هوش مصنوعی و زیرساخت‌های شکننده اینترنت؛ زنگ خطری جدی برای امنیت وب

در روزهای آغازین این هفته، هشداری تکان‌دهنده در سراسر اینترنت منتشر شد: به دلیل کشف آسیب‌پذیری‌های امنیتی تازه در زبان برنامه‌نویسی منبع‌باز PHP، مدیران وب‌سایت‌ها باید سامانه‌های خود را فوراً به‌روزرسانی کنند؛ یا در صورتی که امکان اعمال وصله امنیتی را در لحظه ندارند، وب‌سایت‌هایشان را برای حفظ ایمنی موقتاً از دسترس خارج سازند.

در پی این رخداد، کارشناسان حوزه فناوری در نشستی تحلیلی به بررسی ابعاد این بحران، موسوم به «آخرالزمان پی‌اچ‌پی» (PHP-ocalypse)، و احتمال تکرار حوادث مشابه در آینده پرداختند.

شان اوکین این اتفاق را «لحظه مواجهه با حقیقت» توصیف کرد که نشان می‌دهد «وقتی به عمیق‌ترین لایه‌های زیرساخت اینترنت می‌نگریم»، همه‌چیز گویی «تنها با چسب و آرزو سرِ پا نگه داشته شده است». با دسترسی گسترده به مدل‌های زبانی بزرگ و عوامل هوشمند (AI Agents)، کشف این دست آسیب‌پذیری‌ها روزبه‌روز ساده‌تر خواهد شد؛ هرچند باید اشاره کرد که این آسیب‌پذیری‌های مشخص توسط پژوهشگران انسانی کشف شده‌اند و کار مدل‌های هوش مصنوعی نبوده است.

کرستن کروسک نیز با ابراز نگرانی تأکید کرد که شاید در آستانه ورود به مرحله تازه‌ای از اضطراب امنیتی فراگیر باشیم؛ زیرا می‌توان دید که چگونه حتی بانک‌ها ممکن است هدف نفوذ قرار گیرند و با در نظر گرفتن دغدغه‌های حریم خصوصی و امنیت داده‌ها، ابعاد بحران بسیار فراتر از آن به نظر می‌رسد که در حال حاضر به‌سادگی قابل مهار باشد.

در ادامه، گزیده‌ای از مباحث و تحلیل‌های مطرح‌شده در این گفتگو ارائه شده است.

شان: به نظر می‌رسد این هفته اینترنت از جهات متعددی در حال از کار افتادن و شکستن است.

به گمانم بهترین راه برای درک این ماجرا، به‌ویژه برای کسانی که با پیش‌زمینه وارد بحث نشده‌اند، این است که بپرسیم: در طول ۱۰ سال گذشته، چند بار با لحظاتی روبه‌رو شده‌ایم که چیزی از کار افتاده یا در آستانه فروپاشی کامل قرار گرفته است؟ لحظاتی که در آن، تنها یک برنامه‌نویس داوطلب که مخزنی کوچک از کدهای منبع‌باز را صرفاً به‌عنوان سرگرمی نگهداری می‌کرد، متوجه خرابکاری یا تهدیدی خطرناک شد و کل زیرساخت اینترنت را از فروپاشی نجات داد؟

اکنون تصور کنید آن شرایط یک میلیارد برابر تشدید شود؛ یعنی زمانی که نه تنها نرم‌افزارهای فوق‌پیشرفته‌ای مانند مدل‌های زبانی بزرگ در دسترس همگان قرار دارند، بلکه افراد می‌توانند به عوامل هوشمند مأموریت دهند تا به‌صورت خودکار و خستگی‌ناپذیر به دنبال این اهداف بروند و آسیب‌پذیری‌ها را پیدا کنند.

در حال حاضر شاهد تقابل دو رویداد هم‌زمان هستیم. از یک سو، آزمایشگاه‌ها و شرکت‌های بزرگی مانند گوگل و OpenAI پژوهشگرانی را برای یافتن حفره‌های امنیتی به کار گرفتند که به کشف همین آسیب‌پذیری در PHP منجر شد. از سوی دیگر، مهاجمان سایبری متعددی نیز برای سوءاستفاده از این رخنه و نفوذ به وب‌سایت‌ها هجوم آورده‌اند. در نتیجه، دولت‌ها ناچار شده‌اند برخی سایت‌های رسمی را از دسترس خارج کنند و شماری از محبوب‌ترین وب‌سایت‌ها نیز برای اعمال وصله امنیتی به‌طور موقت خاموش شده‌اند.

