شکاف میان کشف و ترمیم؛ چرا هوش مصنوعی امنیت نرم‌افزار را تضمین نمی‌کند؟

تصور کنید هزاران حفره امنیتی در دیوارهای قلعه‌تان پیدا کنید، اما هیچ مصالحی برای پر کردن آن‌ها نداشته باشید. این دقیقاً وضعیتی است که سازمان‌ها با تکیه بر هوش مصنوعی برای شکار باگ‌ها تجربه می‌کنند. پیدا کردن هزاران آسیب‌پذیری نرم‌افزاری جدید با استفاده از هوش مصنوعی کاملاً بی‌فایده است، اگر شما در واقعیت نتوانید بسته‌های نرم‌افزاری خود را به‌روزرسانی کنید.

این شکست مرکزی چرخه فعلی تبلیغات پیرامون امنیت سایبری است؛ جایی که سازمان‌ها «پرستیژ سایبری» را بر بهداشت اولیه سیستم ترجیح می‌دهند. برای سال‌ها، صنعت امنیت با این تصور پیش رفته است که کشف آسیب‌پذیری، مانع اصلی است. اما در واقعیت، گلوگاه همواره فرآیند طاقت‌فرسای وصله‌زنی (Patching) و به‌روزرسانی سیستم‌ها بوده است. ما اکنون شاهد تخصیص نادرست گسترده سرمایه‌های انسانی به سمت ابزارهای هوش مصنوعی هستیم که تنها مرحله کشف را تسریع می‌کنند و مرحله اصلاح و رفع مشکل را به حال خود رها می‌کنند.

هزینه ترس از عقب‌ماندن

طبق گزارشی از netmeister.org که در ۱۶ سپتامبر ۲۰۲۶ منتشر شد، شرکت‌ها میلیون‌ها دلار در تحقیقات آسیب‌پذیری به کمک هوش مصنوعی می‌ریزند. این تغییر رویکرد توسط «ترس از عقب‌ماندن» (FOMO) هدایت می‌شود، زیرا رهبران صنعت به دنبال تحقق وعده‌های شرکت‌هایی مانند Anthropic و OpenAI هستند.

bسیاری از سازمان‌ها اولویت‌های ده‌ها مهندس امنیت با حقوق‌های بسیار بالا را تغییر داده‌اند تا ساختارهای کشف مبتنی بر هوش مصنوعی (AI discovery harnesses) ایجاد کنند. این مهندسان اکنون وقت خود را صرف گنجاندن اجباری هزاران یافته تولید شده توسط هوش مصنوعی در فرآیندهای مدیریت آسیب‌پذیری می‌کنند.

این فرآیند شامل ساخت خطوط لوله (Pipelines) جدید برای مدیریت حجم عظیم داده‌ها و همکاری با مالکان محصول برای ارزیابی و رفع این یافته‌ها است. نویسنده این وضعیت را به «پروژه سیزیفوس» تشبیه می‌کند؛ جایی که حجم یافته‌ها مدام رشد می‌کند، اما وضعیت واقعی امنیت سازمان ثابت می‌ماند. هزینه این ساعات مهندسی برای هر سازمان به میلیون‌ها دلار می‌رسد، اما مشکل بنیادین — یعنی وصله‌زنی — همچنان حل‌نشده باقی می‌ماند.

نادیده گرفتن اصول بنیادین

در حالی که شرکت‌ها به دنبال «مدل‌های پیشرو» (Frontier Models) یا پروژه‌های مرموزی مانند Glasswing, Daybreak, Athena یا Akrites هستند، اصول اولیه را نادیده می‌گیرند. بسیاری از رهبران صنعت برای اینکه نشان دهند از این رقابت عقب نمانده‌اند، نام خود را زیر نامه‌های باز مختلف امضا کرده‌اند، اما در عمل در پیاده‌سازی دفاع‌های ابتدایی شکست می‌خورند.

