شرکت‌هایی که ابزارهایشان به گسترش تهدیدهای سایبری کمک می‌کند، هم‌زمان از فروش خدمات دفاعی درآمد کسب می‌کنند. زب لارسن در یادداشتی انتقادی هشدار می‌دهد که پیامد این وضعیت می‌تواند فراتر از افزایش هزینه امنیت باشد و زیرساخت آزاد اینترنت را تهدید کند.
نوشته زب لارسن، نویسنده و مهندس نرم‌افزار | فست‌کمپانی، ۹ نوامبر ۲۰۲۶
متخصصان امنیت سایبری و زیرساخت‌های دیجیتال معمولاً علاقه‌ای به زندگی در «دوران پرهیجان» ندارند؛ اما این روزها انتخاب چندانی پیش رویشان نیست.
زب لارسن یادداشت خود را با اشاره به مجموعه‌ای از رخدادهای امنیتی آغاز می‌کند: هک بایننس، تلاش برای حمله به محصولات آنتروپیک از طریق یک افزونه شخص ثالث و افشای اطلاعات مشتریان شرکت‌های هواپیمایی در پی نفوذ به شرکت فناوری سفر آمادئوس.
او در پس این رخدادها، تناقضی تجاری می‌بیند: شرکت‌های هوش مصنوعی مولد، از جمله اوپن‌ای‌آی و آنتروپیک، ابزارهایی توسعه می‌دهند که می‌توانند توان مهاجمان را افزایش دهند؛ سپس خود را تأمین‌کننده ضروری ابزارهای مقابله با همان تهدیدها معرفی می‌کنند.
از نگاه نویسنده، خطر فقط افزایش حملات نیست. مسئله این است که شرکت‌های بزرگ فناوری، از بحرانی که در تشدید آن نقش دارند، بازاری تازه برای محصولات خود بسازند.
وقتی یک ضعف قدیمی به تهدیدی عملی تبدیل می‌شود
لارسن برای توضیح این مسئله، به آسیب‌پذیری‌های موسوم به «PHP2Shell» اشاره می‌کند. به روایت مقاله، گستردگی استفاده از زبان برنامه‌نویسی PHP در وب، انتشار خبر این نقص‌ها را به رویدادی نگران‌کننده تبدیل کرد؛ شبیه کشف قفلی معیوب که روی درِ میلیون‌ها ساختمان نصب شده باشد.
این آسیب‌پذیری‌ها که به نوشته او، دو شرکت امنیتی کلیف و ویز به‌طور مستقل شناسایی کرده‌اند، به نحوه مدیریت حافظه و وضعیت اجرای برنامه مربوط می‌شدند. در شرایطی خاص، مهاجم می‌توانست از آن‌ها برای پیشبرد نفوذ و احتمالاً به‌دست‌گرفتن کنترل سرور استفاده کند.
نویسنده می‌گوید توسعه‌دهندگان بنیاد PHP از سال ۲۰۲۴ از یکی از این مشکلات آگاه بودند، اما درباره اصلاح آن توافق نداشتند. راه‌حل‌ها هزینه‌ها و پیچیدگی‌هایی داشتند و روش بهره‌برداری عملی از ضعف نیز روشن نبود.
استدلال لارسن این است که هوش مصنوعی مولد می‌تواند فاصله میان شناسایی یک ضعف و استفاده عملی از آن را کوتاه کند. کاری که پیش‌تر مستلزم تخصص، زمان و تلاش زیاد بود، اکنون ممکن است سریع‌تر انجام شود. به روایت مقاله، پس از انتشار عمومی جزئیات، حملات افزایش یافت و اصلاحیه‌های امنیتی با شتاب منتشر شدند؛ بخشی از این کار نیز بر عهده داوطلبان بود.
هشدار درباره خطر، هم‌زمان با فروش ابزار دفاع
به نوشته لارسن، شرکت‌های هوش مصنوعی خود از بلندترین صداهای هشدار درباره موج تازه آسیب‌پذیری‌ها هستند. او به نگرانی سم آلتمن درباره امکان اصلاح همه نقص‌ها و تعبیر «سونامی آسیب‌پذیری‌ها» از سوی جیسون کلینتون در آنتروپیک اشاره می‌کند.
در نگاه نخست، تأکید بر خطرهای یک محصول، شیوه مناسبی برای بازاریابی آن به نظر نمی‌رسد. اما نویسنده معتقد است این هشدارها با عرضه راه‌حل پیوند خورده‌اند: شرکت‌ها می‌گویند برای دفاع در برابر تهدیدهای تقویت‌شده با هوش مصنوعی، باید از ابزارهای هوش مصنوعی استفاده کرد.
مقاله در همین زمینه از ابتکار «Patch the Planet» اوپن‌ای‌آی برای کشف آسیب‌پذیری‌های نرم‌افزارهای متن‌باز و مدل‌ها و برنامه‌های امنیتی شرکت‌های بزرگ نام میبرد. برخی از این خدمات با دسترسی محدود به سازمان‌های واجد شرایط عرضه می‌شوند و هزینه استفاده از آن‌ها به میزان مصرف وابسته است.
لارسن نگران است حمایت‌ها و یارانه‌های اولیه، پس از وابسته‌شدن مشتریان، جای خود را به خدمات گران‌تر بدهند. او این وضعیت را به مدلی شبیه می‌داند که در آن، پرداخت هزینه محافظت به ضرورتی دائمی تبدیل می‌شود.
