اوایل این هفته، هشدار مهمی منتشر شد: به دلیل شناسایی آسیب‌پذیری‌های تازه در زبان برنامه‌نویسی متن‌باز پی‌اچ‌پی، صاحبان وب‌سایت‌ها باید فوراً سامانه‌های خود را به‌روزرسانی می‌کردند و در صورت ناتوانی در انجام این کار، برای حفظ امنیت، وب‌سایت‌هایشان را از دسترس خارج می‌کردند.
در تازه‌ترین قسمت پادکست «اکوی» تک‌کرانچ، موضوع پیامدهای بحرانی این آسیب‌پذیری‌ها و احتمال تکرار چنین حوادثی در آینده بررسی شد. این رویداد که برخی آن را «آخرالزمان پی‌اچ‌پی» نامیده‌اند، بار دیگر شکنندگی زیرساخت‌های اینترنت را به نمایش گذاشته است.
یکی از محورهای اصلی این بحث، این واقعیت بود که بخش بزرگی از اینترنت بر پایه نرم‌افزارهای متن‌بازی ساخته شده که نگهداری و ایمن‌سازی آن‌ها به تلاش‌های پراکنده افراد و سازمان‌ها وابسته است. با گسترش دسترسی به مدل‌های زبانی بزرگ و عامل‌های هوش مصنوعی، شناسایی آسیب‌پذیری‌ها آسان‌تر می‌شود؛ اما همین قابلیت می‌تواند راه را برای سوءاستفاده مهاجمان نیز هموار کند.
البته آسیب‌پذیری‌های اخیر پی‌اچ‌پی را پژوهشگران انسانی شناسایی کردند، نه خود مدل‌های هوش مصنوعی. این پژوهشگران در چارچوب ابتکار مشترک «هک سیاره» متعلق به اوپن‌ای‌آی و ویز فعالیت داشتند و از هوش مصنوعی برای بهره‌برداری از این نقص‌ها کمک گرفتند.
در ادامه، بخش‌هایی از گفت‌وگوی پادکست که برای وضوح و اختصار ویرایش شده است، ارائه می‌شود.
زیرساخت اینترنت تا چه اندازه شکننده است؟
در سال‌های گذشته، بارها پیش آمده است که یک نقص نرم‌افزاری کوچک، به‌واسطه تلاش یک فرد یا گروه محدود از توسعه‌دهندگان، شناسایی و برطرف شده و از فروپاشی بخش‌هایی از زیرساخت اینترنت جلوگیری کرده است. اما اکنون باید تصور کرد که شمار بسیار بیشتری از افراد به ابزارهای پیشرفته نرم‌افزاری و عامل‌های هوش مصنوعی دسترسی دارند؛ ابزارهایی که می‌توانند به‌صورت مستقل برای یافتن و بهره‌برداری از آسیب‌پذیری‌ها اقدام کنند.
در روزهای اخیر، دو روند هم‌زمان مشاهده شده است. از یک سو، شرکت‌هایی مانند گوگل و اوپن‌ای‌آی برای شناسایی آسیب‌پذیری‌های نرم‌افزاری تلاش کرده‌اند. از سوی دیگر، مهاجمان نیز ظاهراً برای سوءاستفاده از همین نقص‌ها و نفوذ به وب‌سایت‌ها دست به کار شده‌اند. در نتیجه، برخی دولت‌ها وب‌سایت‌های خود را از دسترس خارج کرده‌اند و تعدادی از وب‌سایت‌های پرمخاطب نیز برای رفع آسیب‌پذیری‌ها، موقتاً از دسترس خارج شده‌اند.
این اتفاق نقطه عطفی برای ارزیابی خطرات ناشی از وابستگی گسترده اینترنت به فناوری‌های متن‌باز، از جمله پی‌اچ‌پی، به شمار می‌رود. در لایه‌های بنیادی اینترنت، بخش زیادی از سامانه‌ها به زیرساخت‌هایی متکی هستند که استحکام و امنیت آن‌ها ممکن است کمتر از تصور عمومی باشد.
آسیب‌پذیری چند دهه‌ای که ناگهان به تهدیدی جدی تبدیل شد
یکی از نکات قابل توجه این حادثه آن است که آسیب‌پذیری مورد بحث، پدیده‌ای تازه نیست و احتمالاً چندین دهه در پی‌اچ‌پی وجود داشته، بی‌آنکه شناسایی شود. این زبان برنامه‌نویسی در ساخت بخش بزرگی از وب به کار رفته است و کشف چنین نقصی می‌تواند پیامدهایی بسیار گسترده داشته باشد.
شرکت‌های فعال در حوزه هوش مصنوعی و امنیت سایبری توانسته‌اند با کمک این فناوری‌ها، شناسایی و بررسی آسیب‌پذیری‌ها را تسهیل کنند. با این حال، افشای عمومی یک نقص امنیتی، شرایط دشواری ایجاد می‌کند: اگر پژوهشگران قادر به کشف آن باشند، مهاجمان نیز ممکن است به همان توانایی دست پیدا کنند.
از سوی دیگر، برای آنکه مدیران وب‌سایت‌ها بتوانند نقص را برطرف کنند، باید درباره وجود آن اطلاع‌رسانی شود. در نتیجه، افشای یک آسیب‌پذیری قدیمی می‌تواند به وضعیتی اضطراری منجر شود که در آن، صاحبان وب‌سایت‌ها باید فوراً سامانه‌های خود را به‌روزرسانی کنند یا در صورت ناتوانی، آن‌ها را از دسترس خارج سازند.
