هیاهوی بزرگ امنیت سایبری؛ چرا باگ‌های کشف‌شده با هوش مصنوعی به سلاح هکرها تبدیل نشدند؟

پروژه گلس‌وینگ (Project Glasswing) شرکت آنتروپیک شاید ده‌ها هزار رخنه امنیتی بالقوه را شناسایی کرده باشد، اما نتایج یک پژوهش تازه نشان می‌دهد کشف آسیب‌پذیری‌ها به کمک هوش مصنوعی، هنوز آن موج عظیم حملات سایبری را که بسیاری انتظارش را می‌کشیدند در دنیای واقعی به راه نینداخته است.

شرکت امنیتی ولن‌چک (VulnCheck) در گزارش تحلیلی جدید خود، ۱٬۰۶۱ مورد از آسیب‌پذیری‌های منتسب به هوش مصنوعی را که به‌صورت عمومی گزارش شده بودند (شامل موارد کشف‌شده در پروژه گلس‌وینگ آنتروپیک و طرح تحقیقاتی آسیب‌پذیری برکلی) بررسی و آن‌ها را با پایگاه داده آسیب‌پذیری‌های شناخته‌شده و سوءاستفاده‌شده (KEV) تطبیق داد.

نتیجه این ارزیابی جالب‌توجه بود: تنها ۱۴ آسیب‌پذیری (معادل ۱٫۳ درصد) به‌طور رسمی در حملات واقعی هدف سوءاستفاده قرار گرفته‌اند؛ رقمی که تقریباً هیچ تفاوتی با میانگین کل آسیب‌پذیری‌های موجود در پایگاه داده ولن‌چک ندارد.

این یافته با روایت‌های پر سر و صدایی که ادعا می‌کردند هوش مصنوعی پیشرو توازن قدرت را با ساخت سریع باگ‌های آماده سوءاستفاده به نفع هکرها تغییر می‌دهد، فرسنگ‌ها فاصله دارد. در عوض، داده‌ها نشان می‌دهند که هوش مصنوعی در حال حاضر بیش از آنکه نرخ باگ‌های کاربردی برای حملات را افزایش دهد، صرفاً به پژوهشگران کمک می‌کند تا حجم بیشتری از آسیب‌پذیری‌ها را شناسایی کنند.

این گزارش به‌طور ویژه پروژه پر سر و صدای گلس‌وینگ آنتروپیک را زیر ذره‌بین قرار داده است؛ پروژه‌ای که در ماه آوریل با هشدارهایی جدی رونمایی شد مبنی بر اینکه کشف آسیب‌پذیری‌ها به دست هوش مصنوعی می‌تواند به مهاجمان اجازه دهد کنترل سیستم‌ها را به دست بگیرند، در عملیات‌ها اختلال ایجاد کنند یا اطلاعات حساس را به سرقت ببرند.

مدل Claude Mythos شاید ۲۳٬۰۱۹ حفره امنیتی احتمالی را شناسایی کرده باشد، اما شواهد عمومی بسیار اندکی درباره سرنوشت نهایی بیشتر آن‌ها وجود دارد. ولن‌چک تاکید می‌کند که از این حجم عظیم، تنها ۱۲۶ مورد به‌صورت رسمی در قالب شناسه CVE منتشر شده‌اند، فقط یک مورد سوءاستفاده واقعی به ثبت رسیده است و فهرست افشای عمومی آنتروپیک نیز از زمان معرفی پروژه گلس‌وینگ تقریباً دست‌نخورده باقی مانده است.

با این حال، به گفته پاتریک گریتی (Patrick Garrity)، پژوهشگر امنیتی در ولن‌چک، این ارقام به معنای شکست تحقیقات آسیب‌پذیری مبتنی بر هوش مصنوعی نیست.

گریتی در تحلیل خود می‌نویسد: «کشف آسیب‌پذیری به کمک هوش مصنوعی بدون شک هم برای مهاجمان و هم برای مدافعان امنیت ارزش بالایی دارد. اما شواهد نشان نمی‌دهند که رخنه‌های شناسایی‌شده توسط هوش مصنوعی، به‌طور ذاتی بیش از حفره‌های امنیتی سنتی در معرض سوءاستفاده باشند.» او استدلال می‌کند که هوش مصنوعی در واقع به کارشناسان امنیت کمک می‌کند رخنه‌های بیشتری را بیابند و این فرصت طلایی را در اختیار تیم‌های دفاعی می‌گذارد تا پیش از دسترسی هکرها، آن‌ها را وصله کنند.

گریتی البته این خطر را به‌کلی بزرگ‌نمایی‌شده یا بی‌اهمیت ندانست، اما تاکید کرد که برخی ادعاها و تبلیغات رسانه‌ای بسیار جلوتر از واقعیت موجود حرکت کرده‌اند.

او می‌افزاید: «داده‌های کنونی، از جمله روند راکد گزارش‌های خود آنتروپیک، نشان می‌دهند که درباره کشف آسیب‌پذیری با هوش مصنوعی و توانمندی مدل‌های پیشرو، در مقایسه با شواهد ملموس امروزی بسیار اغراق شده است. این به معنای خیالی بودن خطرات نیست؛ بلکه نشان می‌دهد تأثیر واقعی هوش مصنوعی تاکنون کاملاً محدود و نسبی بوده است.»

در همین حال، مهاجمان سایبری نیز بیکار ننشسته‌اند. ولن‌چک در نیمه نخست سال ۲۰۲۶ میلادی، ۴۹۵ آسیب‌پذیری سوءاستفاده‌شده را ثبت کرده است که سیستم‌های مدیریت محتوا (CMS) حدود یک‌سوم آن‌ها را تشکیل می‌دهند و دستگاه‌های لبه شبکه (Edge Devices) همچنان هدف اصلی هکرها به شمار می‌روند. علاوه بر این، خود محصولات هوش مصنوعی نیز به اهدافی جذاب بدل شده‌اند؛ چراکه هکرها فراتر از ابزارهای هوش مصنوعی، اکنون به شکار نقاط ضعف در پشته نرم‌افزاریِ به‌سرعت در حال رشد این فناوری روی آورده‌اند.

به بیان دیگر، اگرچه هوش مصنوعی شیوه کشف باگ‌ها و آسیب‌پذیری‌ها را متحول کرده است، اما هنوز آن آخرالزمان امنیتی و موج حملات فلج‌کننده‌ای را که برخی کارشناسان پیش‌بینی می‌کردند به وجود نیاورده است.