دفاع چندلایه در عصر اکسپلویت‌های ماشینی
هوش مصنوعیخلاصهٔ کامل‌تر
a16z تو این مقاله ادامهٔ بحث قبلیش رو پیش می‌بره: سخت‌ترین بخش حمله، یعنی تبدیل یه باگ به اکسپلویت (کدی که واقعاً از باگ سوءاستفاده می‌کنه)، تو ۲۰۲۵ و ۲۰۲۶ ارزون شده ولی پچ کردن سریع‌تر نشده. نمونه‌ش دو باگ بحرانی PHP تو اکتبر بود که تلاش برای اکسپلویتشون چهار روز قبل از اعلام عمومی شروع شد. شرکت‌های CDN تونستن حمله رو لبهٔ شبکه بلاک کنن، ولی بین ۲.۶ تا ۴.۴ میلیون نصب PHP بیرون از این چتر آسیب‌پذیر موندن.
به گفتهٔ نویسنده‌ها حساب‌وکتاب جور درنمیاد. گزارش Verizon 2026 میانهٔ زمان رفع کامل رو ۴۳ روز گفته و Veracode میانگین رفع نقص رو ۲۵۲ روز. در مقابل، Anthropic گزارش داده یه مدل منتشرنشده برای یه باگ کرنل لینوکس تو کمتر از یه ساعت اکسپلویت remote بدون لاگین ساخته، باگی که Red Hat به خاطر race سختش «متوسط» حساب کرده بود. پچ سریع‌تر هم ریسک خودشو داره: آپدیت خراب CrowdStrike تو ۲۰۲۴ حدود ۸.۵ میلیون ویندوز رو از کار انداخت.
بعضی سیستم‌ها هم اصلاً به موقع پچ نمی‌شن: کنترلرهای صنعتی، تجهیزات پزشکی ۱۰ تا ۲۰ ساله و هر چیزی که چیپ داره. تو اکتبر مهاجم‌ها دمای یخچال‌های صدها سوپرمارکت فرانسوی رو بالا بردن، بیشترش از طریق کنترلرهایی که دیگه آپدیت نمی‌گیرن. مقاله چهار راه رو پیشنهاد می‌کنه: قطع از اینترنت عمومی، segmentation یعنی جدا کردن شبکهٔ کنترلی از شبکهٔ اداری، virtual patching یعنی بلاک کردن حمله تو شبکه قبل از رسیدن به سرور، و حذف کل یه کلاس باگ مثل کاری که گوگل با زبان‌های memory-safe تو اندروید کرد.
نویسنده‌ها می‌گن بک‌آپ کنترلیه که همه فراموشش می‌کنن. تو نظرسنجی Sophos، ۹۴٪ قربانی‌های باج‌افزار گفتن مهاجم سراغ بک‌آپ‌ها رفته و ۵۷٪ این تلاش‌ها موفق بوده. هزینهٔ بازیابی با بک‌آپ آلوده حدود ۳ میلیون دلاره در برابر ۳۷۵ هزار دلار. پس بک‌آپ باید credential جدا، نسخهٔ غیرقابل تغییر و تست بازیابی منظم داشته باشه. از اون طرف، تمرکز محافظت تو چند شرکت بزرگ (مثلاً CDNی که جلوی یه چهارم سایت‌هاست) خودش یه نقطهٔ شکست واحده.
a16z چند فرصت محصولی هم می‌بینه: اول «fix it live» یعنی محافظت از سیستم در حال اجرا ظرف چند ساعت با قانون لبه، hook داخل پروسه یا پچ در حافظه، و بعد نوشتن پچ کد واقعی با coding agentها. دوم تشخیص بدون قانون‌نویسی دستی و پاسخ خودکار به حادثه، چون تیم‌ها روزی حدود ۳۰۰۰ هشدار می‌بینن و به ۶۳٪ش نمی‌رسن. سوم سنجیدن اعتماد برای هر درخواست، چون حالا روی یه لپ‌تاپ هم آدم هست هم ایجنت‌های AI با کلیدهای خودشون.
فرصت چهارم «اثبات بازیابی»ه، یعنی تست مداوم بک‌آپ‌ها با گزارشی که بیمه و حسابرس قبول کنن. فرصت پنجم هم یه کنترل واحد موقع نصب برای زنجیرهٔ تأمین نرم‌افزار، چون رجیستری پکیج‌ها، اکستنشن‌ها و ابزارهایی که ایجنت‌ها خودشون می‌گیرن حالا بخشی از سطح حمله‌ان. نویسنده‌ها می‌گن برای یه ایجنت، هر سندی می‌تونه یه دستورالعمل هم باشه.
نکات کلیدی:
- میانهٔ زمان رفع کامل آسیب‌پذیری طبق Verizon 2026، ۴۳ روزه و فقط ۲۶٪ آسیب‌پذیری‌های اکسپلویت‌شده کامل رفع شدن.
- طبق گزارش گوگل، سهم باگ‌های memory-safety تو اندروید از ۷۶٪ در ۲۰۱۹ به ۲۴٪ در ۲۰۲۴ رسید.
- قانون Cyber Resilience Act اروپا از سپتامبر ۲۰۲۶ تولیدکننده‌ها رو موظف می‌کنه ظرف ۲۴ ساعت از اکسپلویت فعال هشدار بدن.
- بازیابی با بک‌آپ آلوده حدود ۳ میلیون دلار هزینه داره، با بک‌آپ سالم حدود ۳۷۵ هزار دلار.
- از ۴۸۱۸۵ آسیب‌پذیری منتشرشده در ۲۰۲۵، ۸۸۴ مورد تازه اکسپلویت شدن.
