«اکتبر سیاه»: موجی از حمله‌های سایبری پشت سر هم
هوش مصنوعیخلاصهٔ کامل‌تر
اکتبر سیاه یه اسم رسمی نیست. کاربرای شبکه‌های اجتماعی و آدمای حوزه‌ی امنیت این اسم رو روی یه خوشه از حمله‌های سایبری و افشای نشت اطلاعات گذاشتن که تو چند روز پشت سر هم پیش اومد. طبق این مقاله، بعضی پست‌ها از ده‌ها حمله‌ی جدی تو یه بازه‌ی ۴۸ ساعته حرف می‌زدن. یه نمودار از تعداد ماهانه‌ی CVE (یعنی شناسه‌ی استاندارد هر باگ امنیتی شناخته‌شده) هم دست‌به‌دست شد که یه جهش تقریباً عمودی رو نشون می‌داد.
چند تا حادثه‌ی اصلی این روایت رو ساختن. شرکت کلود Zeeba گفت یه مهاجم با اطلاعات ورود داخلی که درست محافظت نشده بودن به حدود ۳.۲ میلیون رکورد از بیشتر از ۳۰۰ هزار حساب مشتری دسترسی پیدا کرده و بعدش اعلام کرد تعطیل میشه. از LightLLM، یه ابزار برای وصل کردن اپ‌ها به مدل‌های هوش مصنوعی، یه نسخه‌ی آلوده منتشر شد که رمزها و کلیدهای مخفی رو می‌دزدید و ظرف چند ساعت جمع شد.
پلتفرم دیپلوی Railway هم گفت ممکنه یه نفر به تنظیمات رمزشده‌ی مشتری‌ها دسترسی پیدا کرده باشه و تو بعضی موارد نسخه‌ی رمزگشایی‌شده‌شون رو هم برداشته باشه؛ همون جایی که معمولاً کلیدها و رمزهای سرویس‌های دیگه نگه داشته میشه. Railway دیپلوی‌ها رو متوقف کرد و از کاربرا خواست کلیدهاشون رو عوض کنن. یه مرجع صدور گواهی (certificate authority، یعنی شرکتی که اصل بودن سایت‌ها رو تأیید می‌کنه) هم کلیدهایی اون‌قدر ضعیف داشت که یه محقق گفت مقدار یکی‌شون عملاً عدد چهار بوده. Quest Diagnostics هم تأیید کرد به داده‌ی بیمارها تو یکی از سیستم‌های آزمایشگاهیش دسترسی پیدا شده.
چرا همه با هم؟ نویسنده می‌گه بخشی از جوابش ساده‌ست: خیلی از نرم‌افزارهای قدیمی امن نبودن، فقط پیدا کردن باگ توشون اون‌قدر حوصله‌سربر بود که کسی سراغشون نمی‌رفت. حالا یه مدل هوش مصنوعی می‌تونه بی‌وقفه و در مقیاس بالا دنبال باگ بگرده. مثلاً محقق‌ها یه مشکل PHP رو با یه مدل پیشرفته و یه پرامپت ساده دوباره پیدا کردن. ولی مقاله تأکید می‌کنه همه‌ی این حمله‌ها کار هوش مصنوعی نبوده؛ بعضی‌هاشون ماه‌ها بی‌سروصدا ادامه داشتن و فقط الان افشا شدن.
هم‌زمان Sam Altman، مدیرعامل OpenAI، گفت توانایی مدل‌ها تو پیدا کردن باگ امنیتی داره نمایی بالا می‌ره. اون به ماجرای مدل Claude Mythos از Anthropic اشاره کرد که اون‌قدر تو پیدا کردن باگ قوی بود که دسترسی بهش محدود شد. به گفته‌ی Altman مدل سنتی «باگ رو پیدا کن، وصله‌ش کن» دیگه جواب نمی‌ده و دفاع باید خودش با هوش مصنوعی ساخته بشه. عدد Rapid7 هم همینو تأیید می‌کنه: سه روز حتی برای برنامه‌ریزی یه واکنش داخلی کافی نیست، چه برسه به پچ کردن همه‌ی سیستم‌ها.
برای کاربر عادی ریسک از زیرساخت‌هایی می‌گذره که هیچ‌وقت نمی‌بینه: پلتفرم‌هایی که اپ‌های بقیه رو میزبانی می‌کنن، مرجع‌هایی که گواهی سایت‌ها رو می‌دن و شرکت‌هایی که پرونده‌ی پزشکی نگه می‌دارن. نویسنده یادآوری می‌کنه رمز رو میشه عوض کرد و کارت بانکی رو باطل کرد، ولی سابقه‌ی پزشکی که لو بره دیگه برنمی‌گرده.
نکات کلیدی:
- Zeeba بعد از دسترسی مهاجم به حدود ۳.۲ میلیون رکورد از بیش از ۳۰۰ هزار حساب، تعطیل شد.
- نسخه‌ی آلوده‌ی LightLLM برای دزدیدن رمز و کلیدهای مخفی ساخته شده بود و ظرف چند ساعت حذف شد.
- Railway دیپلوی‌ها رو متوقف کرد و از کاربرا خواست کلیدهاشون رو rotate کنن.
- طبق Rapid7 فاصله‌ی افشای یه باگ تا سوءاستفاده‌ی واقعی ازش به حدود سه روز رسیده.
- همه‌ی حمله‌ها کار هوش مصنوعی نبودن؛ بعضی‌هاشون ماه‌ها قبل شروع شده بودن.
- Sam Altman معتقده مدل پچ کردن تک‌تک باگ‌ها دیگه جواب نمی‌ده.
