ارتفاع عدد الثغرات لدى موردك؟ هذه علامة إيجابية لا تحذيرية
الذكاء الاصطناعي جعل اكتشاف الثغرات البرمجية رخيصاً، فأصبح عدد الثغرات المُعلنة مقياساً لمدى شدة البحث في الشيفرة، لا لمدى سوء بنائها. كل بطاقة تقييم تعاقب الأرقام المرتفعة تقرأ المؤشر بالمقلوب.
هناك رقم في كل استبيان أمني توقف بهدوء عن الدلالة على ما كان يدل عليه سابقاً. عدد الثغرات المُعلنة (CVE) لدى المورد، الحصيلة التراكمية للثغرات المُفصح عنها علناً، كان يُقرأ لعقدين كمؤشر على جودة البناء: كلما زادت الثغرات، ساءت جودة الشيفرة. هذه القراءة انقلبت الآن تماماً. الموردون الذين ترتفع أعداد ثغراتهم بأسرع وتيرة هم، على نحو متزايد، أولئك الذين ينفقون الأكثر على اكتشاف عيوبهم بأنفسهم، بينما الموردون ذوو السجل النظيف هم، على نحو متزايد، أولئك الذين لم يُفتَّش في شيفرتهم بالشكل الكافي.
اتبع الآلية. عدد الثغرات المُعلنة ليس قياساً لشيء واحد. إنه حاصل ضرب متغيرين: كم عدد العيوب الموجودة فعلاً في الشيفرة، وكم من الجهد بُذل في البحث عنها. طوال معظم تاريخ هذه الصناعة، ظل المتغير الثاني شبه ثابت، لأن الاكتشاف كان عملاً بشرياً مكلفاً. الباحثون المهرة كانوا نادرين، ومزارع الفَزّ (fuzzing) تكلف أموالاً حقيقية، والفرز يستهلك فوق ذلك ساعات هندسية إضافية. وبثبات جهد البحث تقريباً بين الموردين، كان عدّ الثغرات المُعلنة يخبرك بشيء ما، ولو ناقصاً، عن الشيفرة نفسها.
اكتشاف الثغرات المدفوع بالذكاء الاصطناعي يكسر هذا الافتراض. حين تستطيع آلة قراءة قاعدة شيفرة بأكملها، وتوليد عيوب مرشحة، وإعادة إنتاجها دون تدخل بشري، يتوقف جهد البحث عن كونه ثابتاً ويصبح المتغير المهيمن. العدد لم يعد يقيس الهدف. إنه يقيس كشّاف الضوء.
هل ارتفاع عدد الثغرات المُعلنة دليل على سوء البرمجيات؟
لم يكن إشارة نظيفة أصلاً، والآن أصبح قريباً من عكسها تماماً. راقب سجل إصدارات أي مورد يفعّل الاكتشاف بوتيرة آلية، وستجد النمط نفسه على الأرجح: خط أساس طويل ومنبسط، ثم انحدار حاد، مع إصلاحات أمنية في إصدارين أو ثلاثة تفوق ما صدر في سنوات من التحديثات السابقة مجتمعة. لم يسوء شيء في الشيفرة في تلك اللحظة. ما تغيّر هو أن المعرفة أصبحت رخيصة.
التحول الأعمق هو أن سلسلة العمل بأكملها تتحول للأتمتة، لا الاكتشاف وحده. الاكتشاف، وإعادة الإنتاج، وفرز الخطورة، والتوجيه إلى المطوّر المناسب، وصياغة الترقيع، وكتابة اختبار الانحدار: كل مرحلة كانت تحتاج إنساناً يجري تسليمها لآلة. هذا مهم لأن العامل الفعلي المحدِّد لإدارة الثغرات لم يكن يوماً عدد الثغرات التي يمكن اكتشافها، بل عدد الثغرات التي يمكن للمؤسسة تحمّل تكلفة معرفتها. فريق فرز بشري يستوعب بضع عشرات من البلاغات الموثوقة أسبوعياً قبل أن تصبح قائمة الانتظار نفسها هي الثغرة. أتمتة السلسلة بأكملها، من طرفها إلى طرفها، تفجّر الكمية التي يمكن تحمّل معرفتها، وترتفع أعداد الثغرات المُعلنة معها.
هنا يخطئ التقييم الساذج للموردين بشكل معكوس تماماً: الاستبيان الذي يخصم نقاطاً لارتفاع حجم الثغرات المُعلنة يخصم بالضبط على الاستثمار الذي كان ينبغي أن يكافئه.
من يربح حين يصبح اكتشاف الثغرات شبه مجاني؟
«شبه مجاني» لا يعني «مجاني بالتساوي». القدرة متركزة: تشغيل اكتشاف بنماذج متقدمة عبر قاعدة شيفرة كبيرة يتطلب قدرة حوسبة جادة ووصولاً إلى أقوى النماذج. المورد القادر على استعارة هذه القدرة من فرق شقيقة داخل شركته نفسها يمكنه المسح باستمرار. مشروع مفتوح المصدر غير ممول، أو مورد متوسط الحجم بلا قسم ذكاء اصطناعي، لا يقدر على ذلك. النتيجة المرجّحة هي فجوة أمنية بين من يملك الذكاء الاصطناعي ومن لا يملكه: ليس فرقاً في مدى كثرة العيوب في الشيفرة، بل فرقاً في من يعرف أين تكمن عيوبه.
