در دو ماه گذشته، رهبری ائتلافی از نگه‌دارندگان نرم‌افزار، پژوهشگران و ارائه‌دهندگان خدمات امنیتی را برای رفع آسیب‌پذیری‌های بحرانی PHP بر عهده داشتیم؛ زبان برنامه‌نویسی متن‌بازی که برای اجرای وب‌سایت‌ها و برنامه‌های وب استفاده می‌شود. Calif در چارچوب طرح Patch the Planet(در یک پنجره جدید باز می‌شود) ما، با استفاده از GPT‑5.6 Sol یک نقص بحرانی را شناسایی کرد. Wiz نیز به‌طور مستقل هر دو آسیب‌پذیری را کشف و گزارش کرد. نگه‌دارندگان PHP هدایت اصلاحات و انتشار آن‌ها را بر عهده داشتند. تیم‌های ما و شرکایی مانند Wiz، Cloudflare و دیگران نیز با پژوهش، پشتیبانی فنی و هماهنگی کمک کردند تا اقدامات حفاظتی پیش از افشای عمومی آماده شوند.
برای سازمان‌هایی که از PHP استفاده می‌کنند، اکنون اولویت، اعمال اصلاحات است. ابزار بررسی نسخهٔ PHP را به‌صورت یک مهارت Codex منتشر می‌کنیم(در یک پنجره جدید باز می‌شود) تا به راهبران سیستم کمک کنیم نسخه‌های احتمالاً آسیب‌پذیر PHP را شناسایی کنند و با مراجعه به راهنمای PHP و ارائه‌دهندگان خدمات خود، به‌روزرسانی‌های لازم را تشخیص دهند.
با توجه به شدت این نقص‌ها و استفادهٔ گسترده از PHP، این مورد را یکی از مهم‌ترین مسائل امنیتی سال‌های اخیر می‌دانیم. این موضوع نشان می‌دهد هوش مصنوعی چگونه می‌تواند نقص‌های امنیتی با پیامدهایی در مقیاس اینترنت را کشف کند؛ اما همین قابلیت‌ها می‌توانند به مهاجمان نیز کمک کنند تا به‌سرعت ابزارهای تهاجمی و کدهای بهره‌برداری بسازند.
تا جایی که می‌دانیم، هوش مصنوعی پیشرو این آسیب‌پذیری‌ها را پیش از مهاجمان پیدا کرد و فرصتی برای مدافعان فراهم آورد تا نگه‌دارندگان و ارائه‌دهندگان خدمات امنیتی، اصلاحات و اقدامات حفاظتی را پیش از افشای عمومی آماده کنند.
برای کمک به مدافعان بیشتر در استفاده از این قابلیت‌ها، متعهد شده‌ایم یک میلیارد دلار دسترسی یارانه‌ای به Daybreak را از طریق Daybreak برای مدافعان خط مقدم فراهم کنیم؛ با تمرکز بر سازمان‌هایی که با منابع امنیتی محدود از خدمات ضروری محافظت می‌کنند.
با همهٔ اهمیتشان، این نقص‌ها تنها بخشی از چندین آسیب‌پذیری مهمی هستند که تاکنون یافته‌ایم و برای رفعشان تلاش می‌کنیم. انتظار داریم موارد مشابه در ماه‌های آینده به‌شدت افزایش یابند. بر پایهٔ تجربه‌ای که تاکنون کسب کرده‌ایم، رویکردی متناسب با عصر هوش مصنوعی برای واکنش به آسیب‌پذیری‌های بحرانی در نرم‌افزارهای پرکاربرد پیشنهاد می‌کنیم و از جامعهٔ امنیت می‌خواهیم در بهبود این چارچوب مشارکت کند. این رویکرد، مدل‌ها و تخصص امنیتی ما را در کنار نگه‌دارندگان قرار می‌دهد تا یافته‌ها به اقدامات حفاظتی تبدیل شوند و سازوکاری برای واکنش شکل بگیرد که همگام با پیشرفت قابلیت‌های هوش مصنوعی گسترش یابد.
به‌کارگیری یک اصلاح ممکن است مستلزم سازگارکردن آن با نسخه‌های قدیمی‌تر، آماده‌سازی اقدامات کاهندهٔ خطر توسط ارائه‌دهندگان خدمات و به‌روزرسانی سیستم‌ها در سازمان‌های متعدد باشد. فرایندی تکرارپذیر به این تیم‌ها کمک می‌کند با کشف آسیب‌پذیری‌های بیشتر، سریع عمل کنند.
