تصور کنید که نگرانی‌های جدی درباره یک «اپوکالیپس نرم‌افزاری» ناگهان در کنار گذاشته شده و حالا تمرکز بر ترس دیگری متمرکز است: اینکه چگونه هوش مصنوعی ممکن است به عنوان عاملی برای کشتار انبوه در دهه آینده عمل کند. در حالی که رهبران صنعت هوش مصنوعی درباره احتمال یک کندسازی هماهنگ در توسعه مدل‌های پیشرو (Frontier) گفتگو می‌کنند، واقعیت این است که یکی از تغییرات بزرگ و خطرناک در عرصه امنیت سایبری، همین حالا رخ داده است. این تغییرات ریشه در قابلیت‌های رایج و گسترده‌ای دارند که در محصولات اصلی هوش مصنوعی، از جمله مدل‌های متن‌باز، وجود دارد.
فشار مضاعف بر تیم‌های انسانی
موجی از کشفیات آسیب‌پذیری که با استفاده از هوش مصنوعی شناسایی شده‌اند، در ماه‌های اخیر شتاب فوق‌العاده‌ای گرفته است. این سیل جدید از کشفیات، فشار سنگینی بر دوش تیم‌های IT و امنیتی قرار داده که منابع محدودی دارند و اغلب متشکل از انسان‌های زحمتکش هستند. حتی داوطلبانی که از نرم‌افزارهای متن‌باز حیاتی نگهداری می‌کنند، زیر بار این حجم از گزارش‌ها خمیده‌اند. اگرچه پژوهشگران حتی پیش از ظهور این جهش در کشف باگ با هوش مصنوعی نیز دامنه وسیعی از آسیب‌پذیری‌ها را کشف و افشا می‌کردند، اما افزایش اخیر به وضوح قابل مشاهده و نگران‌کننده است.
اعداد شوکه‌کننده پشت پرده
- مایکروسافت: هفته گذشته اعلام کرد که تا این ماه برای ۹۷۴ مورد CVE (آسیب‌پذیری عمومی) به‌روزرسانی امنیتی منتشر کرده است، رکوردی که از قبل ثبت شده بود.
- اوراکل: در ماه ژوئیه ۱۴۴۸ پچ توزیع کرد، در حالی که در ژوئیه سال ۲۰۲۵ این عدد تنها ۳۰۹ بود.
- گوگل کروم: دو نسخه اصلی منتشر شده در ژوئن شامل ۱۰۷۲ پچ بود؛ یعنی بیشتر از مجموع تمام اصلاحات امنیتی ۲۳ نسخه بزرگ قبل از آن.
- موزیلا: در آوریل گزارش داد که با استفاده از مدل «Mythos» از شرکت Anthropic، در یک دوره شکار باگ، ۲۷۱ آسیب‌پذیری در فایرفاکس پیدا کرده است.
به طور کلی، بر اساس داده‌های Jerry Gamblin از Empirical Security، تا این هفته مجموعاً ۶۶,۴۰۱ مورد CVE ثبت شده است. در حالی که تا ۱۶ سپتامبر سال گذشته، مجموع آمار در حدود ۳۳,۵۱۲ مورد بود. برای مقایسه، در کل سال ۲۰۲۲ (سالی که نسخه اولیه ChatGPT معرفی شد)، تنها ۲۵,۰۰۰ مورد CVE ثبت شده بود. این رشد انفجاری، سرعت تغییرات را به وضوح نشان می‌دهد.
آیا بحران، واقعیت است یا اغراق؟
نظریه‌های متخصصان امنیتی و هوش مصنوعی درباره اینکه آیا این جهش و تأثیرات کلی AI بر امنیت سایبری فاجعه‌بار خواهد بود یا تنها چالش‌های موجود را بزرگ‌نمایی می‌کند، دوگانه بوده است. برخی تأکید کرده‌اند که تاخیر در اعمال پچ‌ها و کمبود سرمایه‌گذاری در امنیت سایبری، حتی قبل از ظهور AI به مهاجمان مزیت می‌داد. اما با افزایش پیوسته اعداد کشفیات، این بحث از حالت تئوری خارج شده و طرفین دیدگاه نزدیک‌تری به هم پیدا کرده‌اند.
Gamblin با اشاره به این مسئله می‌گوید: «من فکر نمی‌کنم این موضوع بزرگ‌نمایی شده باشد. اما باید تأکید کنم که تعداد بیشتر CVE به خودی خود آسیب نیست. این یعنی آسیب‌پذیری بیشترِ «شناخته‌شده» است؛ و اینکه سیستم تشخیص خرابی کار خود را درست انجام می‌دهد.»
توزان شکننده در نبرد سایبری
ترس اصلی اینجاست که کشف انبوه آسیب‌پذیری‌ها منجر به عقب‌ماندگی توسعه‌دهندگان در اعمال پچ‌ها، ناتوانی کاربران نرم‌افزار در به‌روزرسانی سریع، و موجی از حملات سایبری تشدیدشده می‌شود که در آن مهاجمان نیز از AI برای کشف آسیب‌پذیری‌های نوین استفاده می‌کنند. مانند مرکز ملی امنیت سایبری بریتانیا، این نکته را بیان می‌کند که «تنها یافتن آسیب‌پذیری، بهبودی در امنیت شما ایجاد نمی‌کند.»
برای اقلیت زمانی، بسیاری از پژوهشگران معتقدند که یک تعادل شکننده بین شتاب‌گیری کشف باگ توسط AI و کمک آن به مدافعان وجود دارد. Matthew Olney، مدیر اطلاعات تهدیدات در Cisco، می‌گوید: «مهاجمان، مانند صنایع، در حال پیداکردن این هستند که «کجا از AI استفاده کنم؟»
کندسازی، دُمان نیست
با تحولات مستمر، هرگونه کندسازی هوش مصنوعی – اعم از مقررات دولتی یا توافق‌های صنعتی – شاید بتواند از آن سناریوی وحشیانه «انحطای انبوه انسانی» جلوگیری کند، اما قادر نیست جلوی سونامی آسیب‌پذیری‌ها را بگیرد که بر اثر ابزارهای فعلی AI از راه رسیده است. همان‌طور که Gamblin خلاصه می‌کند: «کشف باگ با قدرت محاسباتی مقیاس‌پذیری دارد، اما رفع نواقص (Remediation) با انسان مقیاس می‌شود – و انسان تنها قشری است که نمی‌توانید در یک ربع مالی بیشتر از آن داشته باشید.»
نظر، سوال یا تجربه خود را درباره این مطلب با سایر کاربران اوکالا به اشتراک بگذارید.