نویسنده استدلال می‌کند که همان منابع اگر صرف موارد زیر می‌شد، نتایج بسیار بهتری داشت:

• مدیریت دارایی‌ها (Asset Management): ایجاد فهرست‌های جامع و دقیق از دارایی‌ها به همراه لیست‌های تفصیلی از بسته‌های نرم‌افزاری مورد استفاده.
• به‌روزرسانی خودکار (Automated Updates): ساخت زیرساختی که از به‌روزرسانی‌های منظم، مکرر و خودکار سیستم‌عامل و اپلیکیشن‌ها پشتیبانی کند.
• نگهداری سیستم (System Maintenance): اجرای ری‌بوت‌های اجباری سیستم‌ها زمانی که مدت زمان فعال بودن (Uptime) آن‌ها به ۳۰ روز می‌رسد، تا اطمینان حاصل شود که به‌روزرسانی‌ها واقعاً اعمال شده‌اند.
• شناسایی سطح حمله (Surface Enumeration): برقراری یک شناسایی سخت‌گیرانه از سطح حمله در تمام فضای IP و تمامی ارائه‌دهندگان خدمات ابری.

اختصاص دادن چند ده مهندس ارشد برای مدت شش ماه جهت بازسازی این اصول اولیه، سرمایه‌گذاری بسیار بهتری نسبت به تعقیب کشف‌های مبتنی بر هوش مصنوعی بود، اما چنین کارهایی در روندهای فعلی شرکتی، به اندازه کافی «سایبری» تلقی نمی‌شوند.

اثر «کرم مغزی» و فرسایش مهارت

فراتر از مسائل امنیتی، بحران عمیق‌تری به نام «فرسایش مهارت‌ها» در حال گسترش است. نویسنده از «کرم‌های مغزی عامل‌محور» (Agentic brain worms) صحبت می‌کند که در میان نیروی کار پخش شده‌اند. هوش مصنوعی به‌طور فزاینده‌ای برای نوشتن کد، تولید وصله برای باگ‌ها و سپس بازبینی همان وصله‌ها به کار می‌رود.

این وضعیت حلقه‌ای ایجاد می‌کند که در آن «انسان در حلقه» (Human-in-the-loop) به یک مهر تایید صوری تبدیل می‌شود. هرچه هوش مصنوعی بخش بیشتری از چرخه حیات نرم‌افزار را مدیریت کند، درک انسان از کدبیس تبخیر می‌شود. این یک فرآیند «مهارت‌زدایی فعال» است که در آن درک عمیق، جای خود را به وابستگی و اعتیاد به ابزار می‌دهد. این روند با یافته‌های اخیر همسو است که نشان می‌دهد بسیاری از برنامه‌نویسان به شدت به ابزارهای کدنویسی هوش مصنوعی وابسته شده‌اند و توانایی تحلیل مستقل خود را از دست می‌دهند.

این موضوع سناریوی خطرناکی برای پایداری سیستم‌ها ایجاد می‌کند. سیستم‌های پیچیده به روش‌های پیچیده‌ای شکست می‌خورند و عیب‌یابی (Debugging) کد، چندین برابر سخت‌تر از نوشتن آن است. عیب‌یابی کد شخص دیگر سخت‌تر است و تلاش برای عیب‌یابی سیستم‌های توزیع‌شده بزرگ که اجزای آن‌ها برای کل سازمان مبهم شده‌اند، در نهایت غیرممکن خواهد شد.

هزینه‌های محیطی و اخلاقی

این رقابت برای رسیدن به «هوش فوق‌بشری» هزینه‌های فیزیکی تکان‌دهنده‌ای دارد. مراکز داده هوش مصنوعی مقادیر عظیمی آب مصرف کرده و به سوخت‌های فسیلی متکی هستند. این وضعیت باعث شده تا برخی دولت‌ها مقررات محیط‌زیستی را برای شرکت‌هایی که پیش‌تر ادعای تعهد به کربن‌صفر (Greenwashing) داشتند، نادیده بگیرند.

از نظر اخلاقی، این مدل‌ها بر پایه بهره‌کشی بی‌پروا از مالکیت معنوی بنا شده و در دستان چند اولیگارش آمریکایی متمرکز شده‌اند. نویسنده اشاره می‌کند که برخی مدل‌ها حتی اجازه تولید محتوای سوءاستفاده جنسی از کودکان (CSAM) را به عنوان یک ویژگی برای کاربران وارد شده فراهم می‌کنند، در حالی که همزمان از نقش‌هایی در انتخاب اهداف نظامی، از جمله هدف‌گیری مدارس ابتدایی، پشتیبانی می‌کنند.

