محمدمهدی خیرجو خبرداد:
از موسیقی تا نقاشی
هوش مصنوعی کلود مأمور شناسایی آسیب‌پذیری‌های پنهان نرمافزارها شد
به گزارش خبرگزاری آنا؛ شرکت آنتروپیک در ادامه فعالیت‌های خود برای توسعه کاربرد‌های دفاعی هوش مصنوعی در امنیت سایبری، سرویس جدید OSS Scanner را معرفی کرده است که با کمک مدل‌های قدرتمند خانواده کلود، کد نرم‌افزار‌های متن‌باز را بررسی می‌کند و آسیب‌پذیری‌های احتمالی را به توسعه‌دهندگان گزارش می‌دهد. این سرویس بر پایه تجربه آنتروپیک در پروژه امنیتی گلس‌وینگ توسعه یافته و هدف آن کمک به شناسایی سریع‌تر مشکلات امنیتی در نرم‌افزار‌هایی است که بخش مهمی از زیرساخت اینترنت و خدمات دیجیتال به آنها وابسته است. استفاده از این برنامه رایگان و داوطلبانه است و توسعه‌دهندگان اصلی پروژه‌های واجد شرایط می‌توانند با ثبت درخواست در گیت‌هاب، نرم‌افزار خود را برای بررسی‌های دوره‌ای معرفی کنند. یکی از تازه‌ترین پروژه‌هایی که برای پیوستن به این برنامه اقدام کرده، نسخه دسکتاپ تلگرام است که توسعه‌دهنده آن پس از انتشار جزئیات یک آسیب‌پذیری امنیتی مهم، درخواست عضویت را ثبت کرده است.
آنتروپیک بیش از ۲۹ هزار آسیب‌پذیری احتمالی شناسایی کرده است
آنتروپیک اعلام کرده در ۶ ماه گذشته با استفاده از مدل‌های جدید خود، بیش از ۲۹ هزار آسیب‌پذیری احتمالی را در پروژه‌های نرم‌افزاری مهم شناسایی کرده است. با این حال پژوهشگران انسانی تنها فرصت بررسی و ارزیابی حدود ۶ هزار مورد از این یافته‌ها را داشته‌اند و محدودیت نیروی متخصص به یکی از موانع اصلی افزایش سرعت گزارش آسیب‌پذیری‌ها تبدیل شده است. این شرکت تاکنون نزدیک به ۵ هزار گزارش بررسی‌نشده را نیز بنا به درخواست مستقیم توسعه‌دهندگان پروژه‌ها در اختیار آنها قرار داده است. آنتروپیک معتقد است با پیشرفت توانایی مدل‌های هوش مصنوعی در شناسایی ضعف‌های امنیتی، فاصله میان کشف آسیب‌پذیری و سوءاستفاده احتمالی مهاجمان کاهش یافته و به همین دلیل، اطلاع‌رسانی سریع به سازندگان نرمافزارها اهمیت بیشتری پیدا کرده است.
سرویس OSS Scanner برای کاهش همین فاصله طراحی شده و برخلاف فرایند سنتی گزارش‌دهی آنتروپیک، یافته‌های خود را بدون بازبینی اولیه پژوهشگران انسانی برای مسئولان پروژه ارسال می‌کند. مدل‌های مورد استفاده در این سامانه، از جمله کلود میتوس، می‌توانند بخش‌های مختلف کد را بررسی کنند، شرایط بروز آسیب‌پذیری را توضیح دهند و در صورت امکان، نمونه‌ای برای بازتولید مشکل و پیشنهاد اصلاح کد ارائه کنند. این روش سرعت و تعداد دفعات بررسی نرمافزارها را افزایش می‌دهد، اما ممکن است بعضی گزارش‌ها نادرست باشند یا شدت خطر را بیشتر از واقعیت ارزیابی کنند. به همین دلیل مسئولیت بررسی نهایی یافته‌ها و اعمال اصلاحات همچنان برعهده توسعه‌دهندگان نرم‌افزار خواهد بود.
نتایج آزمایش‌های اولیه این فناوری امیدوارکننده بوده‌اند. آنتروپیک برای سنجش دقت سامانه، ۹۷ آسیب‌پذیری با شدت بالا یا بحرانی را که در ۴۸ پروژه شناسایی شده بودند، در اختیار متخصصان آزمون نفوذ قرار داد. بررسی‌ها مشخص کرد ۸۵ مورد از این یافته‌ها، معادل حدود ۸۸ درصد، معیار‌های لازم برای فرایند رسمی گزارش آسیب‌پذیری را داشتند. از ۱۲ مورد باقی‌مانده نیز ۱۱ مورد مشکلات واقعی، اما تکراری بودند و تنها یک گزارش به‌عنوان تشخیص اشتباه شناخته شد. البته این آمار به مجموعه محدودی از یافته‌های مهم مربوط است و نمی‌توان آن را میزان دقت قطعی سامانه در تمام پروژه‌ها و همه انواع آسیب‌پذیری‌ها دانست.
