آنچه در این مطلب می‌خوانید
اینترنت یکی از مهم‌ترین زیرساخت‌های زندگی مدرن است؛ شبکه‌ای که بانک‌ها، بیمارستان‌ها، کسب‌وکارها، دولت‌ها، دانشگاه‌ها و میلیاردها کاربر روزانه به آن وابسته‌اند. بااین‌حال، بخش بزرگی از خدمات اینترنتی بر نرم‌افزارهایی بنا شده‌اند که طی سال‌ها توسعه یافته‌اند و در بسیاری از موارد، امنیت از ابتدا به‌عنوان یکی از اصول بنیادی طراحی آن‌ها در نظر گرفته نشده است. در این نوشته به سراغ بحث مهم بازسازی اینترنت رفته‌ایم.
اکنون هوش مصنوعی در حال تغییر معادله امنیت سایبری است. ابزارهای مبتنی بر هوش مصنوعی می‌توانند شناسایی آسیب‌پذیری‌ها و اجرای بخش‌هایی از فرایند حمله را سریع‌تر و در دسترس‌تر کنند. در نتیجه، ضعف‌هایی که پیش‌تر کشف یا بهره‌برداری از آن‌ها به تخصص و زمان زیادی نیاز داشت، ممکن است با سرعت بیشتری به تهدیدهای عملی تبدیل شوند.
این موضوع محور قسمت جدید پادکست Galaxy Brain نشریه The Atlantic با عنوان «Is It Time to Rebuild the Internet?» است. چارلی وُرزل در این قسمت با الکس استاموس، متخصص امنیت سایبری، درباره تغییر ماهیت تهدیدهای دیجیتال و ضرورت بازنگری در معماری نرم‌افزارهای اینترنتی گفت‌وگو می‌کند.
خلاصه سریع
- هوش مصنوعی می‌تواند مراحل مختلف حمله سایبری بدون کلیک را خودکار کند و سرعت کشف و بهره‌برداری از آسیب‌پذیری‌ها را افزایش دهد.
- بسیاری از خدمات آنلاین بر پایه نرم‌افزارها و کدهای قدیمی ساخته شده‌اند که اصلاح و نگهداری امنیتی آن‌ها دشوار است.
- رویکرد سنتیِ کشف آسیب‌پذیری، انتشار وصله و نصب آن دیگر به‌تنهایی برای مقابله با تهدیدهای جدید کافی نیست.
- الکس استاموس پیشنهاد می‌کند سازمان‌ها به‌تدریج نرم‌افزارهای حساس را با زبان‌های برنامه‌نویسی ایمن‌تر از نظر حافظه و روش‌های اعتبارسنجی رسمی بازنویسی کنند.
- کاربران نیز باید با استفاده از گذرواژه‌های منحصربه‌فرد، مدیر گذرواژه و Passkey، امنیت حساب‌های خود را تقویت کنند.
چرا امنیت اینترنت به یک مسئله فوری تبدیل شده است؟
اینترنت در طول چند دهه گذشته رشد کرده و از مجموعه‌ای از شبکه‌ها و خدمات محدود به زیرساختی جهانی تبدیل شده است. در این مسیر، نرم‌افزارهای متعددی به آن اضافه شده‌اند؛ برخی از آن‌ها بارها توسعه یافته‌اند و برخی دیگر همچنان بر پایه ساختارها و تصمیم‌های فنی قدیمی فعالیت می‌کنند.
مشکل اینجاست که رشد خدمات دیجیتال همیشه با بازطراحی امنیتی زیرساخت‌ها همراه نبوده است. بسیاری از سازمان‌ها به‌جای جایگزین‌کردن معماری‌های آسیب‌پذیر، معمولاً به اصلاح خطاهای کشف‌شده و نصب به‌روزرسانی‌های امنیتی متکی بوده‌اند.
این رویکرد تا حدی مؤثر بوده است؛ اما با ورود ابزارهای هوش مصنوعی به فرایندهای حمله سایبری، سرعت و مقیاس تهدیدها تغییر می‌کند.
