ورود هوش مصنوعی گوگل به دنیای شکار باگ‌ها: گزارش اولین آسیب‌پذیری‌های امنیتی توسط Big Sleep
توسط: به گزارش اپ خونه، شرکت گوگل به‌تازگی از دستاوردی جدید در حوزه امنیت سایبری رونمایی کرده است: ابزار شکار باگ مبتنی بر هوش مصنوعی این شرکت با نام Big Sleep توانسته است نخستین مجموعه از آسیب‌پذیری‌های امنیتی را در نرم‌افزارهای متن‌باز شناسایی و گزارش کند.
این ابزار حاصل همکاری بین تیم هوش مصنوعی DeepMind و گروه امنیتی پیشرفته گوگل موسوم به Project Zero است.
به گفته «هدر ادکینز»، معاون امنیت گوگل، Big Sleep موفق به کشف و گزارش ۲۰ آسیب‌پذیری امنیتی در نرم‌افزارهای پرکاربرد متن‌باز از جمله کتابخانه صوتی-تصویری FFmpeg و مجموعه ویرایش تصویر ImageMagick شده است.
با اینکه هنوز جزئیات فنی مربوط به این آسیب‌پذیری‌ها منتشر نشده، اما نفسِ این کشف نشان‌دهنده پیشرفت قابل توجه فناوری‌های مبتنی بر مدل‌های زبانی بزرگ (LLM) در حوزه امنیت سایبری است.
گوگل اعلام کرده است که در روند گزارش این آسیب‌پذیری‌ها، یک کارشناس انسانی برای بررسی نهایی و تضمین کیفیت گزارش‌ها حضور داشته، اما تمامی آسیب‌پذیری‌ها توسط خودِ هوش مصنوعی شناسایی و بازتولید شده‌اند.
«کیمبرلی سامرا»، سخنگوی گوگل، تأکید کرده:
«برای اطمینان از کیفیت بالا و کاربردی بودن گزارش‌ها، کارشناس انسانی در مرحله نهایی حضور دارد، اما هر آسیب‌پذیری به‌طور کامل توسط عامل هوش مصنوعی و بدون دخالت انسان کشف و بازتولید شده است.»
«رویال هانسن»، معاون مهندسی گوگل، نیز در شبکه اجتماعی X نوشت که این دستاورد «نمایانگر مرز جدیدی در کشف خودکار آسیب‌پذیری‌ها»ست.
Big Sleep تنها پروژه در این زمینه نیست. ابزارهای دیگری مانند RunSybil و XBOW نیز در تلاش‌اند تا از ظرفیت‌های هوش مصنوعی برای کشف باگ استفاده کنند. به‌عنوان مثال، XBOW اخیراً در صدر جدول پلتفرم امنیتی HackerOne قرار گرفته و توجه بسیاری از فعالان این حوزه را جلب کرده است.
هرچند عملکرد این ابزارها امیدبخش است، اما همه چیز به این سادگی نیست. برخی از توسعه‌دهندگان نرم‌افزار نسبت به افزایش گزارش‌های اشتباه (که در واقع ناشی از «توهم» مدل‌های زبانی بزرگ هستند) هشدار داده‌اند.
این گزارش‌های نادرست، زمان و منابع تیم‌های توسعه را هدر داده و حتی از سوی برخی، به عنوان «پاداش شکار باگ‌های تقلبی» یا «آشغال‌های هوش مصنوعی» توصیف شده‌اند.
«ولاد ایونسکو»، هم‌بنیان‌گذار و مدیر فناوری RunSybil در این رابطه گفته است:
«مشکل اصلی این است که گزارش‌هایی دریافت می‌کنیم که در ظاهر طلا هستند، ولی در واقع فقط زباله‌اند.»
با این حال، او درباره پروژه Big Sleep نظر مثبتی دارد و می‌گوید:
«این پروژه واقعاً قابل‌اعتماد است. طراحی خوبی دارد، پشتوانه قوی‌ای مثل Project Zero و DeepMind دارد، و افرادی که در آن مشغول‌اند، کاملاً حرفه‌ای‌اند.»
ورود مدل‌های زبانی بزرگ به عرصه کشف آسیب‌پذیری‌های امنیتی، نقطه عطفی در امنیت سایبری مبتنی بر هوش مصنوعی به‌شمار می‌آید.
اگرچه هنوز این سیستم‌ها نیازمند تأیید انسانی هستند، اما توانایی آن‌ها در تحلیل کدهای منبع، یافتن الگوهای خطا، و بازتولید آسیب‌پذیری‌ها، نشان می‌دهد که آینده امنیت سایبری می‌تواند تا حد زیادی خودکار، دقیق و مقیاس‌پذیر باشد.
با ادامه توسعه این ابزارها، احتمال می‌رود شاهد کاهش قابل توجه آسیب‌پذیری‌های پنهان در نرم‌افزارها باشیم، به‌ویژه در پروژه‌های متن‌باز که اغلب به‌دلیل منابع محدود، کمتر مورد بررسی دقیق قرار می‌گیرند.
در نهایت باید دید که آیا این ابزارها می‌توانند اعتماد عمومی توسعه‌دهندگان را جلب کنند و به بخشی جدایی‌ناپذیر از فرآیندهای استاندارد امنیت نرم‌افزار تبدیل شوند یا خیر.
