چرا استفاده از هوش مصنوعی در کدنویسی شکاف امنیتی نرم‌افزارها را عمیق‌تر می‌کند؟

دستیارهای هوش مصنوعی برای کدنویسی دیگر ابزارهایی آزمایشی نیستند. در سازمان‌هایی که این فناوری را پذیرفته‌اند، هوش مصنوعی حالا مسئول نگارش حدود نیمی از کدهای ثبت‌شده (کامیت‌شده) است. بنابراین، پرسش اساسی دیگر این نیست که آیا برنامه‌نویسان سراغ هوش مصنوعی می‌روند یا خیر؛ بلکه مسئله این است که آیا سازوکارهای امنیتی می‌توانند خروجی این سیستم‌ها را مدیریت و مهار کنند؟ کدهای نوشته‌شده به دست هوش مصنوعی در رعایت قواعد نگارشی و ساختاری (سینتکس) عملکردی فوق‌العاده دارند و نرخ قبولی ۹۹٫۹ درصدی را به ثبت می‌رسانند، اما کارنامه امنیتی آن‌ها روایت کاملاً متفاوتی دارد.

طبق ارزیابی‌های کنونی، میانگین قبولی کدهای هوش مصنوعی در آزمون‌های امنیتی تنها ۵۶ درصد است؛ به این معنا که تقریباً ۴۴ درصد از کدهای آزمایش‌شده، یک رخنه امنیتی شناخته‌شده را وارد پروژه می‌کنند. از آنجا که حجم کدهای هوش مصنوعی با شتاب سرسام‌آوری رو به افزایش است اما سطح امنیت آن‌ها تغییر محسوسی نمی‌کند، سازمان‌ها با خطر ورود کدهای آسیب‌پذیر بیشتری به محیط توسعه خود مواجه هستند. در نتیجه همین روند، آسیب‌پذیری‌های نرم‌افزاری با سهم ۳۱ درصدی، از اطلاعات هویتی سرقت‌شده پیشی گرفته و به اصلی‌ترین مبدأ نفوذهای سایبری در سازمان‌ها تبدیل شده‌اند.

کریس وایسوپال، مدیر ارشد ترویج امنیت سایبری در شرکت وراکد (Veracode)، در این تحلیل به تشریح ابعاد این بحران پرداخته است.

بستن این شکاف امنیتی مستلزم بازنگری در جایگاه امنیت در فرآیند توسعه نرم‌افزار به کمک هوش مصنوعی است. سازمان‌ها باید امنیت را از همان نقطه آغاز به بخشی جدایی‌ناپذیر از چرخه توسعه تبدیل کنند، در انتخاب مدل‌های هوش مصنوعی ریسک‌ها را بسنجند و پیش از آنکه کد وارد محیط عملیاتی (Production) شود، صحت آن را در کانتکست و بستر کلی برنامه ارزیابی کنند. هدف این رویکرد به هیچ عنوان کند کردن سرعت برنامه‌نویسان نیست؛ بلکه اطمینان از این موضوع است که ابزارهای امنیتی نیز بتوانند با همان سرعت و مقیاس تولید نرم‌افزار فعالیت کنند.

انتخاب مدل هوش مصنوعی، تصمیمی حیاتی در حوزه امنیت است

مدل‌های هوش مصنوعی از حجم عظیمی از کدهای تاریخی و عمومی، از جمله نمونه‌های موجود در پروژه‌های متن‌باز و انجمن‌های برنامه‌نویسی، آموزش می‌بینند. این داده‌های آموزشی همان‌طور که شامل پیاده‌سازی‌های ایمن هستند، کتابخانه‌های منسوخ، اعتبارسنجی‌های ناقص و الگوهای کدنویسی ناامن را نیز در دل خود دارند. اگرچه مدل‌ها طوری طراحی شده‌اند که کدهایی مفید و کاربردی بنویسند، اما بدون کنترل و نظارت مناسب می‌توانند همین الگوهای پرریسک را در مقیاسی گسترده بازتولید کنند.

