سیستم هوش مصنوعی خودکار در دو ماه ۱۴٬۰۹۰ آسیب‌پذیری کشف کرد و دفاع سایبری را متحول ساخت

فرض اساسی امنیت سایبری سازمانی – مبنی بر اینکه مدافعان هفته‌ها فرصت دارند تا قبل از بهره‌برداری گسترده از یک آسیب‌پذیری، آن را وصله کنند – بی‌سروصدا منقضی شده است. یک سیستم هوش مصنوعی خودکار به نام نوا (NOVA، تحلیلگر آسیب‌پذیری شبکه و متن‌باز) اخیراً ۳٬۹۱۵ پروژه متن‌باز را طی یک دوره دو ماهه تحلیل کرده و اساساً محاسبات دفاع نرم‌افزاری را تغییر داده است.[1][3]

این سیستم ۱۴٬۰۹۰ آسیب‌پذیری را در این پروژه‌ها تأیید کرد که هر کدام از طریق یک خط لوله خودکار که اثبات‌های عملیاتی مفهوم (PoC) را تولید می‌کرد، اعتبار سنجی شدند. از این کشفیات، ۹۹٫۴ درصد نقص‌های روز صفر بودند که قبلاً گزارش نشده بودند. تقریباً ۴۰ درصد از آن‌ها تحت چارچوب سی‌وی‌اس‌اس ۴٫۰ (CVSS 4.0) در رده شدت بالا یا حیاتی طبقه‌بندی شدند.[2][3]

این حجم از کشف صرفاً یک افزایش تدریجی در شکار باگ نیست؛ بلکه نشان‌دهنده فروپاشی ساختاری چرخه عمر سنتی مدیریت آسیب‌پذیری است. از لحاظ تاریخی، فاصله بین افشای عمومی یک آسیب‌پذیری و تبدیل آن به سلاح، بر حسب هفته اندازه‌گیری می‌شد و به شرکت‌ها اجازه می‌داد تا با میانگین تأخیر ۵۵ روزه در وصله‌گذاری کار کنند.[1][6]

مدل‌های پیشرفته هوش مصنوعی در حال فشرده‌سازی این پنجره دفاعی به سمت صفر هستند. در حالی که فروشندگان امنیتی سریعاً این وضعیت را به عنوان یک سناریوی آخرالزمانی بازاریابی می‌کنند، قابلیت واقعی نشان داده شده این است که یک عامل خودکار می‌تواند کد منبع را تحلیل کند، نقصی را شناسایی کند و یک اکسپلویت عملیاتی را در عرض چند دقیقه تولید کند. این امر عملاً زمان موجود برای یک تیم انسانی جهت آزمایش و استقرار به‌روزرسانی نرم‌افزاری را از بین می‌برد.[6]

ماهیت آسیب‌پذیری‌های کشف شده، وضعیت دفاعی را پیچیده‌تر می‌کند. اسکن امنیتی خودکار سنتی به شدت متکی بر فازینگ (fuzzing) بود – یعنی پرتاب ورودی‌های نادرست به برنامه برای ایجاد خرابی‌های حافظه. با این حال، باگ‌های سازگار با فازینگ تنها ۸ درصد از کل کشفیات هوش مصنوعی را تشکیل می‌دادند.[2][3]

۹۲ درصد باقیمانده شامل نقص‌های پیچیده معنایی و معماری بودند، مانند منطق دسترسی و احراز هویت شکسته، که به طور سنتی برای شناسایی نیاز به تحلیل دستی انسانی داشتند. با خودکارسازی کشف این نقص‌های منطقی، هوش مصنوعی در حال آشکار ساختن ضعف‌های عمیق و سیستمی در پایگاه‌های کدی است که به طور گسترده مستقر شده‌اند.[2]

این تحقیق همچنین شکنندگی زنجیره تأمین نرم‌افزار را برجسته کرد. هوش مصنوعی ۵٬۴۲۱ مورد مرتبط با زنجیره تأمین را شناسایی کرد و قابلیت بهره‌برداری از برنامه‌های پایین‌دستی را با اثبات‌های عملیاتی مفهوم در بیش از ۲٬۷۰۰ مورد تأیید کرد. این نشان می‌دهد که چگونه یک نقص واحد در یک وابستگی می‌تواند فوراً هزاران برنامه متکی به آن را در معرض خطر قرار دهد.[3][7]

در پاسخ، صنعت امنیت سایبری در حال فاصله گرفتن از اتکا به اصلاحات کد بالادستی است. فروشندگان امنیتی به طور فزاینده‌ای از وصله‌گذاری مجازی پیشرفته حمایت می‌کنند، که حفاظت‌های سطح شبکه را قبل از تدوین یک وصله نرم‌افزاری رسمی، به فایروال‌ها منتقل می‌کند – راه‌حلی که به راحتی با خطوط تولید سازمانی موجود آن‌ها همسو است.[1][2]

همزمان، توسعه‌دهندگان هوش مصنوعی در حال پیشنهاد گردش‌های کاری دفاعی مبتنی بر عامل هستند. در این الگو، سیستم‌های دفاعی هوش مصنوعی به طور خودکار گزارش‌های آسیب‌پذیری ورودی را اولویت‌بندی می‌کنند، وصله‌های کد متمرکز تولید می‌کنند و اصلاحات را در خطوط لوله یکپارچه‌سازی مداوم (CI) تأیید می‌کنند و بررسی انسانی را تنها برای مهم‌ترین تغییرات نگه می‌دارند.[4]

اجماع حاصل از فروپاشی پنجره وصله‌گذاری این است که اصلاح با سرعت انسانی دیگر در برابر بهره‌برداری با سرعت ماشینی امکان‌پذیر نیست. عصر بعدی امنیت سایبری با سرعتی تعریف خواهد شد که سیستم‌های دفاعی خودکار می‌توانند عوامل تهاجمی خودکار را رهگیری و خنثی کنند.[4][6]