هوش مصنوعی بدهی فنی ۴۰ ساله دنیای نرم‌افزار را نقد می‌کند
هوش مصنوعی بدهی فنی: زبان برنامه‌نویسی PHP که در سال ۱۹۹۴ میلادی خلق شد، زیربنای بخش بزرگی از وب از جمله وردپرس و دروپال است.
خلاصه
کشف آسیب‌پذیری بحرانی PHP۲Shell که وب‌سایت‌های بزرگی مانند ناسا و ویکی‌پدیا را با خطر جدی مواجه کرد، نشان‌دهنده آغاز عصر جدیدی در امنیت سایبری است. در این دوره، هوش مصنوعی با توانایی تحلیل منطقی بسیار دقیق، کدهای قدیمی و خطاهای حافظه را که دهه‌ها نادیده گرفته شده بودند، به ابزارهای نفوذ تبدیل می‌کند. اکنون سازمان‌ها مجبورند بدهی فنی انباشته‌شده از ۴۰ سال پیش را با کمک همین فناوری تسویه کنند.
چرا کدهای قدیمی به هدف اول حملات تبدیل شده‌اند؟
زبان برنامه‌نویسی PHP که در سال ۱۹۹۴ میلادی خلق شد، زیربنای بخش بزرگی از وب از جمله وردپرس و دروپال است. آسیب‌پذیری جدید که ریشه در مدیریت حافظه دارد، سال‌ها به عنوان یک «خطای ساده» در گزارش‌ها باقی مانده بود. در گذشته، تبدیل یک کرش ساده به یک ابزار نفوذ (Exploit) نیازمند استدلال‌های پیچیده و صرف زمان طولانی توسط متخصصان بود، اما اکنون هوش مصنوعی این مسیر را هموار کرده است.
شرکت امنیتی Calif با حمایت OpenAI، در عرض دو هفته و با کمک ابزارهای هوش مصنوعی توانست ثابت کند که یک خطای کمبود حافظه قدیمی در PHP، امکان اجرای کد مخرب و سرقت داده‌های حساس را فراهم می‌کند. این یعنی کدهایی که توسط انسان نوشته شده و دهه‌ها ایمن پنداشته می‌شدند، اکنون در برابر تحلیل‌های هوشمند آسیب‌پذیر هستند.
هوش مصنوعی؛ هم در جبهه حمله و هم در دفاع
تقارن میان یافتن باگ و رفع آن در دنیای امنیت وجود ندارد؛ مدافعان باید تمام راه‌های نفوذ را ببندند بدون اینکه عملکرد نرم‌افزار مختل شود. این فشار بر پروژه‌های متن‌باز که منابع مالی محدودی دارند، دوچندان است. با این حال، استفاده از مدل‌های زبانی بزرگ برای تولید خودکار وصله‌های امنیتی و اثبات درستی آن‌ها، بار سنگینی را از دوش تیم‌های امنیتی برمی‌دارد.
در همین راستا، شرکت آنتروپیک در ۲۲ اکتبر ابزاری را معرفی کرد که در آن مدل‌های زبانی هم وصله امنیتی را تولید می‌کنند و هم مدرک درستی آن را ارائه می‌دهند. البته به دلیل احتمال توهم هوش مصنوعی، هنوز یک سیستم بازبینی غیرهوشمند برای تایید نهایی این مدارک لازم است. در بسترهای بومی مانند هوش مصنوعی نهال، دسترسی به این مدل‌های پیشرفته بین‌المللی می‌تواند به توسعه‌دهندگان کمک کند تا زیرساخت‌های خود را در برابر چنین تهدیدات جدیدی مقاوم‌سازی کنند.
چطور از فاجعه پیشگیری شد؟
خوشبختانه PHP۲Shell پیش از آنکه توسط هکرهای کلاه سیاه کشف شود، توسط محققان شناسایی و گزارش شد. تیم چهار نفره مهندسان بنیاد PHP دو ماه زمان صرف کردند تا وصله امنیتی نهایی را منتشر کنند. این حادثه زنگ خطری بود که نشان داد تکیه بر کدهای «به اندازه کافی خوب» قدیمی دیگر کافی نیست و باید از هوش مصنوعی برای حسابرسی مداوم سیستم‌ها استفاده کرد.
منبع: spectrum.ieee.org