چگونه مدافعان، اولین اکسپلویت روز صفر توسعه‌یافته توسط هوش مصنوعی را پیش از حمله خنثی کردند

در ماه مه ۲۰۲۶، صنعت امنیت سایبری از یک آستانه مورد انتظار عبور کرد: اولین نمونه تأیید شده از یک اکسپلویت روز صفر که به طور کامل توسط هوش مصنوعی نوشته شده بود.[1][2]

اما مهم‌ترین بخش این داستان، خود حمله نیست—بلکه این واقعیت است که حمله هرگز رخ نداد. گروه اطلاعات تهدید گوگل (GTIG) کد مخرب را پیش از آنکه یک سندیکای برجسته جرایم سایبری بتواند کمپین بهره‌برداری گسترده برنامه‌ریزی شده خود را آغاز کند، رهگیری کرد.[2][9]

این رویداد اولین طرح عمومی را از نحوه عملکرد واقعی جنگ سایبری مبتنی بر هوش مصنوعی در دنیای واقعی ارائه می‌دهد. به جای یک سناریوی آخرالزمانی از هکرهای ماشینی غیرقابل توقف، این حادثه یک مسابقه شطرنج با سرعت بالا را نشان داد که در آن هوش مصنوعی دفاعی و شکارچیان تهدید انسانی با موفقیت از همتایان تهاجمی خود پیشی گرفتند.[4]

برای درک نحوه عملکرد این اکسپلویت، بهتر است بدانیم «روز صفر» (Zero-Day) دقیقاً چیست. آسیب‌پذیری روز صفر یک نقص نرم‌افزاری است که برای فروشنده ناشناخته است، به این معنی که صفر روز از زمان در دسترس قرار گرفتن یک وصله گذشته است. از لحاظ تاریخی، یافتن این نقص‌ها مستلزم صرف ماه‌ها زمان توسط محققان نخبه انسانی برای مهندسی معکوس کد بود.[5]

مدل هوش مصنوعی این معادله را تغییر داد. بر اساس تحلیل پزشکی قانونی GTIG، مهاجمان از یک مدل زبان بزرگ (LLM) خواستند تا کد منبع یک ابزار محبوب مدیریت سیستم مبتنی بر وب و متن‌باز را تجزیه و تحلیل کند.[1][6]

این مدل فقط به دنبال خرابی‌های ساده حافظه یا اشتباهات تایپی کدنویسی نبود. در عوض، استدلال زمینه‌ای (Contextual Reasoning) را نشان داد و منطق زیربنایی جریان احراز هویت برنامه را تجزیه و تحلیل کرد. این مدل با موفقیت یک فرض اعتماد معیوب را که عمیقاً در کد پنهن شده بود، کشف کرد.[6]

با مسلح شدن به این بینش، هوش مصنوعی یک اسکریپت پایتون کاربردی تولید کرد که برای بهره‌برداری از نقص منطقی طراحی شده بود. این اسکریپت به مهاجمی که دارای اعتبارنامه ورود اولیه بود، اجازه می‌داد تا به طور کامل از حفاظت‌های احراز هویت دو مرحله‌ای (2FA) سیستم عبور کند.[1][6]

با این حال، دخالت هوش مصنوعی در نهایت به نقطه ضعف آن تبدیل شد. هنگامی که تحلیلگران GTIG اکسپلویت را رهگیری کردند، چندین ناهنجاری آشکار را مشاهده کردند که مستقیماً به نویسندگی ماشینی اشاره داشت. کد به سادگی بیش از حد تمیز، بیش از حد آموزشی و بیش از حد ساختاریافته بود که توسط یک هکر انسانی که سعی در پنهان ماندن دارد، نوشته شده باشد.[2][5]

این اسکریپت مملو از «رشته‌های مستندسازی آموزشی» (educational docstrings) بود—توضیحات مفصل و کتاب‌درسی‌مانندی درباره کاری که کد انجام می‌داد، که مشخصه داده‌های آموزشی مورد استفاده برای آموزش برنامه‌نویسی به مدل‌ها است. مهم‌تر از همه، هوش مصنوعی یک معیار سیستم امتیازدهی آسیب‌پذیری مشترک (CVSS) را «توهم» زده بود و امتیازی را برای آسیب‌پذیری‌ای تعیین کرده بود که هنوز رسماً وجود نداشت.[1][5]

