رمزگشایی از نفوذ هکرها به معیارهای امنیتی پیشرفته‌ترین هوش مصنوعی جهان

**غزال زیاری -** در سال‌های اخیر، مدل‌های زبانی عظیمی ظهور کرده‌اند که تأثیر قابل توجهی بر فناوری اطلاعات گذاشته‌اند. در این راستا، معرفی مدل «کلود میتوس» (Claude Mythos) توسط شرکت آنتروپیک در آوریل ۲۰۲۶، به عنوان یک نقطه عطف در عرصه امنیت دیجیتال به شمار می‌رود که فراتر از یک پیشرفت فنی تلقی می‌شود.

این مدل که بخشی از پروژه گلس‌ویینگ است، برای نخستین بار قابلیت‌هایی را ارائه داده که مرزهای میان تحلیل انسانی و محاسبات خودکار در شناسایی ضعف‌های نرم‌افزاری را جابجا کرده است. اما پارادوکس زمانی عیان شد که این مدل، به علت به‌کارگیری خطرناک، به طور عمومی منتشر نشد، اما تنها چند هفته بعد از ارائه آن، گزارشی از دسترسی غیرمجاز گروهی از کاربران در پلتفرم دیسکورد منتشر گردید.

این وضعیت نه تنها توانمندی‌های هوش مصنوعی در شناسایی آسیب‌پذیری‌ها را به چالش کشید، بلکه نقاط ضعفی بنیادین در لایه‌های حفاظتی شرکت‌های پیشرو و زنجیره تأمین آنها را نیز نمایان کرد.

### معمای میتوس؛ جرقه‌ای فراتر از استدلال‌های مرسوم

مدل کلود میتوس صرفاً یک نسخه بهبودیافته از مدل‌های قبلی مانند کلود ۴.۶ نیست؛ بلکه بر اساس ارزیابی‌های فنی، به ورودی به عصر «هوش مصنوعی عامل‌محور» (Agentic AI) در امنیت اشاره دارد. این مدل با تمرکز بر کدهای برنامه‌نویسی و استدلال‌های پیچیده، توانسته نمرات شگفت‌انگیزی در بنچمارک‌های پیشین کسب کند. توانایی میتوس در شناسایی آسیب‌پذیری‌های «روز صفر» که سال‌ها در لایه‌های دفاعی پنهان مانده بودند، صنعت نرم‌افزار را شگفت‌زده کرده است.

تحقیقات مقایسه‌ای نشان می‌دهند که میتوس در حل مسائل مهندسی نرم‌افزار، ۱۳ درصد از نزدیک‌ترین رقیب خود موفق‌تر بوده و این بدان معناست که این مدل نه تنها می‌تواند خطاهای کد را شناسایی کند، بلکه خود به طراحی و اجرای حملات چندمرحله‌ای به سیستم‌های پیچیده می‌پردازد.


### امنیت سایبری در عصر هوش مصنوعی: تعریف و لایه‌ها

برای درک عمیق‌تر موضوع میتوس، ابتدا باید به مفهوم امنیت سایبری و رابطه آن با هوش مصنوعی توجه کنیم. این مفهوم را می‌توان در سه لایه کلیدی بیان کرد: امنیت هوش مصنوعی، هوش مصنوعی به عنوان یک تهدید، و استفاده از هوش مصنوعی در دفاع.

**لایه اول: امنیت خود مدل (Security of AI)**

این لایه به حفاظت از زیرساخت‌های هوش مصنوعی در برابر حملات فیزیکی و منطقی اشاره دارد. حملاتی نظیر «تزریق دستور» که در آن مهاجم تلاش می‌کند تا با دستورات متنی، لایه‌های حفاظتی مدل را دور بزند و یا «مسموم‌سازی داده‌ها» که هدف آن انحراف مدل در زمان آموزش است.

ماجرای کلود میتوس نشان داد که حتی اگر لایه‌های منطقی مدل امن باشند، ضعف در دسترسی‌های انسانی و پیمانکاران می‌تواند امنیت را به خطر اندازد.

