تهدید امنیتی در کمین زیرساخت‌های دیجیتال جهان

به گزارش ایسنا، پس از آنکه یک بنیاد برنامه‌نویسی غیرانتفاعی، نقص‌های امنیتی حیاتی را که می‌تواند به هکرها اجازه نفوذ به سیستم‌ها را بدهد، شناسایی کرد، اوایل اکتبر بود که مقامات در سراسر جهان از مدیران وب‌سایت‌ها خواستند تا به‌روزرسانی‌های اضطراری را اجرا کنند.

وب‌سایت‌های دولتی و شرکتی برای مدت کوتاهی آفلاین شدند تا آسیب‌پذیری‌هایی را که با نام PHP۲Shell شناخته می‌شوند و توسط متخصصان مستقل امنیت سایبری با استفاده از هوش مصنوعی کشف شده بودند، وصله کنند.

این آسیب‌پذیری‌ها بیش از یک دهه در کد پی‌اچ‌پی که یک زبان برنامه‌نویسی وب متن‌باز پرکاربرد است، وجود داشتند. با این حال، آنها مورد توجه قرار نگرفته بودند، زیرا بهره‌برداری از آنها بدون استفاده از هوش مصنوعی پیشرفته برای انسان‌ها بسیار پیچیده بود.

اما متخصصان امنیت سایبری و همچنین کسانی که نرم‌افزارهای مهم را نگهداری می‌کنند، می‌گویند PHP۲Shell می‌تواند اولین مورد از سیل نقص‌های امنیتی باشد که توسط هوش مصنوعی نوظهور آشکار می‌شود. آنها می‌گویند بخش عمده‌ای از حیاتی‌ترین زیرساخت‌های دیجیتال جهان توسط داوطلبانی نگهداری می‌شود که اغلب فاقد منابع و زمان برای پاسخگویی به تهدیدهای تازه کشف شده هستند.

پیتر اسلاتری، دانشمند تحقیقاتی در گروه «فیوچرتِک» (FutureTech) دانشگاه ام‌آی‌تی که نحوه برخورد متخصصان امنیت سایبری با فناوری جدید را بررسی می‌کند و حوادث دنیای واقعی مربوط به هوش مصنوعی را ردیابی می‌کند، گفت: «افراد زیادی در جامعه ایمنی هوش مصنوعی گفته‌اند که این یکی از اولین حوزه‌هایی است که تاثیر مضر هوش مصنوعی را در آن مشاهده خواهیم کرد.»

دنیای دیجیتالی که بر اساس کار داوطلبانه ساخته شده است پی‌اچ‌پی در سال ۱۹۹۵ و زمانی که راسموس لردورف، برنامه‌نویس دانمارکی-کانادایی، به دنبال ردیابی تعداد افرادی بود که از رزومه آنلاین او بازدید کردند، ‌ آغاز به کار کرد. با گذشت زمان، افراد دیگری در سراسر جهان نرم‌افزار لردورف را بهبود بخشیدند و محبوبیت آن افزایش یافت.

همانند سایر پروژه‌های کدنویسی متن‌باز، هر کسی می‌توانست پیشرفت‌ها را دانلود، اصلاح و به اشتراک بگذارد. وب‌سایت‌هایی مانند فیس‌بوک و ویکی‌پدیا با استفاده از پی‌اچ‌پی ساخته شده‌اند که حدود ۷۰ درصد از وب‌سایت‌های جهان را اجرا می‌کند.

در سال ۲۰۲۱، یک سازمان غیرانتفاعی اختصاصی به نام بنیاد پی‌اچ‌پی برای هماهنگی توسعه راه‌اندازی شد. این بنیاد مانند بسیاری از بنیادهای دیگر که نرم‌افزارهای متن‌باز را نگهداری می‌کنند، با بودجه‌ای ناچیز فعالیت می‌کند.

بیشتر زیرساخت‌های دیجیتالی که مصرف‌کنندگان استفاده می‌کنند، توسط نرم‌افزار متن‌باز پشتیبانی می‌شوند. مرورگر موزیلا فایرفاکس، همانند زبان‌هایی مانند پرل، پایتون و جاوا اسکریپت، متن‌باز است. نرم‌افزاری که به یک رایانه اجازه می‌دهد با دیگران در اینترنت ارتباط برقرار کند، اغلب متن‌باز است و بسیاری از سرورها از محصولاتی مانند «آپاچی اچ‌تی‌تی‌پی سرور» که توسط بنیاد نرم‌افزار آپاچی نگهداری می‌شود، استفاده می‌کنند.

آماندا براک، مدیرعامل سازمان غیرانتفاعی «اوپن یوکی» که از نرم‌افزارهای متن‌باز پشتیبانی می‌کند، گفت: «جهان امروز، از جمله فروشندگان نرم‌افزار اختصاصی، برای زیرساخت دیجیتال خود به نرم‌افزار متن‌باز متکی است.»

بزرگترین شرکت‌های جهان، مانند متا، گوگل، اوپن‌ای‌آی و آنتروپیک، به این زیرساخت متن‌باز ساخته شده توسط داوطلبان وابسته هستند. اکنون، ابزارهای هوش مصنوعی خود این شرکت‌ها، نقص‌های امنیتی در زیرساخت‌ها را با سرعتی کشف می‌کنند که برای گروه‌هایی مانند بنیاد پی‌اچ‌پی، به منابع بسیار بیشتری نیاز است.

