چرا گزارشهای امنیتی دیگه خاص نیستن؟
هوش مصنوعیخلاصهٔ کاملتر
فیلیپو والسوردا، که سالها رهبری تیم امنیتی زبان Go رو بر عهده داشته، تو این پست میگه همیشه به اعضای تازهٔ تیم گفته که برخلاف باقی ایشو و PRهای اوپنسورس که میشه قبول یا رد یا نادیده گرفتشون، گزارشهای آسیبپذیری امنیتی یه استثنان: پژوهشگرهای امنیتی با گزارش محرمانه بهجای افشای کامل، به پروژه لطف میکنن، پس پروژه هم موظفه سریع جواب بده، پیگیری کنه و در نهایت از کاشفش تقدیر کنه.
به گفتهٔ نویسنده، این معامله همیشه بر پایهٔ این بوده که بینش پژوهشگر و محرمانهنگهداشتنش کمیاب و باارزشه، و همین چیزیه که به پروژه اجازه میده قبل از اینکه مهاجمها از آسیبپذیری سوءاستفاده کنن، یه وصله بسازه. در نهایت هم همهچی برمیگرده به مسئولیت پروژه در قبال امنیت کاربراش.
اما نویسنده میگه تو سال ۲۰۲۶ دیگه هیچکدوم از این پیشفرضها برقرار نیست. مدلهای زبانی بزرگ (LLM) الان تقریباً به خوبی هر پژوهشگر امنیتیای کار میکنن و هرکسی -چه نگهدارندهها، چه مهاجمها- بهشون دسترسی داره. یعنی دیگه پیداکردن باگ کمیاب نیست؛ گلوگاه واقعی شده تشخیص اینکه کدوم گزارش واقعاً جدیه، نه پیداکردنش.
به گفتهٔ والسوردا، محرمانگی و هماهنگی افشا هم دیگه اون اهمیت قبلی رو نداره؛ چون مهاجمها لازم نیست منتظر پست افشای کامل بمونن، خودشون هم میتونن از یه LLM بپرسن -هرچند احتمالاً همون گلوگاه تریاژ رو مثل مدافعها دارن. نتیجهگیریش اینه که کار اصلی تیمهای امنیتی داره میره سمت تریاژ سریع، رفع سریع و پیشگیری، نه فقط منتظرموندن برای گزارشهای خاص.
این پست بحث زیادی راه انداخته و نویسنده تو یه بخش اضافه چندتا نقد رو هم جواب داده. مثلاً روی Bluesky، اِوری پنارون میگه این وضعیت پایدار نمیمونه: وقتی تعداد آسیبپذیریهای منتشرشده کم بشه، دوباره پیداکردنشون سختتر میشه و استاندارد بالاتر میره. فردریک براون هم میگه هنوزم بعضی گزارشها خاص هستن و باید پروژهها راهی برای تشخیص همین گزارشهای خاص پیدا کنن.
ویلیام وودراف، تو هکرنیوز، تایید میکنه که اکثر گزارشها واقعیان ولی دیگه خاص نیستن؛ اون میگه هفتهای بیش از دهها گزارش تریاژ میکنه که خیلیاشون واقعین ولی تاثیر مشخصی روی کاربر عادی ندارن. یوهو فورسن هم، یکی از پرکارترین گزارشدهندههای امنیتی گو، استدلال میکنه بهجای این روند، باید بیشتر روی رابطهٔ اعتماد با پژوهشگرهای مشخص سرمایهگذاری کرد.
نکات کلیدی:
- والسوردا میگه با قدرتگرفتن LLMها، گزارشهای آسیبپذیری دیگه اون جایگاه ویژهٔ قبلی رو ندارن
- گلوگاه اصلی دیگه پیداکردن باگ نیست، تشخیص جدیبودن گزارشه
- محرمانگی و هماهنگی افشا هم اهمیت قبلی رو از دست دادن چون مهاجمها هم به LLM دسترسی دارن
- بعضی منتقدها معتقدن این وضعیت موقتیه و بعضی گزارشها همچنان باید خاص در نظر گرفته بشن
