كلينت جيبلر يتحدث عن الذكاء الاصطناعي والأمن السيبراني: الوضع الحالي للفن وإلى أين نتجه

ChatGPT هو مجرد البداية. يتم إطلاق أدوات الذكاء الاصطناعي الجديدة بشكل متكرر، وتوفر الأدوات الجديدة وظائف جديدة. مع التاريخ الطويل للتعلم الآلي الذي يتم استخدامه كجزء من الأمن السيبراني، كيف أصبحت التطورات الأخيرة في الذكاء الاصطناعي وLLMs (نماذج اللغات الكبيرة) جزءًا من مشهد الأمن السيبراني؟ كيف يمكن لأدوات الذكاء الاصطناعي أن تجعل ممارسات الأمن السيبراني أكثر كفاءة؟ وهل سيحل الذكاء الاصطناعي محل الأمن السيبراني؟ (تنبيه المفسد: لن يحدث ذلك.)

كجزء من سلسلة CloudSec 360، تحدث Wiz مع كلينت جيبلر، رئيس قسم الأبحاث الأمنية في Semgrep (ومؤسس tldrsec.com النشرة الإخبارية). انضم إلينا كلينت لمناقشة العديد من حالات استخدام الذكاء الاصطناعي في مجال الأمن السيبراني، ولمشاركة أفكاره الخاصة حول كيف يمكن لخبراء الأمن الاستفادة من أدوات الذكاء الاصطناعي لصالحهم.

أهم ملاحظات كلينت:

• يمكن للذكاء الاصطناعي أن يساعد في حل بعض المشاكل، في بعض النواحي، إذا استخدمت بشكل صحيح.

• الذكاء الاصطناعي لا يعمل بشكل مثالي في كل مرة؛ إنها أداة التي يمكننا استخدامها للقيام بعملنا بسرعة أكبر، وسهولة، وبتكلفة أقل.

• الذكاء الاصطناعي لا يجعل كل شيء مثاليًا؛ النقطة المهمة هي استخدامه مثل أي أداة أخرى، في محاولة لحل المشاكل الحقيقية.

التعاريف والمفاهيم حول الذكاء الاصطناعي والماجستير في إدارة الأعمال

لتأسيس تفاهم بين جمهور الندوة عبر الإنترنت، بدأ كلينت حديثه بتعريف سريع لنماذج اللغات الكبيرة. يمكنك التفكير في LLMs مثل تطبيقات الإكمال التلقائي للكلمة التالية؛ يتم تدريبهم بشكل أساسي من خلال أخذ كمية هائلة من البيانات من الإنترنت (مثل ويكيبيديا، وتجاوز سعة المكدس، والكتب المدرسية، وما إلى ذلك)، ودمجها مع الكثير من وقت الحوسبة ووقت التدريب. والنتيجة هي نموذج ذكي بشكل مدهش! بعض اللاعبين الأساسيين في مجال LLM هم OpenAI وChatGPT وGoogle’s Bard وAnthropic’s Claude وHugging Face (منصة تعاون مجتمع الذكاء الاصطناعي).

تحتوي موجه الذكاء الاصطناعي على عدد قليل من المكونات الأساسية: شخصية المستخدم (خبير أمني، محامٍ، وما إلى ذلك)، والمهمة (تحليل الكود التالي)، والبيانات (الكود، والسجلات، ومراجعات المستخدم). كما عرّف كلينت المصطلحات التالية في سياق الذكاء الاصطناعي:

• مطالبة قليلة بالرصاص: توجيه النموذج بعدد صغير من أمثلة المدخلات التي توضح ما تريد أن يفعله النموذج. على سبيل المثال، إذا كنت تحاول تصنيف سجل على أنه ضار أم لا، فيمكنك تضمين سطرين والقول، “هذا سيء/هذا آمن”.

• نافذة السياق: ما مقدار النص الذي يمكنك تقديمه لشهادة LLM في وقت واحد؛ منطقة نشطة للبحث.

• ناقلات ديسيبل: في بعض الأحيان، ستعمل مع نص أكبر مما يمكنك احتواؤه ضمن حد 4000 رمز مميز. قد ترغب في تخزينه في Vector DB، حيث يمكنك فهرسة المحتوى من ملفات PDF أو النصوص أو قواعد التعليمات البرمجية أو مستندات شركتك أو قاعدة المعارف الداخلية، وما إلى ذلك. تريد أن تكون قادرًا على جعل LLM يشير بسهولة إلى تلك العناصر واستخدامها كسياق في إجاباته.

• استرجاع الجيل المعزز: مصطلح رائع لطريقة لتسلسل المعلومات ذات الصلة أو الداعمة تلقائيًا في الموجه الخاص بك.

• عامل: قد ترغب في تجاوز طلب واستجابة واحدة؛ قد ترغب في قيام LLM ببعض التخطيط أو رسم خطوات متعددة في وقت واحد. ويشار إلى هذا باستخدام LLM كوكيل.

