پنج سؤالی که هیئتمدیره دربارهٔ مدلهای مرزی میپرسه
هوش مصنوعیخلاصهٔ کاملتر
به گفتهٔ نویسنده، هیئتمدیرهها لازم نیست بدونن CVE چیه؛ اونها فقط میخوان بدونن سازمان در معرض خطره یا نه و مدیر امنیت اوضاع رو دستش گرفته یا نه. نویسنده استدلال میکنه مدلهای مرزی هوش مصنوعی یه «سیل آسیبپذیری» راه انداختن؛ یه رشد ساختاری و شتابگیرنده تو حجم CVEها که هیچ تیمی نمیتونه با وصلهکردن ازش خلاص شه.
تو این مقاله اومده که آوریل ۲۰۲۶، Anthropic از پروژهای به اسم Glasswing رونمایی کرده و مدلی مرزی به اسم Mythos رو به کار گرفته که میتونه در مقیاسی فراتر از هر تیم انسانی، آسیبپذیریهای نرمافزاری رو پیدا و اکسپلویت کنه؛ بهگفتهٔ مقاله این مدل هزاران نقص شدید رو تو سیستمعاملها و مرورگرهای بزرگ بهصورت خودکار پیدا کرده. نکتهٔ اصلی از نگاه نویسنده، توانایی فنی نیست، بلکه جابهجایی در ریسک کسبوکاره.
نویسنده میگه اون پنجرهٔ زمانیِ سنتی که وصله قبل از فاششدن نقص آماده میشد، دیگه وجود نداره. به استناد دادهٔ Mandiant که تو گزارش زنجیرهٔ تأمین ۲۰۲۶ اومده، این تایملاین به منفی هفت روز رسیده؛ یعنی تا وقتی تیم امنیت بفهمه مشکلی هست، مشکل از قبل فعاله. Mythos این دینامیک رو ایجاد نمیکنه ولی شتابش میده.
بعد پنج سؤالی رو میچینه که هیئتمدیره میپرسه. اول: «ما باید از Mythos استفاده کنیم؟» — که در واقع یه سؤال دربارهٔ استراتژی تأمینکنندهست، چون این ابزارها فعلاً فقط دست شرکتهای بزرگن و مهاجمها هم دارن ازش استفاده میکنن. دوم: «یعنی تأمینکنندههای ما همین الان نفوذ شدن؟» — نویسنده میگه بیش از ۹۹٪ آسیبپذیریهای پیداشده هنوز زیر تحریمِ افشای ۱۳۵روزهن و تو فیدهای CVE نمیبینیشون.
سؤال سوم اینه که «پس باید همهٔ تأمینکنندهها رو ممیزی کنیم؟» و جواب نویسنده قاطعانه نهست. با اینکه تو سال ۲۰۲۵ بیش از ۴۸ هزار CVE منتشر شده، بهگفتهٔ مقاله فقط ۵۸ تاشون تهدید بحرانی برای زنجیرهٔ تأمین بودن؛ پس ریسک همچنان متمرکزه. سؤال چهارم به این میپردازه که خطر واقعی از بالادست و از تأمینکنندههای میانرده و وابستگیهای متنباز میاد که کسی رصدشون نمیکنه — چون وقتی شرکتهای بزرگ سنگرشون رو محکم میکنن، مهاجمها میرن سراغ ضعیفترها.
سؤال پنجم و جمعبندی نویسنده اینه: بهجای پرسیدن «آیا دادهٔ کافی داریم؟»، باید پرسید «آیا فرایندی برای عملکردن روی داده داریم؟» به گفتهٔ نویسنده، مشکل اصلی کمبود دادهٔ آسیبپذیری نیست، بلکه نبودِ یه چارچوب اولویتبندیه که هوش تهدید جهانی رو به اکوسیستم خاص هر شرکت وصل کنه. پیام کلیاش اینه که Mythos یه آخرالزمان نیست، یه شتابه؛ قوانین عوض نشدن، سرعت عوض شده.
نکات کلیدی:
- مدلهای مرزی مثل Mythos بهصورت خودکار هزاران آسیبپذیری پیدا میکنن و «سیل آسیبپذیری» راه انداختن.
- پنجرهٔ سنتیِ وصلهکردن قبل از حمله عملاً بسته شده و به منفی هفت روز رسیده.
- راهحل «وصلهکردن یا ممیزیِ همهچیز» نیست؛ ریسک همچنان متمرکزه و اولویتبندی حرف اول رو میزنه.
- بیشترین خطر از تأمینکنندههای میانرده و متنبازِ کمرصد و از «ریسک تمرکز» میاد.
