هوش مصنوعی سود بدهی فنی رو بالا برد
پیاچپی
هوش مصنوعیخلاصهٔ کامل‌تر
اواخر اکتبر PHP برای یه آسیب‌پذیری به اسم PHP2Shell پچ اضطراری داد؛ مشکلی که از سایت‌های WordPress تا صفحه‌های دولتی رو در معرض خطر گذاشته بود. نویسنده می‌گه جالب‌ترین بخش ماجرا تاریخچه‌شه: باگ اصلی یه خطای out-of-memory بود (یعنی برنامه حافظه کم میاره و کرش می‌کنه) که از ۲۰۲۴ گزارش شده بود. چون این خطاها معمولاً فقط برنامه رو می‌خوابونن، اولویت پایینی بهش دادن و ولش کردن.
بعد شرکت امنیتی Calif با حمایت OpenAI قرار شد PHP رو بررسی کنه. تو کمتر از دو هفته یه محقق با ابزارهای AI راهی پیدا کرد که این کرش رو به arbitrary code execution (یعنی اجرای هر کدی که مهاجم بخواد روی سرور) تبدیل کنه. درست کردنش ولی چهار مهندس و دو ماه وقت گرفت.
نویسنده معتقده هر برچسب «کم‌خطر» یا «درستش نمی‌کنیم» یه فرض نانوشته داره: اینکه تبدیل این باگ به حمله اون‌قدر مهارت و وقت می‌خواد که کسی براش وقت نمی‌ذاره. قبلاً این فرض منطقی بود، چون این کار یه متخصص کمیاب و گرون می‌خواست. اما Suman Jana از دانشگاه Columbia می‌گه این استدلال‌ها «کار عجیب‌غریبی نیست» ولی خیلی جزئی و دقیقه، و AI دقیقاً تو همین کار خوبه. یعنی وقتی این منبع کمیاب ارزون میشه، اون برچسب‌ها دیگه معنای قبلی رو ندارن.
به گفتهٔ نویسنده، گلوگاه حالا رفته سمت تعمیر: پیدا کردن باگ ارزون‌تر میشه ولی پچ دادن هنوز با سرعت آدم‌ها جلو می‌ره. اون بدهی فنی رو مثل یه وام با نرخ شناور می‌بینه: اصل وام کدهای قدیمی و تصمیم‌های عقب‌افتاده‌ست، نرخش اینه که سوءاستفاده چقدر ارزونه، و توان بازپرداخت هم اینه که چند هفته وقت مهندس رو بدون خوابوندن کار می‌تونی روش بذاری. Jana به روشی از Anthropic اشاره می‌کنه که یه مدل پچ می‌نویسه و یکی دیگه اثبات درستیش رو می‌ده؛ نویسنده این مسیر رو درست می‌دونه ولی هنوز روش حساب باز نمی‌کنه.
توصیهٔ دیگه‌ش اینه که قبل از پچ کردن، حذف کنی. ارزون‌ترین آسیب‌پذیری اونیه که تو کدی هست که دیگه اجراش نمی‌کنی. سرویس‌ها، پلاگین‌ها و سایت‌های قدیمی بی‌صاحب، اولین جایی‌ان که مهاجم‌ها سراغشون می‌رن، چون کسی حواسش بهشون نیست. برای همین پیشنهادش برای این فصل اینه: تیکت‌های امنیتی «کم‌خطر» قدیمی‌تر از دوازده ماه رو با فرض یه مهاجم صبور مجهز به AI دوباره بسنج، سیستم‌های بی‌صاحب رو صاحب‌دار یا بازنشسته کن، و ببین آخرین پچ حیاتیت از اعلام تا production چقدر طول کشیده.
نکات کلیدی:
- باگ out-of-memory پشت PHP2Shell از ۲۰۲۴ گزارش شده بود ولی کم‌اهمیت حساب می‌شد.
- پیدا کردن راه سوءاستفاده با AI کمتر از دو هفته طول کشید، پچش دو ماه و چهار مهندس.
- برچسب «کم‌خطر» در اصل حدسی دربارهٔ هزینهٔ وقت و مهارت مهاجم بوده که حالا با AI ارزون شده.
- ثبت ریسک‌های پذیرفته‌شده باید هر فصل مرور بشه، نه فقط بعد از حادثه.
- اگه آخرین پچ حیاتی بیشتر از یه هفته طول کشیده، اول ببین روزها کجا رفتن.
- حذف سیستم‌های بی‌صاحب ارزون‌تر از دفاع دائمی ازشونه.