از طریق Patch the Planet، با ارائهٔ تخصص امنیتی و دسترسی به مدل‌ها از واکنش به آسیب‌پذیری‌های PHP پشتیبانی کردیم و با نگه‌دارندگان و شرکای پژوهشی برای آزمایش اصلاحات و تهیهٔ راهنما همکاری داشتیم. همچنین به هماهنگی با ارائه‌دهندگان زیرساخت برای محافظت از سیستم‌های آسیب‌پذیر کمک کردیم و نهادهای دولتی امنیت سایبری را همراه کردیم تا راهنماها به سازمان‌های حیاتی برسند. این کار از واکنش تحت هدایت نگه‌دارندگان پشتیبانی کرد و به آمادگی دیگر مدافعان کمک رساند.
در برخی موارد، پژوهشگران می‌توانند برای بررسی مشکل و تهیهٔ اصلاح، مستقیماً با نگه‌دارندگان نرم‌افزار همکاری کنند. موارد دیگر به واکنشی گسترده‌تر نیاز دارند، چون محصولات متعددی را تحت تأثیر قرار می‌دهند یا توزیع‌کنندگان و ارائه‌دهندگان خدمات برای آماده‌سازی به‌روزرسانی‌ها و اقدامات حفاظتی به زمان نیاز دارند؛ زمانی که اگر قابلیت‌های پیشرو فاصلهٔ زیادی با قابلیت‌های در دسترس عموم نداشته باشند، ممکن است بسیار محدود باشد. در چنین مواردی، چارچوب پیشنهادی می‌تواند به نگه‌دارندگان کمک کند طرف‌های لازم برای مشارکت را شناسایی و کارها را هماهنگ کنند. این واکنش می‌تواند شامل پنج مرحله باشد:
تأیید و رفع آسیب‌پذیری در پروژهٔ بالادستی. نگه‌دارنده، پژوهشگران و شرکای فنی ضروری، یافته را تأیید و پیامدهای آن را ارزیابی می‌کنند و اصلاحی را تهیه و می‌آزمایند. این فرایند شامل آزمایش از دید مهاجم با مدل‌های پیشرو است تا راه‌های دورزدن وصله و گونه‌های مرتبط آسیب‌پذیری شناسایی شوند.
دادن فرصت اقدام به سازمان‌های تحت تأثیر. چارچوبی پیشنهاد می‌کنیم تا مشخص شود کدام سازمان‌ها برای آماده‌سازی اقدامات حفاظتی به اطلاعات پیش از افشا نیاز دارند؛ تصمیم دربارهٔ مشارکت‌دادن آن‌ها با نگه‌دارندگان است. در برقراری ارتباط، توافق‌های اشتراک‌گذاری اطلاعات و هماهنگی میان تیم‌ها کمک می‌کنیم. ممکن است یک توزیع‌کننده اصلاح را با نسخه‌ای قدیمی‌تر سازگار کند، ارائه‌دهندهٔ میزبانی اقدامی کاهندهٔ خطر را بیازماید و ارائه‌دهندهٔ خدمات امنیتی تدابیر تشخیص یا پیشگیری، از جمله قواعد دیوارهٔ آتش برنامهٔ وب (WAF)، را آماده کند.
هماهنگی با شرکای دولتی برای کمک به محافظت از سیستم‌های حیاتی. نهادهای دولتی در هماهنگ‌سازی واکنشی گسترده‌تر و رساندن راهنماهای امنیتی به سازمان‌های مسئول زیرساخت‌های حیاتی و دیگر خدمات ضروری، نقشی اساسی دارند. در مورد PHP، با همکاری شرکایمان برای ارتباط با بخش‌های مختلف دولت آمریکا، از جمله نیروی ابرهوش کاخ سفید، دفتر مدیر ملی سایبری (ONCD) و آژانس امنیت سایبری و امنیت زیرساخت (CISA)، و نیز شرکای بین‌المللی تلاش کردیم تا از این اقدامات پشتیبانی کنیم.
آماده‌سازی به‌روزرسانی‌ها برای همهٔ محصولات تحت تأثیر. با تثبیت اصلاح، راهنما و برنامه‌های افشا، نگه‌دارندگان می‌توانند توزیع‌کنندگان، ارائه‌دهندگان میزبانی و خدمات، تیم‌های واکنش و راهبران بیشتری را مشارکت دهند تا به‌روزرسانی‌ها آماده و خلأهای پوشش حفاظتی برطرف شوند.
