اکسپلویت دیگه گلوگاه حمله‌های سایبری نیست
هوش مصنوعیخلاصهٔ کامل‌تر
اندرسن هوروویتز (a16z) تو این مقاله با دو اتفاق امسال شروع می‌کنه. آخر اوت یه نفر چند صد AI agent رو سراغ سرورهای PaperCut (نرم‌افزار مدیریت پرینت تو مدرسه‌ها و اداره‌ها) فرستاد. agentها برای دو باگی که ۴ روز قبل اعلام شده بود اکسپلویت نوشتن و کمتر از ۴ ساعت بعد اولین قربانی واقعی رو گرفتن. آخرش ۳۹۵ سازمان تو ۴۸ کشور هک شدن که نصفشون مدرسه بودن. مدلش هم یه مدل open-weight ارزون بود، نه یه مدل frontier.
هفت هفته بعد دو باگ بحرانی PHP قبل از پچ لو رفت و تلاش برای حمله ۴ روز قبل از اعلام عمومی به honeypotهای آمازون (سرورهای طعمه برای گرفتن مهاجم) رسید. نویسنده‌ها می‌گن تو بیست سال گذشته گلوگاه حمله، تخصص و زمانِ ساختن exploit بود، یعنی برنامه‌ای که یه باگ رو به دسترسی واقعی تبدیل می‌کنه. طبق مطالعهٔ RAND تو ۲۰۱۷ این کار به‌طور میانه ۲۲ روز طول می‌کشید؛ حالا شده چند ساعت کار ماشین.
طبق داده‌های Mandiant، فاصلهٔ اعلام باگ تا حمله از ۶۳ روز تو ۲۰۱۸-۱۹ به ۵ روز تو ۲۰۲۳ رسید و تو ۲۰۲۵ حمله‌ها به‌طور میانگین ۷ روز قبل از اعلام شروع شدن. ولی سرعت پچ کردن تکون نخورده: گزارش DBIR ورایزن تو ۲۰۲۶ میانهٔ زمان رفع کامل یه باگ اکسپلویت‌شده رو ۴۳ روز می‌گه. یه چهارم هشدارهای سیستم‌های صنعتی تو ۲۰۲۵ اصلاً پچ نداشتن و اپراتورهای شبکهٔ برق ۳۵ روز برای بررسی و ۳۵ روز دیگه برای نصب پچ وقت دارن.
با این حال نویسنده‌ها انتظار فاجعه ندارن. شبکهٔ برق تجهیزات حفاظتی‌ای داره که با فیزیک کار می‌کنن نه نرم‌افزار، و حتی حمله‌های دولتی به اوکراین فقط چند ساعت قطعی درست کردن. بیشتر ترافیک اینترنت هم از چند پلتفرم ابری و CDN رد میشه که خیلی سریع قانون محافظتی اضافه می‌کنن. تعداد باگ‌های تأییدشده‌ای که واقعاً اکسپلویت شدن هم فقط از حدود ۶۴۰ تو ۲۰۲۳ به ۸۸۰ تو ۲۰۲۵ رسیده.
به گفتهٔ نویسنده‌ها ضربهٔ اصلی به «دم دراز» می‌خوره: مدرسه‌ها، بیمارستان‌ها، شرکت‌های کوچیک و هر سیستمی که نمی‌شه سریع آپدیتش کرد. قبلاً این‌ها ارزش وقت مهاجم رو نداشتن، ولی وقتی حمله تقریباً مجانی میشه دیگه کسی کوچیک نیست. ادعاهای سایت‌های نشت باج‌افزار بیش از ۵۰٪ بیشتر شده ولی باج پرداختی به حدود ۸۲۰ میلیون دلار رسیده؛ یعنی حمله بیشتر، قربانی کوچیک‌تر. پیشنهادشون برای سیستم‌هایی که پچ‌پذیر نیستن، جداسازی و segmentation شبکه‌ست.
نکات کلیدی:
- حملهٔ AI به PaperCut: ۳۹۵ سازمان تو ۴۸ کشور، کمتر از ۴ ساعت تا اولین نفوذ
- زمان ساخت اکسپلویت از میانهٔ ۲۲ روز (RAND، ۲۰۱۷) به چند ساعت رسیده
- میانهٔ زمان رفع کامل باگ اکسپلویت‌شده تو DBIR ۲۰۲۶: ۴۳ روز (سال قبلش ۳۲ روز)
- طبق AISI بریتانیا طول کارهای سایبری که مدل‌ها تنهایی تموم می‌کنن هر ۴.۷ ماه دو برابر میشه
- اگه تعداد باگ‌های اکسپلویت‌شده تو ۲۰۲۷ از ۲۰۰۰ رد بشه، یعنی سقوط هزینهٔ حمله واقعاً رسیده