بروک گفت: «با منابع موجود، رفع همه آسیب‌پذیری‌های شناخته‌ شده به سادگی امکان‌پذیر نیست. بنیادها در تلاشند تا این چالش‌ها را مدیریت کنند، اما بنیادهای کوچک‌تر صدها میلیون دلار بودجه ندارند و مدیریت این امر با سرعتی که هوش مصنوعی نیاز دارد، غیرممکن است.»

سیلی از اشکالات جدید ترمیم نشده آسیب‌پذیری‌های PHP۲Shell از طریق چندین مدل پیشرفته هوش مصنوعی پیدا شدند که می‌توانند تلاش‌های بسیار پیچیده‌تری را برای عبور از موانع امنیتی نسبت به انسان‌ها به کار گیرند.

توسعه‌دهندگان سایر نرم‌افزارها نیز در حال کشف نقص‌های امنیتی بسیار بیشتری نسبت به گذشته هستند، زیرا از هوش مصنوعی برای بررسی تدابیر دفاعی استفاده می‌شود.

گوگل اعلام کرد که در آخرین به‌روزرسانی مرورگر کروم خود بیش از ۱۰۰۰ اشکال امنیتی کشف کرده است، که بیش از مجموع ده‌ها به‌روزرسانی اخیر است. بنیاد موزیلا، که توسعه‌دهنده مرورگر فایرفاکس است، در آوریل بیش از ۴۰۰ آسیب‌پذیری امنیتی شناسایی کرد که نسبت به رکورد قبلی ۷۶ باگ کشف‌ شده در ماه پیش از آن، جهشی قابل‌توجه محسوب می‌شود.

جارک پوتیوک، از اعضای تیم امنیتی داوطلب در «بنیاد نرم‌افزاری آپاچی» می‌گوید: «تعداد مشکلاتی که یافته‌ایم شاید ۱۰ برابر معمول باشد، زیرا برای شناسایی آنها از هوش مصنوعی استفاده می‌کنیم.»

در اوایل سال جاری، آنتروپیک پروژه «گِلس‌وینگ» (Glasswing) را راه‌اندازی کرد و ۱۰۰ میلیون دلار اعتبار برای پشتیبانی از مدل پیشرفته هوش مصنوعی «کلود میتوس» خود برای جستجوی آسیب‌پذیری‌های امنیتی در نرم‌افزارهای حیاتی جهان ارائه داد. در یک ماه، بیش از ۲۳ هزار آسیب‌پذیری در بیش از ۱۰۰۰ پروژه منبع باز پیدا شد.

بنیاد نرم‌افزار آپاچی از طرح دیگری به نام پروژه آلفا-اومگا برای اسکن اشکالات امنیتی در ۲۹۰ بسته نرم‌افزاری که نگهداری می‌کند، استفاده کرده است. این پروژه که توسط شرکت‌هایی مانند آنتروپیک، آمازون، گوگل، مایکروسافت و اوپن‌ای‌آی پشتیبانی می‌شود، سالانه حدود ۷ میلیون دلار برای کمک به توسعه‌دهندگان متن‌باز در یافتن اشکالات امنیتی حیاتی هزینه می‌کند.

اما کسانی که روی یافتن و رفع نقص‌های امنیتی کار می‌کنند، می‌گویند با توجه به ارزش تریلیون دلاری شرکت‌هایی که محصولاتشان بدون نرم‌افزارهای رایگان مانند بسته‌هایی که بنیاد آپاچی ارائه می‌دهد، کار نمی‌کنند، دنیای شرکت‌ها می‌تواند کارهای بسیار بیشتری انجام دهد.

پوتیوک گفت: حفظ زیرساخت اینترنت تا حد امکان غیرمتمرکز و متن‌باز بسیار مهم است. برای مثال، بازیگران بزرگی مانند گوگل یا مایکروسافت می‌توانند به جای خرید چیزی مانند پی‌اچ‌پی، به کارمندان خود پول بدهند تا بخشی از ساعات کاری خود را به نگهداری پروژه‌های متن‌بازی که استفاده می‌کنند، اختصاص دهند.

اهداف در دنیای واقعی آسیب‌پذیری «Log۴Shell» در سال ۲۰۲۱ — که به هکرها اجازه می‌داد از راه دور و از طریق یک کتابخانه پرکاربرد (تحت مدیریت بنیاد نرم‌افزاری آپاچی) روی میلیون‌ها دستگاه کد اجرا کنند — اهمیت حیاتی نرم‌افزارهای متن‌باز در امنیت سیستم‌ها را آشکار ساخت. این نقص امنیتی بدون استفاده از هوش مصنوعی کشف شده بود.

اگر چنین نقص امنیتی‌ توسط یک هکر مخرب کشف می‌شد و پیش از آنکه فرصتی برای ترمیم دستگاه‌ها فراهم شود مورد سوءاستفاده قرار می‌گرفت، می‌توانست به اختلالی گسترده و جدی منجر شود.

بر اساس گزارش شبکه الجزیره، اسلاتری می‌گوید پایگاه داده‌ای که او و همکارانش از حوادث امنیتی گردآوری کرده‌اند، نشان می‌دهد که تعداد آسیب‌پذیری‌های شناسایی‌ شده، رو به افزایش است و تنها مسئله زمان مطرح است تا برخی از آنها در دنیای واقعی مورد بهره‌برداری قرار گیرند.