این نقطه عطفی جدی برای درک ریسک‌های پنهانِ بنا نهادن بخش عمده‌ای از وب بر پایه‌های فناوری‌های منبع‌باز مانند PHP است. حقیقت آن است که وقتی ساختار بنیادین اینترنت را می‌کاویم، می‌بینیم که پایداری آن تنها به تار مویی بسته است و با چسب و آرزو کنار هم نگه داشته شده است.

آنتونی: نکات شگفت‌آور فراوانی در این ماجرا وجود دارد. یکی از مهم‌ترین آن‌ها این است که دست‌کم تا جایی که می‌دانم، این حفره به هیچ وجه جدید نیست؛ بلکه آسیب‌پذیری خطرناکی بوده که دهه‌ها در کدهای PHP جا خوش کرده بود.

زبان PHP برای ساخت بخش عظیمی از وب مورد استفاده قرار گرفته است؛ بنابراین این رخنه ده‌ها سال پنهان مانده بود و هیچ‌کس از آن باخبر نبود. تصور اولیه این بود که غول‌های هوش مصنوعی، از جمله شرکت Wiz که گوگل قصد تصاحب آن را داشت، با استفاده از مدل‌های زبانی موفق به شناسایی این رخنه‌ها شده‌اند؛ گرچه در واقعیت، پژوهشگران انسانی در جریان برنامه امنیتی Hack the Planet با همکاری مشترک OpenAI و Wiz این آسیب‌پذیری‌ها را کشف کردند، هرچند برای تست شیوه نفوذ از هوش مصنوعی کمک گرفتند.

بخشی از معادله امنیتی بر این منطق استوار است که اگر ما بتوانیم این رخنه‌ها را بیابیم، دیگران و مهاجمان نیز قادر به پیدا کردن آن‌ها خواهند بود؛ بنابراین انتشار وصله ضروری است. اما رساندن وصله امنیتی به دست همگان مستلزم اعلام عمومی آسیب‌پذیری است. همین موضوع فضایی پر از اضطراب ایجاد می‌کند؛ چراکه پیامی هشدارآمیز صادر می‌شود: «این آسیب‌پذیری دهه‌ها وجود داشته است. باید فوراً وصله امنیتی را نصب کنید و اگر نمی‌توانید، وب‌سایت خود را از دسترس خارج کنید؛ زیرا خطر نفوذ تا این حد جدی است.»

کرستن: نکته کلیدی اینجاست که بسیاری از افراد حتی متوجه نیستند که وب‌سایت‌هایشان از PHP استفاده می‌کند؛ زبان منبع‌بازی که همان‌طور که اشاره شد، دهه‌ها قدمت دارد.

نام رسمی این زبان Hypertext Preprocessor است و شالوده اصلی سیستم‌های مدیریت محتوا مانند وردپرس و دروپال را تشکیل می‌دهد که تقریباً در ۷۰ درصد وب‌سایت‌های جهان به کار رفته‌اند. ما درباره ده‌ها میلیون سایت صحبت می‌کنیم؛ بنابراین با مقیاسی خیره‌کننده روبه‌رو هستیم. این مسئله فوراً دو پرسش را به ذهنم می‌آورد: نخست اینکه این رخداد تازه آغاز ماجراست و چه نرم‌افزارهای قدیمی دیگری وجود دارند که قرار است هدف حمله قرار گیرند؟

نکته دوم، مسئله‌ای است که در گزارش تحلیلی و بسیار دقیق وب‌سایت 404 Media به آن اشاره شد؛ یعنی پدیده «پوسیدگی پیوندها» (Link Rot). بسیاری از کاربران، کسب‌وکارها، نهادهای دولتی و مدیران سایت‌های کوچک به‌جای دردسرهای به‌روزرسانی، وب‌سایت‌های خود را به‌کلی خاموش می‌کنند. در نتیجه، حجم عظیمی از پیوندها شکسته می‌شوند و صفحاتی که بخشی از تاریخچه دیجیتال را در خود داشتند، برای همیشه از دسترس خارج خواهند شد.

