نقطه شکست
در دوران یکه‌تازی هوش مصنوعی، آیا اینترنت هنوز امن است؟
سید محمدجواد فیاض
- ۱۸ آبان ۱۴۰۵
مجموعه‌ای از رخدادهای امنیت سایبری باعث از دسترس خارج‌شدن وب‌سایت‌ها شده است.
باید به حال مدافعان و متخصصان امنیت سایبری تأسف خورد. گاهی اوقات، افشای غیرمنتظره یک آسیب‌پذیری در نرم‌افزاری پرکاربرد، فعالان صنعت امنیت سایبری را ناچار می‌کند فوراً وارد عمل شوند. بااین‌حال، به‌ندرت پیش می‌آید که آن‌ها مجبور شوند چندین بار در طول یک هفته با چنین وضعیتی مواجه شوند.
در ۲۰ اکتبر ۲۰۲۶، تیم‌های امنیتی مرورگرهای بزرگ وب، ایمیلی غیرمعمول دریافت کردند. متن ایمیل این بود: «ما اینجا به مشکلی برخورده‌ایم» (we have a problem here). همراه این پیام، فایلی حاوی هشت کلید امنیتی خصوصی ارسال شده بود؛ اعدادی که به‌صورت تصادفی تولید می‌شوند و برای رمزنگاری ارتباطات در سراسر اینترنت به کار می‌روند. برای تضمین امنیت، چنین کلیدهایی باید ۱۱۶ رقم داشته باشند، اما کلیدهای موجود در این ایمیل که در ابتدا از سوی یک مرجع هندی صادر شده بودند، حداکثر سه رقم داشتند. یکی از آن‌ها کلید خصوصی‌ای بود که فقط از عدد «۴» تشکیل می‌شد. عجیب‌تر اینکه، ایمیل صرفاً با نام «Wayne» امضا شده بود.
ابطال چنین کلیدهایی در پایگاه‌های داده مرکزی و مهم، کاری قابل‌مدیریت است؛ اما اطمینان از اینکه تمام سامانه‌ها متناسب با این تغییر به‌روزرسانی شده‌اند، کار دشواری است. مرورگرهای بزرگ وب فهرست‌های سیاه خود را به‌روز نگه می‌دارند، اما بسیاری از سامانه‌های متصل به اینترنت نمی‌توانند به همین سادگی با تغییرات سازگار شوند. برخی از آن‌ها، مانند بسیاری از سامانه‌های لینوکسی، به به‌روزرسانی فعال نرم‌افزار نیاز دارند؛ درحالی‌که برخی دیگر، مانند بعضی از ابزارهای خط فرمان در سیستم‌عامل macOS، باید به‌صورت دستی اصلاح شوند.
متخصصان امنیت سایبری همچنان مشغول برطرف‌کردن این شکاف‌های امنیتی بودند که صبح ۲۱ اکتبر، مشکل دیگری از راه رسید. دو آسیب‌پذیری در PHP افشا شد؛ زبان برنامه‌نویسی محبوب و پرکاربردی که زیربنای ده‌ها میلیون برنامه کاربردی تحت وب از جمله انجمن‌های گفت‌وگو، درگاه‌های مالی و وب‌سایت‌های دولتی را تشکیل می‌دهد. وعده داده شد که وصله امنیتی مربوط به این آسیب‌پذیری‌ها همان بعدازظهر منتشر شود. در این فاصله، دولت‌ها به سازمان‌های آسیب‌دیده توصیه کردند سامانه‌های خود را به طور کامل از دسترس خارج کنند؛ دستوری که به‌سادگی صادر نمی‌شود. در پی این هشدار، چندین وبسایت دولتی در اروپا از دسترس خارج شدند.
مشخص شد که این توصیه کاملاً موجه بوده است. تنها چند ساعت پس از انتشار خبر آسیب‌پذیری و درحالی‌که هنوز بیش از ۱۲ ساعت تا انتشار وصله امنیتی باقی مانده بود، جزئیات آن به بیرون درز کرد. این آسیب‌پذیری از بدترین نوع ممکن بود؛ روشی برای «اجرای کد از راه دور بدون مجوز» (Remote Code Execution) یا به‌اختصار RCE که به مهاجم اجازه می‌داد کنترل دستگاه‌های اجراکننده PHP را به دست بگیرد. بهره‌برداری از این آسیب‌پذیری ساده بود؛ همان‌طور که دست‌کم یک نمونه اثبات مفهوم (PoC) که به طور گسترده منتشر شده بود نشان می‌داد.
