لا يزال البشر يتفوقون على الذكاء الاصطناعي في العثور على ثغرات برمجية يمكن للمجرمين استخدامها لاختراق دفاعات الكمبيوتر المهمة، وفقًا لرئيس الأمن الذي يعد مسابقة قرصنة في لاهاي.
بلدية المدينة أعلن عودة منافسة القرصنة بعد توقف دام عامين في يوليو، تمامًا مثل شركة الذكاء الاصطناعي الأمريكية OpenAI كان في الوسط من تدابير الطوارئ لإزالة الضرر الناجم عن النموذج الأولي للذكاء الاصطناعي للأمن السيبراني الذي أصبح مارقًا.
في غضون أسبوع من وكالة الأمن Enisa تحذير أن الذكاء الاصطناعي أصبح جيدًا جدًا في العثور على نقاط الضعف في البرامج بحيث يتعين على الشركات والهيئات العامة اتخاذ استعدادات عاجلة للدفاع عن أنظمة الكمبيوتر الخاصة بها، النموذج الأولي المارق لـ OpenAI مُبَرهن القدرات التي كان المسؤولون الأوروبيون يخشونها.
أنتج نموذج الذكاء الاصطناعي المارق عصابة من العملاء الذين تآمروا للعثور على العديد من نقاط الضعف في البرامج الغامضة وتقييدها واستغلالها، واستخدامها لشن مجموعة معقدة من الهجمات المتزامنة على منصة استضافة الذكاء الاصطناعي الفرنسية Hugging Face. هم تم تنفيذه ما يقرب من 20 ألف عملية على نظام الحوسبة السحابية الخاص بها بسرعة الآلة، وخطف البيانات.
وكان ذلك بعد أسبوع واحد فقط من المفوضية الأوروبية تمت صياغته خطط عاجلة لتعزيز دفاعات الاتحاد الأوروبي ضد المتسللين الذين يستخدمون الذكاء الاصطناعي، وحث قادة الأمن السيبراني على استخدام الذكاء الاصطناعي للعثور على نقاط الضعف وإصلاحها قبل أن يستخدم المجرمون الذكاء الاصطناعي للعثور عليها واستغلالها.
وحذرت إنيسا من أنه لم يعد للبشر دور يلعبونه في تحويل نقاط الضعف في البرامج إلى برامج استغلال. أصبحت القرصنة مهمة حسابية بسرعة الآلة. لم يكن الذكاء الاصطناعي يكتشف نقاط الضعف للمهاجمين فحسب، بل كان ينظم حملات هجوم كاملة.
ومن شأن الذكاء الاصطناعي أن يزود المتسللين متوسطي الوزن بالوسائل اللازمة لشن هجمات معقدة كانت تتطلب في السابق فرقًا كبيرة من الخبراء البشريين. قال جوجل في أحد التحليلات العديدة التي أعقبت اختراق OpenAI في أغسطس.
حذر خبراء أمنيون من الاتحاد الأوروبي والولايات المتحدة من أن البشر أصبحوا عنق الزجاجة في الدفاع السيبراني. وقالت اللجنة إن المدافعين كانوا أبطأ في تصحيح نقاط الضعف مقارنة بالذكاء الاصطناعي في العثور عليها. دعت إنيسا إلى تغيير تنظيمي عميق. وستكون الحاجة إلى البشر أقل في أبحاث نقاط الضعف مقارنة بإدارة أدوات الذكاء الاصطناعي. سوف تحتاج القوى العاملة إلى إعادة التدريب.
لقد أصبح الذكاء الاصطناعي قادراً على اكتشاف أي ثغرة يستطيع أفضل الباحثين البشريين في العالم اكتشافها بأنفسهم، قال مطور متصفح Firefox Mozilla في أبريل، بعد استخدام نموذج Mythos AI الشهير لشركة الذكاء الاصطناعي الأمريكية Anthropic لاختراق برامجها الخاصة. ومع ذلك، فإن الذكاء الاصطناعي سيصبح جيدًا جدًا في تأمين أنظمة الكمبيوتر، مما سيؤدي في النهاية إلى القضاء على نقاط الضعف بالكامل.
