گسترش سریع شرکت‌های فعال در حوزه هوش مصنوعی (AI)، موج جدیدی از آسیب‌پذیری‌ها و چالش‌های امنیتی را به زنجیره تأمین دیجیتال وارد کرده است. تحلیل‌های جامع نشان می‌دهد که در اکوسیستم شرکت‌هایی که به توسعه، استقرار و پشتیبانی از ابزارهای هوش مصنوعی می‌پردازند، ضعف‌های امنیتی گسترده‌ای وجود دارد که می‌تواند سازمان‌های مصرف‌کننده این خدمات را در معرض خطر قرار دهد.
شکاف‌های امنیتی در تأمین‌کنندگان AI
برخلاف تصور رایج، هوشمند بودن راهکارهای AI به معنای امن بودن آن‌ها نیست. بررسی‌های صورت گرفته بر روی هزاران تأمین‌کننده AI نشان می‌دهد که بسیاری از این شرکت‌ها در پیاده‌سازی ابتدایی‌ترین اقدامات امنیتی (Basic Security Practices) ناتوان هستند. از جمله این نقاط ضعف می‌توان به موارد زیر اشاره کرد:
- عدم به‌روزرسانی و پچ نکردن آسیب‌پذیری‌های بحرانی (Critical Vulnerabilities)
- ضعف در حفاظت از اعتبارنامه‌ها (Credentials)
- ناکارآمدی در احراز هویت کاربران و ایمیل‌ها
- وجود مشکلات جدی در امنیت شبکه
آمار تکان‌دهنده از وضعیت زیرساخت‌ها
در بررسی‌های گسترده بر روی بیش از ۱۸ هزار شرکت AI در سراسر جهان، نتایج هشداردهنده‌ای به دست آمده است. حدود ۴۴.۳٪ از این سازمان‌ها دارای فعالیت‌های شبکه غیرعادی بوده و در ۴۱.۸٪ آن‌ها فعالیت‌های مرتبط با بات‌نت‌ها (Botnets) شناسایی شده است.
گسترش سطح حمله از طریق یکپارچه‌سازی
جذابیت اصلی ابزارهای AI در توانایی آن‌ها برای یکپارچه‌سازی (Integration) با نرم‌افزارها و پلتفرم‌های موجود است. اما هر یکپارچه‌سازی جدید، به‌ویژه زمانی که از اجزای متن‌باز (Open-source) استفاده شود، سطح حمله (Attack Surface) سازمان را افزایش می‌دهد.
به‌طور خاص، در تحلیل اجزای Model Context Protocol (MCP) که اپلیکیشن‌های AI را به سیستم‌های تجاری متصل می‌کنند، مشخص شد که نزدیک به ۴۸.۸٪ از یافته‌های امنیتی در سطح High یا Critical هستند که شامل آسیب‌پذیری‌های تزریق کد و دستور (Code and Command Injection) می‌شود.
ریسک دسترسی و سرقت اعتبارنامه‌ها
تأمین‌کنندگان AI معمولاً به داده‌های مشتریان، محیط‌های توسعه (Developer Environments) و زیرساخت‌های تجاری دسترسی دارند. در صورتی که اعتبارنامه‌های این تأمین‌کنندگان سرقت شود، تمامی مشتریان آن‌ها در معرض حمله قرار می‌گیرند. شواهد نشان می‌دهد که حدود ۱۹.۹٪ از شرکت‌های ارائه دهنده راهکارهای استقرار AI، اطلاعات ورود سازمانی خود را در سوابق بدافزارهای سرقت اطلاعات (Infostealer) داشته‌اند.
راهکارهای مقابله و مدیریت ریسک
برای کاهش مخاطرات زنجیره تأمین AI، سازمان‌ها باید استراتژی‌های زیر را اتخاذ کنند:
- نظارت مستمر: ارزیابی‌های امنیتی تک‌مرحله‌ای کافی نیستند؛ پایش مداوم تأمین‌کنندگان و درک وابستگی‌های تکنولوژیک آن‌ها ضروری است.
- مدیریت اولویت‌بندی شده: شناسایی و رفع سریع آسیب‌پذیری‌هایی که فعالانه در محیط واقعی اکسپلویت شده‌اند یا منجر به حملات باج‌افزاری (Ransomware) می‌شوند.
- حسابرسی یکپارچه‌سازی‌ها: بررسی دقیق دسترسی‌های ابزارهای AI، داده‌هایی که به آن‌ها دسترسی دارند و تحلیل اثرات احتمالی در صورت اکسپلویت شدن.
- اعمال اصل حداقل دسترسی: محدود کردن مجوزها و دسترسی‌های ابزارهای AI تنها به موارد ضروری برای اجرای وظایف.
