سیستمها، مهندسی معکوس و کشف خودکار آسیبپذیریهای نرمافزاری است. او بهتازگی در مقالهای جذاب و تأملبرانگیز در نشریه معتبر «نیچر»، نظرات خود را درباره آینده امنیت سایبری و تأثیر شگرف هوش مصنوعی بر آن بیان کرده است. متنی که در ادامه میخوانید، ترجمه روان و ویرایششده این یادداشت تحلیلی است.
هوش مصنوعی، هنر کشف باگ را صنعتی میکند
برای سالهای متمادی در دوران کاریام در حوزه علوم کامپیوتر، کشف آسیبپذیریهای نرمافزاری را نوعی هنر و مهارت میدانستم. بهترین پژوهشگران، مهارت فنی را با شهود ترکیب میکنند: توانایی تشخیص اینکه آیا ازکارافتادگی ناگهانی نرمافزار (Crash) یک نقص جزئی بوده یا نشانهای از یک آسیبپذیری جدیتر است.
دههها روال بر این بود که ماشینها باگها را پیدا میکردند و انسانها تصمیم میگرفتند کدامیک اهمیت دارد. اکنون، با پیشرفت هوش مصنوعی، این وضعیت در آستانه تغییری چشمگیر است. پژوهشهای من بیشتر روی ساخت «فازر» (Fuzzer) های بهتر متمرکز بوده است؛ ابزارهای خودکاری که برای کشف باگها، نرمافزار را با میلیونها ورودی غیرمنتظره بمباران میکنند. تولید گزارشهای ازکارافتادگی (فایلهای دقیقی که جزئیات خرابیها را ثبت میکنند) بهندرت بخش دشوار کار بود.
چالش اصلی تازه پس از آن آغاز میشد؛ چراکه همچنان یک انسان باید تکتک این گزارشها را بررسی میکرد، تشخیص میداد که آیا راهی برای سوءاستفاده (Exploit) از آنها وجود دارد یا نه، تصمیم میگرفت که آیا این باگ باید بهطور عمومی افشا شود و در نهایت راهی برای اصلاح آن پیدا میکرد؛ اما هوش مصنوعی در حال ایجاد تغییری بنیادین در سازوکار امنیت سایبری است؛ تغییری که پژوهش روی آسیبپذیریها را به فرایندی مقیاسپذیر تبدیل میکند که موتور محرک آن، مدلها، دادههای آموزشی و توان پردازشی است.
ما در این مسیر با چالشهای عظیمی روبهرو هستیم. در این مقاله، قصد دارم خطوط کلی این چشمانداز نوظهور را ترسیم کنم و چالشهای پیش رو را توضیح دهم.
وقتی سرعت ماشین از ظرفیت انسان جلو میزند
سیستمهای هوش مصنوعی اکنون میتوانند کارهایی بسیار فراتر از تولید کد انجام دهند. مدلهایی که توانایی استدلال، استفاده از ابزارها و اجرای آزمایشها را دارند، بهطور فزایندهای قادرند ازکارافتادگیهای نرمافزاری را اولویتبندی کنند، علل ریشهای را تشخیص دهند، قابلیت سوءاستفاده را ارزیابی کرده و حتی راهکارهای اصلاحی پیشنهاد دهند.
هوش مصنوعی میتواند کدهایی را بررسی کند که در حالت عادی هرگز بررسی نمیشدند و مسیرِ رسیدن از کشف باگ تا یک وصلهٔ آزمایششده را کوتاه کند.
اوایل سال ۲۰۲۶، موزیلا نسخهی آزمایشی Claude Mythos را برای بررسی کد فایرفاکس به کار گرفت. این سامانه ۲۷۱ آسیبپذیری را شناسایی کرد که تیم موزیلا پس از بررسی، اصلاح آنها را در Firefox 150 منتشر کرد؛ این رقم بسیار بیشتر از مجموع باگهایی بود که ابزارهای پیشین و بازبینهای انسانی شرکت در هر ماه سال گذشته پیدا کرده بودند.
حجم عظیم گزارشهای آسیبپذیری که به لطف هوش مصنوعی تولید میشوند، ظرفیت بررسیِ حتی باتجربهترین توسعهدهندگان را نیز تحت فشار قرار داده است.
سیل گزارشهای ماشینی
«هسته لینوکس» برای رفع ایرادات خود به گزارشهای باگ ارسالی از سوی افراد متکی است1؛ اما در مه ۲۰۲۶، تیم نگهدارنده هسته لینوکس با موجی از گزارشهای تکراری روبهرو شد که با کمک هوش مصنوعی تولید شده بودند؛ این وضعیت باعث شد نگهدارندگان، دستورالعملهای ارسال گزارش و مشارکتهای تولیدشده با کمک هوش مصنوعی را شفافتر و سختگیرانهتر کنند.
درس این اتفاق آن نیست که نگهدارندگان نرمافزار در کار خود ضعیف عمل میکنند، بلکه نشان میدهد گزارشهای تولیدشده توسط ماشین میتوانند بهراحتی فرایندهایی را فلج کنند که برای دنیایی با «سرعت انسانی» طراحی شدهاند.
هوش مصنوعی؛ شتابدهندهای برای هر دو سوی میدان
همان قابلیتهایی که هوش مصنوعی را در شکار باگها قدرتمند میسازد، میتواند حملات سایبری را نیز سرعت ببخشد. آسیبپذیریهایی که زمانی هفتهها طول میکشید تا انسانها آنها را پیدا و تحلیل کنند، اکنون در عرض چند ساعت قابل سوءاستفاده هستند و به مهاجمان اجازه میدهند با سرعت و مقیاسی بیسابقه عمل کنند.