**لایه دوم: هوش مصنوعی به‌مثابه سلاح تهاجمی**

در این بخش، از هوش مصنوعی برای اتوماسیون حملات سنتی استفاده می‌شود. میتوس نشان داد که می‌تواند با هزینه‌ای بسیار پایین (حدود ۲۸ دلار) به یک عملیات نفوذ شبکه‌ای پرداخته و کاری انجام دهد که قبل‌تر توسط تیم‌های انسانی با هزینه‌ای حدود ۵۰ هزار دلار و در مدت زمان طولانی‌تری بر عهده داشتند.

این مدل همچنین توانایی تولید بدافزارهای چندشکلی را دارد که با هر بار اجرا، ساختار خود را تغییر می‌دهند.### هوش مصنوعی و چالش‌های امنیتی: نفوذ هکرها به فناوری‌های پیشرفته

اخیراً، نگرانی‌هایی درباره نحوه نفوذ هکرها به سیستم‌های مبتنی بر هوش مصنوعی به وجود آمده است. این تهدیدات در حالی از اهمیت بیشتری برخوردار می‌شوند که برخی از تکنیک‌ها برای پنهان ماندن از دید آنتی‌ویروس‌ها طراحی شده‌اند.

#### لایه سوم: هوش مصنوعی به‌عنوان سپر دفاعی

سیستم‌های دفاعی مجهز به هوش مصنوعی توانایی تحلیل ترافیک شبکه در مقیاس پتابایت را دارند و می‌توانند الگوهای مشکوک را در زمان‌های بسیار کوتاه تشخیص دهند. مدلی مانند کلود میتوس، با اسکن کدهای منبع، می‌تواند عیوب امنیتی را قبل از عرضه نرم‌افزار شناسایی کند. به عنوان مثال، شرکت موزیلا موفق شد با استفاده از این فناوری، ۲۷۱ حفره امنیتی را در مرورگر فایرفاکس شناسایی و رفع کند.


### رخنه در کلود میتوس: نقیصه انسانی

در آوریل ۲۰۲۶، حادثه‌ای منجر به زیر سوال رفتن اعتبار آنتروپیک شد. این رخداد به دلیل ترکیبی از خطاهای انسانی و ضعف‌های پروتکل‌های دسترسی به وقوع پیوست. گروهی از کاربران توانستند به پیش‌نمایش کلود میتوس دسترسی پیدا کنند.

تحقیقات انجام شده نشان می‌دهد که این گروه از طریق دو نقص اصلی موفق به انجام این کار شدند:

1. **حدس زدن URL**: با استفاده از الگوهای نام‌گذاری آنتروپیک و اطلاعات لو رفته از استارت‌آپی دیگر به نام Mercor، آدرس محل قرارگیری مدل را حدس زدند.

2. **اعتبارنامه‌های مشترک**: یکی از اعضای گروه کارمند یک پیمانکار آنتروپیک بود و از دسترسی‌های خود برای ورود به سیستم استفاده کرد.

این حادثه به خوبی نشان می‌دهد که حتی اگر مدل‌های هوش مصنوعی تدابیر لازم را برای عدم کمک به هکرها اتخاذ کنند، امنیت زیرساخت‌هایی که این مدل‌ها در آن میزبانی می‌شوند همچنان نقطه ضعف جدی است. علیرغم اعلام آنتروپیک مبنی بر عدم وجود نشانه‌هایی از نفوذ به سیستم‌های مرکزی، واقعیت این است که این سلاح قدرتمند سایبری به مدت دو هفته در دست افرادی قرار داشت که تحت نظارت نبودند.

### نبرد غول‌ها: مقایسه امنیت هوش‌های مصنوعی

در نیمه اول سال ۲۰۲۶، سه شرکت بزرگ هوش مصنوعی، شامل آنتروپیک، اوپن‌ای‌آی و گوگل، هر کدام با استراتژی‌های مختلف به بحث امنیت پرداخته‌اند.

#### ۱. خانواده کلود (Anthropic): احتیاط و دقت

مدل کلود میتوس در بنچمارک‌های امنیت سایبری از دیگران پیشی دارد. با این حال، دسترسی سخت‌گیرانه و هزینه‌های زیاد (صدها دلار برای هر میلیون توکن) از معایب آن محسوب می‌شود.