در توضیح این وضعیت، استاموس به دوره‌ای اشاره می‌کند که برخی متخصصان امنیت سایبری آن را «Black October» نامیده‌اند؛ دوره‌ای که در آن حملات و تلاش‌های مبتنی بر هوش مصنوعی، ضعف‌های موجود در خدمات آنلاین را بیش از پیش آشکار کرده‌اند.
نکته اصلی این نیست که اینترنت به‌طور کامل از کار خواهد افتاد؛ مسئله این است که بخش‌هایی از زیرساخت نرم‌افزاری آن ممکن است در برابر تهدیدهای جدید به‌اندازه کافی مقاوم نباشند.
هوش مصنوعی چگونه توان حملات سایبری را افزایش می‌دهد؟
در گذشته، اجرای یک حمله سایبری پیچیده معمولاً به دانش تخصصی، تجربه و زمان قابل‌توجه نیاز داشت. مهاجم باید آسیب‌پذیری را شناسایی می‌کرد، شرایط بهره‌برداری از آن را می‌فهمید و سپس مراحل مختلف حمله را اجرا می‌کرد.
هوش مصنوعی می‌تواند بخشی از این فرایند را خودکار کند.
برای مثال، ابزارهای هوشمند می‌توانند در شناسایی الگوهای آسیب‌پذیر در کد، تحلیل رفتار نرم‌افزار، بررسی مسیرهای احتمالی نفوذ و توسعه روش‌های بهره‌برداری نقش داشته باشند. در نتیجه، برخی مراحل حمله که پیش‌تر به نیروی انسانی متخصص وابسته بودند، سریع‌تر انجام می‌شوند.
یکی از مفاهیم مهم در این زمینه، زنجیره حمله یا Attack Kill Chain است. این اصطلاح به مجموعه مراحلی اشاره دارد که مهاجم برای شناسایی هدف، دستیابی اولیه، گسترش دسترسی و رسیدن به هدف نهایی طی می‌کند.
وقتی هوش مصنوعی بتواند بخش‌های بیشتری از این زنجیره را خودکار کند، تعداد بیشتری از مهاجمان بالقوه قادر خواهند بود حملات پیچیده‌تری را امتحان کنند.
بنابراین، تهدید فقط افزایش تعداد حملات نیست؛ بلکه کاهش هزینه و دشواری اجرای آن‌ها نیز اهمیت دارد.
آسیب‌پذیری‌های نرم‌افزاری؛ میراثی که اینترنت با خود حمل می‌کند
بخش مهمی از مشکلات امنیتی اینترنت به شیوه طراحی و توسعه نرم‌افزارها بازمی‌گردد.
بسیاری از سامانه‌های آنلاین بر پایه زبان‌ها، کتابخانه‌ها و چارچوب‌هایی ساخته شده‌اند که طی سال‌ها تکامل یافته‌اند. این نرم‌افزارها ممکن است در ابتدا برای نیازهای متفاوتی طراحی شده باشند و اکنون در مقیاس بسیار بزرگ و در محیط‌هایی حساس مورد استفاده قرار گیرند.
یکی از موضوعات مطرح‌شده در گفت‌وگوی The Atlantic، آسیب‌پذیری‌های مرتبط با PHP و Node.js است.
PHP یکی از زبان‌های پرکاربرد در توسعه وب است و بسیاری از وب‌سایت‌ها و سامانه‌های مدیریت محتوا از آن استفاده می‌کنند. به همین دلیل، کشف یک آسیب‌پذیری مهم در محیط اجرایی یا اجزای مرتبط با آن می‌تواند دامنه بالقوه بزرگی از سامانه‌ها را در معرض خطر قرار دهد.
البته گستردگی استفاده از یک زبان برنامه‌نویسی به معنای آسیب‌پذیربودن تمام وب‌سایت‌های مبتنی بر آن نیست. وجود آسیب‌پذیری، امکان بهره‌برداری از آن و آسیب‌پذیری واقعی یک سامانه به نسخه نرم‌افزار، پیکربندی، سطح دسترسی و اقدامات دفاعی وابسته است.
این تمایز برای مدیران فناوری اطلاعات اهمیت زیادی دارد: استفاده از یک فناوری پرکاربرد به‌تنهایی نشانه ناامنی نیست، اما وابستگی گسترده به اجزای مشترک می‌تواند دامنه اثر یک نقص امنیتی را افزایش دهد.
