‏هجوم گزارش‌های جعلی هوش مصنوعی به برنامه‌های پاداش باگ

‏هوش مصنوعی، دردسر جدیدی برای شرکت‌هایی ایجاد می‌کند که برای کشف آسیب‌پذیری‌های نرم‌افزاری به برنامه‌های پاداش باگ متکی هستند.

افزایش گزارش‌های جعلی

شرکت‌های امنیت سایبری و پروژه‌های نرم‌افزاری متن‌باز با سیل گزارش‌های باگ تولید شده توسط هوش مصنوعی مواجه هستند که بسیاری از آن‌ها نادرست یا گمراه‌کننده هستند. این موضوع بر اساس گزارشی از فایننشال تایمز است که می‌گوید افزایش تعداد گزارش‌های بی‌کیفیت، برخی سازمان‌ها را مجبور کرده است تا برنامه‌های پاداش باگ خود را متوقف کنند، زیرا تیم‌های امنیتی زمان بیشتری را صرف مرتب‌سازی آسیب‌پذیری‌های واقعی از هرزنامه‌ها می‌کنند.

بازار بزرگ پاداش باگ

پاداش‌های باگ نیز به یک تجارت بزرگ تبدیل شده‌اند، به طوری که شرکت‌هایی از جمله متا، مایکروسافت، اپل و کریپتو.کام در سال ۲۰۲۵ حداقل ۵۸ میلیون دلار به محققانی پرداخت کردند که قبل از هکرها، نقص‌های نرم‌افزاری را پیدا کردند.

سوء استفاده از هوش مصنوعی

با این حال، ابزارهای هوش مصنوعی مولد، سوء استفاده از برنامه‌های پاداش باگ را نیز آسان‌تر می‌کنند و حجم زیادی از گزارش‌های آسیب‌پذیری نادرست یا بی‌کیفیت را در مقیاس وسیع تولید می‌کنند.

افزایش چشمگیر گزارش‌های جعلی

به گفته Bugcrowd، مستقر در سان فرانسیسکو، گزارش‌های ارسالی از طریق پلتفرم این شرکت در سه هفته در ماه مارس بیش از چهار برابر شده است. این شرکت که مشتریانی از جمله توسعه‌دهنده ChatGPT یعنی OpenAI دارد، اعلام کرد که اکثر این گزارش‌ها جعلی بوده‌اند.

توقف برنامه‌های پاداش

به دلیل سیل گزارش‌های تولید شده توسط هوش مصنوعی، برخی از شرکت‌ها قبلاً برنامه‌های پاداش عمومی خود را متوقف کرده‌اند.

تغییرات در برنامه‌های پاداش

راس مک‌کرچر، مدیر ارشد امنیت اطلاعات در شرکت امنیت سایبری Sophos، به فایننشال تایمز گفت: «پاداش‌های باگ باقی خواهند ماند [اما] باید تغییر کنند.»

تعلیق برنامه‌های پاداش

در ماه آوریل، پلتفرم امنیت سایبری HackerOne و پلتفرم میزبانی Nextcloud هر دو برنامه پاداش پولی خود را به حالت تعلیق درآوردند، و Nextcloud افزود که «هیچ پاداشی برای هیچ گزارشی، صرف نظر از شدت آن، اعطا نخواهد شد.»

چالش صنعت

Nextcloud نوشت: «همانطور که احتمالاً می‌دانید، این یک چالش در سراسر صنعت است و ما نیز مانند دیگران، نتوانسته‌ایم راه‌هایی برای مدیریت مسئولانه افزایش عظیم گزارش‌های بی‌کیفیت پیدا کنیم. ما امیدواریم که بتوانیم برنامه را پس از یافتن رویکردی قابل اعتماد برای فیلتر کردن گزارش‌های کم‌تلاش، دوباره راه‌اندازی کنیم.»

پیشرفت‌های هوش مصنوعی

این اخبار در حالی منتشر می‌شود که مدل‌های هوش مصنوعی در یافتن آسیب‌پذیری‌ها به طور فزاینده‌ای بهتر می‌شوند. در ماه مارس، Anthropic مدل Mythos را معرفی کرد، یک مدل هوش مصنوعی متمرکز بر سایبر که این شرکت می‌گوید می‌تواند آسیب‌پذیری‌ها را سریع‌تر از انسان‌ها شناسایی کند. این شرکت در حال حاضر این مدل را محرمانه نگه داشته و تنها به غول‌های فناوری، شرکت‌های امنیتی و دولت‌ها اجازه دسترسی می‌دهد.

عملکرد Mythos

در ماه آوریل، Claude Mythos در طول آزمایش‌های داخلی، ۲۷۱ آسیب‌پذیری را در Mozilla Firefox شناسایی کرد، در حالی که در اوایل این ماه، محققان امنیتی اعلام کردند که یک نسخه پیش‌نمایش از این مدل به توسعه یک اکسپلویت که تراشه‌های M5 اپل را هدف قرار می‌دهد، کمک کرده است.

پیش‌بینی‌های بازار

کاربران Myriad – یک پلتفرم بازار پیش‌بینی که توسط شرکت مادر Decrypt، Dastan، اداره می‌شود – معتقد نیستند که Claude Mythos تا پایان ماه ژوئن به صورت عمومی منتشر شود و در حال حاضر تنها ۱۸٪ احتمال برای آن در نظر گرفته‌اند.