هوش مصنوعی قواعد امنیت سایبری را تغییر داد؛ هشدار Wiz درباره حملات زنجیره تأمین و کدهای ناامن

هوش مصنوعی: شمشیر دولبه در امنیت سایبری

انقلاب هوش مصنوعی با سرعتی بی‌سابقه در حال تغییر صنایع است، اما این شتاب، شکاف‌های امنیتی عمیقی را نیز ایجاد کرده است. در حالی که شرکت‌ها برای ادغام AI در فرآیندهای خود شتاب می‌گیرند، مهاجمان سایبری نیز از همین ابزارهای پیشرفته برای طراحی حملات پیچیده‌تر بهره می‌برند؛ وضعیتی که نیازمند بازنگری کامل در استراتژی‌های امنیت سایبری است.

به اعتقاد آمی لوتواک، مدیر ارشد فناوری شرکت امنیت سایبری Wiz، امنیت سایبری بیش از هر چیز یک بازی ذهنی است و هر موج جدید فناوری، فرصت‌های تازه‌ای برای مهاجمان به وجود می‌آورد تا راه‌های نوینی برای نفوذ پیدا کنند. گسترش سریع ابزارهای هوش مصنوعی، هم فرصت‌های بی‌نظیری برای افزایش سرعت و بهره‌وری ایجاد کرده و هم تهدیدهای امنیتی را به سطحی جدید رسانده است.

افزایش آسیب‌پذیری در کدهای تولیدشده با AI

امروزه توسعه‌دهندگان با کمک ابزارهای هوش مصنوعی می‌توانند کد را سریع‌تر از گذشته تولید کنند. با این حال، این سرعت بالا اغلب با میان‌برها و خطاهای امنیتی همراه است.

آزمایش‌های اخیر Wiz نشان داده است که در بسیاری از برنامه‌هایی که با روش‌های مبتنی بر هوش مصنوعی ساخته می‌شوند، مشکلات امنیتی رایجی مانند پیاده‌سازی نادرست سیستم‌های احراز هویت وجود دارد. دلیل اصلی این امر، تمرکز بر راحتی و سرعت در ساخت نرم‌افزار است.

ابزارهای هوش مصنوعی دقیقا همان چیزی را اجرا می‌کنند که از آن‌ها خواسته شود و اگر امنیت در دستور کار قرار نگیرد، خروجی نیز ایمن نخواهد بود.

استفاده مهاجمان از هوش مصنوعی برای حملات پیشرفته

تنها توسعه‌دهندگان نیستند که از سرعت هوش مصنوعی استفاده می‌کنند. مهاجمان سایبری نیز اکنون به‌وسیله تکنیک‌های مبتنی بر پرامپت و حتی با ساخت عامل‌های هوش مصنوعی اختصاصی، حملات خود را پیش می‌برند. این مهاجمان می‌توانند ابزارهای هوش مصنوعی مورد استفاده در سازمان‌ها را دستکاری کرده و از آن‌ها برای سرقت داده‌ها یا حذف فایل‌ها بهره ببرند.

تهدیدات زنجیره تأمین و نفوذ گسترده

یکی از مهم‌ترین تهدیدها، حملات زنجیره تأمین است. در این نوع حملات، مهاجمان ابتدا یک سرویس ثالث را که دسترسی گسترده به زیرساخت‌های شرکت دارد هدف قرار می‌دهند و سپس از آن به عنوان سکوی پرش برای نفوذ عمیق‌تر استفاده می‌کنند.

نمونه‌های بارز این حملات عبارتند از:

• حمله به شرکت Drift: این شرکت چت‌بات‌های هوش مصنوعی برای بازاریابی و فروش ارائه می‌کرد. در این حمله، داده‌های حساس صدها شرکت بزرگ از جمله گوگل، Cloudflare و Palo Alto Networks در معرض خطر قرار گرفت. مهاجمان توانستند توکن‌های امنیتی را سرقت کرده و به داده‌های ذخیره شده در Salesforce دسترسی یابند.
• حمله s1ingularity به سیستم ساخت Nx (ماه اوت): مهاجمان بدافزاری طراحی کردند که قادر بود ابزارهای هوش مصنوعی مانند Claude و Gemini را شناسایی کرده و از آن‌ها برای اسکن خودکار سیستم و یافتن داده‌های ارزشمند بهره گیرد. این حمله باعث افشای هزاران کلید و توکن توسعه‌دهندگان و دسترسی به مخازن خصوصی GitHub شد.

لوتواک تاکید می‌کند که سرعت انقلاب ناشی از هوش مصنوعی بسیار بیشتر از انقلاب‌های فناوری گذشته است و در هر مرحله از حملات مشاهده شده، هوش مصنوعی نقشی مستقیم داشته است.

ضرورت امنیت از روز اول برای استارتاپ‌های AI

با توجه به شتاب تحولات، صنعت امنیت سایبری نیازمند افزایش سرعت واکنش است. شرکت Wiz که در سال 2020 تأسیس شده، اکنون محصولاتی مانند Wiz Code و Wiz Defend را برای تأمین امنیت چرخه توسعه نرم‌افزار و حفاظت زمان اجرا ارائه می‌دهد. هدف اصلی این ابزارها ایجاد امنیت از همان ابتدای طراحی نرم‌افزار است.

لوتواک هشدار می‌دهد که استارتاپ‌هایی که به دنبال ورود به بازار ابزارهای هوش مصنوعی هستند، باید از همان روز نخست به امنیت فکر کنند و نباید تمام داده‌های حساس شرکت، کارکنان و مشتریان را به سادگی در اختیار هر استارتاپ کوچک قرار داد.

معماری امنیتی و انطباق

او توصیه می‌کند که حتی تیم‌های کوچک پنج‌نفره باید یک مدیر ارشد امنیت اطلاعات (CISO) داشته باشند و به استانداردهای امنیتی پایبند باشند. دریافت گواهینامه‌های انطباق مانند SOC2 برای تیم‌های کوچک بسیار ساده‌تر از تیم‌های بزرگ است و باید قبل از رشد و توسعه به آن فکر شود.

همچنین، معماری سیستم‌ها باید از ابتدا به گونه‌ای طراحی شود که داده‌های مشتریان در محیط خودشان باقی بماند. این مسئله به ویژه برای استارتاپ‌های فعال در حوزه هوش مصنوعی که قصد همکاری با شرکت‌های بزرگ را دارند، حیاتی است.

بازاندیشی کامل در سیستم امنیت سایبری

لوتواک در پایان تاکید می‌کند که بازی امنیت سایبری وارد مرحله‌ای تازه شده است. از حفاظت در برابر فیشینگ و امنیت ایمیل گرفته تا مقابله با بدافزار، تقریبا تمام حوزه‌های امنیتی در حال تجربه حملات تازه هستند. این شرایط فرصت بزرگی برای استارتاپ‌های نوظهور فراهم کرده است تا ابزارهای جدیدی برای مقابله با تهدیدات مبتنی بر هوش مصنوعی توسعه دهند.

او نتیجه می‌گیرد: «اگر هر بخش از امنیت با حملات جدید مواجه است، پس باید کل سیستم امنیتی بازطراحی شود. این بازنگری تنها راه مقابله با موج تهدیداتی است که همراه با رشد سریع هوش مصنوعی به وجود آمده‌اند.»