هشدار ۱۰۰ شرکت درباره حملات سایبری هوش مصنوعی

بیش از ۱۰۰ شرکت فناوری و امنیتی درباره گسترش حملات سایبری مبتنی بر هوش مصنوعی هشدار داده‌اند؛ اما راه‌حل فقط خرید ابزارهای تازه نیست.

بیش از ۱۰۰ شرکت فناوری، بانکی و امنیت سایبری هشدار داده‌اند که حملات مبتنی بر هوش مصنوعی در ماه‌های آینده گسترده‌تر و پیچیده‌تر خواهد شد. آنها از دولت‌ها و اپراتورهای زیرساخت حیاتی خواسته‌اند از فرصت محدود موجود برای ترمیم آسیب‌پذیری‌های قدیمی استفاده کنند؛ هشداری که هم بیانگر یک خطر واقعی است و هم منافع تجاری امضاکنندگان را در خود دارد.

نامه سرگشاده‌ای که با محوریت اوپن‌ای‌آی منتشر شده، به امضای شرکت‌هایی مانند آنتروپیک، گوگل، مایکروسافت، آمازون و مجموعه‌ای از بانک‌ها و شرکت‌های امنیت سایبری رسیده است. نویسندگان نامه می‌گویند افزایش توان مدل‌های هوش مصنوعی می‌تواند در فاصله‌ای کوتاه، حملات سایبری را برای افراد کم‌تجربه نیز سریع‌تر و ارزان‌تر کند.

خطر اصلی فقط ساخته‌شدن بدافزارهای پیچیده نیست. هوش مصنوعی می‌تواند عملیات شناسایی را خودکار کند، هزاران سامانه را برای یافتن تنظیمات نادرست بررسی کند، پیام‌های فیشینگ متناسب با زبان و موقعیت هر قربانی بسازد و تغییرات لازم برای عبور از ابزارهای دفاعی را با سرعت بیشتری آزمایش کند. در نتیجه، فاصله میان کشف یک آسیب‌پذیری و سوءاستفاده گسترده از آن کاهش می‌یابد.

نامه بیش از آنکه بر یک فناوری تازه تأکید کند، فهرستی از ضعف‌های قدیمی را یادآوری می‌کند؛ نرم‌افزارهای بدون وصله، سطح دسترسی بیش از حد، احراز هویت ضعیف، پیکربندی نادرست و بدهی فنی سامانه‌های قدیمی. هوش مصنوعی این ضعف‌ها را ایجاد نکرده، اما می‌تواند بهره‌برداری از آنها را صنعتی کند. حمله‌ای که پیش‌تر به چند متخصص و هفته‌ها زمان نیاز داشت، ممکن است با ابزارهای خودکار در مقیاس بزرگ‌تری اجرا شود.

زیرساخت‌های درمانی، شبکه‌های آب، دولت‌های محلی و سامانه‌های اینترنتی در صدر نگرانی امضاکنندگان قرار دارند. این مراکز معمولاً نمی‌توانند مانند یک شرکت فناوری سامانه‌های خود را مرتباً خاموش و بازطراحی کنند. تجهیزات قدیمی، بودجه محدود و الزام به ارائه بی‌وقفه خدمات، اصلاح امنیتی را دشوار می‌کند. مهاجم نیز دقیقاً از همین محدودیت عملیاتی بهره می‌برد.

پیشنهاد نامه، استفاده از هوش مصنوعی در سمت دفاع است. مدل‌ها می‌توانند کد آسیب‌پذیر را پیدا کنند، گزارش‌های امنیتی را اولویت‌بندی کنند، تنظیمات خطرناک را تشخیص دهند و در تحلیل حجم بزرگی از هشدارها به تیم‌های کوچک کمک کنند. اما استفاده دفاعی نیز بدون نظارت انسانی ایمن نیست. اصلاحیه‌ای که هوش مصنوعی تولید می‌کند، اگر پیش از اجرا آزمایش نشود، ممکن است اختلال تازه‌ای در یک سامانه حیاتی ایجاد کند.

این نامه را نباید پیش‌بینی قطعی یک فاجعه قریب‌الوقوع تلقی کرد. امضاکنندگان آن توسعه‌دهندگان مدل‌های هوش مصنوعی و فروشندگان محصولات امنیتی‌اند و از افزایش سرمایه‌گذاری در دفاع سایبری سود می‌برند. عبارت‌هایی مانند «فرصت محدود» یا «افزایش حملات در ماه‌های آینده» برآورد خطر هستند، نه نتیجه یک آزمایش قابل تکرار. این تضاد منافع، اصل هشدار را بی‌اعتبار نمی‌کند، اما ضرورت بررسی مستقل آن را افزایش می‌دهد.

برای سازمان‌ها، پاسخ مؤثر از خرید شتاب‌زده یک محصول هوش مصنوعی آغاز نمی‌شود. فهرست دقیق دارایی‌ها، حذف دسترسی‌های غیرضروری، احراز هویت چندمرحله‌ای، نسخه پشتیبان جدا از شبکه، وصله‌کردن سامانه‌های در معرض اینترنت و تمرین بازیابی پس از حمله همچنان پایه دفاع هستند. ابزار هوشمند زمانی مفید است که بر چنین زیرساختی سوار شود.

پیام مهم نامه این است که هوش مصنوعی توازن زمانی را تغییر می‌دهد. مهاجمان می‌توانند سریع‌تر جست‌وجو و آزمایش کنند؛ بنابراین مدافعان دیگر فرصت طولانی برای واکنش به آسیب‌پذیری‌های شناخته‌شده ندارند. رقابت آینده فقط بر سر داشتن مدل قدرتمندتر نیست، بلکه بر سر این است که چه کسی زودتر ضعف‌های قدیمی را شناسایی و واقعاً برطرف می‌کند.