وفي هذه الأثناء سيكون الوضع “غير سار” بالنسبة للمدافعين، أيها البروفيسور هربرت بوس، باحث في مجال الثغرات الأمنية وعضو في مجلس الأمن السيبراني التي تقدم المشورة للحكومة الهولندية، حسبما صرحت لموقع Computer Weekly. تحتوي البرمجيات بالفعل على نقاط ضعف أكثر مما يستطيع المدافعون إصلاحها، وكان الذكاء الاصطناعي يكشف عن هذا الدين التقني بشكل أسرع من قدرة المؤسسات على معالجته.
وقال: “لقد قبلنا هذا الدين التقني. والآن، مع الذكاء الاصطناعي، أصبح مستحقا – وفي وقت أقرب مما توقعنا”. جيروين فان دير هام دي فوس، وهو قائد سابق لأبحاث الثغرات الأمنية في المركز الوطني الهولندي للأمن السيبراني والذي عمل ضمن فرق الأزمات التي تتعامل مع عمليات استغلال WannaCry وLog4J الكارثية. وقال: “يكون الأمر أكثر صعوبة دائمًا عندما يكون لديك دين قبل أن تتوقعه”.
وقد تسبب هذا الدين في بعض للتحذير “فولمجيدون”، المعركة النهائية بين الخير والشر. ومع ذلك، فإن المدافعين، الذين يتحركون وفق “جداول زمنية مؤسسية أبطأ”، لم يتمكنوا من تصحيح نقاط الضعف بالسرعة التي اكتشفها بها الذكاء الاصطناعي، كما كتب دان لاهاف، الرئيس التنفيذي لشركة Irregular، وهي متجر للأمن السيبراني يعمل مع شركات الذكاء الاصطناعي الأمريكية الكبرى. وقال إن القليل من صناع السياسات والباحثين والتقنيين يفهمون كيف يغير الذكاء الاصطناعي الأمن السيبراني.
وفي الوقت نفسه، قالت لاهاي إن المنافسة التي عادت إلى الظهور كانت مبنية على الحاجة إلى توظيف قراصنة بشريين للعثور على نقاط الضعف في دفاعاتها البرمجية.
ومع ظهور التحليلات في أغسطس، ليليان كنبنبرج، قال كبير مسؤولي أمن المعلومات في البلدية لموقع Computer Weekly إنه يصر على أن البراعة البشرية لا تزال ذات صلة باكتشاف الثغرات الأمنية.
وقالت: “يجلب المتسللون طرقًا جديدة ومبتكرة للوصول إلى الأنظمة”. “يفعل الذكاء الاصطناعي الأشياء بشكل أسرع من قدرة الإنسان، لكنه يتعلم فقط من الماضي. ستظل الهجمات الأكثر تقدمًا تحتوي على إنسان في الحلقة.”
لم يتفق باحث الثغرات الأمنية الذي تحدثت معه مجلة Computer Weekly تمامًا. وقال بوس إن البشر سيواصلون تطوير عمليات استغلال وإصلاحات ذكية خارج نطاق الذكاء الاصطناعي “في الوقت الحالي”.
وقال برام بوبينك، خبير أمن الذكاء الاصطناعي في معهد الأبحاث الهولندي TNO، إن المعايير أظهرت بالفعل أن الذكاء الاصطناعي يتفوق على البشر في المهام السيبرانية الهجومية والدفاعية. أما مسألة ما إذا كان البشر أكثر ذكاءً فلم تكن ذات صلة.
وقال إن الذكاء الاصطناعي على وشك تعطيل الأمن السيبراني، ويحتاج كبار مسؤولي أمن المعلومات إلى إعادة اختراع الاستراتيجيات والعمليات والضوابط والأدوار البشرية لاستخدامه.
وقال فان دير هام دي فوس إن ما يعنيه ذلك بالنسبة لمسابقات القرصنة يعتمد على ما إذا كانت تهدف إلى اختبار البراعة البشرية أو سيناريوهات العالم الحقيقي. أولئك الذين يتعاملون معها كرياضة قد يحظرون الذكاء الاصطناعي. الأحداث الواقعية يجب أن تضع تحديات أصعب. وأضاف أن الذكاء الاصطناعي أزعج في الوقت نفسه سوق مكافآت اكتشاف الثغرات الأمنية، حيث تقدم الشركات مكافآت نقدية مقابل اكتشاف نقاط الضعف.
وأضاف فان دير هام دي فوس: “العرض والطلب خارجان عن السيطرة”. “كنا نعرف قيمة الأخطاء قبل الذكاء الاصطناعي، والآن لا نعرف ذلك. الأشخاص الذين يستخدمون أدوات الذكاء الاصطناعي يجدون الكثير من الأخطاء مما يجعل مشاريعهم مرهقة.”
