برای دهه‌ها، امنیت سایبری از یک محدودیت بهره می‌برد که به سادگی پذیرفته شده بود: مهاجمان توسط توانمندی‌های انسانی محدود بودند. یافتن آسیب‌پذیری‌ها و توسعه اکسپلویت‌های (Exploits) قابل اعتماد نیازمند تخصص بود و فرآیندهایی مانند شناسایی (Reconnaissance)، جابجایی جانبی (Lateral Movement) و تطبیق با محیط، زمان و تلاش زیادی می‌برد.
این اصطکاک، فرصتی ارزشمند برای متخصصان امنیت ایجاد می‌کرد تا ریسک‌ها را شناسایی و ارزیابی کنند، اولویت‌بندی‌های لازم برای رفع تهدید (Remediation) را انجام دهند و محیط‌های خود را ایمن‌تر سازند. اما اکنون، این پنجره زمانی در حال بسته شدن است.
عوامل تهدید به طور فزاینده‌ای از هوش مصنوعی برای تسریع و گسترش تکنیک‌های حمله استفاده می‌کنند. گزارش‌های اخیر نشان‌دهنده افزایش چشمگیر حملات توسط مهاجمانی است که از AI بهره می‌برند و همچنین افزایش تعداد آسیب‌پذیری‌های زیرو دِی (Zero-Day) که پیش از افشای عمومی اکسپلویت شده‌اند. مدل‌های پیشرفته هوش مصنوعی (Frontier AI) با توانایی استدلال پیچیده و تحلیل نرم‌افزاری، مسیر کشف آسیب‌پذیری‌ها و توسعه اکسپلویت‌ها را به شدت تسریع می‌کنند.
قانون ۱: اولویت‌بندی بر اساس تأثیر تجاری، نه تعداد آسیب‌پذیری‌ها
برنامه‌های امنیتی به طور سنتی بر اسکن دارایی‌های بیشتر برای یافتن آسیب‌پذیری‌های بیشتر متمرکز بودند. اما هوش مصنوعی پیشرو این مدل را به چالش می‌کشد، زیرا هزینه و زمان کشف ضعف‌ها کاهش یافته است. سازمان‌ها ممکن است با حجم عظیمی از یافته‌ها مواجه شوند، بدون اینکه نیروی انسانی یا زمان بیشتری برای رفع آن‌ها داشته باشند.
در این شرایط، تمرکز باید بر اولویت‌بندی باشد: تعیین اینکه کدام اکسپوزورها (Exposures) ریسک معناداری ایجاد می‌کنند. به جای پرسش «چند آسیب‌پذیری داریم؟»، باید پرسید «کدام یک از این‌ها می‌تواند به کسب‌وکار آسیب بزند؟». امتیاز شدت (Severity Score) به تنهایی کافی نیست؛ مدیران باید بدانند آیا یک نقطه ضعف قابل دسترس است، آیا می‌توان آن را با ضعف‌های دیگر زنجیره کرد و کدام فرآیند تجاری در انتهای این مسیر حمله قرار دارد.
قانون ۲: جایگزینی ارزیابی‌های دوره‌ای با اعتبارسنجی مستمر
بسیاری از فرآیندهای مدیریت ریسک هنوز بر اساس چرخه «اسکن، ارزیابی، گزارش و رفع» عمل می‌کنند. اما ارزیابی‌های دوره‌ای تنها تصویری از یک لحظه خاص را ارائه می‌دهند، در حالی که زیرساخت‌ها تغییر می‌کنند و پیکربندی‌های ابری دچار Drift می‌شوند.
رویکرد جدید باید از مدیریت دوره‌ای آسیب‌پذیری‌ها به سمت اعتبارسنجی مستمر اکسپوزورها حرکت کند. هدف این است که نه تنها محل وجود ضعف‌ها، بلکه نحوه اتصال آن‌ها و امکان استفاده مهاجم برای رسیدن به دارایی‌های حیاتی درک شود.
قانون ۳: پذیرش این واقعیت که همه موارد به موقع پچ نمی‌شوند
برنامه‌های سنتی فرض می‌کنند که با زمان و منابع کافی، تمام آسیب‌پذیری‌های مهم در نهایت پچ (Patch) می‌شوند. اما AI هم تعداد ضعف‌های کشف شده را افزایش می‌دهد و هم زمان available برای واکنش را کاهش می‌دهد؛ بنابراین «تاب‌آوری» (Resilience) به اندازه «رفع تهدید» اهمیت می‌یابد.
سازمان‌ها باید بپرسند اگر سیستمی فوراً پچ نشود، چه اتفاقی می‌افتد؟ آیا مهاجم می‌تواند از آن برای سرقت اعتبارنامه‌ها (Credentials) استفاده کند؟ در اینجا مفاهیمی مانند کمترین دسترسی (Least Privilege)، بخش‌بندی (Segmentation) و کنترل‌های جبرانی (Compensating Controls) برای جلوگیری از تبدیل یک اکسپوزور ساده به یک حادثه گسترده، حیاتی می‌شوند.
قانون ۴: حذف انتقال‌های انسانی از گردش کارهای ماشینی
یک تیم امنیتی ممکن است یک اکسپوزور بحرانی را در چند ثانیه شناسایی کند، اما رفع آن ممکن است روزها طول بکشد زیرا مراحل تایید، تعیین مالکیت و زمان‌بندی استقرار توسط انسان انجام می‌شود. این فاصله زمانی یا «تاخیر در تصمیم‌گیری» (Decision Latency)، در عصر AI بسیار خطرناک است.
مدیران باید مسیر کشف تا رفع تهدید را بررسی کنند تا ببینند کجا می‌توان کانتکست (Context) را به صورت خودکار جمع‌آوری کرد و کدام اقدامات کاهش ریسک می‌توانند پیش‌تایید شوند تا زمان پاسخ‌دهی به حداقل برسد.
قانون ۵: استفاده از AI برای پر کردن شکاف سرعت، بدون از دست دادن کنترل
اگر AI سرعت حمله را افزایش می‌دهد، مدافعان نیز برای افزایش سرعت دفاع به AI نیاز دارند. اما استقرار یک مدل قدرتمند به معنای ایجاد یک قابلیت امنیتی موثر نیست. مدل‌های Frontier AI باید در یک چارچوب (Harness) شامل ابزارها، مجوزها و جریان‌های کاری تعریف شده عمل کنند.
مدیران باید به AI در امنیت به چشم یک سیستم تولیدی قدرتمند نگاه کنند: با مجوزهای تعریف شده، قابلیت مشاهده (Observability)، اعتبارسنجی و مسئولیت‌پذیری انسانی. هدف، ایجاد یک «شتاب کنترل‌شده» است که در آن AI برای تحلیل اکسپوزورها و پیشنهاد اقدامات استفاده شود، در حالی که تصمیمات حساس همچنان در اختیار انسان باشد.