چرا وصله‌های امنیتی به‌تنهایی کافی نیستند؟
مدل رایج مدیریت آسیب‌پذیری معمولاً بر یک چرخه مشخص استوار است:
۱. کشف آسیب‌پذیری؛
۲. تحلیل و ارزیابی خطر؛
۳. توسعه اصلاحیه امنیتی؛
۴. انتشار وصله؛
۵. نصب و اعمال اصلاحیه در سامانه‌های آسیب‌پذیر.
این فرایند همچنان ضروری است، اما یک مشکل اساسی دارد: میان زمان کشف آسیب‌پذیری و زمان اصلاح کامل آن در همه سامانه‌ها فاصله وجود دارد.
در این فاصله، مهاجمان ممکن است از ضعف امنیتی استفاده کنند. حتی پس از انتشار وصله نیز همه سازمان‌ها فوراً آن را نصب نمی‌کنند. برخی زیرساخت‌ها قدیمی‌اند، برخی به سامانه‌های حیاتی وابسته‌اند و برخی دیگر منابع کافی برای به‌روزرسانی سریع ندارند.
در نتیجه، اصلاح یک آسیب‌پذیری در سطح تولیدکننده نرم‌افزار لزوماً به معنای ایمن‌شدن تمام سامانه‌های استفاده‌کننده از آن نیست.
استاموس بر همین محدودیت تأکید می‌کند و معتقد است سازمان‌ها باید از رویکرد صرفاً واکنشی فاصله بگیرند.
بازسازی نرم‌افزارها به‌جای وصله‌کردن بی‌پایان
پیشنهاد محوری استاموس، بازنگری در معماری نرم‌افزارهای حساس است. این پیشنهاد به معنای کنارگذاشتن اینترنت یا ساخت دوباره تمام پروتکل‌های شبکه نیست؛ بلکه بیشتر به بازنویسی و ایمن‌سازی اجزای نرم‌افزاری آسیب‌پذیر اشاره دارد.
یکی از راهکارهای مطرح‌شده، استفاده از زبان‌های برنامه‌نویسی Memory-Safe است.
برنامه‌نویسی ایمن از نظر حافظه چیست؟
برخی خطاهای امنیتی مهم از نحوه مدیریت حافظه در نرم‌افزار ناشی می‌شوند. برای نمونه، دسترسی به حافظه خارج از محدوده مجاز، استفاده از حافظه آزادشده یا مدیریت نادرست اشاره‌گرها می‌تواند زمینه اجرای کد مخرب یا دسترسی غیرمجاز را فراهم کند.
زبان‌های برنامه‌نویسی ایمن از نظر حافظه تلاش می‌کنند با محدودکردن یا کنترل این نوع عملیات، احتمال وقوع برخی دسته‌های آسیب‌پذیری را کاهش دهند.
Rust نمونه شناخته‌شده‌ای از این زبان‌هاست. سازوکار مالکیت و قواعد مدیریت حافظه در Rust به توسعه‌دهندگان کمک می‌کند بسیاری از خطاهای مرتبط با حافظه را پیش از اجرای برنامه شناسایی کنند.
البته استفاده از Rust به‌تنهایی امنیت کامل یک سامانه را تضمین نمی‌کند. آسیب‌پذیری‌های منطقی، ضعف در احراز هویت، پیکربندی نامناسب، خطاهای طراحی و مشکلات زنجیره تأمین نرم‌افزار همچنان ممکن است وجود داشته باشند.
بااین‌حال، انتقال تدریجی اجزای حساس به زبان‌ها و معماری‌های ایمن‌تر می‌تواند سطح مشخصی از ریسک را کاهش دهد.
نقش روش‌های رسمی و هوش مصنوعی در توسعه نرم‌افزار امن
بازسازی زیرساخت‌های نرم‌افزاری فقط به انتخاب یک زبان برنامه‌نویسی جدید محدود نمی‌شود. روش‌های اعتبارسنجی و آزمون نیز اهمیت دارند.
یکی از رویکردهای مطرح در این زمینه Formal Methods یا روش‌های رسمی است.