انتشار راهنما و پشتیبانی از استقرار، به‌محض آماده‌شدن وصله. راهنمای عمومی به افراد کمک می‌کند میزان در معرض خطر بودن خود را بسنجند، به‌روزرسانی‌های معتبر یا اقدامات موقت کاهندهٔ خطر را بیابند و مطمئن شوند اصلاح اعمال شده است. با استقرار به‌روزرسانی‌ها توسط راهبران و گزارش موارد نیاز به کمک، فرایند واکنش ادامه می‌یابد.
چارچوب پیشنهادی، نقش حفاظتی سازمان، از جمله محافظت از سیستم‌ها و مشتریان خود، زمان لازم برای اقدام و توانایی آن در مدیریت اطلاعات حساس را در نظر می‌گیرد. معیارهای یکسانی برای سازمان‌های مشابه اعمال می‌شود و نگه‌دارندگان تصمیم می‌گیرند چه کسانی را پیش از افشا مشارکت دهند.
هر مشارکت‌کننده اطلاعات لازم برای اقدامات حفاظتی خود را دریافت می‌کند؛ از گزارش‌های شبکه حاوی شاخص‌های نفوذ گرفته تا نمونه‌کدهای عملی اثبات امکان بهره‌برداری که حساس‌ترند. حتی جزئیات محدود هم می‌توانند آسیب‌پذیری را آشکار کنند؛ بنابراین خطر اشتراک‌گذاری آن‌ها را در برابر حفاظتی که ممکن می‌سازند می‌سنجیم.
تیم‌های پیرو این چارچوب با نگه‌دارندگان همکاری می‌کنند تا مدافعان فرصت آمادگی داشته باشند. اگر بهره‌برداری فعال در محیط واقعی، نشت اطلاعات، انتشار وصله‌ای افشاگر یا افزایش خطر برای کاربران به‌دلیل توقف روند رفع مشکل رخ دهد، زمان‌بندی را بازنگری می‌کنند.
وب‌سایت Patch the Planet(در یک پنجره جدید باز می‌شود) افشاهای عمومی و راهنماها را گردآوری می‌کند تا راهبران بتوانند سیستم‌های آسیب‌پذیر را شناسایی کنند، به‌روزرسانی مناسب را بیابند و از اجرای درست نرم‌افزار به‌روزشده مطمئن شوند. برای PHP، این وب‌سایت به وصلهٔ رسمی و دستورالعمل‌های ارتقای نگه‌دارندگان و پژوهش‌های فنی شرکای ما ارجاع می‌دهد. راهنما همچنین اقدامات موقت کاهندهٔ خطر، زمان مراجعه به ارائه‌دهندهٔ خدمات یا کارشناس، و پشتیبان‌گیری و بازیابی را پوشش می‌دهد. اقدامات حفاظتی موقت می‌توانند خطر را کاهش دهند، اما محدودیت‌ها و هزینه‌فایدهٔ عملیاتی آن‌ها را روشن خواهیم کرد.
راهبران می‌توانند با استفاده از راهنمای CISA دربارهٔ اولویت‌بندی و رفع آسیب‌پذیری‌ها(در یک پنجره جدید باز می‌شود)، بر اساس میزان در معرض خطر بودن، بهره‌برداری و پیامدهای احتمالی، فوریت اقدام را بسنجند. این اقدام ممکن است نصب اضطراری وصله، کاهش فوری خطر یا به‌روزرسانی برنامه‌ریزی‌شده باشد؛ در صورت لزوم، بررسی اولیهٔ شواهد دیجیتال نیز انجام می‌شود تا مشخص شود آیا پیش‌تر به سیستم‌ها نفوذ شده است. با تغییر شرایط، باید اولویت‌ها را بازنگری کرد و مسیر روشنی برای رفع پایدار مشکل داشت.
هماهنگی جهانی به افرادی وابسته است که نرم‌افزار را نگه‌داری می‌کنند. بسیاری از پروژه‌ها را تیم‌های کوچکی اداره می‌کنند که در کنار کارهای معمول توسعه، گزارش‌های امنیتی را نیز بررسی می‌کنند. این تیم‌ها برای تفکیک مشکلات جدید از موارد تکراری، ارزیابی پیامدها و آزمایش اصلاحات در نسخه‌های تحت پشتیبانی به کمک نیاز دارند. با تأمین مالی، دسترسی به مدل‌های توانمند و کمک عملی مهندسی از این کار پشتیبانی می‌کنیم.