وابستگی گسترده وب‌سایت‌ها به پی‌اچ‌پی
بسیاری از صاحبان وب‌سایت‌ها حتی نمی‌دانند که سامانه‌هایشان از پی‌اچ‌پی استفاده می‌کند. این زبان برنامه‌نویسی متن‌باز، یکی از اجزای اصلی بسیاری از سامانه‌های مدیریت محتوا، از جمله وردپرس و دروپال، است.
برآوردها نشان می‌دهد حدود ۷۰ درصد وب‌سایت‌ها به‌نوعی از فناوری‌های مرتبط با این اکوسیستم استفاده می‌کنند؛ رقمی که مقیاس بالقوه این تهدید را نشان می‌دهد. در مجموع، ده‌ها میلیون وب‌سایت ممکن است تحت تأثیر چنین آسیب‌پذیری‌هایی قرار بگیرند.
این حادثه همچنین پرسش مهمی را مطرح کرده است: چه نرم‌افزارهای قدیمی دیگری در زیرساخت اینترنت وجود دارند که هنوز آسیب‌پذیری‌های ناشناخته‌ای در آن‌ها باقی مانده است؟
پیامد احتمالی دیگر، افزایش پدیده‌ای است که به آن «پوسیدگی پیوندها» گفته می‌شود. هنگامی که شرکت‌ها، سازمان‌های دولتی یا وب‌سایت‌های کوچک برای جلوگیری از حملات، سامانه‌های خود را از دسترس خارج می‌کنند، پیوندهای اینترنتی از کار می‌افتند. در این میان، صفحات و اسنادی که بخشی از تاریخ اینترنت را ثبت کرده‌اند نیز ممکن است برای همیشه ناپدید شوند؛ به‌ویژه اگر به‌جای اصلاح نرم‌افزار، وب‌سایت به‌طور کامل تعطیل شود.
افشای آسیب‌پذیری‌ها و آغاز رقابت مهاجمان
نحوه اطلاع‌رسانی درباره این آسیب‌پذیری‌ها نیز انتقادهایی برانگیخته است. برخی از ناظران از نحوه اعلام عمومی این کشف و لحن شرکت‌هایی که در آن مشارکت داشته‌اند، ابراز نارضایتی کرده‌اند. همچنین به نظر می‌رسد انتشار برخی اطلاعات پیش از زمان تعیین‌شده، رقابتی میان مهاجمان برای سوءاستفاده از این نقص‌ها ایجاد کرده باشد.
متیو پرینس، مدیرعامل کلادفلر، پیش‌تر اعلام کرده بود که تلاش‌ها برای سوءاستفاده از آسیب‌پذیری موسوم به «پی‌اچ‌پی۲شل» به میلیون‌ها مورد تلاش برای نفوذ رسیده است.
در روال معمول امنیت سایبری، پژوهشگران می‌توانند آسیب‌پذیری یک نرم‌افزار را به‌صورت محرمانه به شرکت سازنده اطلاع دهند تا فرصت کافی برای رفع آن فراهم شود. اما وقتی نقص در یکی از اجزای بنیادی اینترنت قرار دارد و طیف وسیعی از سامانه‌ها را تحت تأثیر قرار می‌دهد، اطلاع‌رسانی محرمانه به همه افراد و سازمان‌های درگیر بسیار دشوار می‌شود.
در گذشته، شناسایی مدیران وب‌سایت‌ها و تماس مستقیم با آن‌ها شاید می‌توانست بخشی از مشکل را حل کند. اما در مقیاس امروزی اینترنت، چنین رویکردی به‌تنهایی پاسخ‌گو نیست. گسترش عامل‌های هوش مصنوعی نیز ممکن است این چالش را پیچیده‌تر کند و فصل تازه‌ای از رقابت در حوزه امنیت سایبری را رقم بزند.
هشدار درباره نابرابری در توان دفاع سایبری
شرکت آمازون نیز اعلام کرده است که سامانه‌های اطلاعات تهدید این شرکت، پیش از افشای عمومی آسیب‌پذیری پی‌اچ‌پی۲شل، تلاش‌هایی برای سوءاستفاده از آن را در محیط‌های نظارتی و فریبنده شناسایی کرده بودند.
آمازون به دلیل برخورداری از منابع مالی، ابزارهای پیشرفته و تیم‌های تخصصی، توانایی بیشتری برای شناسایی و مقابله با چنین تهدیدهایی دارد. این شرکت از شبکه‌ای از سامانه‌های فریبنده استفاده می‌کند که مهاجمان را به محیط‌های کنترل‌شده هدایت می‌کنند تا رفتار آن‌ها بررسی شود.
با این حال، بسیاری از وب‌سایت‌ها و حتی برخی سامانه‌های دولتی از چنین امکاناتی برخوردار نیستند. همین تفاوت در توان دفاعی، یکی از نگران‌کننده‌ترین ابعاد این حادثه است.
افزایش قدرت هوش مصنوعی می‌تواند حملات سایبری علیه بانک‌ها، داده‌های حساس و اطلاعات خصوصی را نیز پیچیده‌تر کند. در چنین شرایطی، مشخص نیست سازمان‌ها تا چه اندازه برای مقابله با تهدیدهای آینده آمادگی دارند.
این تحولات ممکن است زمینه را برای ظهور شرکت‌های نوپا در حوزه امنیت سایبری فراهم کند یا استفاده از ابزارهای متن‌باز شرکت‌هایی مانند انویدیا را برای ایجاد لایه‌های دفاعی جدید افزایش دهد. با این حال، روشن است که شناسایی و رفع آسیب‌پذیری‌های زیرساختی اینترنت، با گسترش هوش مصنوعی به مسئله‌ای فوری‌تر و پیچیده‌تر تبدیل خواهد شد.