• أدوات: قد ترغب في منح الوكلاء القدرة على القيام بأشياء أكثر من مجرد تحليل النص، على سبيل المثال إجراء بحث على Google، أو تقديم طلب API، أو تشغيل بعض التعليمات البرمجية.

حالات الاستخدام: كيف يتم استخدام الذكاء الاصطناعي وكيف يتم ذلك استطاع يمكن استخدامها

بعد ذلك، انتقل كلينت إلى قائمة حالات الاستخدام المتنوعة؛ على وجه التحديد، تلك التي يمكن فيها استخدام الذكاء الاصطناعي في سياق أمني (سواء من قبل الأشخاص الذين يهاجمون الأنظمة أو الأشخاص الذين يدافعون عنها). كانت أمثلة كلينت وفيرة ورائعة. سنناقش بعضًا منها – وليس كلها – هنا. (للحصول على القائمة الكاملة للأمثلة، نحن نشجعك على ذلك شاهد الندوة عبر الإنترنت كاملة!)

التصيد

تحاول معظم الشركات التي تنشئ شهادات LLM تصميمها بطريقة تمنع استخدامها في نشاط إجرامي، ولكن هناك استثناءات. لقد وجد مجرمو الإنترنت طرقًا لاستخدام الذكاء الاصطناعي التوليدي للتصيد الاحتيالي. على الرغم من سهولة اكتشاف العديد من محاولات التصيد الاحتيالي، إلا أن الأدوات أصبحت أكثر تعقيدًا. أحد الأمثلة على ذلك هو شيشرون، عميل الذكاء الاصطناعي الذي كان فعالا للغاية في لعب لعبة “الدبلوماسية”. واستطاع الوكيل أن يقنع الناس ويتفاوض معهم ويتعاون معهم. وفي الواقع، فقد حققت ضعف متوسط ​​درجات اللاعبين البشريين على موقع webdiplomacy.net. وبالمثل، يمكن توجيه وكيل LLM لاستخلاص الملفات الشخصية على وسائل التواصل الاجتماعي للفرد، ثم إرسال رسالة تصيد مخصصة إلى ذلك الشخص والتفاعل معه إذا استجاب. ولحسن الحظ، هناك شركات تعمل على منتجات مصممة لتحديد المحتوى الذي ينشئه الذكاء الاصطناعي (مقابل المحتوى الذي ينشئه الإنسان). ولكن، كما يقول كلينت، “إنها لعبة القط والفأر”، حيث يتم تصميم أدوات أخرى لجعل محتوى الذكاء الاصطناعي غير قابل للاكتشاف.

أمن الويب

الانتقال إلى أمان الويب: لاحظ Clint وجود اثنين من ملحقات Burp Suite التي تستفيد من LLMs لتحليل طلبات HTTP واستجاباتها والبحث عن مشكلات الأمان المحتملة داخلها. وقال المتحدثون باسم Tenable ذلك أحد هذه الامتدادات تمكن من العثور بنجاح على البرمجة النصية عبر المواقع ورؤوس HTTP التي تم تكوينها بشكل خاطئ. اقترح كلينت أن هذا النوع من الأدوات سيكون مفيدًا إذا أمكن توسيعه. على سبيل المثال، يمكن أن تنظر هذه الملحقات في تسلسل الطلبات (مثل تدفق الدفع على موقع التجارة الإلكترونية، أو بروتوكول OAuth أو SAML). تخيل تمرير استدعاءات الوظائف عن بعد (RFCs) إلى LLM لتوضيح ما تعنيه الطلبات المختلفة، أو المعلمات المهمة. يمكن لـ LLM بعد ذلك تقديم ملاحظات مثيرة للاهتمام حول تلك التسلسلات. علاوة على ذلك، إذا تم توجيه الوكيل لتقديم طلبات HTTP بنفسه، فيمكنه مراقبة السلوك وتعديل المعلمات. ثم وصف كلينت أ مشروع تم تصميمه لإنشاء مواصفات OpenAPI تلقائيًا من التعليمات البرمجية المصدر، باستخدام Semgrep لاستخراج المسارات والمعلمات وLLM لاستنتاج أنواع المعلمات.