قابلیت‌های قدرتمند هوش مصنوعی در سراسر صنعت در حال پیشرفت‌اند و انتظار داریم هوش مصنوعی در کمک به مدافعان برای یافتن آسیب‌پذیری‌ها، پایش سیستم‌ها و واکنش به تهدیدها نقشی روزافزون داشته باشد. در مدل‌ها، ابزارها و همکاری‌ها سرمایه‌گذاری می‌کنیم تا به مدافعان در به‌کارگیری این قابلیت‌ها کمک کنیم.
سرمایه‌گذاری‌های ما شامل ارائهٔ اشتراک به همهٔ نگه‌دارندگان از طریق Codex برای نرم‌افزار متن‌باز و حمایت مالی مستقیم از پروژه‌هایی مانند بنیاد Rust(در یک پنجره جدید باز می‌شود) برای پشتیبانی از نگه‌دارندگان و کارهای فنی است. هر پروژه اولویت‌های خود را تعیین می‌کند. آزمون‌ها و گردش‌کارهای امنیتیِ قابل استفادهٔ مجدد می‌توانند حجم کار لازم برای رسیدگی به یافته‌های آینده را کاهش دهند. پروژه‌های متن‌باز می‌توانند برای دریافت پشتیبانی عملی، به Patch the Planet درخواست بدهند(در یک پنجره جدید باز می‌شود).
همچنین در حال تنظیم طبقه‌بندهای مسدودکنندهٔ بیشتری برای Daybreak هستیم تا احتمال سوءاستفاده را کاهش دهیم. این کار مستلزم تصمیم‌های دشوار است: تدابیری که برای جلوگیری از سوءاستفاده طراحی شده‌اند، ممکن است مانع کارهای امنیتی مشروع نیز شوند. هم دسترسی گسترده به مدل‌های توانمند و هم محافظت مؤثر در برابر سوءاستفاده، حیاتی‌اند. هدف ما حفظ قابلیت‌هایی است که مدافعان برای یافتن و رفع آسیب‌پذیری‌ها نیاز دارند، و در عین حال محدودکردن کاربردهای زیان‌بار. با پیشرفت قابلیت‌ها و آموختن از نحوهٔ استفاده از این ابزارها، این توازن را پیوسته بهبود خواهیم داد.
با توانمندترشدن مدل‌ها، فرصت‌ها از یافتن و رفع تک‌تک آسیب‌پذیری‌ها فراتر می‌روند. می‌خواهیم به مهندسان کمک کنیم از همان ابتدا نرم‌افزارهای امن‌تری بسازند. بهبود یک مؤلفهٔ پرکاربرد می‌تواند از بروز نقص‌ها جلوگیری کند یا پیامدهای آن‌ها را در محصولات و خدمات متعدد محدود سازد.
هوش مصنوعی می‌تواند به مهندسان در درک کد موجود، آماده‌سازی تغییرات و ساخت آزمون‌ها کمک کند؛ در همین حال، نگه‌دارندگان و کارشناسان امنیت تأیید می‌کنند که این تغییرات، رفتار نرم‌افزاریِ مورد اتکای کاربران را حفظ می‌کنند. در چند حوزه فرصت‌هایی می‌بینیم:
کد امن از همان ابتدا. مدل‌های کدنویسی می‌توانند به توسعه‌دهندگان کمک کنند تنظیمات پیش‌فرض امن‌تری انتخاب کنند، کتابخانه‌های امنیتی را درست به کار ببرند و هنگام نوشتن کد، الگوهای پرخطر را تشخیص دهند. پیشگیری از آسیب‌پذیری‌ها در مرحلهٔ توسعه یعنی نیاز کمتر نگه‌دارندگان و کاربران به اصلاحات اضطراری.
نرم‌افزار ایمن از نظر حافظه. انتقال مؤلفه‌های حیاتی به زبان‌های ایمن از نظر حافظه می‌تواند دسته‌های رایج خطاهای حافظه را حذف کند. هوش مصنوعی می‌تواند در این مهاجرت‌ها کمک کند و آزمون‌ها و بازبینی کارشناسان نیز رفتار و سازگاری را بررسی کنند.
