The Most Terrifying Week in AI History...

در این قسمت از پادکست، به بررسی رویدادهای اخیر در دنیای امنیت سایبری و هوش مصنوعی پرداخته می‌شود که به «چهارشنبه سیاه» معروف شده است. آنج ناندا، توسعه‌دهنده برجسته، در کنار مجری، جزئیات این بحران را تشریح می‌کند. **پیچیدگی وضعیت فعلی:** وضعیت فعلی در امنیت سایبری بی‌سابقه توصیف شده و حتی از حوادثی مانند قطع سرویس CrowdStrike در سال گذشته نیز وخیم‌تر ارزیابی می‌شود. به طور سنتی، ارائه‌دهندگان خدمات ابری مانند AWS، گوگل و مایکروسافت Azure به «پنج نُه» (99.999%) آپ‌تایم خود افتخار می‌کردند که به معنای حداکثر ۲ ساعت قطعی در سال بود. اما در حال حاضر، هیچ‌کدام از این شرکت‌ها حتی به «دو نُه» (99.9%) آپ‌تایم نیز دست نیافته‌اند، که نشان‌دهنده وخامت سه برابر اوضاع نسبت به قبل است. **دو عامل اصلی در این بحران:** ۱. **یافتن آسیب‌پذیری‌های جدی در فناوری‌های کلیدی:** مجموعه‌ای از باگ‌ها در فناوری‌های اساسی که بیش از ۹۰ درصد اینترنت را تغذیه می‌کنند، کشف شده است. از جمله این فناوری‌ها می‌توان به PHP (که حدود ۷۰ درصد وب را پشتیبانی می‌کند) و Node.js اشاره کرد. علاوه بر این، GitLab، که میزبان کد تقریباً تمام شرکت‌هاست و دومین ارائه‌دهنده بزرگ Git پس از GitHub محسوب می‌شود، نیز تحت تأثیر قرار گرفته است. ۲. **حملات سایبری هدفمند برای سرقت اعتبارات هوش مصنوعی:** در همین حال، مجرمان سایبری حملاتی را برای هک کردن ارائه‌دهندگان زیرساخت مانند Railway و OpenCode ترتیب داده‌اند تا اعتبارات هوش مصنوعی را به سرقت ببرند و آن‌ها را در بازارهای سیاه بفروشند. **آسیب‌پذیری PHP و پیامدهای آن:** PHP، علی‌رغم اینکه دیگر زبان اصلی برای توسعه وب‌سایت‌های جدید نیست، همچنان زیربنای بسیاری از خدمات حیاتی و سیستم‌های قدیمی اینترنت را تشکیل می‌دهد. آخرین وب‌سایت بزرگی که با PHP ساخته شد، فیس‌بوک بود که بیش از ۲۰ سال پیش راه‌اندازی شد. با این حال، بسیاری از خدمات ضروری و کدهای قدیمی بر پایه PHP بنا شده‌اند. باگ کشف شده در PHP به هکرها اجازه می‌داد تا دسترسی کامل (root access) به تمام فایل‌های سرور داشته باشند. این بدان معناست که آن‌ها می‌توانستند تمام اطلاعات، از جمله داده‌های پشتیبان و امنیتی که نباید عمومی شوند را بخوانند و استخراج کنند. بسیاری از کاربران به دلیل استفاده از ارائه‌دهندگان خدماتی که سیستم‌هایشان را به طور خودکار به‌روزرسانی کرده‌اند، از این مشکل در امان مانده‌اند. اما وب‌سایت‌های قدیمی‌تر، مانند وبلاگ‌های مبتنی بر وردپرس، همچنان در معرض خطر جدی قرار دارند. **واکنش مقامات و راه حل فنی:** در مواجهه با این آسیب‌پذیری خطرناک، FBI و NSA دستور به رفع فوری این مشکل یا قطع سرویس‌های آسیب‌دیده دادند. راه حل فنی برای این باگ بسیار ساده است: به‌روزرسانی سرور که تنها حدود ۵ دقیقه زمان می‌برد. اما