سازمان‌ها نمی‌توانند بر تمام منابع استفاده‌شده در آموزش مدل نظارت داشته باشند، اما این قدرت را دارند که مشخص کنند کدام مدل‌ها اجازه ورود به فرآیند توسعه را دارند. در آزمایش‌های انجام‌شده، قوی‌ترین مدل به نرخ قبولی امنیتی ۶۸ درصدی دست یافت؛ در حالی که ۶ مدل از ۱۱ مدل بررسی‌شده، نرخ قبولی بین ۵۰ تا ۵۳ درصد داشتند. بنابراین، انتخاب مدل صرفاً تصمیمی برای افزایش بهره‌وری نیست، بلکه یک ارزیابی اساسی از جنس مدیریت ریسک است.

گزینش مدلی قدرتمندتر می‌تواند احتمال خطر را کمتر کند، اما هرگز به این معنا نیست که خروجی آن به‌صورت پیش‌فرض قابل اعتماد است. کدهای تولیدشده توسط هوش مصنوعی همچنان باید در سراسر چرخه حیات توسعه نرم‌افزار با قابلیت‌هایی مانند تحلیل ایستای کد (Static Analysis) و سیاست‌های امنیتی الزام‌آور آزمایش شوند. امنیت باید به جزئی جدایی‌ناپذیر از خود فرآیند انتشار و تحویل نرم‌افزار تبدیل شود.

امنیت نرم‌افزار به درک کانتکست برنامه نیاز دارد

کدهای تولیدشده با هوش مصنوعی ممکن است در ظاهر بدون ایراد به نظر برسند، بدون هیچ خطایی کامپایل شوند و آزمون‌های کارکردی را با موفقیت پشت سر بگذارند، اما هم‌زمان حاوی رخنه‌های امنیتی خطرناکی باشند. تحت فشار ضرب‌الاجل‌های تحویل پروژه، این وضعیت باعث ایجاد اعتمادی کاذب می‌شود؛ به‌ویژه زمانی که توسعه‌دهندگان بدون درک عمیق از رفتار کد در بستر کلی نرم‌افزار، خروجی پیشنهادی را تأیید می‌کنند.

تفاوت چشمگیر عملکرد امنیتی مدل‌ها در انواع آسیب‌پذیری‌ها دلیل اهمیت کانتکست را به‌خوبی روشن می‌کند. در شرایطی که مدل‌های هوش مصنوعی در برابر حملات تزریق اس‌کیو‌ال (SQL Injection) نرخ موفقیت ۸۳ درصدی و در الگوریتم‌های رمزنگاری ناامن نرخ ۸۷ درصدی کسب کردند، عملکرد آن‌ها در مواجهه با اسکریپت‌نویسی بین‌سایتی (XSS) به ۱۵ درصد و در برابر تزریق لاگ (Log Injection) تا ۱۲ درصد سقوط کرد. برخی از ضعف‌ها را می‌توان بر اساس الگوهای مشخص کدنویسی شناسایی کرد، اما رخنه‌های دیگر به جریان داده‌ها، اعتبارسنجی دسترسی‌ها، مرزهای اعتماد و شیوه تعامل بخش‌های مختلف نرم‌افزار با یکدیگر وابسته‌اند.

به همین دلیل، راستی‌آزمایی امنیتی باید دقیقاً در دل گردش کار توسعه و در کانتکست کامل برنامه انجام گیرد. ابزارهای تحلیلی بومی هوش مصنوعی می‌توانند با افزودن قابلیت تشخیص ریسک‌های زمینه‌ای در کنار تحلیل ایستای مرسوم، مسائلی نظیر خطاهای منطقی و نقص در احراز هویت را مستقیماً در پول‌ریکوئست‌ها (Pull Requests) آشکار سازند. نکته کلیدی، تلفیق تحلیل کانتکست با تست‌های مستقل پیش از مرج شدن (Merge) کدها است تا پیش از گسترش ریسک به کل سیستم، جلوی آن گرفته شود.

اولویت‌بندی بر اساس ریسک واقعی، نه صرفاً شمارش خطاها

با افزایش حجم و سرعت تولید نرم‌افزار توسط هوش مصنوعی، میزان خطراتی که تیم‌های امنیتی باید ارزیابی، اولویت‌بندی و رفع کنند نیز به همان نسبت بیشتر می‌شود. این مسئله بار مضاعفی را بر دوش سازمان‌هایی می‌گذارد که هم‌اکنون نیز با انبوهی از آسیب‌پذیری‌های حل‌نشده در فهرست کارهای معوقه خود روبه‌رو هستند.