نهادهای تنظیمگر مالی در ایالات متحده و بریتانیا، و همچنین ائتلاف اطلاعاتی «پنج چشم» شامل ایالات متحده، بریتانیا، کانادا، استرالیا و نیوزیلند، هشدار دادهاند که مدلهای پیشرفته هوش مصنوعی میتوانند حملات سایبری را سریعتر، ارزانتر و مؤثرتر کنند.
سه کاری که سازمانها باید همین حالا انجام دهند
هر سازمان، شرکت یا نهاد عمومی که نرمافزارهای مهم را توسعه میدهد یا به آنها وابسته است، باید برای این تغییر آماده شود. در این میان، سه اولویت برجسته است.
- اولویت اول: ساخت یک مسیر کامل برای پاسخگویی (Response Pipeline)
امروزه یافتن آسیبپذیریها دیگر چالش اصلی نیست؛ بلکه رفع سریع آنهاست که اهمیت دارد. یک مدل هوش مصنوعی ممکن است در عرض چند روز هزاران نقص احتمالی را کشف کند، اما تا زمانی که سازمانها نتوانند این یافتهها را اعتبارسنجی کنند، جدیترین خطرات را اولویتبندی کنند، وصلههای امنیتی (Patches) را بسازند، آنها را آزمایش کرده و بهسرعت پیادهسازی کنند، این اطلاعات ارزش چندانی نخواهند داشت.
هدف این است که «کشف با سرعت ماشین» به «اصلاح با سرعت ماشین» تبدیل شود. هر سازمانی که نرمافزار توسعه میدهد یا به آن وابسته است، باید ارزیابی کند که چگونه هوش مصنوعی میتواند فرایندهای امنیتیاش را تقویت کند.
- اولویت دوم: توسعه معیارهای ارزیابی (Benchmarks) بهتر
بسیاری از سیستمهای ارزیابی هوش مصنوعی هنوز بر اساس انجام وظایف محدود و مشخصی (مانند شناسایی یک آسیبپذیری در یک قطعه کد کوچک یا حل یک معمای مستقل) به مدلها امتیاز میدهند؛ اما کار امنیتی در دنیای واقعی، در محیطی ایزوله و آزمایشگاهی اتفاق نمیافتد.
یک نقص تازه کشفشده در سیستم پرداخت یک بانک را در نظر بگیرید: یک تحلیلگر باید باگ را در میان حجم عظیمی از کدها پیدا کند، تشخیص دهد که آیا واقعاً امکان سوءاستفاده از آن وجود دارد یا خیر، تأثیر احتمالی آن را بسنجد، یک راهکار اصلاحی توسعه دهد و در نهایت بررسی کند که این وصله، بخشهای دیگر سیستم را از کار نیندازد.
سیستمی که فقط در یکی از این مراحل موفق عمل کند، ارزش عملی چندانی نخواهد داشت. ما باید سیستمهای هوش مصنوعی را بر اساس کل جریانهای کاری امنیتی ارزیابی کنیم تا بتوانیم قابلیتهای تهاجمی و تدافعی آنها را در محیطهای واقعگرایانه بسنجیم.
- اولویت سوم: متخصص امنیت آینده، مدیر تیمی از عاملهای هوش مصنوعی است
(و اینجاست که من بهعنوان یک مدرس دانشگاه، این تغییر را با تمام وجود احساس میکنم) ما باید متخصصان حوزه کاری خودمان را بازآموزی کنیم. من هنوز هم اصول پایهٔ امنیت نرمافزار را به دانشجویانم آموزش میدهم، زیرا آنها نمیتوانند بر چیزی که درک نمیکنند نظارت داشته باشند؛ اما در کنار آن، اکنون به آنها آموزش میدهم که چگونه نرمافزارهای ارزیابی هوش مصنوعی طراحی کنند، گزارشهای باگِ تولیدشده توسط ماشین را اعتبارسنجی کنند و ایجنتهای خودکار را (که مستقیماً روی کد منبع کار میکنند)، کنترل و محدود سازند.
ماهیت این شغل در حال تغییری بنیادین است. پژوهشگر امنیتیِ آینده کمتر بر اساس باگهایی که میتواند بهصورت دستی پیدا کند قضاوت خواهد شد؛ بلکه معیار سنجش او این خواهد بود که چقدر خوب میتواند تیمی از عاملهای هوش مصنوعی را برای کشف باگهای نرمافزاری در مقیاس وسیع هدایت کند و یافتههای امنیتیِ مهم را از میان انبوهی از اطلاعات بیارزش (نویزها) بیرون بکشد.
امنیت سایبری همیشه مسابقهای بیپایان میان مهاجمان و مدافعان بوده. هوش مصنوعی به هر دو طرف کمک خواهد کرد تا سریعتر عمل کنند. اگر ما هوش مصنوعی را صرفاً یک «دستیار کدنویسی» ببینیم، برای آنچه در پیش است آماده نخواهیم بود. اما اگر نهادها، ابزارها و نیروی کار خود را با این فناوری تطبیق دهیم، هوش مصنوعی میتواند کفه ترازو را به نفع مدافعان سنگینتر کند.
همچنین میتوانید بیشتر بخوانید
- بحران ارسال کدهای بیکیفیت و گزارشهای توهمیِ تولیدشده با ابزارهای برنامهنویسی هوش مصنوعی برای تیم هسته لینوکس، از اوایل سال ۲۰۲۴ شروع شد ↩︎