در این روش‌ها، ویژگی‌های مورد انتظار یک نرم‌افزار با استفاده از منطق و مدل‌های ریاضی تعریف و بررسی می‌شوند. هدف آن است که به‌جای اتکا صرف به آزمون‌های معمول، بتوان درباره درستی برخی رفتارهای نرم‌افزار با اطمینان بیشتری استدلال کرد.
هوش مصنوعی نیز می‌تواند در این فرایند نقش مکمل داشته باشد؛ برای مثال:
- شناسایی الگوهای آسیب‌پذیر در کدهای قدیمی؛
- کمک به تحلیل و مستندسازی نرم‌افزارهای پیچیده؛
- پیشنهاد اصلاحات و بازنویسی بخش‌های آسیب‌پذیر؛
- کمک به تولید آزمون‌های نرم‌افزاری؛
- پشتیبانی از بررسی و اعتبارسنجی کد.
بااین‌حال، خروجی مدل‌های هوش مصنوعی نباید بدون بررسی تخصصی وارد سامانه‌های حساس شود. تولید کد توسط هوش مصنوعی با اثبات امنیت آن یکسان نیست. بازبینی انسانی، آزمون امنیتی و اعتبارسنجی مستقل همچنان ضروری‌اند.
کدام سازمان‌ها بیشتر در معرض خطر هستند؟
همه سازمان‌ها از نظر سطح ریسک و توان دفاعی در شرایط یکسانی قرار ندارند.
شرکت‌های بزرگ فناوری و بانک‌ها ممکن است تیم‌های امنیتی، سامانه‌های پایش و بودجه قابل‌توجهی برای مدیریت تهدیدها داشته باشند. در مقابل، برخی سازمان‌های حیاتی با محدودیت منابع و وابستگی به نرم‌افزارهای قدیمی مواجه‌اند.
استاموس به‌ویژه درباره آسیب‌پذیری بیمارستان‌ها و خدمات عمومی کم‌برخوردار هشدار می‌دهد.
این نگرانی منطقی است؛ زیرا اختلال در چنین سازمان‌هایی فقط به از دسترس خارج‌شدن یک وب‌سایت محدود نمی‌شود. سامانه‌های بیمارستانی، خدمات شهری و زیرساخت‌های عمومی می‌توانند مستقیماً بر زندگی و امنیت افراد اثر بگذارند.
برای مثال، اختلال در سامانه‌های اطلاعات بیمارستانی ممکن است دسترسی به سوابق بیماران یا فرایندهای اداری و درمانی را دشوار کند. در خدمات عمومی نیز آسیب به سامانه‌های دیجیتال می‌تواند ارائه خدمات ضروری را مختل سازد.
ازاین‌رو، امنیت سایبری باید به‌عنوان بخشی از مدیریت ریسک سازمانی و تداوم کسب‌وکار در نظر گرفته شود، نه صرفاً مسئولیتی فنی در واحد فناوری اطلاعات.
کاربران عادی چگونه می‌توانند از خود محافظت کنند؟
بازسازی زیرساخت‌های اینترنتی فرایندی بلندمدت است و کاربران نمی‌توانند به‌تنهایی مشکلات معماری نرم‌افزارها را حل کنند. بااین‌حال، رعایت برخی اصول امنیتی می‌تواند احتمال آسیب‌دیدن حساب‌های شخصی را کاهش دهد.
استفاده از گذرواژه‌های منحصربه‌فرد
استفاده از یک گذرواژه در چندین سرویس، خطر بزرگی ایجاد می‌کند. اگر اطلاعات ورود یک سرویس افشا شود، مهاجم ممکن است همان ترکیب نام کاربری و گذرواژه را در سرویس‌های دیگر امتحان کند.
مدیر گذرواژه می‌تواند برای ساخت و نگهداری گذرواژه‌های قوی و متفاوت برای هر حساب مفید باشد.
استفاده از Passkey
Passkey روشی جدیدتر برای ورود به حساب‌های کاربری است که می‌تواند وابستگی به گذرواژه‌های سنتی را کاهش دهد. این روش معمولاً با سازوکارهای رمزنگاری کلید عمومی و خصوصی و احراز هویت دستگاه کار می‌کند.
