با وجود نگرانی‌های گسترده در مورد توانایی مدل‌های پیشرفته هوش مصنوعی در شناسایی سریع باگ‌ها و تبدیل آن‌ها به ابزارهای حمله، داده‌های جدید نشان می‌دهد که شکاف بزرگی بین کشف آسیب‌پذیری و بهره‌برداری واقعی (Exploitation) وجود دارد.
پروژه Glasswing و مدل Claude Mythos
شرکت Anthropic در قالب پروژه Glasswing، دسترسی محدود به مدل Claude Mythos Preview را برای شرکای منتخب فراهم کرد. این مدل به دلیل توانایی‌های بسیار بالا در یافتن باگ‌ها و ایجاد اکسپلویت‌ها، به گونه‌ای طراحی شده که تنها متخصصان امنیتی برای اهداف دفاعی و اصلاح نرم‌افزارها از آن استفاده کنند.
آمارها چه می‌گویند؟
تحقیقات Patrick Garrity از مجموعه VulnCheck روی CVEهای مرتبط با این پروژه نتایج جالبی را نشان می‌دهد. از میان 225 آسیب‌پذیری شناسایی شده توسط تیم Anthropic و پروژه Glasswing، تنها یک مورد (یک باگ بحرانی SQL Injection در Ghost با شناسه CVE-2026-26980) در محیط واقعی مورد بهره‌برداری قرار گرفته است.
- نرخ بهره‌برداری: کمتر از 0.5 درصد از آسیب‌پذیری‌های کشف شده توسط AI به حملات واقعی تبدیل شده‌اند.
- واقعیت صنعت: به طور تاریخی، تنها 1 تا 2 درصد از کل CVEهای منتشر شده توسط مهاجمان Weaponize می‌شوند.
چالش‌های پس از کشف باگ
اگرچه AI سطح دسترسی به کشف باگ‌ها را پایین آورده است، اما در مراحل بعدی یعنی تخصیص (Triage)، اصلاح (Remediation) و استقرار وصله‌ها (Patch Deployment)، همچنان نیاز به تخصص انسانی است. مطالعات نشان می‌دهد که مدل‌های AI در اصلاح باگ‌ها ضعیف عمل می‌کنند:
- تحقیقات 1Password نشان داد مدل‌های پیشرفته تنها در 26 درصد موارد توانسته‌اند آسیب‌پذیری را به طور کامل رفع کنند.
- در 54 درصد موارد، AI یا نتوانسته باگ را رفع کند و یا باعث ایجاد آسیب‌پذیری‌های جدید شده است.
بنابراین، در حالی که سرعت شناسایی نقاط ضعف افزایش یافته، اما مدیریت چرخه حیات آسیب‌پذیری‌ها همچنان یک فرآیند متمرکز بر نیروی انسانی است.
