هوش مصنوعی داره مدیریت آسیبپذیریها رو خصوصی میکنه
هوش مصنوعیخلاصهٔ کاملتر
جیمز برتولی، نویسندهی این مطلب تو نیوزلتر Latio Pulse، میگه مدلهای هوش مصنوعی حالا اونقدر قوی شدن که میتونن کد رو برای پیدا کردن آسیبپذیری آنالیز کنن؛ به این کار AI SAST میگن. به گفتهی اون، اسکنرهای خود شرکتهای سازندهی این مدلها یهکم بیش از حد تبلیغ شدن، ولی توانایی واقعی AI SAST دستکم گرفته شده. دنیل استنبرگ، نگهدارندهی اصلی پروژهی curl، هم تجربهای مشابه داشته: این ابزارها تو پیدا کردن باگهای امنیتی نرمافزارهای متنباز فوقالعاده خوب عمل میکنن.
نویسنده چند تغییر رو نتیجهی این پیشرفت میدونه: قابلیتهای اسکن و تست نفوذ دارن توانایی مهاجمها رو از هکرهای تازهکار تا حرفهایها چند برابر میکنن؛ پروژههای متنباز چون کدشون در دسترسه بیشتر از همه در معرض خطرن؛ و نگهدارندهها بهخاطر سیل گزارشها و pull requestهای تولیدشده با هوش مصنوعی، بیشتر از همیشه زیر فشارن.
کنار اینها، بخشهای مختلف مدیریت آسیبپذیری دارن خصوصی میشن. دسترسی به جدیدترین مدلها برای تحقیقات امنیتی فعلاً فقط مال شرکتهای بزرگه، و پایگاه NVD تو غنیسازی اطلاعات آسیبپذیریها در ضعیفترین حالت خودشه؛ شرکتهایی مثل Flashpoint و VulnCheck و GitHub Security Advisories دارن جاش رو پر میکنن.
به گفتهی نویسنده، یه روند دیگه هم داره قوی میشه: «فایروالهای زنجیرهی تأمین». یعنی رجیستریهای خصوصی که خودشون فورکهای وصلهشدهی پروژههای متنباز رو میزبانی میکنن و ادعا میکنن نسخهشون امنتر یا سریعتر وصله میشه.
روال فعلی افشای آسیبپذیری اینه: یه پژوهشگر باگ رو پیدا میکنه و به یه CNA (معمولاً یه شرکت نرمافزاری بزرگ) گزارش میده؛ CNA اون رو تو CVE.org عمومی میکنه؛ بعد NVD یا یه سرویس دیگه بهش امتیاز میده و غنیش میکنه. اما مدل جدیدی که شرکتهای امنیتی پیشنهاد میدن فرق داره: یه شرکت بزرگ با دسترسی به مدلهای پیشرفته آسیبپذیری رو پیدا میکنه، به تأمینکنندهی امنیتیش گزارش میده، اون هم وصلهش میکنه یا کاهشش میده — و ممکنه اصلاً افشاش نکنه.
نویسنده میگه بدترین سناریو اینه که وصلهها خصوصی بمونن ولی توانایی مهاجمها همچنان عمومی و در دسترس باشه. وقتی چند شرکت امنیتی هرکدوم نسخهی فورکشدهی خودشون رو از یه پروژه نگه میدارن، هماهنگی و یکپارچگی نسخهی اصلی به هم میخوره و یه وابستگی جدید و خطرناک به اون فروشنده ایجاد میشه — چیزی که با روح متنباز بودن در تضاده.
نویسنده پنج پیشنهاد میده تا این ابتکارها واقعاً مفید بشن: مستقیم به نگهدارندهها کمک کنن، مثلاً بهجای صرفاً باز کردن ایشو، خودشون pull request وصله بدن یا حامی مالی نگهدارندهها بشن؛ یافتههاشون رو طبق فرآیند استاندارد افشا و با یه زمانبندی عمومی و مشخص منتشر کنن؛ وصلهها رو تو نسخهی اصلی پروژه ادغام کنن نه تو یه نسخهی خصوصی جدا؛ روی ساختن یه جامعهی واقعی از نگهدارندهها سرمایهگذاری کنن؛ و شناسههای آسیبپذیری رو از طریق همون CVE.org یا GitHub Security Advisories منتشر کنن، نه یه سیستم شناسهی جدید.
نکات کلیدی:
- ابزارهای هوش مصنوعی تو پیدا کردن آسیبپذیریهای متنباز خیلی مؤثرن، ولی دسترسی به بهترین مدلها فعلاً محدود به شرکتهای بزرگه
- NVD داره ضعیف میشه و جاش رو GitHub Security Advisories و شرکتهای خصوصی مثل Flashpoint پر میکنن
- «فایروالهای زنجیرهی تأمین» یعنی فورکهای خصوصی وصلهشده از پروژههای متنباز، دارن رشد میکنن
- نویسنده نگرانه که این روند فرآیند شفاف و عمومی CVE رو بیاثر کنه
- پیشنهادش اینه که این ابتکارها وصلهها رو upstream ادغام و طبق زمانبندی عمومی افشا کنن