#### ۲. خانواده GPT (OpenAI): سرعت و نفوذ

اوپن‌ای‌آی با معرفی نسخه‌های امنیتی جدیدی مانند GPT-۵.۵ سعی در بهبود عملکرد خود در بخش امنیت دارد. با اینکه GPT در انجام کارهای روزمره سریع‌تر است، هنوز در شناسایی عیوب منطقی عمیق از میتوس عقب‌تر است. تولید کدهای «تنبلی» یکی از مشکلاتی است که برای این مدل گزارش شده است.

#### ۳. خانواده Gemini Google: سلطنت در داده‌های حجیم

مزیت اصلی گوگل در این زمینه، قابلیت Context دو میلیون توکنی است که به مدافعان این امکان را می‌دهد تا کل معماری را به‌طور همزمان بررسی و تحلیل کنند.در جدیدترین گزارش‌ها، یک مفهوم مهم به نام “سونامی آسیب‌پذیری” مورد توجه قرار گرفته است. هوش مصنوعی با قابلیت انجام اسکن‌های وسیع، به شکل قابل توجهی تعداد باگ‌های شناسایی‌شده را افزایش داده است.

گزارش‌ها حاکی از آن است که کاربران مایکروسافت پس از انتشار نسخه آزمایشی سیستم میتوس، با حجم بالایی از ۱۵۰ به‌روزرسانی امنیتی در زمان کوتاهی مواجه شده‌اند. این شرایط باعث شده تا تیم‌های فناوری اطلاعات در موقعیتی دشوار قرار بگیرند؛ چراکه مدیریت این تغییرات می‌تواند پایداری سیستم‌ها را تهدید کند و از سوی دیگر، نادیده‌گرفتن این به‌روزرسانی‌ها به معنای آسیب‌پذیری در برابر حملات سایبری خواهد بود.

به رغم کارایی بالای مدل‌هایی مانند میتوس در شناسایی مشکلات، آنها در زمینه ترمیم با چالش‌هایی روبرو هستند. هوش مصنوعی معمولاً قادر به درک زمینه تجاری نیست و به همین دلیل نمی‌تواند تشخیص دهد که آیا یک باگ در سرور غیرحیاتی به اندازه یک باگ در پایگاه داده اصلی بانک مهم است یا خیر. این موضوع نشان‌دهنده ضرورت وجود پلتفرم‌های میانجی برای اولویت‌بندی و مدیریت ریسک‌ها است.

چالش‌های جدید امنیت سایبری: فراتر از کدها

در سال ۲۰۲۶، امنیت سایبری دیگر تنها به جلوگیری از نفوذهای سنتی محدود نمی‌شود. هوش مصنوعی دنیای جدیدی از تهدیدات را به وجود آورده که مستقیماً بر اعتماد و روان انسان‌ها تأثیر می‌گذارد. این تهدیدات شامل موارد زیر است:

۱. کلاه‌برداری‌های مبتنی بر هویت جعلی

به‌کارگیری هوش مصنوعی برای تقلید از صدا و تصویر مقام‌های ارشد به یکی از ابزارهای خطرناک در دست کلاهبرداران تبدیل شده است. در جولای ۲۰۲۵، گزارش‌هایی از استفاده از صدای مقامات دولتی به منظور عبور از موانع امنیتی منتشر شد که نشان دهنده کارایی این روش در مهندسی اجتماعی است.

۲. کمپین‌های نفوذ و اطلاعات نادرست

به دلیل ضعف‌های امنیتی در مدل‌های متن‌باز، از این پلتفرم‌ها برای تولید محتوای گمراه‌کننده و کدهای مخرب استفاده می‌شود. تحقیقات نشان می‌دهد که برخی مدل‌ها تا ۹۸٪ در برابر تولید پروپاگاندا و دست‌کاری‌های تاریخی آسیب‌پذیر هستند.