به دلیل قدمت بسیاری از سرورها، این به‌روزرسانی برای همه امکان‌پذیر نبوده است. به همین دلیل، مقامات توصیه کردند که در صورت عدم امکان به‌روزرسانی فوری، سرورها برای چند ساعت قطع شوند. **نقش هوش مصنوعی در تشدید بحران:** یکی از دلایل اصلی تشدید این بحران، ظهور مدل‌های هوش مصنوعی جدید و ارزان‌قیمت مانند DeepSeek نسخه 4.1 Flash است. این مدل‌ها به طور قابل توجهی در برنامه‌نویسی و یافتن آسیب‌پذیری‌ها مهارت دارند و بسیار سریع و مقرون به صرفه هستند. پیش از این، یافتن آسیب‌پذیری‌ها نیازمند تخصص و زمان زیادی بود و معمولاً توسط گروه‌های هکری حرفه‌ای انجام می‌شد. اما اکنون، با استفاده از این مدل‌های هوش مصنوعی، حتی یک فرد با سرمایه کم (حدود ۵۰ دلار) و یک مدل ارزان‌قیمت می‌تواند به دنبال حفره‌های امنیتی در وب‌سایت‌ها بگردد. این امر باعث شده تا تعداد آسیب‌پذیری‌های کشف شده به صورت تصاعدی افزایش یابد. **رقابت‌پذیری و ارزان‌سازی مدل‌های هوش مصنوعی چینی:** مدل‌های هوش مصنوعی آمریکایی مانند مدل‌های Anthropic، به دلیل تمرکز بر مسائل امنیتی و وجود «گاردریل‌ها» (حفاظت‌ها)، استفاده مخرب از آن‌ها را دشوار کرده‌اند. اما مدل DeepSeek 4.1 Flash با قیمتی بسیار پایین (حدود ۱۵ سنت در هر میلیون توکن) عرضه شده که به طور قابل توجهی ارزان‌تر از مدل‌های آمریکایی مانند Opus (که حدود ۵۰ دلار در هر میلیون توکن هزینه دارد) است. این ارزان‌سازی و سهولت دسترسی به مدل‌های چینی، ناشی از رقابت شدید در صنعت فناوری چین است. شرکت‌های چینی با الهام از فناوری‌های غربی، به سرعت در حال توسعه محصولات خود هستند، اما در اولویت‌بندی امنیت به اندازه شرکت‌های آمریکایی توجه نمی‌کنند. این موضوع باعث شده تا هکرها بتوانند به راحتی از این مدل‌ها برای حملات خود استفاده کنند. **چرخه معیوب سرقت کلیدهای API و تقویت مدل‌های چینی:** هکرها با استفاده از آسیب‌پذیری‌ها، کلیدهای API را از پلتفرم‌هایی مانند Railway و OpenCode به سرقت می‌برند. این کلیدها به آن‌ها امکان دسترسی به توان پردازشی مدل‌های ابری را با هزینه‌ای بسیار پایین می‌دهد، به خصوص که دسترسی به مدل‌های پیشرفته آمریکایی برای چینی‌ها محدود است. این کلیدهای API به سرقت رفته سپس در بازارهای سیاه چین با تخفیف‌های قابل توجه فروخته می‌شوند. شرکت‌های چینی با خرید این دسترسی‌ها، خروجی مدل‌های پیشرفته را جمع‌آوری کرده و از آن برای آموزش و بهبود مدل‌های خود مانند DeepSeek استفاده می‌کنند (فرایند «تقطیر»). این چرخه معیوب باعث می‌شود که مدل‌های چینی با هر بار حمله، هوشمندتر و قوی‌تر شوند و حملات سایبری نیز ارزان‌تر و آسان‌تر شوند. این وضعیت به طور ناخواسته باعث پیشرفت مدل‌های هوش مصنوعی چینی می‌شود. **پیامدهای احتمالی برای شرکت‌ها و افراد:** * **شرکت‌ها:** اگر شرکتی از کلیدهای API بدون تعیین محدودیت استفاده کند، هکرها