وصول محدود
لكن الباحثين الأوروبيين مُنعوا من الوصول إلى نماذج الذكاء الاصطناعي السيبراني المتقدمة التي يحتاجون إليها للدفاع ضد أعتى المهاجمين، كما قال دييغو أرانها، الأستاذ المشارك في جامعة آرهوس الذي يساعد في تنظيم تحدي الأمن السيبراني الأوروبي.
طلابه، الذين يبحثون في أنظمة الكمبيوتر الصناعية عن نقاط الضعف، لديهم إمكانية الوصول إلى Claude Opus AI من Anthropic، لكنه يحظر مهام الأمن السيبراني العلنية. اعترف أنثروبيك بإدارته لمخطط انتقائي يمنح الوصول إلى النماذج السيبرانية. وقال أرانها إن استخدامه مكلف للغاية. يمكن استخدام Opus في العديد من المهام، لكنه أيضًا لم يكن في المتناول. ومن المعروف أن النماذج المفتوحة كانت متأخرة عن الحدود بأشهر فقط، ولكنها كانت تتطلب أجهزة باهظة الثمن.
وقال أرانها: “إن بعض المهاجمين الأكثر قدرة، الذين يعملون لصالح الحكومات، لديهم إمكانية الوصول إلى النماذج التي لا يستطيع الجمهور الوصول إليها”. “كيف يمكن للمدافع عن شركة كبيرة أن يكون لديه أي أمل دون أن يحصل على هذه القدرات؟”
استخدمت شركة Hugging Face نموذجًا صينيًا مفتوحًا ضخمًا للدفاع عن نفسها ضد الذكاء الاصطناعي المارق لشركة OpenAI لأن النماذج الأمريكية التي جربتها تم تكميم قدراتها السيبرانية. هذا قد منزعج الأوروبيون. واقترحت خطة المفوضية مساعدة المنظمات الأوروبية في الوصول إلى النماذج السيبرانية المتقدمة.
واقترحت أيضًا تحديًا كبيرًا لإنشاء نظام ذكاء اصطناعي يمكنه تصحيح الإصلاحات واختبارها ونشرها بشكل أسرع، وإزالة عنق الزجاجة الذي يمنع تقارير الثغرات الأمنية المدعومة بالذكاء الاصطناعي من أن تكون مفيدة. لكن ذلك قد لا يبدأ حتى العام المقبل. وأضافت أن أوروبا لديها بالفعل أدوات إلكترونية للذكاء الاصطناعي على أي حال، وكانت تلك الأدوات مجزأة وغير مختبرة وغير مستخدمة إلى حد كبير.
صرح صائد مكافآت الحشرات، ماكسيم بانديبيريا، المعروف باسم WebSafety Ninja، لموقع Computer Weekly بأنه لا يستخدم الذكاء الاصطناعي في أبحاث نقاط الضعف. لكنه يستخدم أدوات أخرى، وتتجاهل معظم الشركات التحذيرات التي يصدرها. يرسلهم بشكل تخميني على أنهم “قراصنة رماديون”، على أمل الحصول على مكافأة غير مرغوب فيها. وقال إن الحكم البشري والثقة هما عنق الزجاجة في الأمن السيبراني.
قال بانديبيريا: “لا يزال الإبداع البشري لا يمكن تعويضه”. “لكن المستقبل القاتم الذي أراه هو أن الناس يدفعون ثمن برامج ثغرات الذكاء الاصطناعي ويحصلون على مستوى زائف من الحماية. ولا يزال هناك المزيد من الإهمال البشري والغباء الذي يمكن أن يغطيه الذكاء الاصطناعي”.
مايل مارتن، الذي كان باسم “EDRA”. أعلى مرتبة الهاكر الأخلاقي في قائمة المتصدرين الفرنسية YesWeHack في أغسطس، قال إنه يستخدم الذكاء الاصطناعي للأمن السيبراني “كثيرًا”.
استجابت لاهاي للنقاش في أواخر أغسطس/آب الماضي بالإعلان عن جائزة إضافية خاصة لأفضل استخدام للذكاء الاصطناعي. سيتمكن المتسللون المشاركون من الوصول إلى الأنظمة البلدية الحية. لم يكن كنبنبرج واضحًا ما إذا كانوا سيواجهون دفاعات الذكاء الاصطناعي.