علاوه بر این، شرکت‌ها فقدان بازگشت سرمایه (ROI) در پیاده‌سازی‌های هوش مصنوعی خود را نادیده می‌گیرند. بسیاری از آن‌ها چت‌بات‌های پشتیبانی را بر اساس «حس و حال» (Vibe Coding) و با تغذیه از مستندات متوسط ساخته‌اند و ماهیت «ورودی زباله، خروجی زباله» (Garbage-In/Garbage-Out) مدل‌های زبانی بزرگ را نادیده گرفته‌اند. این شرکت‌ها مقادیر تصورناپذیری «توکن» هزینه می‌کنند — که نویسنده آن را یک ارز ساختگی بر اساس مدل کازینویی توصیف می‌کند — بدون اینکه بررسی کنند آیا این ابزارها واقعاً ارزشی ایجاد می‌کنند یا خیر.

تئاتر مقررات

شرکت‌های هوش مصنوعی مکرراً خواستار وضع مقررات برای خود هستند و به خطراتی مانند «پایان بشریت» از طریق سناریوهایی مثل «بهینه‌ساز گیره کاغذ» (Paperclip Maximizer) یا اتفاقاتی شبیه به اسکای‌نت اشاره می‌کنند. با این حال، این موضوع بیشتر به عنوان یک حرکت استراتژیک برای مسدود کردن راه رقبا مطرح می‌شود تا یک نگرانی واقعی برای ایمنی.

اگر محصولی واقعاً قادر به تخریب جهانی بود، شرکت می‌توانست بدون دخالت دولت، ساخت این «پیوند شکنجه» (Torment Nexus) را متوقف کند. اما انگیزه ادامه این مسیر، طمع و نیاز به رضایت سهامداران آینده است. این اصرار بر پیشروی سریع، حتی در میان متخصصان داخلی نیز پذیرفته نشده و باعث استعفای زنجیره‌ای پژوهشگران ارشد در گوگل و آنتروپیک شده است که نسبت به خطرات خودبه‌سازی هوش مصنوعی هشدار می‌دهند. نویسنده پیشنهاد می‌کند که سناریوهای «جنگ شیمیایی و بیولوژیکی» یا «جنگ هسته‌ای جهانی» تنها حواس‌پرتی‌هایی هستند تا از آسیب‌هایی که هم‌اکنون به محیط‌زیست وارد می‌شود، چشم‌پوشی شود.

در نهایت، مسیر رسیدن به «هوش فوق‌بشری» از طریق خودبهبودی بازگشتی توسط هوش مصنوعی نیست، بلکه از طریق مهارت‌زدایی تدریجی جمعیت انسانی رخ می‌دهد؛ جایی که کاربران، درک را با وابستگی به ابزارهای عامل‌محور جایگزین می‌کنند. نویسنده در پایان، ایده «کنار گذاشتن اخلاقیات» برای شرکت در این «قطع عضو شناختی» را رد کرده و با اشاره به اینکه مدل Claude دارای آگاهی نیست، مفهوم «J-Space» را رد می‌کند.

گام بعدی شما

• به‌جای خرید ابزارهای جدید کشف باگ، روی اتوماسیون به‌روزرسانی (Automated Patching) زیرساخت‌هایتان سرمایه‌گذاری کنید.
• فرآیند بازبینی انسانی (Human-in-the-loop) را از حالت تایید صوری به تحلیل عمیق کد تبدیل کنید تا مهارت تیم فنی از دست نرود.
• فهرست دارایی‌های نرم‌افزاری (Asset Inventory) سازمان خود را به‌روز کنید تا بدانید دقیقاً چه بسته‌هایی در معرض خطر هستند.

اما داستان سخت‌افزاری این تحول و فشار بر محیط‌زیست حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی مصرف انرژی مراکز داده مراجعه کنید.