کروم هفته‌ای دو بار وصله می‌خوره
هوش مصنوعی
گوگلخلاصهٔ کامل‌تر
به نوشتهٔ وایرد، تیم امنیت کروم تو گزارش تازه‌ش اعلام کرده که دو نسخهٔ بزرگ ژوئن این مرورگر، رفع ۱۰۷۲ باگ امنیتی رو با خودش آورده — بیشتر از چیزی که تیم تو ۲۳ نسخهٔ بزرگ قبلی روی هم منتشر کرده بود. بخشی از این باگ‌ها از گزارش محقق‌های بیرونیه، ولی موتور اصلی این جهش، فرایند داخلی خود تیمه که برای پیدا کردن، دسته‌بندی و حتی نوشتن وصله از ابزارهای هوش مصنوعی استفاده می‌کنه.
پریسا تبریز، معاون و مدیر کل کروم، می‌گه گوگل از حدود ۲۰۱۲ از یادگیری ماشین برای پیدا کردن آسیب‌پذیری و خودکار کردن تست fuzz استفاده می‌کرده؛ روشی که ورودی‌های عجیب و تصادفی به نرم‌افزار می‌ده تا جایی که می‌شکنه پیدا بشه. ولی به گفتهٔ اون امسال فرق داره و یه نقطهٔ عطف حساب میشه، هم برای مهاجم‌ها و هم برای مدافع‌ها.
کروم از قبل داشت به سمت یه نسخهٔ بزرگ هر دو هفته به‌علاوهٔ آپدیت‌های امنیتی هفتگی می‌رفت، ولی حجم باگ‌ها اون‌قدر زیاد شده که تیم فعلاً داره انتشار وصله دو بار در هفته رو آزمایش می‌کنه. داگ ترنر، مدیر مهندسی کروم، می‌گه با این حجم از رفع آسیب‌پذیری، دو آپدیت در هفته منطقی‌ترین کار بوده و معلوم نیست تا کی ادامه پیدا کنه.
ترنر می‌گه مدل‌شون روی هر CVE و هر باگی که تا حالا دیدن آموزش دیده و حتی دلیل تغییر تک‌تک خط‌های تاریخچهٔ کد Chromium رو می‌دونه. همین شناخت باعث میشه ابزار بتونه سراغ گوشه‌های کم‌توجه کدبیس هم بره؛ بخش‌هایی مثل چاپ که دیگه توسعهٔ فعالی ندارن و چشم کمتری روشون هست. به گفتهٔ اون، برای محصول‌های پخته‌ای مثل کروم بعد از تموم‌شدن این موج، تعداد باگ‌های تازه احتمالاً می‌افته.
در کنار وصله‌کردن مورد به مورد، تیم کروم روی تغییرهای ساختاری هم کار می‌کنه؛ مثل بازنویسی بخش‌هایی از کد C++ با Rust که حافظه‌امنه و یه دستهٔ کامل از باگ‌های رایج رو از بین می‌بره. تبریز معتقده این جهش کوتاه‌مدته و آخرش یه تعادل جدید شکل می‌گیره، ولی تأکید می‌کنه که امن‌تر شدن همه‌چیز خودکار اتفاق نمی‌افته و مجانی به دست نمیاد.
نکات کلیدی:
- دو نسخهٔ بزرگ ژوئن کروم روی هم ۱۰۷۲ باگ امنیتی رو وصله کرد
- این عدد از مجموع ۲۳ نسخهٔ بزرگ قبلی بیشتره
- محرک اصلی، استفادهٔ داخلی تیم از هوش مصنوعی تو کشف، تریاژ و نوشتن وصله‌ست
- کروم فعلاً انتشار وصلهٔ امنیتی دو بار در هفته رو آزمایش می‌کنه
- مدل روی همهٔ CVEهای گذشته و کل تاریخچهٔ کد Chromium آموزش دیده
- تیم هم‌زمان روی بازنویسی بخش‌هایی از کد با Rust کار می‌کنه
