هکرهای انسانی هنوز چه کاری را بهتر از هوش مصنوعی انجام می‌دهند؟
کارا اسپریگ، مدیرعامل هکروان، توضیح می‌دهد که چرا درک منطق کسب‌وکار و قضاوت دربارهٔ آسیب‌پذیری‌ها همچنان برتری انسان بر هوش مصنوعی در دنیای باگ‌بانتی است.
در دنیایی که هوش مصنوعی می‌تواند ظرف چند دقیقه یک آسیب‌پذیری نرم‌افزاری را کشف کند، شاید تصور کنیم دوران هکرهای انسانی به سر آمده است. اما واقعیت چیز دیگری می‌گوید. کارا اسپریگ، مدیرعامل پلتفرم هکروان (HackerOne)، در مصاحبه‌ای تازه با Help Net Security روشن کرده است که چرا پژوهشگران امنیتی هنوز در برخی حوزه‌ها دست بالاتر را دارند و مدل جمع‌سپاری چگونه در حال تحول است. 🛡️
🧠 برتری انسان: درک منطق کسب‌وکار
هوش مصنوعی در یافتن الگوهای آشنا و آسیب‌پذیری‌های رایج در مقیاس بزرگ عملکرد فوق‌العاده‌ای دارد، اما وقتی پای «منطق کسب‌وکار» به میان می‌آید، لنگ می‌زند. اسپریگ تأکید می‌کند که تشخیص اهمیت یک باگ برای سازمانِ هدف، نیازمند فهم نحوهٔ استفاده از سیستم و پیامدهای احتمالی آن است.
- 🔄 سوءاستفاده از فرآیند بازپرداخت وجه که ظاهراً بی‌خطر به نظر می‌رسد.
- 🚪 دور زدن مراحل تأیید هویت یا مجوزها در یک گردش کار خاص.
- 🧩 ترکیب چند رفتار به‌ظاهر عادی که در کنار هم امکان تسخیر حساب کاربری را فراهم می‌کنند.
شناسایی این موارد نیازمند درک فرآیند مورد انتظار و تجسم سناریوهای حمله است؛ کاری که هنوز نقطهٔ قوت ذهن انسان محسوب می‌شود.
«۷۲ درصد از پژوهشگران امنیتی در گزارش سال ۲۰۲۶ هکروان، نقص‌های منطق کسب‌وکار را سریع‌ترین دستهٔ در حال رشد در کار خود معرفی کرده‌اند.»
⚖️ آیا مدل جمع‌سپاری منسوخ می‌شود؟
هکروان کسب‌وکار خود را بر پایهٔ ایدهٔ «چشم‌های بیشتر، باگ‌های بیشتر» بنا کرد. حالا که ماشین‌ها هم جزو این چشم‌ها شده‌اند، آیا این مدل قدیمی شده است؟ پاسخ اسپریگ منفی است. او معتقد است هوش مصنوعی مدل جمع‌سپاری را تقویت می‌کند، هرچند ارزش یافته‌های تکراری و روتین کاهش یافته است.
مزیت اصلی جمع‌سپاری همیشه تنوع دیدگاه‌ها بوده است. انسان‌ها مهارت‌ها و ایده‌های متفاوتی برای حمله به یک سیستم دارند. افزودن مدل‌های هوش مصنوعی که اغلب روی داده‌های مشابه آموزش دیده‌اند، لزوماً همین تنوع را ایجاد نمی‌کند. آمارها نیز این ادعا را تأیید می‌کنند:
- 💰 پرداختی به پژوهشگران در نیمهٔ اول ۲۰۲۶ حدود ۲۶ درصد رشد سالانه داشته است.
- 📈 تعداد برنامه‌هایی که دارایی‌های مبتنی بر هوش مصنوعی را در دامنهٔ بررسی قرار داده‌اند، طی دو سال دو برابر شده است.
- 🐛 گزارش‌های معتبر مربوط به آسیب‌پذیری‌های هوش مصنوعی ۲۲۲ درصد افزایش یافته‌اند.
💸 سقوط قیمت باگ‌های متوسط
پاداش‌های باگ‌بانتی بر اساس اصل کمیابی تعیین می‌شوند. اگر هوش مصنوعی کشف باگ‌های روتین را آسان کند، چه بر سر قیمت یک آسیب‌پذیری با شدت متوسط می‌آید؟ اسپریگ پیش‌بینی می‌کند که این دسته از باگ‌ها درآمد کمتری برای هکرها خواهند داشت.
از ژانویهٔ ۲۰۲۵، حجم گزارش‌های ارسالی ۲.۸ برابر شده، اما گزارش‌های معتبر تنها ۱.۹ برابر رشد داشته‌اند. این یعنی سیل عظیمی از گزارش‌های تکراری، خارج از محدوده یا اسپم تولید می‌شود. برنامه‌ها اکنون برای یافته‌های حیاتی و نوآورانه پول بیشتری می‌پردازند و برای مسائل سطح پایین یا قابل‌خودکارسازی، پاداشی در نظر نمی‌گیرند.
🔍 چالش تفکیک نویز از سیگنال
مدیران برنامه‌ها از کیفیت پایین گزارش‌ها گلایه دارند. اسپریگ می‌گوید ارائهٔ نسبت دقیقی از گزارش‌های مفیدِ تولیدشده توسط هوش مصنوعی در برابر گزارش‌های بی‌ارزش دشوار است، زیرا مرز بین کار انسان و ماشین محو شده است. بسیاری از گزارش‌های خوب امروز با کمک هوش مصنوعی نوشته می‌شوند.
هوش مصنوعی تولید گزارش‌های متقاعدکننده را آسان کرده، اما راستی‌آزمایی ادعاهای آن‌ها همچنان زمان‌بر است. به همین دلیل، پلتفرم‌ها محدودیت‌هایی بر ارسال گزارش بر اساس سابقهٔ پژوهشگران اعمال کرده‌اند.
🏁 جمع‌بندی
هوش مصنوعی ابزار قدرتمندی برای سرعت بخشیدن به کشف آسیب‌پذیری‌هاست، اما جایگزین قضاوت، خلاقیت و درک عمیق انسانی نشده است. پژوهشگرانی که بتوانند مهارت‌های خود را با هوش مصنوعی ترکیب کنند و تمرکزشان را بر پیچیدگی‌های منطق کسب‌وکار بگذارند، در بازار امنیت سایبری آینده جایگاه مستحکم‌تری خواهند داشت. 🔐