۳. شکار هدف‌های ارزشمند به‌طور خودکار

هوش مصنوعی اکنون قادر است شبکه‌های اجتماعی و فعالیت‌های آنلاین کارمندان را تحلیل کند و ایمیل‌های فیشینگ بسیار متقاعدکننده‌ای طراحی کند. این نوع حملات که به «Vibe Hacking» معروف‌اند، حتی می‌توانند متخصصان با تجربه را به اشتباه بیندازند.

ژئوپلیتیک امنیت هوش مصنوعی: رقابت برای برتری جهانی

حکمرانی بر مدل‌هایی از جمله کلود میتوس به یک موضوع حیاتی امنیتی تبدیل شده است. رقابت بین کشورهای مختلف و شرکت‌های فناوری برای تعیین استانداردهای امنیتی تأثیر زیادی بر ساختار اینترنت خواهد داشت.

موسسه امنیت هوش مصنوعی بریتانیا (AISI) به‌عنوان نخستین سازمانی شناخته می‌شود که به خطرات ناشی از میتوس برای انجام حملات خودمختار هشدار داده است. این موسسه همچنین اعلام کرد که فاصله بین شناسایی حفره‌های امنیتی و بهره‌برداری از آن‌ها به کمتر از ۷۲ ساعت کاهش یافته است.

در همین حال، اتحادیه اروپا با معرفی «قانون هوش مصنوعی»، شرکت‌ها را ملزم به ارزیابی ایمنی مدل‌های خود قبل از استقرار در بخش‌های حساس کرده است.

چنانچه دسترسی به ابزارهای دفاعی پیشرفته فقط در اختیار برخی کشورها قرار گیرد، به زودی شاهد ایجاد «اینترنت‌های چندگانه» خواهیم بود. در این وضعیت، کشورهایی که به فناوری‌هایی نظیر میتوس دسترسی ندارند، به اهداف مستمر باج افزارها و حملات دولتی تبدیل شده و عملاً از عرصه اقتصاد دیجیتال حذف خواهند شد.

توصیه‌های راهبردی برای عصر میتوس

تحلیل‌های سال ۲۰۲۶ نشان می‌دهد که استراتژی‌های قدیمی دیگر کارآمد نیستند و سازمان‌ها باید به تغییرات زیر توجه کنند:

• اجرای مدل‌های اعتماد صفر: با توجه به توانایی هوش مصنوعی در کپی‌برداری از اعتبارنامه‌ها، هیچ‌گونه دسترسی‌ای نباید دائمی باشد.
• بومی‌سازی سیستم‌های دفاعی: سازمان‌ها باید از هوش مصنوعی برای نظارت بر خود استفاده کنند تا بتوانند الگوهای غیرعادی را شناسایی کنند.
• تقویت زنجیره تأمین: واقعه اخیر ثابت کرده که امنیت یک شرکت به‌اندازه ضعیف‌ترین پیمانکار آن است.

نتیجه‌گیری: عبور از مرزهای ترس و فرصت

کلود میتوس به عنوان نماد پیچیدگی‌های عصر جدید، به تصویر می‌کشد که در قرن بیست و یکم، پیشرفت‌های تکنولوژیکی می‌تواند به امنیت بیشتری برای اینترنت منجر شود، اما در عین حال، قابلیت ایجاد اختلال در زیرساخت‌های حیاتی را نیز دارد. رخنه به سیستم‌های آنتروپیک، واقعیت تلخی را برملا کرد که در جنگ‌های امنیتی، فناوری تنها بخشی از معادله است و عامل انسانی همچنان عنصر غیرقابل پیش‌بینی باقی می‌ماند.

امروز در آستانه دورانی هستیم که امنیت سایبری دیگر صرفاً یک فعالیت واکنشی نیست، بلکه به فرآیندی پیوسته و هوشمند تبدیل شده است. موفقیت در این فضا نیازمند همکاری جهانی، شفافیت در ارزیابی ریسک‌ها و افزایش آگاهی دیجیتال عمومی است. هوش مصنوعی مانند شمشیری دو لبه عمل می‌کند که هم به هکرها و هم به مدافعان قدرت می‌دهد؛ ولی این هوش، تنها زمانی کارآمد خواهد بود که با عقل و نظارت انسانی ترکیب شود.

منابع: businesstoday، aisi، theguardian، pcmag

۵۸۳۲۱