این اثر انگشت‌های پزشکی قانونی به گوگل اجازه داد تا منشأ هوش مصنوعی اکسپلویت را تأیید کند و به سرعت با فروشنده نرم‌افزار آسیب‌دیده هماهنگی کند. یک وصله توسعه داده شد و قبل از اینکه گروه جرایم سایبری بتواند رویداد بهره‌برداری گسترده خود را اجرا کند، مستقر شد و تهدید را به طور کامل خنثی کرد.[2][9]

در حالی که این حمله خاص خنثی شد، این حادثه یک تغییر اساسی در چشم‌انداز امنیت سایبری را برجسته می‌کند: فشرده‌سازی سرعت. چرخه سنتی واکنش به حادثه—کشف، اولویت‌بندی، مهار، ریشه‌کن کردن—متکی بر یک پنجره زمانی بین کشف یک آسیب‌پذیری و تبدیل شدن یک اکسپلویت به سلاح در مقیاس بزرگ است.[5]

هوش مصنوعی این پنجره را به شدت فشرده می‌کند. داده‌های اخیر صنعت بر این شتاب تأکید دارند. گزارش تهدید جهانی ۲۰۲۶ کروداسترایک (CrowdStrike) افزایش ۸۹ درصدی فعالیت‌های خصمانه مبتنی بر هوش مصنوعی را نسبت به سال قبل نشان داد، در حالی که میانگین «زمان گریز» (breakout time)—مدت زمانی که طول می‌کشد تا یک مهاجم پس از نفوذ اولیه به صورت جانبی حرکت کند—به تنها ۲۹ دقیقه کاهش یافته است.[5]

رونالد لوئیس، رئیس حاکمیت امنیت سایبری در بلک داک (Black Duck)، خاطرنشان کرد: «این نشان‌دهنده تغییر از کشف آسیب‌پذیری با سرعت انسانی به تبدیل آن به سلاح در مقیاس ماشینی است.» نگرانی این است که اکسپلویت‌های تولید شده توسط هوش مصنوعی در آینده فاقد رشته‌های مستندسازی آشکار و معیارهای توهمی باشند که این مورد خاص را لو دادند.[7][8]

با این حال، همان فناوری‌ای که جدول زمانی حمله را فشرده می‌کند، دفاع را نیز تقویت می‌نماید. هوش مصنوعی ذاتاً یک سلاح تهاجمی نیست؛ بلکه یک شتاب‌دهنده است. به ازای هر عامل تهدیدی که از یک مدل برای اسکن آسیب‌پذیری‌ها استفاده می‌کند، تیم‌های امنیتی سازمانی نیز از عوامل هوش مصنوعی تخصصی برای ممیزی پایگاه‌های کد خود، مهندسی معکوس وصله‌ها و استقرار خودکار اصلاحات استفاده می‌کنند.[8]

رهگیری موفقیت‌آمیز گوگل ثابت می‌کند که دید دفاعی و شکار فعال تهدید همچنان می‌تواند از تولید خودکار اکسپلویت پیشی بگیرد. با ادغام هوش مصنوعی در خطوط لوله تشخیص خود، مدافعان می‌توانند منطق ناهنجار و الگوهای ساختاری کد را سریع‌تر از آنچه تحلیلگران انسانی می‌توانستند، شناسایی کنند.[9]

در نهایت، اولین اکسپلویت روز صفر توسعه‌یافته توسط هوش مصنوعی، داستانی از انعطاف‌پذیری است. این تأیید می‌کند که در حالی که ابزارهای جنگ سایبری در حال تکامل هستند، اصول اساسی امنیت—وصله سریع، تشخیص رفتاری و اطلاعات تهدید فعال—هنگامی که توسط همان هوش مصنوعی که حملات را تقویت می‌کند، تقویت شوند، همچنان بسیار مؤثر باقی می‌مانند.[4][8]