کلیدی‌ترین ابزار امنیتی اینترنت زیر آوار گزارش‌های باگ هوش مصنوعی؛ بحران جدید اوپن‌اس‌اس‌ال

هوش مصنوعی از یک سو به تقویت امنیت یکی از پرکاربردترین کتابخانه‌های رمزنگاری جهان کمک می‌کند و از سوی دیگر، توسعه‌دهندگان و نگهدارندگان آن را زیر بار حجم عظیمی از داده‌ها مستأصل کرده است.

چرا این موضوع اهمیت دارد: چالش‌های پیش‌روی اوپن‌اس‌اس‌ال (OpenSSL) که یکی از پروژه‌های متن‌باز با وضعیت مالی مناسب به شمار می‌رود، تصویری روشن از فشاری را به نمایش می‌گذارد که هوش مصنوعی بر دوش نگهدارندگان نرم‌افزارهای حیاتی تحمیل کرده است؛ نرم‌افزارهایی که زیربنای فعالیت‌های روزمره کسب‌وکارهای جهانی هستند.

اصل ماجرا: مت کَزوِل، مدیر اجرایی بنیاد اوپن‌اس‌اس‌ال، در کنفرانس سالانه این پروژه در پراگ اعلام کرد که اوپن‌اس‌اس‌ال بین ماه‌های مه تا ژوئیه به‌طور میانگین ماهانه ۷۱ گزارش و استعلام امنیتی دریافت کرده است؛ در حالی که این رقم در مدت مشابه سال گذشته تنها ۹ مورد بود.

• کزوِل اشاره کرد که این آمار در ماه اوت به ۱۰۸ استعلام رسیده است.
• اوپن‌اس‌اس‌ال طی سال گذشته حدود ۵۰۰ گزارش آسیب‌پذیری دریافت کرده که در نهایت تنها ۶۳ مورد از آن‌ها به کشف و انتشار آسیب‌پذیری‌های امنیتی واقعی ختم شده‌اند.

سطح تهدید: حساسیت موضوع برای اوپن‌اس‌اس‌ال فوق‌العاده بالاست؛ نرم‌افزاری بنیادین که وظیفه تأمین امنیت ارتباطات و تبادل داده‌ها در سراسر اینترنت را بر عهده دارد.

• در سال ۲۰۱۴، آسیب‌پذیری مشهور «خون‌ریزی قلبی» (Heartbleed) در اوپن‌اس‌اس‌ال به مهاجمان اجازه داد اطلاعات حساسی مانند رمزهای عبور و کلیدهای رمزنگاری را از سرورهای آسیب‌پذیر استخراج کنند.
• این حادثه تاریخی نشان داد که چگونه وجود یک نقص در یک کتابخانه متن‌باز پرکاربرد می‌تواند امنیت بی‌شمار وب‌سایت و سرویس اینترنتی را به خطر بیندازد.

اما مسئله اصلی چیست؟ کزوِل توضیح می‌دهد که بسیاری از این گزارش‌ها مواردی تکراری، باگ‌های نرم‌افزاری جزئی یا مسائلی هستند که اصلاً به هشدار امنیتی نیاز ندارند؛ با این حال، تک‌تک آن‌ها برای اعتبارسنجی نیازمند بررسی دقیق کارشناسان انسانی هستند.

• بیشتر آسیب‌پذیری‌های کشف‌شده توسط ابزارهای هوش مصنوعی، به‌جای رخنههای امنیتی بزرگ، مشکلاتی با سطح اهمیت پایین بوده‌اند.

چشم‌انداز وسیع‌تر: هوش مصنوعی شناسایی و اصلاح آسیب‌پذیری‌ها را در نرم‌افزارهای متن‌باز که عمدتاً توسط داوطلبان نگهداری می‌شوند ساده‌تر کرده است؛ اما این سیل خروشان کشفیات، کمبود شدید مهندسان باتجربه‌ای را آشکار کرده که بتوانند تشخیص دهند کدام نقص واقعاً یک تهدید امنیتی جدی است.

• نگهدارندگان سایر کتابخانه‌های رمزنگاری مطرح، از جمله Bouncy Castle و cryptlib نیز در این کنفرانس اعلام کردند که با افزایش چشمگیر تعداد گزارش‌های نیازمند بررسی مواجه هستند.
• حتی اوپن‌اس‌اس‌ال که در مقایسه با بسیاری از پروژه‌های متن‌باز منابع مالی بهتری در اختیار دارد، برای هماهنگ شدن با این هجوم گزارش‌ها به‌سختی دست‌وپنجه نرم می‌کند.