چنین انباشتی زمینه را برای شکل‌گیری پدیده‌ای موسوم به «بدهی امنیتی» فراهم می‌کند؛ وضعیتی که در آن ایرادها شناسایی می‌شوند اما اصلاح‌نشده باقی می‌مانند و ریسک‌های مشخص برای مدتی طولانی‌تر در بطن برنامه‌ها ماندگار می‌شوند. هر چه این بدهی بیشتر انباشته شود، برطرف ساختن آن سخت‌تر و بسیار پرهزینه‌تر خواهد شد. امروزه بدهی امنیتی بر ۸۲ درصد از سازمان‌ها اثر گذاشته و بدهی امنیتی بحرانی نیز گریبان‌گیر ۶۰ درصد آن‌ها است.

این آمارها نشان‌دهنده یک مشکل ظرفیتی رو به رشد هستند: سازمان‌ها با سرعتی بالاتر از توانایی خود در رفع تهدیدات، در حال تولید و شناسایی ریسک‌های جدید هستند. اگر با هر گزارش امنیتی طوری برخورد شود که گویی وضعیتی اضطراری است، شرایط بدتر خواهد شد. بنابراین، تیم‌ها باید بر قابلیت اکسپلویت شدن، درجه اهمیت نرم‌افزار و تأثیر آن بر کسب‌وکار تمرکز کنند تا بتوانند ظرفیت محدود اصلاحی خود را دقیقاً به سمت آسیب‌پذیری‌هایی هدایت نمایند که بیشترین احتمال ایجاد خسارت واقعی را دارند.

اصلاح خودکار آسیب‌پذیری‌ها به کمک هوش مصنوعی می‌تواند با ارائه پیشنهادهای ترمیمی در محیط کاری برنامه‌نویسان و کاستن از وظایف تکراری، فاصله میان کشف رخنه تا حل آن را کاهش دهد. با این حال، خود فرآیند اصلاح نیز باید ضابطه‌مند باشد؛ راهکار پیشنهادی باید تست، اعتبارسنجی و از لحاظ ایجاد نشدن خطاهای بازگشتی (رگرسیون) ارزیابی شود. هدف اصلی باید کاهش معنادار ریسک باشد، نه صرفاً بالا بردن آمار خطاهای شناسایی‌شده یا وصله‌های ارائه‌شده در سیستم.

اقدامات ضروری که رهبران فناوری باید انجام دهند

کدنویسی با هوش مصنوعی اکنون در تاروپود صنعت نرم‌افزار ریشه دوانده است. از همین رو، مدیران و رهبران فناوری باید پیامدهای امنیتی این تحول را به‌عنوان دگرگونی بنیادین در مدل عملیاتی تولید نرم‌افزار در نظر بگیرند.

این رویکرد مستلزم آگاهی کامل از مبادی ورود کدهای هوش مصنوعی به سازمان، سنجش مدل‌ها بر اساس الزامات امنیتی دقیق، گنجاندن فرآیندهای راستی‌آزمایی در جریان کاری روزمره توسعه‌دهندگان و معطوف کردن اقدامات اصلاحی بر ریسک‌های واقعی کسب‌وکار است. افزون بر این، سازمان‌ها باید اسناد و مدارک دقیقی از کدهای تست‌شده، باگ‌های برطرف‌شده و ریسک‌هایی که با آگاهی کامل پذیرفته شده‌اند، نگهداری کنند.

سازمان‌های موفق آن‌هایی نخواهند بود که روند پذیرش هوش مصنوعی را کند می‌کنند، بلکه تیم‌هایی هستند که شیوه‌های توسعه خود را هم‌گام با پیشرفت فناوری ارتقا می‌دهند تا امنیت همپای تولید پرشتاب نرم‌افزار پیش برود. هوش مصنوعی شاید نوشتن کدهای کارآمد را فوق‌العاده آسان کرده باشد، اما آزمون حقیقی آن است که آیا کسب‌وکارها می‌توانند پیش از رسیدن کدها به محیط عملیاتی، امنیت آن‌ها را اثبات و تضمین کنند یا خیر.