کد‌های تلگرام دسکتاپ زیر ذره‌بین هوش مصنوعی قرار می‌گیرند
یکی از اتفاق‌های قابل توجه پس از معرفی OSS Scanner، اقدام توسعه‌دهنده تلگرام دسکتاپ برای پیوستن به این برنامه است. درخواستی با شماره ۵۴۱ در مخزن رسمی آنتروپیک در گیت‌هاب از سوی یکی از توسعه‌دهندگان اصلی تلگرام دسکتاپ ثبت شده و طبق اطلاعات منتشرشده درباره این درخواست، مسئول مربوط آن را پذیرفته است. این اقدام زمینه بررسی دوره‌ای کد‌های نسخه دسکتاپ تلگرام را با استفاده از مدل‌های امنیتی پیشرفته آنتروپیک فراهم می‌کند. تلگرام دسکتاپ یک پروژه متن‌باز است و کد‌های آن در گیت‌هاب منتشر می‌شوند؛ بنابراین ابزار‌های بررسی خودکار می‌توانند بخش‌های مختلف ساختار برنامه را برای شناسایی مشکلات احتمالی تحلیل کنند. البته پذیرش درخواست به‌تنهایی به معنی آغاز قطعی تمام مراحل اسکن یا کشف آسیب‌پذیری تازه در این نرم‌افزار نیست.
این تصمیم پس از انتشار عمومی جزئیات یک آسیب‌پذیری امنیتی مهم در تلگرام دسکتاپ اهمیت بیشتری پیدا کرده است. ضعف امنیتی ثبت‌شده با شناسه CVE-۲۰۲۶-۱۰۷۱۸۱ می‌توانست در نسخه‌های آسیب‌پذیر برنامه، از طریق پردازش نادرست بعضی پیوند‌های اختصاصی تلگرام، زمینه دسترسی غیرمجاز به فایل‌های محلی را فراهم کند. در شرایط خاص، امکان دسترسی به اطلاعات نشست کاربر نیز وجود داشت که می‌توانست امنیت حساب تلگرام را به خطر بیندازد. این آسیب‌پذیری با امتیاز شدت ۸٫۶ از ۱۰ طبقه‌بندی شده و در نسخه ۷.۲.۹ تلگرام دسکتاپ برطرف شده بود.
پیوستن تلگرام دسکتاپ به OSS Scanner می‌تواند به توسعه‌دهندگان کمک کند مشکلات مشابه را پیش از انتشار عمومی یا سوءاستفاده احتمالی شناسایی کنند. مدل‌های هوش مصنوعی با بررسی بخش‌های مختلف کد و روابط میان اجزای برنامه، امکان یافتن ضعف‌هایی را دارند که ممکن است در بازبینی‌های معمول به‌آسانی شناسایی نشوند. با این حال استفاده از چنین سامانه‌ای تضمین نمی‌کند تمام آسیب‌پذیری‌های نرم‌افزار کشف شوند و همچنان به آزمایش‌های امنیتی، بررسی انسانی و انتشار به‌موقع به‌روزرسانی‌ها نیاز خواهد بود. کاربران تلگرام دسکتاپ نیز برای محافظت در برابر آسیب‌پذیری شناخته‌شده باید از نسخه‌های به‌روزشده نرم‌افزار استفاده کنند.
پروژه‌های متن‌باز چگونه از این سرویس استفاده می‌کنند؟
آنتروپیک اعلام کرده توسعه‌دهندگان اصلی پروژه‌های واجد شرایط می‌توانند با ثبت درخواست در مخزن رسمی OSS Scanner در گیت‌هاب، برای دریافت خدمات بررسی امنیتی اقدام کنند. اولویت پذیرش با نرم‌افزار‌هایی است که نقش مهمی در زیرساخت‌های دیجیتال یا امنیت کاربران دارند و تصمیم‌گیری درباره هر درخواست به‌صورت جداگانه انجام می‌شود. پس از پذیرش، سامانه کد پروژه را در محیطی ایزوله آماده و بررسی می‌کند و گزارش مشکلات احتمالی را همراه با توضیحات فنی و پیشنهاد‌های اصلاحی در اختیار مسئولان آن قرار می‌دهد. این گزارش‌ها به‌صورت عمومی منتشر نمی‌شوند تا فرصت بررسی و برطرف کردن آسیب‌پذیری‌ها پیش از افشای جزئیات فراهم باشد.
آنتروپیک پیش از عرضه گسترده سرویس، آن را با تعدادی از پروژه‌های شناخته‌شده از جمله PostgreSQL ،OpenSSL و curl آزمایش کرده است. توسعه‌دهندگان این پروژه‌ها اعلام کرده‌اند برخی گزارش‌های تولیدشده توسط هوش مصنوعی از کیفیت بالایی برخوردار بوده‌اند و در مواردی پیشنهاد‌های اصلاحی ارائه‌شده با تغییرات اندک قابل استفاده بوده‌اند. همچنین در آزمایش‌های اولیه، آسیب‌پذیری‌هایی شناسایی شده‌اند که ترکیب آنها می‌توانست به اجرای دستورات غیرمجاز از راه دور منجر شود. این نتایج از پیشرفت قابل توجه ابزار‌های هوش مصنوعی در تحلیل امنیت نرم‌افزار حکایت دارند، هرچند ارزیابی مستقل و اصلاح نهایی مشکلات همچنان ضروری است.
گسترش سرویس‌هایی مانند OSS Scanner می‌تواند شیوه تأمین امنیت پروژه‌های متن‌باز را تغییر دهد، به‌ویژه برای نرم‌افزار‌هایی که تعداد کاربران زیادی دارند، اما منابع مالی و نیروی انسانی محدودی برای بررسی مداوم کد در اختیارشان است. اقدام تلگرام دسکتاپ برای پیوستن به این برنامه نیز نمونه‌ای از توجه توسعه‌دهندگان نرم‌افزار‌های پرکاربرد به قابلیت‌های جدید هوش مصنوعی در شناسایی آسیب‌پذیری‌ها محسوب می‌شود. در صورت اجرای موفق بررسی‌های دوره‌ای، این فناوری می‌تواند به شناسایی سریع‌تر مشکلات امنیتی و انتشار اصلاحات پیش از سوءاستفاده مهاجمان کمک کند.
انتهای پیام/
