هل ستكشف الذكاء الاصطناعي البنية التحتية الهشة للإنترنت؟

صدر إعلان مذهل في وقت سابق من هذا الأسبوع: بسبب ثغرات اكتُشفت حديثًا في لغة البرمجة مفتوحة المصدر PHP، كان على مالكي المواقع ترقيع مواقعهم فورًا — أو إذا لم يتمكنوا من التحديث في الوقت الحالي، فينبغي عليهم إغلاق مواقعهم احتياطًا.

في حلقة هذا الأسبوع من بودكاست TechCrunch Equity، ناقشت كيرستن كوروسك وشون أوكين وأنا أهمية PHP-ocalypse وما إذا كنا سنرى حوادث مماثلة في المستقبل.

وصف شون هذا بأنه "لحظة حساب حقيقي" يسلط الضوء على كيف أنه "عندما تنزل إلى مستوى العظم في الإنترنت"، يبدو كل شيء "مثبتًا بالصمغ والأحلام". ومع الانتشار الواسع للوصول إلى النماذج اللغوية الكبيرة ووكلاء الذكاء الاصطناعي، ستصبح عملية اكتشاف هذه الثغرات أسهل فحسب. (ومع ذلك، هذه الثغرات المحددة وجدها باحثون بشريون، وليس نماذج الذكاء الاصطناعي.)

أما كيرستن، فقد تساءلت إن كنا على وشك رؤية "المستوى التالي من كارثة الاستعداد […] لأنك قد ترى كيف يمكن استغلال البنوك، ومع [مشكلات] البيانات والخصوصية، يبدو الأمر أكبر بكثير مما يمكننا إصلاحه الآن".

تابع القراءة للاطلاع على معاينة محادثتنا، المحررة من حيث الطول والوضوح.

شون: يبدو أن الإنترنت ينكسر بطرق كثيرة هذا الأسبوع. 

أعتقد أن أفضل طريقة للتفكير في هذا، إذا كان الناس يتعاملون معه من الصفر: كم مرة خلال السنوات الـ 10 الماضية شهدنا هذه اللحظات التي يتعطل فيها شيء ما أو يكاد يتعطل، حيث يحافظ شخص واحد على مستودع استنساخ صغير كهواية أو ما شابه ويصادف اكتشاف شيء خبيث يحدث وينقذنا من انهيار البنية التحتية للإنترنت تمامًا؟

الآن اضرب ذلك بمليار، عندما يمتلك الناس إمكانية الوصول ليس فقط إلى برمجيات متقدمة للغاية في شكل هذه النماذج اللغوية الكبيرة التي يستخدمها الجميع، ولكن أيضًا القدرة على تكليفها بالخروج والقيام بذلك بنفسها، عبر إنشاء وكلاء ذكاء اصطناعي يعملون بعقل واحد على تحقيق تلك الأهداف.

نرى توازن أمرين يحدث هذا الأسبوع. الأول أن مجموعة من المختبرات والشركات مثل Google وOpenAI أرسلت فعلًا أشخاصًا للخروج واكتشاف مجموعة من الثغرات، بما في ذلك ثغرة PHP. ثم لدينا أيضًا مجموعة من الأشخاص يبدو أنهم يتسابقون لاستغلال تلك الثغرات لمحاولة اختراق المواقع. فنحن نرى حكومات تغلق المواقع، ومواقع شائعة جدًا تتوقف مؤقتًا لتتمكن من إصلاح هذه الثغرة.

هذه لحظة حساب حقيقية، حيث سنكتشف المخاطر السلبية لبناء الكثير من الإنترنت على تقنيات مفتوحة المصدر مثل PHP. عندما تنزل فعلًا إلى مستوى العظم في الإنترنت، تجده مثبتًا بالصمغ والأحلام.

أنطوني: هناك أشياء كثيرة كانت لافتة في هذا. أحدها أنه — على حد فهمي على الأقل — هذه ليست ثغرة جديدة. إنها ثغرة موجودة في PHP منذ عقود.

ولقد استُخدمت PHP كلغة برمجة لبناء الكثير من الويب، لذا فقد كانت هذه الثغرة موجودة منذ عقود، لكن أحدًا لم يعلم بها. ما حدث هو، في الأساس، أن هذه الشركات الكبرى للذكاء الاصطناعي — بما في ذلك Wiz، المملوكة الآن لـ Google — تمكنت من إيجاد هذه الثغرات باستخدام النماذج اللغوية الكبيرة. [كما أوضحت أعلاه، أخطأت في هذا: باحثون بشريون يشاركون في مبادرة Hack the Planet من OpenAI وWiz وجدوا الثغرات، رغم أنهم استخدموا الذكاء الاصطناعي لاستغلال الخلل.]

أفترض أن جزءًا من الحساب هو: نحن بحاجة إلى ترقيع هذا، لأنه إذا استطعنا نحن إيجاد هذه الثغرة باستخدام النماذج اللغوية الكبيرة، فيمكن لغيرنا ذلك أيضًا. لكن الطريقة الوحيدة لنشر الترقيع هي الإعلان عن الثغرة. وبذلك يتشكل هذا الموقف المذعور جدًا حيث [يقولون]: "حسنًا، هذه الثغرة موجودة منذ عقود. عليك الترقيع فورًا، وإذا لم تستطع الترقيع فورًا، فأغلق موقعك فقط. إنها ثغرة بهذا القدر من الخطورة."

