تصور کنید یک نفوذگر دیجیتال هرگز نمی‌خوابد و هر ثانیه تمام درها و پنجره‌های شبکه شما را امتحان می‌کند تا یک شکاف کوچک پیدا کند. اگر هنوز به ممیزی‌های امنیتی سالانه یا ماهانه تکیه می‌کنید، باید بدانید که در دنیای امروز، یک تغییر کوچک در کد یا جابه‌جایی یک دارایی دیجیتال می‌تواند تمام آن گزارش‌های امنیتی را در یک لحظه بی‌اعتبار کند. آیا می‌توان نقاط ضعف پراکنده در اپلیکیشن‌ها، هویت‌ها و زیرساخت‌ها را با هم ترکیب کرد تا یک نفوذ عملی و موفقیت‌آمیز ایجاد شود؟ در حالی که یک تیم امنیتی ممکن است یک آسیب‌پذیری تک را وصله (Patch) کند، اما همچنان ممکن است یک درب پشتی باز را به داده‌های حساس سازمان رها کرده باشد.
بسیاری از شرکت‌ها از لیست‌های استاتیک نقاط ضعف یا ارزیابی‌های امنیتی دوره‌ای استفاده می‌کنند که شکافی خطرناک ایجاد می‌کند؛ زیرا محیط‌های سازمانی با هر استقرار کد جدید و تغییر دارایی‌ها، به‌صورت روزانه تغییر می‌کنند. CodeWall، استارتاپ لندنی، معتقد است که کمبود تخصص در زمینه امنیت تهاجمی و تکیه بر ارزیابی‌های دوره‌ای باعث می‌شود سازمان‌ها در تست محیطی که بین دو بازه ارزیابی تغییر کرده است، دچار مشکل شوند. CodeWall استدلال می‌کند تنها راه توقف نفوذهای پیچیده، شبیه‌سازی مداوم آن‌ها توسط عامل‌های هوش مصنوعی (AI Agents) است. اگر ممیزی امنیتی را مانند عکسی از قفل‌های یک ساختمان تصور کنید، CodeWall در مقابل، یک نفوذگر دیجیتال فراهم می‌کند که هرگز متوقف نمی‌شود و در لحظه تمام درها و پنجره‌ها را امتحان می‌کند.
طبق اعلام این شرکت در ۱۴ اکتبر ۲۰۲۴، CodeWall با جذب ۴ میلیون دلار سرمایه در مرحله پیش‌بذری (Pre-seed) از حالت مخفیانه خارج شد. این دور سرمایه‌گذاری توسط Osney Capital رهبری شد و شرکت‌های InReach Ventures و Antler و همچنین چندین سرمایه‌گذار فرشته (Angel Investors) در آن مشارکت داشتند. بر اساس مستندات منتشر شده، این بودجه برای گسترش محیط‌هایی که عامل‌ها می‌توانند در آن‌ها تحقیق کنند و همچنین تقویت تیم‌های مهندسی، امنیت تهاجمی، موفقیت مشتریان (Customer Success) و تیم‌های ورود به بازار (Go-to-market) در لندن هزینه خواهد شد.
سازوکار عامل‌های حمله
رویکرد فنی CodeWall با اسکنرهای سنتی متفاوت است و به‌جای تمرکز بر هشدارهای ایزوله و تک‌بعدی، بر «مسیرهای حمله» (Attack Paths) تمرکز دارد. این سامانه از عامل‌های متخصص استفاده می‌کند که به‌صورت موازی تحقیق کرده و داده‌ها را از طریق یک گراف بررسی دائمی (Persistent Investigation Graph) به اشتراک می‌گذارند. این گراف روابط بین یافته‌ها را نمایش می‌دهد و تشخیص می‌دهد که افشای اطلاعات در یک مرز امنیتی، می‌تواند کنترل دوم را در دسترس قرار دهد.
- ورود خارجی: عامل‌ها بدون نیاز به رمز عبور، کد منبع یا دسترسی داخلی، از بیرون به سازمان حمله می‌کنند تا دقیقاً همان مسیری را طی کنند که یک مهاجم خارجی می‌بیند.
- استدلال گراف‌محور: یافته‌ای در یک اپلیکیشن، به عامل بعدی می‌گوید که کدام سرویس متصل، هویت یا ذخیره‌ساز داده را بررسی کند.
- نقشه‌برداری اعتماد: پلتفرم روابط اعتماد بین سرویس‌ها، APIها و زیرساخت‌ها را شناسایی و نقشه‌برداری می‌کند تا استراتژی خود را در طول تحقیقات تطبیق دهد.
- اثبات بازتولیدپذیر: سامانه شواهدی در قالب اثبات مفهوم (Proof-of-Concept) ارائه می‌دهد که دقیقاً نشان می‌دهد یک مسیر نفوذ چگونه عمل کرده و چه شواهدی این نتیجه‌گیری را پشتیبانی می‌کنند.
