هوش مصنوعی و چالش اثبات آسیب‌پذیری‌ها

هوش مصنوعی در امنیت سایبری سرعت کشف آسیب‌پذیری‌ها و انجام تست‌های امنیتی را افزایش داده است. ابزارهای مبتنی بر AI می‌توانند کد را سریع بررسی کنند، سطح حمله را تحلیل کنند، Payload بسازند و کارهای تکراری را انجام دهند. با این حال، یک اصل مهم در امنیت تهاجمی همچنان پابرجاست: پیدا کردن یک باگ با اثبات آن تفاوت دارد.

موسسه SANS در مقاله‌ای درباره نقش AI در امنیت تهاجمی، روی همین تفاوت تمرکز می‌کند. این مقاله توضیح می‌دهد که هوش مصنوعی می‌تواند کشف آسیب‌پذیری‌ها را سریع‌تر کند، اما متخصص امنیت باید هر یافته را در محیط واقعی آزمایش کند. تیم امنیتی نیز باید شواهد کافی برای اثبات آسیب‌پذیری، امکان بهره‌برداری و اثر آن جمع‌آوری کند.

AI تعداد یافته‌های امنیتی را افزایش می‌دهد

رشد ابزارهای هوش مصنوعی، تعداد گزارش‌های امنیتی را افزایش داده است. برنامه‌های Bug Bounty نیز با موجی از گزارش‌های تولیدشده با AI روبه‌رو شده‌اند. برخی از این گزارش‌ها متن حرفه‌ای دارند، اما نویسندگان آن‌ها شواهد کافی ارائه نمی‌کنند. در نتیجه، تیم‌های امنیتی زمان بیشتری برای بررسی گزارش‌های کم‌کیفیت صرف می‌کنند.

این مسئله فقط به Bug Bounty مربوط نمی‌شود. تیم‌های امنیتی همین حالا خروجی اسکنرها، هشدارهای مربوط به وابستگی‌ها، مشکلات پیکربندی Cloud و یافته‌های Compliance را بررسی می‌کنند. اضافه شدن فرضیه‌های تأییدنشده، حجم این کار را بیشتر می‌کند. بنابراین، افزایش تعداد یافته‌ها لزوماً به معنای افزایش امنیت نیست.

هر الگوی مشکوک، آسیب‌پذیری نیست

مدل‌های هوش مصنوعی در پیدا کردن الگوهای مشکوک عملکرد خوبی دارند. برای مثال، مدل ممکن است ارتباط ورودی کاربر با یک Query پایگاه داده را ببیند و احتمال SQL Injection را مطرح کند. در نمونه‌ای دیگر، یک URL Fetch می‌تواند مدل را به سمت احتمال SSRF هدایت کند.

اما این تحلیل فقط یک نقطه شروع است. متخصص امنیت باید مسیر ورودی مهاجم را دنبال کند. او باید ببیند آیا ورودی واقعاً به عملیات حساس می‌رسد یا خیر. همچنین باید احراز هویت، کنترل دسترسی، تنظیمات محیط و سازوکارهای پاک‌سازی ورودی را بررسی کند.

گاهی برنامه یک قابلیت حساس دارد، اما تنظیمات محیط دسترسی مهاجم را مسدود می‌کند. در شرایط دیگر، برنامه Payload را قبل از رسیدن به بخش حساس تغییر می‌دهد یا آن را رد می‌کند. همین جزئیات مشخص می‌کنند که یک فرضیه به آسیب‌پذیری واقعی تبدیل می‌شود یا خیر.

دانش متخصص همچنان اهمیت دارد

ابزارها همیشه نقش مهمی در تست نفوذ داشته‌اند. با این حال، هیچ ابزاری به‌تنهایی نمی‌تواند معنای یک یافته را مشخص کند. یک Web Scanner ممکن است پارامتری مشکوک پیدا کند. Static Analyzer می‌تواند یک تابع خطرناک را علامت‌گذاری کند. Fuzzer نیز ممکن است یک Crash ایجاد کند.