می‌توانند این کلیدها را سرقت کرده و اعتبارات قابل توجهی را مصرف کنند. این اتفاق می‌تواند منجر به خسارات مالی سنگین شود. به عنوان مثال، شرکت Vibe Code حدود ۱۰۰ هزار دلار به دلیل سرقت اعتبارات API متحمل خسارت شد. * **افراد:** اطلاعات شخصی مانند نام کاربری، رمز عبور و ایمیل‌ها ممکن است درز کرده و فروخته شوند. **اقدامات حفاظتی توصیه‌شده:** **برای شرکت‌ها:** * **تعیین محدودیت برای کلیدهای API:** حتی در مقیاس بزرگ، تعیین محدودیت‌های دقیق برای مصرف کلیدهای API ضروری است. * **استفاده از برنامه‌های محافظت سایبری:** شرکت‌هایی مانند OpenAI (با برنامه Daybreak) و Anthropic برنامه‌هایی برای دسترسی شرکت‌های مورد اعتماد به مدل‌هایشان با گاردریل‌های کمتر دارند. این برنامه‌ها می‌توانند برای مقابله با حملات مفید باشند، هرچند ممکن است لیست انتظار طولانی داشته باشند. * **استفاده از ابزارهای مدیریت رمز عبور:** ابزارهایی مانند 1Password می‌توانند به مدیریت امن کلیدهای API و جلوگیری از ذخیره‌سازی مستقیم آن‌ها بر روی سرور کمک کنند. * **استفاده از عامل‌های هوش مصنوعی (AI Agents):** عامل‌های همیشه فعال مانند Dart یا Rockbot می‌توانند به صورت ۲۴ ساعته زیرساخت‌ها و تراکنش‌ها را برای شناسایی فعالیت‌های مشکوک پایش کنند و در صورت لزوم، اقدامات اصلاحی انجام دهند. این ابزارها می‌توانند از خسارات مالی قابل توجهی جلوگیری کنند. * **تأکید بر امنیت در توسعه برنامه‌ها:** مدل‌های هوش مصنوعی جدید در امنیت برنامه‌ها بهتر از انسان عمل می‌کنند. درخواست از هوش مصنوعی برای «امن کردن برنامه» می‌تواند مؤثر باشد. **برای افراد:** * **بررسی نشت اطلاعات:** مراجعه به وب‌سایت haveibeenpwned.com برای بررسی اینکه آیا ایمیل یا رمز عبور شما در داده‌های افشا شده وجود دارد یا خیر. * **تغییر رمز عبور:** در صورت مشاهده نشت اطلاعات، فوراً رمز عبور خود را در تمام سرویس‌ها تغییر دهید. * **بررسی برنامه‌های مجاز:** در پلتفرم‌هایی مانند توییتر، اینستاگرام و غیره، برنامه‌هایی را که به حساب شما دسترسی دارند، بررسی و دسترسی‌های غیرضروری را لغو کنید. * **فعال‌سازی احراز هویت دو عاملی (2FA):** استفاده از برنامه‌هایی مانند Google Authenticator یا قابلیت‌های داخلی مدیریت رمز عبور در آیفون (iCloud Keychain) برای افزایش امنیت. * **استفاده از ورود با حساب گوگل یا اپل:** این سرویس‌ها امنیت بالاتری را ارائه می‌دهند و در صورت تشخیص رفتار مشکوک، حساب را مسدود می‌کنند. * **استفاده از Passkeys:** این روش امن‌تر از 2FA است و نیاز به احراز هویت بیومتریک (مانند Touch ID یا Face ID) دارد. * **پاکسازی حساب‌های غیرفعال:** استفاده از عامل‌های هوش مصنوعی برای شناسایی و حذف حساب‌هایی که مدت‌هاست استفاده نشده‌اند. **آینده دسترسی به مدل‌های پیشرفته:** نگرانی‌هایی وجود دارد که با افزایش توانایی