رخنه ۲۰ ساله در PHP و زنگ خطری که هوش مصنوعی برای امنیت اینترنت به صدا درآورد

یک آسیب‌پذیری ۲۰ ساله در زبان برنامه‌نویسی PHP، وب‌سایت‌های بزرگ جهان را وادار به خاموشی کرد و زنگ خطر حملات سایبری مبتنی بر هوش مصنوعی را به صدا درآورد.

هفته گذشته وب‌سایت‌های متعددی در سراسر جهان به دلیل وجود نقصی در کدهایی که کمتر کسی به آن‌ها فکر می‌کند، از دسترس خارج شدند. این رخنه در دل PHP پنهان شده بود؛ نرم‌افزاری که بر اساس برآوردها زیربنای حدود ۷۰ درصد از کل وب‌سایت‌های جهان از جمله ویکی‌پدیا و وردپرس به شمار می‌رود.

دو باگ امنیتی با قدمت نزدیک به ۲۰ سال، این امکان را به افراد ناشناس می‌دادند که بدون نیاز به رمز عبور، کنترل سرور هر وب‌سایتی را در دست بگیرند. پژوهشگران در ماه اوت با کمک هوش مصنوعی این حفره‌ها را شناسایی کردند و هفته‌ها در سکوت خبری مشغول طراحی وصله امنیتی برای آن‌ها بودند. با انتشار این به‌روزرسانی در چهارشنبه گذشته، نهادهایی مانند FBI و آژانس امنیت ملی آمریکا هشدار دادند وب‌سایت‌هایی که امکان اعمال فوری به‌روزرسانی را ندارند، بهتر است تا زمان رفع مشکل موقتاً خاموش شوند.

وب‌سایت‌هایی نظیر 4chan، DeviantArt و Internet Archive این هشدار را جدی گرفتند و سرویس‌های خود را برای ساعت‌ها یا روزها از دسترس خارج کردند؛ در حالی که نهادهای دولتی در هلند و فنلاند نیز وب‌سایت‌های خود را به‌عنوان اقدامی پیشگیرانه متوقف ساختند. برخی وب‌سایت‌ها و بازی‌های قدیمی‌تر نیز به دلیل عدم امکان دریافت وصله امنیتی، برای همیشه تعطیل شدند.

با وجود این هشدارها، موج تخریبی که انتظارش می‌رفت رخ نداد. هکرها در روز نخست با میلیون‌ها تلاش سعی کردند از این آسیب‌پذیری سوءاستفاده کنند، اما در نهایت ناکام ماندند؛ زیرا نفوذ از طریق این حفره‌ها بسیار دشوار بود. اکسپلویت این باگ‌ها نیازمند مجموعه‌ای از مراحل زنجیره‌ای بود که حتی کارشناسان زبده انسانی نیز با بهترین ابزارها برای اجرای آن به زحمت می‌افتادند. افراد غیرمتخصص با ابزارهای ارزان‌قیمت هوش مصنوعی نیز با چالش بسیار بزرگ‌تری روبه‌رو هستند. با این حال، ناکامی هکرها به معنای رفع کامل خطر نیست؛ نفوذهای بی‌صدا سخت‌ترین موارد برای ردیابی محسوب می‌شوند و نفوذگری که در همان ساعات اولیه وارد سامانه‌ای شده باشد، ممکن است همچنان در آن باقی مانده باشد.

زنگ خطری برای آینده امنیت سایبری

بحران PHP پر سر و صداترین رخداد در ماه‌های اخیر بود؛ هرچند پیش از آن نیز هشدارهای متعددی مطرح شده بود. در ماه آوریل، شرکت Anthropic اعلام کرد مدل Mythos Preview می‌تواند آسیب‌پذیری‌های بسیار جدی را در تمام سیستم‌های عامل بزرگ و مرورگرهای وب کشف کند؛ باگ‌هایی که برخی از آن‌ها بیش از یک ربع قرن از چشم کارشناسان امنیتی پنهان مانده بودند.

این شرکت مدل خود را از دسترس عموم دور نگه داشت و دسترسی به آن را تنها به حدود ۵۰ سازمان محدود کرد. شرکت OpenAI نیز اعلام کرد مدل مشابه خود را محرمانه نگه می‌دارد. هرچند برخی پژوهشگران در مورد میزان پیشرفت واقعی این مدل‌ها تردید داشتند، اما توسعه‌دهندگان نرم‌افزارهای پرکاربرد تأکید کردند که این جهش فناوری کاملاً ملموس و واقعی است.

