تلاقی هوش مصنوعی و امنیت نرم‌افزارهای متن‌باز: فرصت‌ها و چالش‌های عصر اتوماسیون مخرب

در حالی که اکوسیستم نرم‌افزارهای متن‌باز (Open Source) ستون فقرات زیرساخت‌های دیجیتال مدرن را تشکیل می‌دهد، با چالشی بی‌سابقه در زمینه امنیت روبه‌رو است. جیمی توماس، مدیر ارشد نوآوری مشتری در IBM، در نشست اخیر «اجلاس متن‌باز بنیاد لینوکس» (Linux Foundation Open Source Summit) هشدار داد که صنعت امنیت سایبری با یک «سونامی» در افشای آسیب‌پذیری‌ها مواجه است؛ وضعیتی که هوش مصنوعی هم عامل اصلی تشدید آن و هم کلید احتمالی حل آن محسوب می‌شود.

سونامی آسیب‌پذیری‌ها و سرعت سرسام‌آور حملات

آمارها نشان‌دهنده یک تغییر پارادایم نگران‌کننده هستند. پیش‌بینی می‌شود که در سال ۱۴۰۵ (۲۰۲۶ میلادی)، شاهد ثبت حدود ۶۶,۰۰۰ آسیب‌پذیری منحصربه‌فرد باشیم که این رقم بیانگر افزایش چهار برابری نسبت به هفت سال گذشته است. اما چالش واقعی تنها در تعداد نیست، بلکه در «سرعت» نهفته است. زمانی که مهاجمان برای بهره‌برداری از یک رخنه صرف می‌کنند، از بازه‌های زمانی چندروزه به کمتر از ۲۹ دقیقه کاهش یافته است. در موارد بحرانی‌تر، ما با «زمان بهره‌برداری منفی» مواجه هستیم؛ یعنی پیش از آنکه جامعه متن‌باز موفق به ارائه یک وصله (Patch) شود، نفوذگران از رخنه شناسایی‌شده سوءاستفاده کرده‌اند.

هوش مصنوعی: شمشیر دولبه در امنیت نرم‌افزار

اگرچه ابزارهای مبتنی بر هوش مصنوعی می‌توانند در شناسایی باگ‌ها یاری‌رسان باشند، اما در حال حاضر به سلاحی برای تولید انبوه گزارش‌های بی‌کیفیت، تکراری و جعلی تبدیل شده‌اند. این موضوع باعث فلج شدن تیم‌های نگهداری (Maintainers) پروژه‌های متن‌باز شده است. برای نمونه:

• پروژه curl به دلیل حجم بالای گزارش‌های بی‌کیفیت و ساختگی (که بسیاری توسط هوش مصنوعی تولید شده بودند)، مجبور به بستن برنامه پاداش باگ (Bug Bounty) خود در پلتفرم HackerOne شد.
• شرکت گوگل نیز از اوایل پاییز ۱۴۰۵، برنامه پاداش آسیب‌پذیری‌های متن‌باز خود را به حالت تعلیق درآورد تا بتواند سیاست‌های مقابله با گزارش‌های نامرتبط ناشی از هوش مصنوعی را بازبینی کند.
• لینوس توروالدز، خالق لینوکس، اخیراً اعلام کرده است که فهرست ایمیل‌های امنیتی لینوکس به دلیل هجوم گزارش‌های تکراری و غیردقیق تولید شده توسط AI، عملاً از کنترل خارج شده است.

استراتژی بازگشت: استفاده از AI برای فیلترینگ و اصلاح کد

IBM معتقد است که نباید از قابلیت‌های هوش مصنوعی صرف‌نظر کرد، بلکه باید از آن برای مقابله با پیامدهای منفی خودش استفاده کرد. بنیاد امنیت متن‌باز (OpenSSF) با همکاری توسعه‌دهندگان، در حال پیاده‌سازی مکانیزم‌هایی است که با استفاده از هوش مصنوعی، گزارش‌های تکراری را حذف کرده و اولویت‌بندی آسیب‌پذیری‌ها را بر اساس میزان بحرانی بودن آن‌ها انجام دهد. هوش مصنوعی می‌تواند در مراحل زیر به توسعه‌دهندگان یاری برساند:

1. فیلتر کردن گزارش‌های جعلی و تکراری (Deduplication)
2. ارزیابی شدت (Severity Assessment) آسیب‌پذیری‌ها
3. ارائه پیشنهادهای اصلاحی (Code Remediation)
4. تست خودکار وصله‌ها برای جلوگیری از ایجاد باگ‌های جدید

با این حال، یک هشدار فنی مهم وجود دارد: گزارش‌های اولیه نشان می‌دهند که بخش بزرگی از کدهای اصلاحی پیشنهادی توسط مدل‌های فعلی هوش مصنوعی، ممکن است نه تنها مشکل را حل نکنند، بلکه چالش‌های امنیتی و باگ‌های جدیدی به هسته نرم‌افزار تزریق کنند. بنابراین، نظارت انسانی همچنان در چرخه توسعه امن (DevSecOps) غیرقابل جایگزین باقی می‌ماند.