هوش مصنوعی و موج تازه امنیت وب

ابزارهای هوش مصنوعی خیلی زود از یک سرگرمی کنجکاوی‌برانگیز به ستون اصلی کار روزمره‌ی وب تبدیل شدند. توسعه‌دهندگان، شرکت‌های میزبان و صاحبان سایت از آن استفاده می‌کنند تا هزینه را پایین بیاورند، سرعت کار را بالا ببرند و خدمات بهتری به مشتری بدهند. اما در همین حین، میدان تازه‌ای هم فتح کرده‌اند: شکار حفره‌های امنیتی.

این روزها افراد و تیم‌های بسیاری کدها را با کمک مدل‌های زبانی زیر و رو می‌کنند. منطقش هم ساده است؛ یک مدل هوش مصنوعی می‌تواند در چند ساعت چیزی را پیدا کند که چشم انسان هفته‌ها از کنارش بی‌تفاوت رد می‌شده. نتیجه‌اش وب امن‌تری است که هم در مرحله‌ی ساخت و هم در مرحله‌ی نگهداری به کمک ما می‌آید.

نشانه‌هایش هم دیده می‌شود. نسخه‌های تازه‌ی امنیتی وردپرس چند آسیب‌پذیری مهم را با کمک همین ابزارها پیدا و وصله کرده‌اند و طرح «Protect the Shire» در مخزن افزونه‌های وردپرس هم تلاش می‌کند حفره‌ها را پیش از انتشار عمومی افزونه‌ها بگیرد. با این حال، حس واقعی من این است که ما هنوز در ابتدای مسیر هستیم و بخش سخت ماجرا تازه دارد شروع می‌شود.

جایی که هوش مصنوعی از انسان جلو می‌زند

بخش قابل‌پیش‌بینی ماجرا این است که مدل‌ها الگوهای تکرارشونده‌ی کد ناامن را بشناسند. اگر مدلی را با مستندات PHP یا جاوااسکریپت آموزش داده باشید، طبیعتاً می‌داند کدام توابع ممکن است خطرناک باشند و کجا باید محتاط بود. این بخش هنوز خیلی شگفت‌انگیز نیست.

قدرت واقعی جای دیگری خودش را نشان می‌دهد: جایی که هوش مصنوعی بین چیزهایی که ظاهراً ربطی به هم ندارند، ارتباط پیدا می‌کند. یک تکه کد به‌تنهایی هیچ مشکلی ندارد. اما وقتی آن را کنار قطعه‌ی دیگری بگذارید، شاید با سه چهار تکه‌ی دیگر، ناگهان ترکیبی بسازد که کارکردش کاملاً متفاوت است و در بدترین حالت به یک آسیب‌پذیری جدی بدل شود.

این را می‌شود مثل صحنه‌های سریال‌های پلیسی تصور کرد؛ همان جایی که کارآگاه روی صفحه‌ی نمایشگر چند قدم می‌زند و در چند ثانیه یک پرونده‌ی چندساله را می‌بندد. واقعیت اما کمی خسته‌کننده‌تر است؛ چند ساعت جست‌وجوی مداوم، و بعد نتیجه. با این تفاوت که همان نتیجه در موارد واقعی حفره‌هایی را بیرون کشیده که سال‌ها در کد پنهان مانده بودند و هیچ بازبینی انسانی به ارتباطشان پی نبرده بود.

ارزش این توانایی زمانی روشن‌تر می‌شود که بدانیم طرف مقابل هم از همین ابزارها استفاده می‌کند، منتها با نیّتی دیگر. مهاجم‌ها هم مدل‌ها را وادار می‌کنند تا ضعف‌ها را پیدا کنند. در چنین بازی‌ای، هر چه زودتر حفره‌ها را ببینیم، شانس کمتری برای باج‌گیری و خرابی داریم.

سیلی از هشدارها؛ وقتی پیدا کردن مشکل با حل آن یکی می‌شود

پژوهشگرها با کمک هوش مصنوعی به رکوردی تازه در کشف آسیب‌پذیری رسیده‌اند. برنامه‌های باگ‌بانتی که قبلاً ماهی چند ده گزارش می‌گرفتند، حالا صدها و گاهی هزاران گزارش دریافت می‌کنند. این خبر هم خوب است و هم بد.

خبر خوب روشن است: هر حفره‌ای که وصله شود، یک قدم به امنیت بیشتر نزدیک شده‌ایم. اما عارضه‌ی جانبی‌اش خستگی و بی‌حسی است. موجی از اعلان‌های امنیتی راه افتاده که آدم‌ها و شرکت‌ها همه‌شان را با صدای بلند منتشر می‌کنند، با لحنی که انگار باید همین حالا فلان محصول را بخریم وگرنه همه‌چیز از هم می‌پاشد.