در سرویس‌هایی که از Passkey پشتیبانی می‌کنند، استفاده از آن می‌تواند در برابر برخی حملات فیشینگ مقاومت بیشتری ایجاد کند.
احتیاط در برابر پیام‌ها و صفحات جعلی
با پیشرفت ابزارهای هوش مصنوعی، پیام‌های فریبنده می‌توانند طبیعی‌تر و شخصی‌سازی‌شده‌تر به نظر برسند. بنابراین نباید صرفاً بر کیفیت نگارش یا ظاهر یک پیام برای تشخیص معتبر بودن آن تکیه کرد.
بررسی دامنه وب‌سایت، پرهیز از ورود اطلاعات حساس از طریق لینک‌های ناشناس و استفاده از روش‌های احراز هویت مقاوم در برابر فیشینگ اهمیت بیشتری پیدا می‌کند.
جداسازی حساب‌ها و دستگاه‌ها
استفاده از حساب‌های جداگانه برای فعالیت‌های حساس و غیرحساس می‌تواند دامنه اثر برخی حملات را محدود کند. همچنین دستگاه‌هایی با سطح دسترسی محدود و نرم‌افزارهای به‌روز، در برخی سناریوها انتخاب مناسب‌تری برای فعالیت‌های روزمره هستند.
پیامدهای این تحول برای مدیران فناوری اطلاعات و کسب‌وکارها
مباحث مطرح‌شده در این قسمت از The Atlantic برای مدیران سازمان‌ها چند پیام مهم دارد.
نخست، مدیریت آسیب‌پذیری باید از یک فعالیت مقطعی به یک فرایند مستمر تبدیل شود. سازمان‌ها باید بدانند چه نرم‌افزارها، کتابخانه‌ها و اجزایی در زیرساخت آن‌ها استفاده می‌شود و هرکدام چه سطحی از ریسک دارند.
دوم، به‌روزرسانی امنیتی باید اولویت عملیاتی داشته باشد. انتشار وصله کافی نیست؛ سازمان باید از نصب موفق آن و نبود شواهد نفوذ پیشین اطمینان حاصل کند.
سوم، معماری نرم‌افزارهای حساس باید به‌تدریج بازبینی شود. در سامانه‌هایی که ریسک بالایی دارند، بازنویسی هدفمند برخی اجزا ممکن است در بلندمدت از ادامه نگهداری نرم‌افزارهای ناامن مقرون‌به‌صرفه‌تر باشد.
چهارم، امنیت باید در تصمیم‌های سرمایه‌گذاری فناوری حضور داشته باشد. انتخاب نرم‌افزار، تأمین‌کننده، زبان برنامه‌نویسی و زیرساخت ابری فقط تصمیم‌های مربوط به هزینه و عملکرد نیستند؛ این انتخاب‌ها بر ریسک امنیتی سازمان نیز اثر می‌گذارند.
آیا واقعاً باید اینترنت را از نو ساخت؟
عنوان پادکست ممکن است این تصور را ایجاد کند که اینترنت فعلی باید کنار گذاشته شود و شبکه‌ای کاملاً جدید جای آن را بگیرد. اما بحث اصلی چنین نیست.
اینترنت مجموعه‌ای عظیم از پروتکل‌ها، شبکه‌ها، مراکز داده، سامانه‌های نرم‌افزاری و خدمات آنلاین است. بازسازی یکپارچه تمام این ساختار نه عملی است و نه لزوماً ضروری.
آنچه استاموس مطرح می‌کند، ضرورت حرکت از اصلاحات واکنشی به سمت بازطراحی پیشگیرانه بخش‌هایی از نرم‌افزارهای حساس است.
به بیان دیگر، باید میان دو مفهوم تفاوت قائل شد:
- بازسازی اینترنت به‌عنوان شبکه جهانی: تغییر بنیادی پروتکل‌ها و زیرساخت ارتباطی اینترنت.
- بازسازی زیرساخت نرم‌افزاری اینترنت: اصلاح یا جایگزینی نرم‌افزارها، زبان‌ها و اجزای آسیب‌پذیر خدمات آنلاین.
تمرکز گفت‌وگو عمدتاً بر مفهوم دوم است.