هیچ ارتباط مستقیمی میان این دو ضعف امنیتی وجود ندارد، اما یک وجه اشتراک مهم میان آن‌ها دیده می‌شود؛ به نظر می‌رسد هر دو آسیب‌پذیری با استفاده از هوش مصنوعی کشف شده‌اند. آسیب‌پذیری PHP به طور مستقل از سوی دو عضو یک کنسرسیوم دفاع سایبری مبتنی بر هوش مصنوعی به رهبری شرکت آمریکایی OpenAI شناسایی شد. به گفته شرکت هندی eMudhra که کلیدهای امنیتی نامعتبر را صادر کرده بود، این کلیدها نیز «احتمالاً» با استفاده از هوش مصنوعی کشف شده‌اند. درهرصورت، شیوه افشای آن‌ها از رویکردی غیرمعمول در پژوهش‌های امنیتی حکایت دارد.
تا ۲۲ اکتبر، دو آسیب‌پذیری دیگر نیز منتشر شده بود. ابزار توسعه نرم‌افزار گیت‌لب (GitLab)، از انتشار وصله‌ای برای یک ضعف امنیتی خبر داد که نسخه‌های منتشرشده طی ۱۲ سال گذشته را تحت‌تأثیر قرار می‌داد و می‌توانست امکان اجرای کد از راه دور را فراهم کند. شدت این آسیب‌پذیری در مقیاسی ده‌درجه‌ای، ۱۰ ارزیابی شد. اوراکل (Oracle) نیز آسیب‌پذیری مشابهی را در زبان برنامه‌نویسی پرکاربرد خود یعنی جاوا (Java)، برطرف کرد و شدت آن را ۹.۱ ارزیابی کرد. احتمالاً برای کشف این نقص‌های امنیتی نیز از هوش مصنوعی استفاده شده بود.
این رخدادها واقعیتی ناخوشایند را درباره امنیت سایبری مبتنی بر هوش مصنوعی آشکار می‌کنند؛ اقدام برای برطرف‌کردن یک مشکل امنیتی، شمارش معکوس برای بهره‌برداری مهاجمان از آن را آغاز می‌کند. آسیب‌پذیری PHP هجده ساعت پیش از انتشار وصله امنیتی اعلام شد تا مدافعان فرصت داشته باشند خود را برای نصب هرچه سریع‌تر به‌روزرسانی آماده کنند. اما انتشار تصادفی ویدئویی که این آسیب‌پذیری را نمایش می‌داد، به دیگران امکان داد با بهره‌گیری از هوش مصنوعی و از طریق مهندسی معکوس به ماهیت مشکل پی ببرند و روش سوءاستفاده از آن را شناسایی کنند. اندکی بعد، یک شرکت امنیتی نسخه خود از اصلاحیه را شش ساعت زودتر از موعد منتشر کرد. این اقدام به هر مهاجمی اجازه می‌داد دقیقاً بررسی کند چه چیزی اصلاح شده است و از این طریق، به جزئیات بیشتری درباره ضعف امنیتی موجود در سامانه‌هایی که هنوز وصله نشده بودند، دست یابد.
در گذشته، مدافعان امنیت سایبری با مسئله دشوار شناسایی نقص‌های نرم‌افزارهای خود پیش از کشف آن‌ها توسط مهاجمان مواجه بودند. اکنون آن‌ها با چالشی متفاوت روبه‌رو هستند؛ در شرایطی که هوش مصنوعی شمار فراوانی از ضعف‌های امنیتی را آشکار می‌کند، چگونه می‌توانند اطلاعات مربوط به اصلاح این آسیب‌پذیری‌ها را در اختیار کاربران خود قرار دهند، بی‌آنکه هم‌زمان دشمنانشان را نیز از وجود آن‌ها آگاه کنند؟
گزارش حاضر در نسخه October 24th 2026 نشریه The Economist منتشر شده است.