توسعه‌دهندگان نرم‌افزارهای متن‌باز نخستین کسانی بودند که متوجه این دگرگونی شدند. یک سال پیش، آن‌ها زیر انبوهی از گزارش‌های بی‌ارزش و خطاهای کاذب ناشی از هوش مصنوعی مدفون شده بودند و تنها بخش ناچیزی از آن‌ها واقعی بود؛ اما امسال بیشتر گزارش‌ها دقیق و معتبر بودند، تا جایی که یک پروژه محبوب متن‌باز موفق شد تنها در طول سه ماه، آسیب‌پذیری‌هایی بیش از مجموع دو سال گذشته را برطرف کند.

آزمایش‌ها نشان دادند که این فناوری تا چه حد پیشرفت کرده است. در ماه ژوئن، پژوهشگران دولتی در بریتانیا دریافتند که مدل Mythos توانسته یک حمله سایبری شبیه‌سازی‌شده را از ابتدا تا انتها با موفقیت پیاده کند؛ هرچند این موفقیت تنها در ۳ مورد از ۱۰ آزمایش حاصل شد. تازه‌ترین مدل OpenAI نیز توانست در ۲ تلاش به چنین نتیجه‌ای برسد.

پس از آن، نوبت به حملات واقعی رسید. در ماه ژوئیه، هکرها طی چهار روز سرورهای دولتی تایوان را هدف قرار دادند، در حالی که ایجنت‌های هوش مصنوعی اهداف و روش‌های نفوذ را تا حد زیادی به‌صورت مستقل انتخاب می‌کردند. مقامات آمریکایی همچنین مدعی شدند هکرهای منتسب به ایران در ده‌ها مورد اختلال در تأسیسات آب‌رسانی مینه‌سوتا نقش داشته‌اند. بر اساس گزارش گروه تحلیل تهدیدات گوگل، شمار رخنه‌های نرم‌افزاری افشاشده در هر ماه از ماه ژانویه تاکنون دو برابر شده است.

طوفانی در راه است؟

کارشناسان امنیتی فرصت اندکی برای آماده‌سازی در برابر این تهدیدات متصور هستند. پیش‌بینی می‌شود ظرف شش ماه آینده، مدل‌های هوش مصنوعی متن‌باز و مدل‌های چینی در توانایی اجرای حملات سایبری به قدرتمندترین سیستم‌های آمریکایی نزدیک شوند؛ رویدادی که این ابزارها را ارزان‌تر و در دسترس‌تر خواهد کرد. مهاجمان در حال حاضر از هوش مصنوعی برای شناسایی رخنه‌ها و ساخت سریع‌تر کدهای اکسپلویت بهره می‌برند و هم‌زمان با ورود کدهای تولیدشده توسط هوش مصنوعی به چرخه تولید، حجم نرم‌افزارهایی که نیازمند ایمن‌سازی هستند نیز به‌سرعت در حال افزایش است.

اما در سوی دیگر میدان، مدافعان سایبری نیز در حال بازسازی زیرساخت‌های خود با کمک همین فناوری هستند. ایالت مینه‌سوتا برای بهره‌گیری از توانمندترین مدل‌ها با OpenAI و Anthropic وارد همکاری شده است. همچنین یکی از شرکت‌های برجسته امنیتی توانست در مدت پنج ماه، سریع‌تر از هر زمان دیگری در تاریخ خود، محصولی دفاعی برای محافظت از زیرساخت‌های حیاتی توسعه دهد.

راهبردهای دفاعی نیز دستخوش تغییر شده‌اند. زمانی که هوش مصنوعی بتواند سریع‌تر از توان سازمان‌ها در ترمیم، حفره‌های امنیتی را کشف کند، اتکا به وصله‌های امنیتی دیگر به‌تنهایی پاسخگو نخواهد بود. به همین دلیل، تیم‌های امنیتی در تلاش‌اند نفوذگران را مهار کرده و تمام مراحل دفاعی ممکن را به‌صورت خودکار درآورند. شرکت Booz Allen یک سیستم فریب طراحی کرده است که هوش مصنوعی در بیش از ۹۰ درصد مواقع فریب آن را می‌خورد، در حالی که هکرهای انسانی معمولاً متوجه این تله می‌شدند.

ماجرای رخنه PHP نشان داد که دیدگاه هر دو گروه درست بوده است. مدافعان این بار با هماهنگی خاموش، چاشنی شانس و ناتوانی موقت مهاجمان در تبدیل سریع این نقص به سلاحی مخرب، پیروز این نبرد شدند؛ اما این برتری موقت همیشگی نخواهد بود.