پنهان‌کاری امنیتی دیگه جواب نمی‌ده؛ AI باعثشه
هوش مصنوعیخلاصهٔ کامل‌تر
چند وقته که ابزارهای AI دارن باگ‌های امنیتی رو تو نرم‌افزارهای متن‌باز و تجاری پیدا می‌کنن؛ خیلی‌هاشون خیلی قدیمی و مبهم بودن، ولی الان زیر ذره‌بین مدل‌ها اومدن بیرون. نتیجه‌ش شده یه سیل از پچ و اعلامیه‌ی امنیتی: مایکروسافت تو پچ‌سه‌شنبه‌ی اخیرش رکورد ۹۷۴ CVE رو زد و کلی از تیم‌های نگهداری پروژه‌های متن‌باز الان زیر بار انبوهی از گزارش باگ موندن که وقت رسیدگی بهشون رو ندارن.
برت لدرمن، معاون بخش سایبری FBI، می‌گه پلتفرم‌های متن‌بازی که ده سال تو ۸۰ درصد سرورهای وب دنیا استفاده می‌شدن و همه فکر می‌کردن امنن، با مدل‌های جدید AI شکسته شدن؛ مدل تونسته بگه دقیقاً کجای این کدها آسیب‌پذیری جدی داره. داستین چایلدز از Zero Day Initiative هم می‌گه پچ‌های اخیر مایکروسافت و ادوبی شامل چیزهایی مثل Telnet client یا پروتکل‌های دهه‌ی هشتاد میلادی بودن که سال‌ها کسی سراغ‌شون نرفته بود.
این قضیه دو لبه داره: مهاجم‌ها هم از AI برای مهندسی معکوس پچ‌ها و ساختن اکسپلویت تو عرض چند ساعت استفاده می‌کنن. مثلاً چند گروه جاسوسی که احتمالاً به چین وصلن، تونستن قبل از این‌که نسخه‌ی پایدار Chromium به دست کاربرها برسه، از پچ رسمی یه اکسپلویت بسازن. نگرانی بزرگ‌تر سیستم‌های کنترل صنعتی (OT/ICS) هستن؛ چون AI باعث شده مهاجم دیگه لازم نباشه خودش متخصص این سیستم‌ها باشه. تابستون امسال چند آژانس امنیتی آمریکا اعلام کردن مهاجم‌ها با اسکریپت‌های ساخته‌شده با AI به PLCهای زیمنس تو تأسیسات آب و انرژی نفوذ کردن.
کیتی موسوریس، بنیان‌گذار Luta Security، می‌گه امنیت از طریق ابهام هیچ‌وقت واقعاً استراتژی درستی نبوده، فقط تا حالا کسی وقت نکرده بود دنبالش بگرده. به گفته‌ی اون، مشکل اصلی امنیت پیدا کردن باگ نیست، بلکه اولویت‌بندی و رفع کردنشه؛ و درست همین‌جا AI هنوز کمک چندانی نمی‌کنه. یه پژوهش 1Password رو ۶ آسیب‌پذیری و بیش از ۶۰۰۰ پچ ساخته‌شده با ChatGPT-5.5 و Opus 4.8 نشون داد فقط ۲۶ درصد پچ‌ها واقعاً مشکل رو کامل حل کردن، و بیش از نصفشون یا باگ رو رفع نکردن یا یه باگ جدید اضافه کردن. یه بررسی دیگه از Veracode هم رو صد مدل مختلف نشون داد میانگین فقط ۵۶ درصد کدهای تولیدشده امن از آب درمی‌اومدن.
نکات کلیدی:
- Patch Tuesday مایکروسافت اخیراً رکورد ۹۷۴ CVE رو زد
- FBI می‌گه مدل‌های AI تونستن آسیب‌پذیری تو کتابخونه‌های متن‌باز ده‌ساله پیدا کنن
- گروه‌های جاسوسی مشکوک به چین از AI برای ساخت اکسپلویت روی Chromium قبل از انتشار نسخه‌ی پایدار استفاده کردن
- PLCهای زیمنس تو تأسیسات آب و انرژی با اسکریپت‌های AI هک شدن
- پژوهش 1Password: فقط ۲۶٪ پچ‌های ساخته‌شده با AI مشکل رو کامل حل کردن
- بررسی Veracode: میانگین نرخ امنیت کد تولیدی AI فقط ۵۶٪ بوده