واقعیت این است که هیچ دو آسیب‌پذیری‌ای شبیه هم نیستند. برخی به‌شدت خطرناک‌اند و احتمال سوءاستفاده از آن‌ها بالاست؛ بعضی دیگر فقط روی کاغذ ترسناک‌اند. وقتی هوش مصنوعی ارتباط‌های نامنتظره می‌سازد، گاهی نتیجه‌اش حفره‌ای است که برای بهره‌برداری، مهاجم باید مجموعه‌ای بسیار خاص و تقریباً بعید از گام‌ها را دنبال کند.

با این حال، به‌محض عمومی شدن یک آسیب‌پذیری، همه‌ی محاسبات عوض می‌شود. مهاجم‌ها خیلی راحت راه بهره‌برداری را پیدا می‌کنند، تولیدکننده‌ها به سرعت وصله می‌سازند و منتشر می‌کنند، و در این میان سؤال همه ما این است: کدام مورد واقعاً اضطراری است و کدام یکی می‌تواند منتظر بماند؟ برای فریلنسرها و آژانس‌ها، همین تردید کافی است تا جرئت نکنند ایمیل‌هایشان را چک نکنند؛ نکند همان لحظه افزونه‌ی امنیتی خبر از یک فاجعه داده باشد.

راه‌حل، تغییر در شیوه‌ی مدیریت است

حتی باتجربه‌ترین توسعه‌دهنده‌ها هم به‌سختی می‌توانند با سرعت انتشار گزارش‌های امنیتی هم‌قدم شوند. کمتر روزی است که خبر یک آسیب‌پذیری تازه و هولناک منتشر نشود. روش‌های سنتی کار آژانس‌ها و فریلنسرها دیگر کافی نیست. به‌روزرسانی خودکار سرعت خوبی دارد، ولی تضمینی برای امنیت یا پایداری سایت نمی‌دهد. تازه، تکلیف ما با تهدیدهایی که هنوز کشف نشده‌اند و شاید همین امروز با کمک هوش مصنوعی ساخته شده باشند چیست؟

چاره کار این است که راه‌های هوشمندانه‌تری برای مدیریت این وضعیت پیدا کنیم. باید ابزاری داشته باشیم که میان این حجم اطلاعات، اولویت‌ها را برایمان روشن کند؛ مکانیزمی که وصله‌ها را سریع اعمال کند و پنجره‌ی آسیب‌پذیری را تا حد ممکن کوچک نگه دارد. بخشی از این ابزارها وجود دارند، اما باید در مقیاس بزرگ و برای همه به کار گرفته شوند.

یکی از طبیعی‌ترین جاها برای این کار، لایه‌ی میزبانی است. در نهایت هاست، نزدیک‌ترین نقطه‌ی تماس با یک وب‌سایت است و می‌تواند پیش از رسیدن آسیب به سایت، آن را مهار کند. شبکه‌های توزیع محتوا مثل کلادفلر هم می‌توانند در ساختن یک راهبرد یکپارچه برای کاهش خطر نقش داشته باشند.

خلاصه‌ی ماجرا این است: هوش مصنوعی انفجاری در کشف آسیب‌پذیری‌ها و در توانایی بالقوه‌ی مهاجمان ایجاد کرده و دوره‌ی آرام قبلی را تمام کرده است. این بار، فریلنسرها و آژانس‌ها نمی‌توانند به‌تنهایی از پس موج جدید بربیایند و به کمک جدی نیاز دارند.

• هوش مصنوعی در امنیت وب دیگر یک ابزار جانبی نیست، بلکه به بخشی از جریان اصلی توسعه تبدیل شده است.
• قدرت اصلی مدل‌ها در کشف ارتباط میان تکه‌کدهایی است که هیچ بازبین انسانی به هم ربطشان نمی‌داد.
• افزایش چشمگیر کشف حفره‌ها خبر خوبی است، اما سیلی از هشدارها و اضطراب را هم با خود آورده.
• همه‌ی آسیب‌پذیری‌ها یکسان نیستند؛ به ابزارهایی برای اولویت‌بندی و کاهش فوری مواجهه نیاز داریم.
• میزبانی و شبکه‌های توزیع محتوا می‌توانند در مقیاس کلان، بار مدیریت امنیت را از دوش سایت‌های کوچک بردارند.