در هر سه حالت، متخصص باید خروجی را تحلیل کند. تجربه در تحلیل کد، مهندسی معکوس، Debug کردن Crashها، بررسی احراز هویت و توسعه Exploit به پژوهشگر کمک می‌کند یک مشکل واقعی را از هشدار اشتباه تشخیص دهد.

تجربه هنگام شکست روش اول اهمیت بیشتری پیدا می‌کند. متخصصی که سیستم را به‌خوبی می‌شناسد، می‌تواند فرضیه خود را تغییر دهد و مسیر دیگری را آزمایش کند. فردی که فقط به توضیح ابزار تکیه دارد، ممکن است در همان مرحله متوقف شود.

وابستگی زیاد به AI می‌تواند مهارت‌ها را تضعیف کند

استفاده از AI به‌خودی‌خود مشکل ایجاد نمی‌کند. خطر زمانی شکل می‌گیرد که متخصص بخش زیادی از فرایند تحلیل را خیلی زود به ابزار بسپارد.

فرض کنید یک مدل همیشه اسکریپت اولیه را تولید کند. در چنین شرایطی، متخصص فرصت کمتری برای تمرین دستی پیدا می‌کند. همین اتفاق درباره تحلیل کد، بررسی Payload و تفسیر خطاها نیز رخ می‌دهد. در بلندمدت، چنین وابستگی‌ای می‌تواند توانایی تحلیل مستقل را کاهش دهد.

امنیت تهاجمی به دانش عمیق، تشخیص الگو و توانایی برقراری ارتباط میان جزئیات مختلف نیاز دارد. بسیاری از یافته‌های مهم زمانی شکل می‌گیرند که متخصص ارتباط میان چند رفتار ظاهراً بی‌اهمیت را پیدا می‌کند.

اعتبارسنجی، تفاوت میان سرنخ و یافته است

یک یافته معتبر باید مشخص، قابل تکرار و مرتبط با اثر واقعی باشد. گزارش امنیتی باید مسیر حمله را روشن توضیح دهد تا تیم فنی بتواند آن را آزمایش کند و مدیر امنیت نیز ریسک را بفهمد.

متخصص قبل از تبدیل یک سرنخ AI به یافته امنیتی باید چند سؤال مهم را پاسخ دهد:

• چه رفتار مشخصی رخ داده است؟

• مهاجم برای ایجاد این رفتار به چه ورودی یا سطح دسترسی نیاز دارد؟

• کدام مرز امنیتی نقض شده است؟

• آیا تیم می‌تواند مشکل را در محیط هدف بازتولید کند؟

• اثر واقعی آسیب‌پذیری چیست؟

• آیا تنظیمات محیط امکان سوءاستفاده را فراهم می‌کند؟

• اصلاح مشکل چه تغییری ایجاد می‌کند؟

• تیم چگونه نتیجه اصلاح را آزمایش خواهد کرد؟

این پرسش‌ها به تیم کمک می‌کنند میان سرنخ امنیتی و آسیب‌پذیری تأییدشده تفاوت بگذارد. AI می‌تواند ایده تولید کند، مسیرهای احتمالی را پیشنهاد دهد و فرایند تست را سرعت ببخشد. با این حال، متخصص باید نتیجه نهایی را با شواهد بررسی کند.

متخصص باید شدت واقعی مشکل را مشخص کند

بررسی یک یافته امنیتی فقط یک مرحله اداری نیست. متخصص باید مسیر حمله، محیط هدف، اثر آسیب‌پذیری و شدت واقعی آن را تحلیل کند.

برای مثال، آسیب‌پذیری‌های Authorization معمولاً به منطق کسب‌وکار و ارتباط میان Objectها وابسته هستند. مشکلات API نیز ممکن است به نحوه تعامل Roleها، Tenantها و Resourceها مربوط شوند. در Memory Corruption، پژوهشگر باید وضعیت Crash، میزان کنترل مهاجم، Mitigationها و قابلیت بهره‌برداری را بررسی کند.

