‏«اکتبر سیاه»: وقتی هوش مصنوعی حمله‌ها رو چند برابر سریع‌تر کرد

تو این مقاله از MindStudio اومده که اواخر اکتبر یه سری حادثهٔ امنیتی تقریباً همزمان اتفاق افتاد که محقق‌ها بهش می‌گن «اکتبر سیاه». مهم‌ترینش یه آسیب‌پذیری تو PHP بود که حدود ۲۰ سال تو زبان وجود داشت. Cloudflare گزارش داده که ظرف ۱۰ ساعت بعد از اعلام عمومی هزاران تلاش برای سوءاستفاده ثبت شد و این عدد تو چند ساعت به میلیون‌ها رسید. یعنی هر سایتی که روی PHP بود (از WordPress تا Drupal) عملاً تو خط حمله بود.

نکتهٔ جالب اینه که خود باگ جدید نبود، چیزی که عوض شد این بود که کی می‌تونه ازش استفاده کنه. زنجیر کردن مراحل لازم برای ساختن یه exploit (یعنی روشی که باگ رو به حملهٔ واقعی تبدیل می‌کنه) اون‌قدر پیچیده بود که از دست محقق‌های انسانی عملاً برنمی‌اومد. طبق گزارش‌ها، مدل GPT-5.1 Codex از OpenAI این باگ رو زودتر از مهاجم‌ها پیدا کرد و OpenAI یه ابزار داد که برنامه‌نویس‌ها چک کنن نسخهٔ PHPشون آسیب‌پذیره یا نه. ولی با این حال، به محض عمومی شدن، حمله‌ها با سرعتی بی‌سابقه شروع شد.

همزمان Railway (یه پلتفرم هاستینگ برای بک‌اند اپ‌ها) اعلام کرد که یه نفر بدون مجوز به متغیرهای محیطی رمزشده دسترسی پیدا کرده و بعضی‌هاشون رمزگشایی هم شدن. این متغیرها معمولاً کلیدهای API سرویس‌هایی مثل OpenAI، Anthropic و Stripe رو نگه می‌دارن. نتیجه‌ش این شد که کلی برنامه‌نویس مجبور شدن کلیدهاشون رو عوض یا غیرفعال کنن. Quest Diagnostics هم نشت اطلاعات شخصی و پزشکی بیمارها رو تأیید کرد.

چرا محقق‌ها فکر می‌کنن پای agentهای خودکار هوش مصنوعی وسطه؟ یه متخصص امنیت گفته یه honeypot (یعنی سرور تله‌ای که برای جذب و رصد حمله‌ها راه می‌ندازن) تو شش ساعت حدود ۱۴ هزار بار هدف قرار گرفته و هیچ‌کدوم از ترافیک‌ها شبیه رفتار انسان نبوده. Jason Clinton از Anthropic هم از ماه‌ها قبل دربارهٔ یه «سونامی آسیب‌پذیری» هشدار داده بود. بانک‌های آمریکایی هم گزارش دادن که agentهای هوش مصنوعی ناشناس داخل حساب مشتری‌ها فعالیت می‌کنن.

سم آلتمن تو یه مصاحبه با دانشکدهٔ کسب‌وکار استنفورد گفته وصله کردن باگ‌ها یکی‌یکی دیگه جواب نمی‌ده، چون هر نسل جدید مدل‌ها باگ‌هایی پیدا می‌کنه که نسل قبلی نمی‌دید. به گفتهٔ نویسنده، پیشنهاد توقف کامل توسعهٔ هوش مصنوعی هم مشکل رو حل نمی‌کنه، چون مدل‌هایی که الان این باگ‌ها رو پیدا می‌کنن جایی نمی‌رن. Microsoft هم یه کمپین مرتبط با یه گروه دولتی چینی رو بررسی کرده که از دسترسی اولیه تا کنترل مدیریتی کلاد حدود سه ساعت طول کشیده؛ بیشتر تلاش‌ها شکست خورده، ولی نه همه‌شون.

نکات کلیدی:

• یه آسیب‌پذیری حدوداً ۲۰ ساله تو PHP بعد از اعلام عمومی، تو چند ساعت به میلیون‌ها تلاش حمله رسید
• مدل GPT-5.1 Codex این باگ رو قبل از مهاجم‌ها پیدا کرد و OpenAI یه ابزار بررسی نسخهٔ PHP منتشر کرد
• Railway تأیید کرد متغیرهای محیطی رمزشده لو رفته و بعضی رمزگشایی شدن؛ کلیدهای API باید عوض بشن
• یه honeypot تو شش ساعت حدود ۱۴ هزار بار با ترافیک غیرانسانی هدف قرار گرفت
• کمپین بررسی‌شده توسط Microsoft تو حدود سه ساعت از دسترسی اولیه به کنترل مدیریتی کلاد رسید
• سم آلتمن می‌گه وصله کردن تک‌تک باگ‌ها دیگه کافی نیست