راستی‌آزمایی صوری. اثبات‌های ریاضی می‌توانند نشان دهند که مؤلفه‌های حیاتی، با فرض‌های بیان‌شده، الزامات امنیتی مشخصی را برآورده می‌کنند. به‌کارگیری این روش‌ها در مؤلفه‌های پرکاربرد می‌تواند به حذف دسته‌هایی از آسیب‌پذیری‌ها در خدمات و زیرساخت‌های حیاتیِ وابسته به آن‌ها کمک کند.
جداسازی قوی‌تر. سیستم‌ها به محافظت در برابر آسیب‌پذیری‌هایی نیاز دارند که هنوز کشف یا رفع نشده‌اند. اجرای نرم‌افزارهای پردازش فایل، تصویر یا رسانهٔ غیرقابل‌اعتماد در محیط‌های ایزوله با محدودیت‌های سخت‌گیرانه می‌تواند در صورت نفوذ، خسارت را محدود کند. هوش مصنوعی می‌تواند به مهندسان در آزمایش و تقویت فناوری‌های پرکاربرد ایجاد محیط ایزوله کمک کند و حفاظت را در برنامه‌های متعدد بهبود دهد.
رویکردمان را منتشر می‌کنیم تا نگه‌دارندگان، پژوهشگران، تیم‌های واکنش، ارائه‌دهندگان خدمات و راهبران بتوانند به عملی‌شدن آن کمک کنند. می‌خواهیم بدانیم این رویکرد کجا مفید است، کجا ممکن است تأخیر یا بار کاری بیشتری ایجاد کند و چه چیزهایی را از قلم انداخته‌ایم. نمونه‌هایی از افشاهای گذشته به‌ویژه مفید خواهند بود.
به‌ویژه مایلیم دربارهٔ این موارد نظر بدهید:
مهلت‌های پیش از افشا. نگه‌دارندگان، راهبران و مدافعان برای آماده‌سازی و استقرار اصلاحات قابل‌اعتماد به چه میزان زمان نیاز دارند؟ چه شواهدی باید موجب افشای زودتر شوند، به‌ویژه وقتی می‌توان از برخی کاربران زودتر از دیگران محافظت کرد؟
نصب اضطراری وصله. آیا دولت‌ها یا دیگر راهبران باید پس از ازدست‌دادن دسترسی مدیریتی، از یک آسیب‌پذیری برای نصب وصله روی سیستم‌های متعلق به خود یا تحت مدیریت مجازشان استفاده کنند؟ اگر بله، چه زمانی؟ چه تدابیر حفاظتی باید اعمال شوند؟ می‌توان آینده‌ای را تصور کرد که در آن، سراسر اینترنت پیوسته برای یافتن آسیب‌پذیری‌های شناخته‌شده اسکن شود و با شناسایی هر مورد، یا به صاحبان سایت اطلاع داده شود یا روی سیستم وصله نصب شود.
اطلاع‌رسانی زودهنگام. چه کسانی برای انجام اقدامی حفاظتی و مؤثر به هشدار قبلی نیاز دارند، از جمله مدافعانی که ممکن است از نظرمان دور بمانند؟ چه زمانی اطلاع‌رسانی مرحله‌ای بهتر از آگاه‌کردن هم‌زمان گروهی گسترده‌تر عمل می‌کند و چگونه باید گستردگی پوشش را در برابر خطر نشت اطلاعات سنجید؟
بسته‌های نرم‌افزاری امن به‌طور پیش‌فرض. چگونه می‌توانیم تا آماده‌شدن اصلاحات بالادستی، به شناسایی و رفع آسیب‌پذیری‌ها در بسته‌های پایین‌دستی کمک کنیم، یا اصلاحات را به نسخه‌های قدیمی‌تری منتقل کنیم که دیگر به‌روزرسانی امنیتی دریافت نمی‌کنند؟ چه آزمایش‌ها و نگه‌داری‌هایی این بسته‌ها را به گزینه‌هایی قابل‌اعتماد تبدیل می‌کنند، وقتی ارتقای به‌موقع ممکن نیست؟
همچنین از معرفی کارشناسان مستقل امنیت استقبال می‌کنیم که بتوانند این رویکرد را بررسی کنند، فرض‌هایش را به چالش بکشند و کاستی‌هایش را شناسایی کنند. دیدگاه‌های شما به ما کمک می‌کند سازوکار واکنش را بهبود دهیم و پشتیبانی را اولویت‌بندی کنیم. بازخوردتان را اینجا با ما در میان بگذارید(در یک پنجره جدید باز می‌شود).