التبعيات الضارة

لقد رأى كلينت أن العديد من الشركات تعمل في هذا المجال، على الرغم من أن “طريقة عملها تختلف قليلًا”. في هذا المثال، تخيل أنك تراقب باستمرار مديري الحزم مثل npm وPyPi. مع ظهور حزم جديدة، يمكنك تحليلها باستخدام أداة تحليل ثابتة خفيفة الوزن، ثم تمريرها إلى ماجستير إدارة الأعمال مع مجموعة مما يلي: شخصية (باحث خبير في الأمن السيبراني)، وبعض القدرات (مثل الكتابة إلى نظام الملفات أو تقديم طلبات الشبكة)، والبيانات الوصفية (أوجه التشابه مع أسماء الحزم الأخرى، أو عمر حساب مدير الحزم). ربما قامت أدواتك بالفعل بوضع علامة على بعض التعليمات البرمجية المصدر على أنها مشبوهة. يمكنك الجمع بين مجموعة من هذه العوامل ثم مطالبة ماجستير إدارة الأعمال بتعيين تصنيف مخاطر للحزمة، وتسجيل احتمالية كونها برامج ضارة من 0 إلى 10. (من المحتمل أن يقوم الإنسان بعد ذلك بفرز هذا التقييم).

نمذجة التهديد

باستخدام أداة نمذجة التهديد مثل ستيردي جي بي تي، فإنك تقدم وصفًا لتطبيقك وتحدد نوع البيانات التي يعالجها. يقوم Stride GPT بعد ذلك بإصدار نموذج تهديد و/أو شجرة هجوم و/أو بعض عناصر التحكم المخففة. نظرًا لأن نمذجة التهديدات ثقيلة جدًا على النصوص، فهذه حالة استخدام رائعة لطلاب LLM. ولكن ما الذي يمكن أن تفعله نمذجة التهديدات بالذكاء الاصطناعي؟ هل يمكننا برمجيًا سحب وصف التطبيق (مستند النطاق)؟ وهل يمكن أيضًا جمع تحليل الكود الخفيف بواسطة الذكاء الاصطناعي؟ هل يمكننا جمع كل ما نحتاجه تلقائيًا، وتقديمه للمستخدم وسؤاله عما إذا كان صحيحًا، والسماح للمستخدم بتحريره، ثم إرساله؟ مع هذه الفكرة، الهدف ليس أن يكون الإخراج مثاليًا، ولكن توفير الوقت، حيث أن التحرير بشكل عام أسهل وأسرع من الكتابة من الصفر. استنتاج كلينت: “حتى لو لم يكن الأمر مثاليًا، إذا كنا نوفر على الناس الكثير من الوقت، أعتقد أن هذا لا يزال يمثل فوزًا”.

الأمن السحابي

في مجال الأمان السحابي، تستعلم أداة تسمى EscalateGPT عن واجهة برمجة تطبيقات AWS، وترجع مجموعة من سياسات IAM، وتمررها إلى الذكاء الاصطناعي المفتوح، وتطلب منها البحث عن تصعيد الامتيازات. في الاختبار مقابل بيئات AWS الواقعية، وجد المستخدمون أن GPT4 تمكن من تحديد السيناريوهات المعقدة لتصعيد الامتيازات بناءً على سياسات غير تافهة من خلال حسابات IAM المتعددة. يقول كلينت إنه سيكون فضوليًا لرؤية معيار لمدى جودة أداء هذه الأداة مقارنة بالأدوات الموجودة التي تم ترميزها يدويًا لنفس الغرض.

تشويش

لكي يكون التشويش فعالاً، نحتاج إلى تغطية جيدة للتعليمات البرمجية – كلما زاد عدد التعليمات البرمجية التي تمارسها، زادت احتمالية عثورك على الأخطاء. تتمثل فكرة كلينت في أخذ البنية التحتية الغامضة الموجودة لديك والسؤال، “أين لا تتوفر لدينا تغطية جيدة اليوم؟” يمكنك تمرير ذلك إلى LLM الذي يقوم بإنشاء تعليمات برمجية ويكتب لك أدوات اختبار غامضة؛ ومن ثم يمكنك تنفيذ المزيد من الوظائف في أجزاء من التعليمات البرمجية التي لم تمارسها بعد. استشهد كلينت بمدونة من Google بتاريخ تقنية التزجيج التي تعمل بالذكاء الاصطناعي كمورد مثير للاهتمام.

تأملات كلينت حول الذكاء الاصطناعي

يبدو أن إمكانيات الذكاء الاصطناعي في مجال الأمن السيبراني لا نهاية لها؛ لكن الذكاء الاصطناعي ليس حلاً شاملاً. يمكن أن يساعد في حل بعض المشكلات، في بعض النواحي، عندما يتم استخدامه بشكل صحيح. وحتى لو لم يعمل بشكل مثالي، فيمكن استخدامه لإنجاز الكثير من الأعمال بشكل أسرع وأسهل وأرخص. يقترح كلينت التفكير في الذكاء الاصطناعي كأداة، مثل أي أداة أخرى، يمكن استخدامها لحل مشاكل المستخدم الحقيقية.

تعمق أكثر في أمثلة كلينت وأفكاره وموارده

شاهد الندوة عبر الإنترنت كاملة للاستماع إلى حديث كلينت الشامل والمدروس حول الذكاء الاصطناعي والأمن السيبراني!