نکته پنهان ماجرا: حتی زمانی که ابزارهای هوش مصنوعی راه‌حلی برای رفع باگ پیشنهاد می‌دهند، همچنان به نیروی انسانی نیاز است تا کارکرد درست آن را بسنجد و تغییرات کد را تأیید کند؛ موضوعی که یک گلوگاه عملیاتی ایجاد کرده است.

• به‌گفته کزوِل، اوپن‌اس‌اس‌ال در یک سال گذشته تعداد مشارکت‌کنندگان جدید خود را تقریباً دو برابر کرده است، اما آموزش مهندسان برای تبدیل شدن به بررسی‌کنندگان باتجربه به زمان بسیار بیشتری نیاز دارد.
• شمار مهندسانی که اجازه تأیید تغییرات کد را دارند، از ۱۸ نفر در ژوئیه ۲۰۲۴ به ۳۰ نفر تا این ماه افزایش یافته که بیشتر این رشد حاصل موقعیت‌های شغلی جدیدی است که اوپن‌اس‌اس‌ال توانسته برای آن‌ها حامی مالی جذب کند.
• کزوِل می‌افزاید که اوپن‌اس‌اس‌ال اکنون کدهای بیشتری را نسبت به هر زمان دیگری بررسی و ادغام (Merge) می‌کند، اما درخواست‌های جدید با سرعتی به‌مراتب بالاتر از راه می‌رسند.

دیدگاه کارشناسان: کزوِل درباره چالش یافتن مهندسان جدید برای ارزیابی درخواست‌ها توضیح می‌دهد: «این افراد متخصصان ماهری هستند و نمی‌توان آن‌ها را یک‌شبه تربیت کرد؛ مهندس ماهر که از آسمان نمی‌بارد!»

نگاه دقیق‌تر: کزوِل اشاره می‌کند ابزارهای هوش مصنوعی مشکلاتی را در گوشه‌وکنارهای دورافتاده کدهای اوپن‌اس‌اس‌ال کشف می‌کنند که پژوهشگران انسانی در طول تاریخ آن‌ها را نادیده گرفته بودند.

• با این حال، او یادآور می‌شود که بررسی یک آسیب‌پذیری، توسعه وصله امنیتی و انتشار اطلاعیه رسمی ممکن است بین ۶ تا ۸ هفته زمان ببرد.

رویکرد متقابل: توماش مراز، مدیر ارشد فناوری بنیاد اوپن‌اس‌اس‌ال، تأیید می‌کند که این پروژه در حال به‌کارگیری ابزارهای هوش مصنوعی اختصاصی خود است تا به بررسی کدهای جدید، ارزیابی آسیب‌پذیری‌های گزارش‌شده و نوشتن تست‌های نرم‌افزاری کمک کند.

• کزوِل در جریان یک نشست تخصصی اعلام کرد که اکنون در کنار بازبینی‌های دستی خود، از یک ارزیاب کد مبتنی بر هوش مصنوعی نیز استفاده می‌کند تا مشکلاتی را که ممکن است از چشم دور بماند شناسایی کند.
• با این حال، نگهدارندگان اوپن‌اس‌اس‌ال پیش از پذیرش هرگونه تغییر در کدها، همچنان بر لزوم تأیید نهایی توسط نیروی انسانی پافشاری می‌کنند.

مسیر پیش‌رو: بنیاد اوپن‌اس‌اس‌ال از توسعه‌دهندگان می‌خواهد به‌جای آنکه صرفاً کدهای جدیدی ارسال کنند، در بررسی و اعتبارسنجی کدهای موجود مشارکت داشته باشند.

• کزوِل تأکید کرد که این پروژه برای همگام شدن با حجم فزاینده کارها، نیازمند آموزش ناظران باتجربه‌تر و جذب بودجه‌های مالی بیشتر است.
• او در سخنرانی خود خاطرنشان کرد: «پروژه‌های متن‌باز حیاتی، در واقع زیرساخت کل دنیای دیجیتال هستند و ما باید بودجه آن‌ها را دقیقاً همانند یک زیرساخت حیاتی تأمین کنیم.»