آیا هوش مصنوعی زیرساخت متزلزل اینترنت را آشکار خواهد کرد؟
لحظه‌ای که می‌فهمید اینترنت «با چسب و رویا در کنار هم نگه داشته شده است.»
اوایل همین هفته، یک خبر تکان‌دهنده منتشر شد: به دلیل آسیب‌پذیری‌های به‌تازگی کشف‌شده در زبان برنامه‌نویسی متن‌باز PHP، صاحبان وب‌سایت‌ها مجبور شدند فوراً سایت‌های خود را پچ (اصلاح) کنند؛ یا اگر نمی‌توانستند بلافاصله به‌روزرسانی کنند، برای احتیاط سایت‌های خود را از دسترس خارج سازند.
در اپیزود این هفته از پادکست Equity تک‌کرانچ، کریستن کوروسِک، شان اوکین و من درباره اهمیت «پی‌اچ‌پوکالیپس» (آخرالزمان PHP) و اینکه آیا در آینده شاهد حوادث بیشتری خواهیم بود یا خیر، گفتگو کردیم.
شان این موضوع را «یک لحظه حسابرسی واقعی» نامید که نشان می‌دهد «وقتی به استخوان‌بندی اینترنت نگاه می‌کنید»، به نظر می‌رسد همه‌چیز «با چسب و رویا در کنار هم نگه داشته شده است». و با دسترسی گسترده به مدل‌های زبانی بزرگ و ایجنت‌های هوش مصنوعی، پیدا کردن این آسیب‌پذیری‌ها فقط آسان‌تر خواهد شد. (با این اوصاف، این آسیب‌پذیری‌های خاص توسط پژوهشگران انسانی کشف شدند، نه مدل‌های هوش مصنوعی.)
در همین حال، کریستن تعجب می‌کرد که آیا در آستانه «سطح بعدی از فاجعه‌بارگیِ آخرالزمانی […] هستیم؛ زیرا می‌توانید ببینید که چگونه ممکن است از بانک‌ها سوءاستفاده شود، و با توجه به دغدغه‌های مربوط به داده‌ها و حریم خصوصی، این موضوع بسیار فراتر از توانایی ما برای اصلاح در شرایط فعلی به نظر می‌رسد.»
برای خواندن پیش‌نمایشی از گفتگوی ما که برای رعایت اختصار و وضوح ویرایش شده است، به خواندن ادامه دهید.
شان اوکین: به نظر می‌رسد این هفته اینترنت از راه‌های زیادی در حال فروپاشی است.
فکر می‌کنم بهترین راه برای درک این موضوع، اگر افراد تازه وارد این ماجرا شده باشند، این است: طی ۱۰ سال گذشته چند بار چنین لحظاتی را تجربه کرده‌ایم که چیزی خراب شود یا در آستانه خرابی باشد، و در آن یک نفر که به عنوان سرگرمی یا هر چیز دیگری از یک مخزن کوچک کدهای منبع نگهداری می‌کند، متوجه شود که اتفاقی شرورانه در جریان است و ما را از فروپاشی کامل زیرساخت اینترنت نجات دهد؟
اکنون این را در یک میلیارد ضرب کنید؛ زمانی که افراد نه تنها به نرم‌افزارهای فوق‌العاده پیشرفته در قالب این مدل‌های زبانی بزرگ که همه از آن‌ها استفاده می‌کنند دسترسی دارند، بلکه این توان را دارند که به آن‌ها ماموریت دهند تا خودشان دست‌به‌کار شوند و ایجنت‌های هوش مصنوعی تک‌بعدی را برای انجام قطعی آن کارها خلق کنند.
ما این هفته شاهد تعادل دو چیز هستیم. از یک طرف، تعدادی از آزمایشگاه‌ها و شرکت‌ها مانند گوگل و OpenAI در واقع افرادی را فرستادند تا مجموعه‌ای از آسیب‌پذیری‌ها، از جمله مورد مربوط به PHP را پیدا کنند. و از طرف دیگر، گروهی از افراد را داریم که به نظر می‌رسد برای سوءاستفاده از آن آسیب‌پذیری‌ها جهت هک کردن وب‌سایت‌ها عجله دارند. بنابراین، دولت‌ها وب‌سایت‌ها را از دسترس خارج می‌کنند و وب‌سایت‌های بسیار محبوب به طور موقت از کار می‌افتند تا بتوانند این آسیب‌پذیری را برطرف کنند.
این یک لحظه حسابرسی واقعی است، جایی که ما قرار است خطرات منفیِ بنا نهادن بخش بزرگی از اینترنت روی فناوری متن‌باز مانند PHP را کشف کنیم. وقتی واقعاً به سطح استخوانی اینترنت می‌رسید، متوجه می‌شوید که با چسب و رویا به هم چسبیده است.