كيرستن: أعتقد أن المهم هنا هو أن الكثير من الناس لا يدركون حتى أن مواقعهم تحتوي على PHP — وهي، كما ذكرت، لغة برمجة مفتوحة المصدر عمرها عقود. 

وللذين لا يعرفون، المعيار الرسمي هو Preprocessor للنصوص التشعبية، وهي المكون الجوهري فعليًا خلف أنظمة إدارة المحتوى المستخدمة في WordPress وDrupal، وفي نحو 70% من المواقع. نحن نتحدث عن عشرات الملايين من المواقع. فبالنسبة لي، الأمر يتعلق بالحجم. كما جعلني أفورًا في أمرين: الأول، أن هذا مجرد البداية. ما هي البرمجيات السيئة الأخرى العمرها عقود الموجودة هناك وسيتم استغلالها؟

والآخر كان شيئًا ذكرته 404 Media، التي كانت تفصيل رائع فعلاً، ذُكر، وهو تعفّن الروابط. لأن الكثير من الناس والشركات والحكومات، وربما ذلك الموقع الإلكتروني الصغير للحيّ السكني، يقومون بإغلاق هذه المواقع. لذا سنشهد تعفّناً هائلاً للروابط، وأيضاً مواقع كانت تحتوي ربما على جزء صغير من التاريخ لن يعود يمكن الوصول إليها، بدلاً من الحفاظ عليها.

شون: أنتوني، أعتقد أنك طرحت نقطة جيدة جداً. لقد رأيت الكثير من الناس غير الراضين عن طريقة الإفصاح هنا، ومن قدر من التباهي الذي يبدو أن OpenAI مارسته في منشورها حول الأمر.

كما يبدو أن عدداً من الأشخاص تسربت إليهم معلومات قبل موعد الحظر المفروض على إصدار هذا الخبر، مما أطلق سباقاً بين صفوف قراصنة الإنترنت. أعتقد أن الرئيس التنفيذي لشركة Cloudflare ماثيو برنس [هو من] سبق ونشر معلومات عن مشاهدة تصاعد الأمر إلى ملايين محاولات الاختراق لثغرة PHP2Shell.

الأمر بخصوص هذه الثغرات، والطريقة التي يسير عليها عادةً في الأمن السيبراني هي أنه إذا كنت تختبر ضغط برمجيات شركة ما، حتى لو كانت قطعة برمجية أساسية تساعد في تشغيل أجهزة كمبيوتر عديدة أو أجزاء من الإنترنت أو أي شيء آخر، فيمكنك التوجه إلى تلك الشركة وإبلاغها بالثغرة، وبذلك يبقى الأمر محصوراً في تلك الدائرة. لكن عندما نتحدث عن شيء بهذا العمق وهذه الأساسية، لا يمكنك التنقل وإبلاغ الجميع بسرية.

أعني، ربما يمكنك ذلك، إذا كان الذكاء الاصطناعي متقدماً بما يكفي ويمكنك تكليف مليار وكيل بإرسال بريد إلكتروني إلى كل شخص يملك السيطرة على جزء ما من موقع إلكتروني. نحن الآن نندب أيامنا التي كان لدينا فيها مدراء مواقع يمكن التعرف عليهم بسهولة، وربما كان ذلك سيحل المشكلة إلى حد ما. لكن لا توجد طريقة سهلة للقيام بهذا الأمر. أعتقد أن هذه هي بداية ما سيكون قدراً كبيراً من الجدل المتبادل وحديداً جديداً واضحاً في الأمن السيبراني.

كيرستن: كان منشور ماثيو برنس على وسائل التواصل الاجتماعي بالنسبة لي مفصحاً للغاية، ومخيفاً إلى حد بعيد. كما أنني لا أعرف إن كان أي منكما قد شاهد هذا، لكن أمازون أصدرت أيضاً منشور مدونة. وهي شركة ممولة تمويلياً بشكل جيد جداً، لذا فهي تملك الأدوات والفريق لرصد ما يجري تقريباً. فهي تدير، في الأساس، شبكة عسلية أو فخاً خادعاً، وقد شاهدت بالفعل وجود محاولات لاستغلال تلك الثغرة قبل الإعلان عنها علناً. 

بالنسبة لي، مرة أخرى، يعود الأمر إلى هذا: أمازون تملك الأدوات ورأس المال والمعرفة اللازمة لمحاربة هذه الأمور. هناك مواقع إلكترونية كثيرة، بل وحتى مواقع حكومية محتملة، لا تملك ذلك المستوى من الاهتمام. لذا بالنسبة لي، تلك هي النقطة المخيفة حقاً.

وهناك [بعض] الموظفين من الذكاء الاصطناعي الذين من المحتمل أن يرفعوا هذا الأمر إلى مستوى الكارثة القادمة، لأنه يمكن رؤية كيف يمكن للبنوك أن تتعرض للاستغلال، ومع مخاوف البيانات والخصوصية، يبدو الأمر أكبر بكثير مما يمكننا إصلاحه الآن. لذا أنا مهتم برؤية أمرين: أولهما مدى تطرف سلوك الناس — لكنني أتساءل أيضاً عما إذا كانت بعض الشركات الناشئة الجديدة ستظهر نتيجة لذلك، أم أننا سنلجأ إلى بعض [الأدوات مفتوحة المصدر التي تقدمها شركات مثل Nvidia] لإنشاء طبقات الأمان هذه.