أصبح اختبار الاختراق بالذكاء الاصطناعي (AI pentesting) موضوعًا ساخنًا في مجال الأمن السيبراني، ويتساءل الكثيرون عما إذا كان يمكن أن يضاهي أو يتفوق على اختبار الاختراق البشري التقليدي. يشاركنا Daniel Thatcher، مهندس أبحاث أمنية في شركة Intruder، رؤيته المبنية على أكثر من عشر سنوات من الخبرة في المجال.
منهجية الاختبار: بين الصرامة والحرية
في البداية، حاولت Intruder تطبيق منهجية صارمة على وكلاء الذكاء الاصطناعي، بحيث يركز كل وكيل على نوع معين من الثغرات. النتيجة: الوكلاء أغفلوا كثيرًا ما يقع خارج نطاقهم أو صنفوا الأخطاء بطريقة خاطئة. بالمقابل، عندما تُرك الوكلاء يعملون بلا توجيه، وجدوا صعوبة في إدارة التطبيقات الكبيرة وفقدوا تغطية شاملة.
توصلت الشركة إلى توازن بين الحرية والقيود: إعطاء الوكلاء أدوارًا واسعة مع توجيهات حذرة لمنع الأضرار. وهذا يعني أن تقرير الاختبار لا يتبع بالضرورة قائمة منهجية تقليدية، لكنه يركز على اكتشاف ما لا يمكن لقائمة ثابتة أن تغطيه.
ما يميز الوكلاء الذكائيين
يعتمد الوكلاء على نهج “صندوق أبيض”؛ يحصلون على شفرة المصدر بالكامل ويبنون صورة شاملة لتدفق التطبيق ووظائفه. بهذه الطريقة يستطيعون اكتشاف تجاوزات معقدة في المصادقة بقيامها بالعمل لخمسة أعوام دون أن يلاحظها أي اختبار بشري. كما يمكنهم التركيز على مخاوف محددة يحددها العميل، مثل منع وصول المستخدمين إلى بيانات بعضهم البعض.
من ناحية أخرى، لا يستطيع الوكلاء طرح أسئلة توضيحية كما يفعل المختبر البشري. لذا تم تزويدهم بآليات لتحديد نطاق الاختبار بدقة وتجنب الخروج عن الإطار المحدد.
النتائج العملية
- اكتشاف ثغرات معقدة لم تُكتشف في اختبارات بشرية سابقة.
- توفير تقارير تفصيلية تشمل سطر الكود المقترح لتصحيحه.
- سرعة التنفيذ: عميل واحد وجد 78 ثغرة وتم إصلاحها جميعًا في أيام قليلة.
- إمكانية تشغيل اختبارات متعددة بتكلفة أقل مقارنة باختبار بشري واحد.
برأينا، لا يمكن القول إن اختبار الاختراق بالذكاء الاصطناعي هو بديل كامل للإنسان، بل هو مكمل قوي يضيف طبقة إضافية من العمق والسرعة. يمكن للفرق الأمنية الآن إجراء اختبارات دورية متكررة، بدلاً من الاعتماد على اختبار سنوي واحد.
ما يعنيه ذلك للمطورين: إذا كان تطبيقك يمر بعملية اختبار منتظمة باستخدام الوكلاء الذكائيين، ستحصل على ملاحظات فورية وتفصيلية تساعدك على إصلاح الثغرات بسرعة قبل أن تُستغل. كما أن الاعتماد على تقارير دقيقة يخفّف من عبء مراجعة الكود اليدوية ويقلل من مخاطر الفشل في اكتشاف ثغرات غير شائعة.
المصدر: bleepingcomputer.com