هوش مصنوعی محلی، شکارچی تازهٔ باگ‌های امنیتی
هوش مصنوعیخلاصهٔ کامل‌تر
نویسنده می‌گه بعد از یه سال، هم هوشمندی مدل‌ها و هم شیوهٔ کار باهاشون خیلی جلو رفته، ولی هزینه و حریم خصوصی هنوز دو تا مشکل جدی‌ان؛ برای همین تصمیم گرفت چند رویکرد رو روی یه هدفِ مشخص بسنجه.
باگِ محک یه LFI احرازهویتی‌شده تو phpIPAM بود که با شناسهٔ CVE-2026-12194 ردیابی میشه. تو این باگ اسم کنترلر مستقیم از ورودی کاربر گرفته و بدون هیچ پاک‌سازی‌ای وارد مسیر require_once میشه؛ اگه API فعال باشه (که به‌صورت پیش‌فرض نیست) و مهاجم اعتبارنامهٔ معتبر داشته باشه، می‌تونه هر فایل با پسوند php روی سرور رو include و اجرا کنه.
به گفتهٔ نویسنده Semgrep با اسکن خودکار اصلاً باگ رو پیدا نکرد، چون ابزارهای سنتی SAST فقط الگوهایی رو می‌گیرن که از قبل براشون قانون نوشته شده. بعد سراغ Strix رفت؛ یه ایجنت کاملاً خودکار پنتست که با مدل ارزون‌تر GLM 5.1 اجراش کرد. این ایجنت خودش ریپو رو کلون کرد، برنامه رو نصب کرد و حدود ۱۲ ساعت و نزدیک ۶۰ میلیون توکن مصرف کرد، ولی بازم LFI رو پیدا نکرد.
روش سوم مرور کد با یه Skill بود؛ یه فایل Markdown که به ایجنت تخصص و مسیر کار می‌ده. نویسنده می‌گه نتیجه خیلی بی‌ثبات بود: بعضی اجراها باگ رو می‌گرفت و بعضی اجراها کامل از دستش می‌داد. مشکل اصلی این بود که تو یه کدبیس بزرگ، پیدا شدن باگ به این بستگی داشت که ایجنت کدوم فایل‌ها رو بخونه و دنبال چه کلماتی بگرده.
روش چهارم که برنده شد، به‌جای یه مرور بزرگ، یه هارنس کوچیک محلی بود که مدل رو یکی‌یکی روی فایل‌ها می‌برد و هر بار فقط یه فایل به‌همراه کانتکست لازم بهش می‌داد. این روش تو هر اجرا باگ محک رو پیدا کرد. نویسنده تخمین می‌زنه برای مرور حدود ۸۰۰ فایل، نزدیک ۱۲۰ میلیون توکن مصرف شد.
نکتهٔ جالب‌تر اینه که وقتی مدل روی فایل درست متمرکز می‌شد، تقریباً هر مدلی فوری باگ رو تشخیص می‌داد؛ پس تنگنا خودِ مدل نبود، بلکه کامل و دقیق نبودنِ مرور بود. البته نویسنده به محدودیت‌ها هم اشاره می‌کنه: مصرف بالای توکن، مثبت کاذبِ زیاد، و ضعف تو تشخیص باگ‌های پیچیده‌تر مثل Broken Access Control.
برای اثبات این‌که فقط شانس نبوده، همین هارنس رو روی کنترل‌پنل myVesta اجرا کرد و ۸ ساعت بعد یه RCE احرازهویتی‌شدهٔ واقعی و ناشناخته پیدا کرد؛ یه کد قدیمی که پارامتر نام کاربری رو مستقیم به exec می‌داد و با CVE-2026-12195 ثبت شده.
نکات کلیدی:
- تو این آزمایش، طراحی هارنس بیشتر از انتخاب مدل روی موفقیت اثر داشت
- مدل محلی با مرور فایل‌به‌فایل، باگ محک رو تو هر اجرا پیدا کرد
- ایجنت کاملاً خودکار ابری با ۶۰ میلیون توکن بازم شکست خورد
- روش محلی یه RCE واقعی (CVE-2026-12195) رو هم کشف کرد
- مصرف بالای توکن و مثبت کاذب، محدودیت‌های اصلی این روش‌ان