آنتونی ها: نکات بسیار زیادی در این مورد چشمگیر بود. یکی از آن‌ها این حقیقت است که — حداقل طبق برداشت من — این یک آسیب‌پذیری جدید نیست. این آسیب‌پذیری دهه‌هاست که در PHP وجود داشته است.
و PHP به عنوان یک زبان برنامه‌نویسی برای ساخت بخش عظیمی از وب استفاده شده است، بنابراین این آسیب‌پذیری دهه‌ها در آنجا حضور داشته، اما هیچ‌کس از آن مطلع نبوده است. آنچه اتفاق افتاد در اصل این بود که این شرکت‌های بزرگ هوش مصنوعی — از جمله Wiz که اکنون متعلق به گوگل است — توانستند این آسیب‌پذیری‌ها را با استفاده از مدل‌های زبانی بزرگ پیدا کنند. همان‌طور که در بالا اشاره شد، من در اینجا اشتباه کردم: پژوهشگران انسانی که در ابتکار «هک سیاره» (Hack the Planet) از شرکت‌های OpenAI و Wiz شرکت داشتند [این آسیب‌پذیری‌ها را پیدا کردند، هرچند که از هوش مصنوعی برای سوءاستفاده از این باگ استفاده کردند.]
حدس می‌زنم بخشی از این محاسبات این است که ما باید این مورد را پچ کنیم؛ زیرا اگر ما می‌توانیم این آسیب‌پذیری را با استفاده از مدل‌های زبانی بزرگ پیدا کنیم، دیگران نیز می‌توانند. اما تنها راهی که می‌توانیم پچ را عرضه کنیم این است که آسیب‌پذیری را اعلام کنیم. و بنابراین این وضعیت بسیار سراسیمه ایجاد می‌شود که [در آن می‌گویند]: «بسیار خوب، این آسیب‌پذیری دهه‌ها وجود داشته است. شما باید فوراً آن را پچ کنید، و اگر نمی‌توانید بلافاصله آن را پچ کنید، فقط وب‌سایت خود را از دسترس خارج کنید. آسیب‌پذیری به همان اندازه جدی است.»
کریستن کوروسِک: فکر می‌کنم نکته مهم این است که بسیاری از مردم حتی نمی‌دانند وب‌سایت‌هایشان دارای PHP است — که همان‌طور که اشاره کردید، یک زبان برنامه‌نویسی متن‌بازِ دهه‌ها قدمت‌دار است.
برای کسانی که نمی‌دانند، «پیش‌پردازنده فرابر متن» (Hypertext Preprocessor) اصطلاح رسمی آن است [و] این در واقع عنصر اصلی پشت سیستم‌های مدیریت محتوایی است که در سرتاسر وردپرس، دروپال و چیزی حدود ۷۰ درصد از وب‌سایت‌ها استفاده می‌شوند. ما در مورد دهه‌ها میلیون وب‌سایت صحبت می‌کنیم. بنابر این برای من، موضوع مقیاس آن است. این موضوع همچنین باعث شد فوراً به دو چیز فکر کنم: اول، اینتازه شروع ماجراست. چه نرم‌افزار قدیمی و مخرب دیگری وجود دارد که قرار است مورد سوءاستفاده قرار گیرد؟
و مورد دیگر چیزی بود که سایت 404 Media که بررسی بسیار عالی در این باره داشت، به آن اشاره کرد، و آن پوسیدگی لینک (Link Rot) است. زیرا بسیاری از مردم، شرکت‌ها، دولت‌ها، شاید همان وب‌سایت کوچک محله، آن‌ها در حال مسدود کردن این [وب‌سایت‌ها] هستند. و بنابراین ما با حجم زیادی از لینک‌های ازکارافتاده و همچنین وب‌سایت‌هایی مواجه خواهیم شد که شاید تکه‌ای از تاریخ را در خود داشتند و به جای پچ شدن، دیگر قابل دسترسی نخواهند بود.
شان: آنتونی، فکر می‌کنم نکته بسیار خوبی را مطرح کردی. من دیدم که بسیاری از مردم از نحوه اطلاع‌رسانی و انتشار این اطلاعات ناراضی هستند، و همچنین کمی از آن به رخ کشیدن‌ها و ادعاهایی که OpenAI ظاهراً در پست وبلاگی خود درباره آن انجام داده است گله‌مندند.
همچنین، به نظر می‌رسد چند نفر قبل از پایان زمان انتشارِ هماهنگ‌شده (Embargo) به این خبر دست پیدا کردند، که مسابقه‌ای را در میان قشر هکرها به راه انداخت. فکر می‌کنم متیو پرنس، مدیر اجرایی کلودفلر بود که قبلاً پستی را درباره مشاهده تشدید این حملات به میلیون‌ها تلاش برای هک PHP2Shell منتشر کرد.