مورد پژوهشی مک‌کینزی
برای اثبات توانایی‌های خود، CodeWall در ۹ مارس پژوهشی درباره پلتفرم Lilli AI متعلق به شرکت McKinsey منتشر کرد. این مورد به‌ویژه برای سازمان‌هایی که اپلیکیشن‌های هوش مصنوعی را به دانش داخلی خود متصل می‌کنند، بسیار مرتبط است. به گزارش این استارتاپ، عامل‌های آن‌ها توانستند در کمتر از دو ساعت به دسترسی خواندن و نوشتن در پایگاه داده عملیاتی (Production Database) دست یابند.
این نفوذ ناشی از نقص در خودِ مدل زبانی (LLM) نبود، بلکه عامل از یک رابط بدون احراز هویت و یک مشکل تزریق SQL (SQL Injection) در نحوه مدیریت نام فیلدهای درخواست استفاده کرد. CodeWall اشاره کرد که دسترسی نوشتن به پرامپت‌های سیستمی ذخیره‌شده می‌توانست به مهاجم اجازه دهد دستوراتی که خروجی‌های مورد اعتماد هوش مصنوعی را کنترل می‌کنند، تغییر دهد. این شرکت تأیید کرد که یافته‌ها را پیش از انتشار به مک‌کینزی اطلاع داده و رفع آن‌ها را تأیید کرده است.
عملیاتی کردن تست‌های مداوم
برای مدیران کسب‌وکار، این تغییر به معنای گذار از «امنیت مبتنی بر انطباق» (Compliance-based Security) به «تاب‌آوری خصمانه» (Adversarial Resilience) است. بازتست مداوم حیاتی است زیرا بستن یک تیکت امنیتی لزوگی به معنای حذف ریسک تجاری اصلی نیست. یک اصلاح ممکن است یک مسیر را مسدود کند اما مسیر دیگری را باز بگذارد، یا یک استقرار کد در آینده، اصلاحات قبلی را خنثی کند.
تست مداوم یک حلقه بازخورد ایجاد می‌کند: مسیر شناسایی می‌شود، ضعف رفع می‌گردد و بلافاصله بسته شدن مسیر تأیید می‌شود. CodeWall در حال حاضر این مدل را برای بانک‌ها و مؤسسات مالی اجرا می‌کند تا مسیرهای حمله قابل بهره‌برداری را شناسایی و تأیید کنند.
با این حال، این سطح از خودکارسازی ریسک‌های عملیاتی جدیدی ایجاد می‌کند. سازمان‌ها باید مرزهای سخت‌گیرانه‌ای تعریف کنند، از جمله:
- اهداف و اقدامات مجاز (Permitted targets and actions)
- قوانین مدیریت و جابه‌جایی شواهد
- رویه‌های ارتقای هشدار (Escalation procedures)
- قابلیت توقف فوری و لحظه‌ای تحقیقات
هنوز مشخص نیست که آیا پلتفرم CodeWall می‌تواند اصلاحات را به‌طور خودکار اعمال کند یا فقط آن‌ها را برای تأیید انسانی پیشنهاد می‌دهد. برای خریداران، تفاوت بین «ارائه مدرک نفوذ» و «اعمال تغییر خودکار در محیط عملیاتی» یک نقطه کلیدی در ارزیابی است.
همان‌طور که شرکت رشد می‌کند، آزمون واقعی این خواهد بود که آیا این عامل‌های هوش مصنوعی می‌توانند نرخ مثبت کاذب (False-positive) پایینی را حفظ کنند و در عین حال مسیرهایی را پیدا کنند که تسترهای نفوذ انسانی از آن‌ها غافل می‌شوند. قوی‌ترین معیار پیشرفت، کیفیت تصمیمات امنیتی حاصله خواهد بود: مسیرهای بازتولیدپذیر، تأثیر تجاری شفاف و تأیید اینکه اقدامات اصلاحی واقعاً منجر به بسته شدن شکاف شده است.
گام بعدی شما
- بررسی کنید آیا ممیزی‌های امنیتی فعلی شما استاتیک هستند یا با تغییرات کد به‌روز می‌شوند.
- در صورت استفاده از AI در سازمان، دسترسی‌های رابط‌های API را برای جلوگیری از تزریق‌های احتمالی بازبینی کنید.
- مدل «تیم قرمز» (Red Teaming) خود را از حالت دوره‌ای به حالت مداوم تغییر دهید.
اما چالش اصلی در این مسیر، مدیریت نرخ مثبت کاذب در مقیاس بزرگ است — به تحلیل ما درباره ابزارهای خودکارسازی امنیت در گزارش بعدی مراجعه کنید.
گفتگو