شان: نکته بسیار درستی است. افراد زیادی از نحوه انتشار و اطلاع‌رسانی این حفره امنیتی و تا حدی خودستایی OpenAI در بیانیه رسمی‌اش ابراز نارضایتی کردند.

همچنین به نظر می‌رسد چند نفر زودتر از موعد تعیین‌شده برای لغو منع انتشار، جزئیات را لو دادند که همین امر جرقه‌ای برای آغاز مسابقه‌ای سریع میان هکرها شد. متیو پرینس، مدیرعامل کلودفلر، در پیامی اشاره کرد که تلاش‌ها برای بهره‌برداری از این رخنه (موسوم به PHP2Shell) خیلی زود به میلیون‌ها حمله سایبری رسیده است.

در حوزه امنیت سایبری، رویه معمول برای گزارش آسیب‌پذیری‌ها این است که اگر نرم‌افزار شرکتی را ارزیابی و آزمایش کنید، حتی اگر بخشی اساسی از زیرساخت اینترنت باشد، موضوع را مستقیماً و محرمانه به همان شرکت گزارش می‌دهید و همه‌چیز در یک دایره محدود و امن باقی می‌ماند. اما وقتی با پدیده‌ای مواجهیم که تا این حد عمیق و ریشه‌ای است، نمی‌توان موضوع را بی‌سر‌و‌صدا به گوش همه مالکان سایت‌ها رساند.

شاید اگر هوش مصنوعی به درجه‌ای از پیشرفت برسد که بتوان یک میلیارد عامل هوشمند را مأمور کرد تا به تک‌تک مدیران وب ایمیل بزنند، چنین کاری ممکن می‌شد. اکنون حسرت روزهایی را می‌خوریم که هر سایتی مدیر مشخصی (وب‌مستر) داشت و ارتباط با او ساده‌تر بود. با این حال، هیچ راهکار ساده‌ای برای حل این معضل وجود ندارد و بی‌شک این اتفاق سرآغاز رویارویی‌های پیچیده و مرز جدیدی در امنیت سایبری است.

کرستن: پیام متیو پرینس بسیار تأمل‌برانگیز و در عین حال نگران‌کننده بود. علاوه بر این، آمازون نیز مطلبی وبلاگی منتشر کرد. آمازون شرکتی بسیار ثروتمند است که ابزارها و تیم‌های تخصصی لازم را برای رصد وقایع در اختیار دارد. آن‌ها شبکه‌ای از طعمه‌های امنیتی (Honeypot) اداره می‌کنند و متوجه شدند که پیش از اعلام عمومی این آسیب‌پذیری، تلاش‌هایی برای نفوذ از طریق آن در جریان بوده است.

این مسئله دوباره ما را به یک نقطه می‌رساند: آمازون سرمایه، ابزار و دانش فنی کافی برای مقابله با این حملات را دارد؛ اما وب‌سایت‌های بی‌شماری و حتی پایگاه‌های اینترنتی دولتی وجود دارند که از چنین سطحی از پشتیبانی امنیتی بی‌بهره‌اند. بخش واقعاً ترسناک ماجرا همین است.

برخی از فعالان حوزه هوش مصنوعی ممکن است با نگرانی‌های آخرالزمانی به این موضوع بنگرند؛ چراکه نفوذ به سیستم‌های بانکی و خطرات مربوط به نقض داده‌ها و حریم خصوصی، چالشی بسیار فراتر از توان مدیریت فعلی ما نشان می‌دهد. از این رو، مشتاقم دو جنبه را دنبال کنم: اول اینکه واکنش‌ها تا چه حد افراطی خواهد شد و دوم اینکه آیا استارتاپ‌های امنیتی تازه‌ای برای مهار این خطرات متولد می‌شوند، یا اینکه ناچار خواهیم بود به ابزارهای منبع‌بازی که توسط شرکت‌هایی نظیر انویدیا توسعه می‌یابند، برای ایجاد لایه‌های دفاعی جدید پناه ببریم.