نکته در مورد این آسیب‌پذیری‌ها این است که شیوه کار در امنیت سایبری معمولاً به این شکل است: اگر در حال تست استرس نرم‌افزار یک شرکت هستید، حتی اگر این نرم‌افزار یک قطعه بنیادی باشد که به اجرای بسیاری از رایانه‌های مختلف یا بخش‌هایی از اینترنت یا هر چیز دیگری کمک کند، می‌توانید به آن شرکت مراجعه کنید و موضوع را افشا کنید و این مسئله کم‌وبیش در همان حباب باقی می‌ماند. اما وقتی درباره چیزی صحبت می‌کنیم که به این عمق و بنیادی است، نمی‌توانید به طور محرمانه به همه بگویید.
منظورم این است که شاید می‌توانستید، اگر هوش مصنوعی به اندازه کافی پیشرفته بود و می‌توانستید به یک میلیارد ایجنت ماموریت دهید تا به تک‌تک کسانی که کنترلی بر بخشی از یک وب‌سایت دارند ایمیل بفرستند. ما اکنون روزهایی را که وب‌مسترهایی به راحتی قابل شناسایی داشتیم به یاد می‌آوریم و حسرت می‌خوریم، و شاید این تا حدودی مشکل را حل می‌کرد. اما هیچ راه آسانی برای انجام این کار وجود ندارد. فکر می‌کنم این آغاز روند رفت‌وبرگشت‌های فراوانی خواهد بود و به وضوح مرز جدیدی در امنیت سایبری محسوب می‌شود.
کریستن: پست شبکه‌های اجتماعی متیو پرنس برای من بسیار معنادار و کاملاً ترسناک بود. همچنین، نمی‌دانم آیا هیچ‌کدام از شما این را دیدید یا نه، اما آمازون نیز پست وبلاگی منتشر کرد. این یک شرکت بسیار متمول است، بنابراین آن‌ها ابزارها و تیمی دارند تا بتوانند جریان اوضاع را رصد کنند. آن‌ها اساساً یک شبکه تله‌عسل (Honeypot) یا طعمه را اداره می‌کنند و 실제로 دیدند که پیش از اعلام عمومی این آسیب‌پذیری، تلاش‌هایی برای سوءاستفاده از آن صورت گرفته است.
برای من، این موضوع دوباره به همین نقطه برمی‌گردد: آمازون ابزار، سرمایه و دانش فنی لازم برای مبارزه با این مسائل را دارد. وب‌سایت‌های بسیار زیادی و حتی به طور بالقوه وب‌سایت‌های دولتی وجود دارند که اصلاً از این سطح از توجه برخوردار نیستند. و بنابراین برای من، بخش واقعاً ترسناک ماجرا همین است.
و برخی از کارمندان هوش مصنوعی در دنیا وجود دارند که احتمالاً این موضوع را به سطح بعدی از فاجعه‌بارگیِ آخرالزمانیِ بقاباوران (Prepper doom) خواهند رساند؛ زیرا می‌توانید ببینید که چگونه ممکن است از بانک‌ها سوءاستفاده شود، و با توجه به دغدغه‌های مربوط به داده‌ها و حریم خصوصی، این موضوع بسیار بزرگ‌تر از آن به نظر می‌رسد که در حال حاضر بتوانیم حلش کنیم. بنابراین من مشتاقم دو چیز را ببینم: اول، اینکه رفتار مردم چقدر افراطی می‌شود — و همچنین تعجب می‌کنم که آیا در نتیجه این اتفاق، استارتاپ‌های جدیدی ظهور خواهند کرد یا خیر، یا اینکه برای ایجاد این لایه‌های امنیتی به برخی از ابزارهای متن‌باز [ارائه‌شده توسط شرکت‌هایی مانند انویدیا] روی خواهیم آورد.
نظر مهندس بهمن آبادی: ورود هوش مصنوعی به حوزه امنیت سایبری، فرضیات قدیمی درباره پایداری کدهای متن‌باز قدیمی مانند PHP را کاملاً دگرگون کرده است. چالش اصلی امروز ما دیگر صرفاً وجود باگ‌های دهه‌ساله نیست، بلکه سرعتِ مقیاس‌پذیریِ حملات خودکار با ایجنت‌هاست که زیرساخت شکننده وب را به نقطه انفجار رسانده است. به عنوان مدرس و توسعه‌دهنده، معتقدم زمان آن رسیده که امنیت، بازبینی کدها و مدرن‌سازی پشته‌های فناوری از حاشیه به اولویت مطلق تیم‌های فنی تبدیل شود.
منبع: https://techcrunch.com/2026/10/24/will-ai-expose-the-rickety-infrastructure-of-the-internet/