این تعبیر، داوری انتقادی نویسنده درباره انگیزه‌های تجاری شرکت‌هاست؛ نه اثبات اینکه آن‌ها عمداً حملات سایبری ایجاد می‌کنند.
فشار بر کسانی که اینترنت را سرپا نگه می‌دارند
بخش مهم‌تر استدلال لارسن به نرم‌افزارهای آزاد و متن‌باز مربوط است؛ زیرساختی که بخش بزرگی از اینترنت به آن وابسته است، اما نگهداری آن همیشه پشتوانه مالی و نیروی انسانی متناسب ندارد.
او بنیاد PHP را نمونه می‌آورد؛ مجموعه‌ای با اندکی بیش از دوازده نیروی کاری که بر کمک‌های مالی تکیه دارد. بسیاری از اجزای حیاتی دیگر نیز به همت گروه‌های کوچک یا توسعه‌دهندگانی نگهداری می‌شوند که گاه بدون دستمزد کار می‌کنند.
اگر ابزارهای خودکار تعداد زیادی ضعف امنیتی کشف کنند، مسئولیت بررسی گزارش‌ها، تشخیص موارد معتبر و اصلاح کد همچنان بر دوش همین افراد باقی می‌ماند. افزایش سرعت کشف، الزاماً به معنای افزایش ظرفیت رفع مشکل نیست.
به اعتقاد نویسنده، این عدم توازن می‌تواند نگهدارندگان پروژه‌ها را فرسوده کند و در بلندمدت، آن‌ها را از ادامه همکاری بازدارد. رهاشدن پروژه‌ها نیز خطرهای تازه‌ای ایجاد می‌کند: نرم‌افزارها قدیمی می‌شوند، وابستگی‌ها از کار می‌افتند و خدماتی که ظاهراً پایدارند، ممکن است ناگهان با اختلال مواجه شوند.
آیا کد تولیدشده با هوش مصنوعی مشکل را حل می‌کند؟
یکی از پاسخ‌های محتمل، استفاده بیشتر از هوش مصنوعی برای نوشتن و اصلاح کد است. اما لارسن معتقد است این راه نیز پرسش‌های حل‌نشده‌ای دارد.
مدل‌هایی که با کدهای آسیب‌پذیر آموزش دیده‌اند، ممکن است همان الگوهای ناامن را بازتولید کنند. تولید سریع نرم‌افزار بدون بررسی کافی نیز می‌تواند ضعف‌های تازه‌ای وارد پروژه‌ها کند؛ در نتیجه، چرخه‌ای شکل بگیرد که در آن هوش مصنوعی هم به کشف نقص‌ها کمک کند و هم به تولید آن‌ها.
نویسنده همچنین درباره منشأ کد، رعایت مجوزها و انتساب آثار هشدار می‌دهد. نرم‌افزار آزاد و متن‌باز بدون قواعد حقوقی نیست؛ مجوزهای آن مشخص می‌کنند استفاده، تغییر و بازتوزیع کد با چه شرایطی مجاز است. ورود کدهای تولیدشده با منشأ نامشخص می‌تواند رعایت این شرایط را دشوارتر کند.
از زیرساخت مشترک تا خدمات انحصاری
نگرانی نهایی لارسن، انتقال تدریجی کنترل زیرساخت‌های مشترک اینترنت به شرکت‌های انتفاعی است.
اگر گروه‌های داوطلب توان ادامه نگهداری پروژه‌ها را از دست بدهند، شرکت‌های بزرگ ممکن است جای آن‌ها را بگیرند. اما نویسنده می‌پرسد این شرکت‌ها با چه انگیزه‌ای هزینه نگهداری زیرساختی را می‌پذیرند که دیگران آزادانه از آن استفاده می‌کنند؟
پاسخ احتمالی او، درآمدزایی از دسترسی و خدمات است؛ مسیری که می‌تواند ابزارهای آزاد را به سامانه‌های اختصاصی تبدیل کند، هزینه استفاده را افزایش دهد و سازگاری میان بخش‌های مختلف اینترنت را کاهش دهد.
در این تصویر، تهدید فقط یک حمله یا سرقت اطلاعات نیست؛ تغییر ماهیت اینترنت از زیرساختی مشترک به مجموعه‌ای از خدمات وابسته به فروشندگان محدود است.
پیشنهاد نویسنده: حمایت عمومی از زیرساخت آزاد
لارسن راه‌حل بلندمدت را در مشارکت دولت‌ها می‌بیند؛ چه از طریق تأمین مستقیم بخشی از نیازهای نگهداری و چه با اختصاص منابع مالی و فنی به گروه‌های مستقل.
او همچنین امکان نقش‌آفرینی نهادهای بین‌المللی مانند سازمان ملل یا اتحادیه اروپا را مطرح می‌کند تا حمایت از اینترنت آزاد، صرفاً زیر نفوذ یک کشور یا منطقه قرار نگیرد.
پرسش محوری این یادداشت آن است که چه کسی هزینه حفظ زیرساختی را می‌پردازد که همگان از آن استفاده می‌کنند. از نگاه نویسنده، اگر پاسخ این پرسش فقط به بازار خدمات امنیتی واگذار شود، ممکن است مقابله با تهدیدهای امروز به وابستگی بیشتر و اینترنتی گران‌تر و بسته‌تر در آینده منجر شود.
