سقوط باگ بانتی در عصر هوش مصنوعی
هوش مصنوعیخلاصهٔ کاملتر
Shubs — نویسنده این مقاله — یه محقق امنیتی باتجربهست که نزدیک به ده ساله روی برنامه باگ بانتی Uber کار میکنه و رتبه اول این برنامه رو داره. اون تو این مقاله با لحنی صادقانه توضیح میده که چطور هوش مصنوعی کل اکوسیستم باگ بانتی رو به هم ریخته — نه فقط از نظر حجم گزارشها، بلکه از نظر انگیزه و ارزشگذاری روی محققان واقعی.
مشکل اصلی این نیست که همه از AI استفاده میکنن. محققان حرفهای هم از مدلهای هوش مصنوعی کمک میگیرن، ولی با درک و اعتبارسنجی. مشکل اینجاست که افراد کمتجربهتر هم همین ابزارها رو دارن و بدون فهمیدن خروجی، گزارشهای بیکیفیت — که اصطلاحاً بهشون AI slop میگن — به صف تریاژ پلتفرمها میفرستن. نتیجه؟ تیمهای تریاژ غرق گزارشهای نامعتبر میشن و گزارشهای واقعاً مهم گم میشن.
نویسنده یه نمونه واقعی میذاره روی میز: یه آسیبپذیری جدی مربوط به نشت انبوه اطلاعات شخصی (PII) که ۲۴ آوریل به Uber گزارش داده، ولی اولین پاسخ انسانی ۶ مه رسیده — ۱۲ روز تأخیر. این در حالیه که چنین گزارشهایی معمولاً ۱ تا ۳ روزه پردازش میشدن. از نظر امنیتی این یعنی یه آسیبپذیری واقعی ۱۲ روز بدون اقدام مونده.
پلتفرمها هم دارن واکنش نشون میدن، ولی به روشهای متفاوت: HackerOne سعی میکنه با AI با AI بجنگه، و Bugcrowd کنترلهای منطقیتری برای فیلتر کردن گزارشهای اسلاپ گذاشته. با این حال، نویسنده معتقده هیچکدام از این رویکردها به مشکل ریشهای نمیپردازن: پلتفرمها بین یه محقق دهساله باسابقه و یه اکانت تازهکار هیچ تفاوتی قائل نمیشن.
یکی از مهمترین دلایلی که محققان وقتشون رو روی یه برنامه میذارن، سرعت و کیفیت پاسخدهی اونه — حتی بیشتر از پول. این حس بستهشدن حلقه و دیدهشدن کار، انگیزه اصلیه. حالا که اون چرخه شکسته، خیلی از محققان حرفهای ترجیح میدن روی برنامههای کوچکتر و خوشبرخوردتر وقت بذارن، یا اصلاً برای تفریح و بدون انتظار پول هک کنن.
نویسنده در پایان میگه که دیگه حاضر نیست رتبه اول Uber رو حفظ کنه و به تحقیقاتش برای برنامههایی که نمیتونن ارزشش رو بفهمن ادامه بده. این صدای یه نفر نیست — بازتاب حس مشترک بسیاری از محققان امنیتی باتجربهست که دارن از این فضا فاصله میگیرن.
نکات کلیدی:
- گزارشهای AI slop صف تریاژ پلتفرمهای باگ بانتی رو مسدود کردن
- محققان حرفهای و بیتجربه از نظر پلتفرمها یکسان دیده میشن — و این بزرگترین شکاف فعلیه
- HackerOne و Bugcrowd رویکردهای متفاوتی دارن، ولی هیچکدام مشکل اصلی رو حل نکردن
- تأخیر ۱۲ روزه در پاسخ به یه آسیبپذیری PII، نمونه عینی افت کیفیت پلتفرمهاست
- سرعت پاسخدهی برای محققان باتجربه از پول هم مهمتره