الشيفرة المفتوحة تُحدّ السباق. حين يكون المصدر مفتوحاً، لا يدفع المهاجم أي ضريبة هندسة عكسية؛ الأتمتة نفسها التي تمكّن المدافع من كشف ألف عيب متاحة لخصم بمجرد أن تصبح القدرة في متناوله. هذا ليس حجة ضد الشيفرة المفتوحة. إنه حجة على أن المقياس ذا الدلالة انتقل من «كم عدد العيوب لديك» إلى «من يُجري تمريرة الاكتشاف أولاً وبأي سرعة تُشحن الإصلاحات». وتيرة البحث وزمن الترقيع أصبحا يحملان الدلالة التي كان يحملها عدد الثغرات المُعلنة سابقاً.
الأثر من الدرجة الثانية أسوأ. إذا واصل المشترون معاقبة الإفصاح، فهم لا يكتفون بقراءة السوق قراءة خاطئة؛ إنهم يوجّهونها في الاتجاه الخطأ. المورد الذي يرى عملاءه يُقيّمون الأعداد الخام لديه حافز عقلاني للبحث أقل والإفصاح ببطء أكبر. المقاييس السيئة لا تفشل فقط في قياس اليقظة. إنها تفرض عليها ضريبة.
ماذا ينبغي على مجالس الإدارة وفرق المشتريات فعله الآن؟
أعيدوا ضبط خط الأساس، عمداً، قبل دورة التعاقد المقبلة. راجعوا كل موضع يحمل فيه عدد الثغرات الخام وزناً فعلياً: تقييم الاستبيانات، عتبات سجل المخاطر، بنود العقود التي تُفعَّل عند بلوغ حجم إفصاح معين، الشريحة الفصلية التي يراها مجلس الإدارة. كل واحد من هذه الآن يعاقب اليقظ ويجامل من لم يُفتَّش عليه. استبدلوها بأسئلة تصمد أمام هذا الانقلاب: هل يدير المورد برنامج اكتشاف مستمراً، بمساعدة آلية أو غيرها؛ ما هو الزمن الوسيط من الاكتشاف إلى شحن الإصلاح؛ هل توجد سياسة إفصاح منشورة بتواريخ يمكن تدقيقها. المورد الذي يجيب عن هذه الأسئلة بإتقان بينما يسجّل عدداً متصاعداً من الثغرات المُعلنة يُريكم واجبه المنزلي. أما من يملك سجلاً نظيفاً بلا قصة اكتشاف، فهو يُريكم غرفة مظلمة.
إعادة الكتابة هذه تمرين استراتيجي قبل أن تكون تمريناً تقنياً، من نوع إعادة ضبط المقاييس التي نتولاها في أعمال الاستراتيجية التقنية: تحديد ما يُثبته رقم فعلياً قبل أن يُدفَع لأحد أو يُعاقَب بناءً عليه. وإذا كانت الخطة توجيه عملاء اكتشاف نحو بنيتكم التحتية الخاصة، فثمة انضباطان قبل أول عملية مسح. الآلية تحتاج الاحتواء الذي فصّلناه في الأنظمة العميلة الآمنة، والقرارات ذات العواقب (الخطورة، قابلية الاستغلال، توقيت الإفصاح) تحتاج شخصاً يتخذها، للأسباب التي طرحناها في الذكاء الاصطناعي العملي بإشراف بشري. أتمتة البحث ليست أتمتة للحكم.
توقف عدد الثغرات عن قياس الشيفرة يوم بدأت الآلات تقرأها على نطاق واسع. إنه يقيس كشّاف الضوء الآن. المشترون الذين يواصلون تقييمه بالطريقة القديمة لا يختارون أكثر الموردين أماناً على الرف؛ إنهم يختارون الأكثر ظلاماً.
أسئلة شائعة
هل ارتفاع عدد الثغرات المُعلنة أمر سيئ عند اختيار مورد برمجيات؟
ليس بمفرده. عدد الثغرات المُعلنة هو حاصل ضرب العيوب الموجودة فعلاً والجهد المبذول لاكتشافها، وقد جعل اكتشاف الثغرات بالذكاء الاصطناعي الجهد هو المتغير المهيمن. قيّموا الموردين بناءً على وتيرة الاكتشاف، والزمن الوسيط من الاكتشاف إلى الترقيع، وشفافية سياسة الإفصاح، بدلاً من الرقم الخام.
كيف ينبغي أن تتغير استبيانات الأمان الآن بعد أن أصبح الذكاء الاصطناعي يكتشف الثغرات؟
احذفوا التقييم وبنود العقود التي تُفعَّل عند بلوغ حجم إفصاح معين، لأنها تعاقب الموردين الأكثر يقظة في البحث. اسألوا بدلاً من ذلك: هل يدير المورد اكتشافاً مستمراً، وما مدى سرعة تحول العيوب المؤكدة إلى إصلاحات مشحونة، وهل سجل إفصاحه قابل للتدقيق.
هل يستفيد المهاجمون من صيد الثغرات بالذكاء الاصطناعي بقدر ما يستفيد المدافعون؟
القدرة متماثلة لدى الطرفين، والشيفرة المنشورة علناً تُزيل أي حاجز هندسة عكسية، فتذهب الأفضلية لمن يُجري تمريرة الاكتشاف أولاً. لا يحتفظ المدافعون بالتفوق إلا بالمسح المستمر وشحن الإصلاحات أسرع من قدرة الخصوم على تسليح النتائج.
مواضيع ذات صلة
- في أوبونتو 26.04 LTS، حزمة coreutils التي تعتمد عليها بنيتكم التقنية لم تعد GNU
- علاوة السيادة: لماذا تكسب حلول الذكاء الاصطناعي السيادي للمؤسسات الرهان على حرية الوصول لا على السرعة
- قضايا الأسرار التجارية تُحسم قبل سنوات من استقالة أي موظف. اسألوا شركة فاسيندا تشيكن
- Security & Trust
كُتب بواسطة شخصية تحريرية بالذكاء الاصطناعي ضمن نظام التحرير الخاص بـ Abyshire وروجع من فريقنا.