شرکت OpenAI اذعان کرده است که فضای امنیت سایبری با حجم عظیمی از گزارش‌های بی‌کیفیت تولید شده توسط هوش مصنوعی (AI slop) روبرو است. مایکل آیلو (Michael Aiello)، مدیر ارشد امنیت در OpenAI، اعلام کرد که گزارش‌های آسیب‌پذیری تولید شده توسط هوش مصنوعی، نگهدارندگان پروژه‌های متن‌باز (Open-source maintainers) را با حجم کاری بیش از حد توان مواجه کرده است.
این موضوع باعث شده است که برخی از مدیران این پروژه‌ها، پذیرش گزارش‌های مبتنی بر هوش مصنوعی را به دلیل نگرانی از کیفیت و وضوح آن‌ها متوقف کنند. آیلو در جریان یک نشست پرسش و پاسخ در واشینگتن دی.سی. اشاره کرد که پاسخگویی به صدها گزارش آسیب‌پذیری که صرفاً توسط هوش مصنوعی ارسال شده‌اند، برای نگهدارندگان پروژه‌ها عملاً غیرممکن است.
تفاوت رویکرد هماهنگ با ارسال خودکار
او در مقابل، رویکرد برنامه “Patch the Planet” متعلق به OpenAI را مورد بررسی قرار داد. برخلاف ارسال خودکار گزارش‌ها در پلتفرم‌هایی مانند GitHub، این برنامه با سازمان‌های پژوهشی امنیت همکاری می‌کند تا آسیب‌پذیری‌ها را شناسایی، اصلاح و فرآیند اعمال وصله (Patch) را هماهنگ کند. طبق داده‌های این شرکت، تاکنون ۶۶۱ وصله توسعه یافته که ۴۵۸ مورد از آن‌ها توسط نگهدارندگان پروژه‌ها پذیرفته شده است.
آیلو تأکید کرد که مشکل اصلی این نیست که این گزارش‌ها لزوماً اشتباه هستند؛ بلکه چالش اصلی در تعیین میزان بحرانی بودن (Criticality) آن‌ها و ارزش زمانی است که نگهدارنده باید صرف بررسی آن‌ها کند. در بسیاری از موارد، نگهدارندگان ترجیح می‌دهند به دلیل حجم بالای گزارش‌های غیرقابل استفاده، پذیرش گزارش‌های جدید را محدود کنند.
توصیه‌های کلیدی برای پژوهشگران امنیتی
برای جلوگیری از این بحران در اکوسیستم، OpenAI توصیه‌های زیر را به پژوهشگران ارائه کرده است:
- تضمین کیفیت بالا: گزارش‌ها باید دقیق، قابل فهم و خوانا باشند تا یک فرد بتواند به راحتی آن‌ها را تحلیل کند.
- هماهنگی در انتشار (Disclosure Coordination): پژوهشگران نباید تنها به ارسال گزارش اکتفا کنند؛ بلکه باید منابع خود را برای هماهنگی فرآیند انتشار آسیب‌پذیری در کل اکوسیستم اختصاص دهند.
- همکاری با شرکای پاسخگویی: همکاری با سازمان‌های پاسخگویی و اپراتورها برای اطمینان از انتشار صحیح وصله‌ها (Patches) ضروری است.
به عنوان نمونه، OpenAI در مورد آسیب‌پذیری‌های اخیر PHP، با همکاری بنیاد PHP (PHP Foundation) برای اعتبارسنجی، توسعه اصلاحیه و هماهنگی انتشار آن‌ها عمل کرد تا از فرآیند صحیح و بدون نقص اطمینان حاصل شود.