هرچه اثر یک یافته بیشتر باشد، تصمیم‌گیری دقیق اهمیت بیشتری پیدا می‌کند. سازمان برای تعیین اولویت‌های فنی، ارزیابی ریسک و حفظ اعتماد مشتری به یک حدس نیاز ندارد؛ بلکه به شواهد فنی نیاز دارد.

AI می‌تواند شدت آسیب‌پذیری را بیش از حد تخمین بزند

هوش مصنوعی گاهی شدت یک یافته را بیش از اندازه برآورد می‌کند. برای نمونه، Reflected Input به‌تنهایی XSS را ثابت نمی‌کند. یک URL Fetch نیز تا زمانی که مهاجم را به منبعی غیرمجاز نرساند، SSRF مؤثر محسوب نمی‌شود.

همین منطق درباره Remote Code Execution نیز صدق می‌کند. وجود یک تابع خطرناک به‌تنهایی کافی نیست. متخصص باید Reachability، میزان کنترل مهاجم و امکان اجرای کد را بررسی کند.

اعتبارسنجی دقیق از دو خطای مهم جلوگیری می‌کند. نخست، تیم می‌تواند یک آسیب‌پذیری واقعی را کم‌اهمیت جلوه ندهد. دوم، متخصص می‌تواند جلوی بزرگ‌نمایی یک مشکل غیرقابل بهره‌برداری را بگیرد.

AI باید نقش یک دستیار را داشته باشد

تیم‌های امنیتی نباید استفاده از هوش مصنوعی را کنار بگذارند. AI می‌تواند تست نفوذ را سریع‌تر کند، فرضیه‌های بیشتری تولید کند و کارهای تکراری را کاهش دهد. متخصصان نیز می‌توانند زمان بیشتری برای تحلیل و اعتبارسنجی اختصاص دهند.

در این مدل، تیم باید کیفیت یافته‌ها را بالاتر از تعداد آن‌ها قرار دهد. آموزش مبانی امنیت، تمرین دستی، تحلیل کد، Debug، توسعه Exploit و Threat Modeling همچنان اهمیت دارند. متخصص باید از AI به‌عنوان یک ابزار کمکی استفاده کند، نه یک مرجع نهایی.

استاندارد امنیت تهاجمی تغییر نکرده است

هوش مصنوعی در سال‌های آینده توانایی بیشتری برای تحلیل کد، پیمایش برنامه‌ها، تولید Payload و مستندسازی یافته‌ها پیدا خواهد کرد. این پیشرفت‌ها استاندارد اصلی امنیت تهاجمی را تغییر نمی‌دهند.

متخصص همچنان باید وجود آسیب‌پذیری را اثبات کند. او باید نشان دهد که مهاجم می‌تواند به مشکل دسترسی پیدا کند و از آن چه اثری به دست می‌آورد. تیم همچنین باید اصلاح مشکل را آزمایش کند و نتیجه آن را بسنجد.

در نهایت، ترکیب هوش مصنوعی، اتوماسیون و دانش فنی انسان می‌تواند توان تیم‌های امنیتی را افزایش دهد. AI فرایند کشف را سریع‌تر می‌کند، اما متخصص همچنان باید تفاوت میان یک هشدار و یک آسیب‌پذیری واقعی را مشخص کند.

منبع اصلی

این خبر بر اساس مقاله «AI Can Find Bugs, But Human Knowledge Still Proves Them» نوشته Stephen Sims تهیه شده است. Sims در این مقاله نقش AI در امنیت تهاجمی، محدودیت‌های خروجی مدل‌های هوش مصنوعی و اهمیت دانش انسانی در اعتبارسنجی آسیب‌پذیری‌ها را بررسی می‌کند.