بنابراین، مسئله اصلی نابودی اینترنت نیست؛ بلکه افزایش تاب‌آوری آن در برابر تهدیدهایی است که با کمک هوش مصنوعی سریع‌تر و پیچیده‌تر می‌شوند.
نتیجه‌گیری: امنیت آینده اینترنت به تصمیم‌های امروز وابسته است
هوش مصنوعی فقط ابزار جدیدی برای توسعه نرم‌افزار و ارائه خدمات دیجیتال نیست؛ این فناوری می‌تواند توان مهاجمان سایبری را نیز افزایش دهد. در چنین شرایطی، اتکا به روش‌های سنتی مدیریت آسیب‌پذیری و اصلاح مداوم خطاها ممکن است برای حفاظت از زیرساخت‌های حساس کافی نباشد.
گفت‌وگوی الکس استاموس و چارلی وُرزل در The Atlantic توجه را به یک مسئله بنیادی جلب می‌کند: امنیت اینترنت باید از مرحله واکنش به حملات فراتر برود و در معماری نرم‌افزارها، انتخاب زبان‌های برنامه‌نویسی، فرایند توسعه و سیاست‌های سرمایه‌گذاری فناوری نهادینه شود.
برای سازمان‌ها، این تحول به معنای بازنگری در دارایی‌های نرم‌افزاری و اولویت‌بندی بازسازی اجزای پرخطر است. برای کاربران نیز به معنای جدی‌گرفتن امنیت حساب‌ها و استفاده از روش‌های احراز هویت مقاوم‌تر است.
شاید اینترنت به معنای دقیق کلمه نیازمند بازسازی کامل نباشد؛ اما بخش‌هایی از زیربنای نرم‌افزاری آن قطعاً به بازنگری جدی نیاز دارند.
پرسش‌های متداول
آیا هوش مصنوعی می‌تواند به‌تنهایی حملات سایبری را انجام دهد؟
هوش مصنوعی می‌تواند بخش‌هایی از فرایند حمله، مانند تحلیل کد و شناسایی آسیب‌پذیری‌ها را خودکار کند. میزان استقلال و موفقیت آن به ابزار، هدف، دسترسی و شرایط فنی بستگی دارد و نباید همه حملات را کاملاً خودکار فرض کرد.
منظور از بازسازی اینترنت چیست؟
در این بحث، منظور عمدتاً بازنویسی یا جایگزینی بخش‌هایی از نرم‌افزارهای قدیمی و آسیب‌پذیر با معماری‌ها و زبان‌های ایمن‌تر است؛ نه ساخت دوباره تمام شبکه جهانی اینترنت.
چرا زبان Rust در امنیت سایبری مطرح می‌شود؟
Rust با سازوکارهای ایمنی حافظه، احتمال برخی خطاهای رایج در مدیریت حافظه را کاهش می‌دهد. این ویژگی می‌تواند در توسعه نرم‌افزارهای حساس مفید باشد، هرچند امنیت کامل را تضمین نمی‌کند.
آیا نصب به‌روزرسانی‌های امنیتی دیگر کافی نیست؟
به‌روزرسانی همچنان ضروری است، اما فاصله زمانی میان کشف آسیب‌پذیری، انتشار اصلاحیه و نصب آن می‌تواند فرصت حمله ایجاد کند. به همین دلیل، اقدامات پیشگیرانه و بازطراحی معماری نیز اهمیت دارند.
کاربران عادی برای افزایش امنیت خود چه کاری انجام دهند؟
استفاده از گذرواژه‌های منحصربه‌فرد، مدیر گذرواژه، Passkey در سرویس‌های پشتیبان، به‌روزرسانی دستگاه‌ها و احتیاط در برابر لینک‌ها و پیام‌های مشکوک از اقدامات مهم هستند.
منابع
Warzel, C. (2026, October 30). Is it time to rebuild the internet? The Atlantic. https://www.theatlantic.com/podcasts/2026/10/is-it-time-to-rebuild-the-internet/689218/
The Atlantic. (2026, October 30). Is it time to rebuild the internet? Galaxy Brain [Podcast episode]. The Atlantic.
دیدگاه‌ها