اگرچه هوش مصنوعی (AI) می‌تواند آسیب‌پذیری‌ها را در عرض چند دقیقه شناسایی کند، اما انسان‌ها همچنان در ارزیابی تأثیر واقعی یک نقص بر کسب‌وکار، برتری دارند. در مصاحبه‌ای جدید، مدیرعامل HackerOne اعلام کرد که در حالی که AI در یافتن باگ‌های تکراری و الگو-محور در مقیاس وسیع بسیار کارآمد است، اما در درک “منطق تجاری” (Business Logic) همچنان ضعف دارد.
چالش منطق تجاری در برابر الگوریتم‌ها
هوش مصنوعی در شناسایی انواع آشنای باگ‌ها در مقیاس بالا مهارت دارد، اما زمانی که ضعف امنیتی به نحوه عملکرد یک کسب‌وکار وابسته باشد، قابلیت اطمینان کمتری خواهد داشت. برای مثال، سوءاستفاده از فرآیند بازگشت وجه (Refund Process)، دور زدن مراحل تأیید (Approval Bypass) یا ترکیب چندین رفتار به ظاهر بی‌خطر برای تسلط بر یک حساب کاربری، نیازمند درک عمیق از فرآیندهای طراحی شده است. تشخیص این موارد مستلزم درک فرآیند مورد نظر و تصور نحوه استفاده مهاجم از آن به شکلی متفاوت از حالت استاندارد است.
تغییر رویکرد پژوهشگران امنیتی
طبق گزارش امنیتی سال ۲۰۲۶ HackerOne، پژوهشگران در حال تغییر استراتژی خود هستند:
- ۸۵٪ از پاسخ‌دهندگان در حال تقویت مهارت‌های خود در زمینه هوش مصنوعی هستند.
- ۶۸٪ معتقدند هوش مصنوعی آن‌ها را به سمت یافتن باگ‌های پیچیده‌تر با پاداش‌های (Bounty) بالاتر سوق داده است.
- ۷۲٪، نقص‌های منطق تجاری (Business Logic Flaws) را سریع‌ترین دسته در حال رشد خود می‌دانند.
تغییر در اقتصاد باگ بانتی (Bug Bounty)
با افزایش استفاده از ابزارهای خودکار، ارزش یافتن باگ‌های روتین و الگو-محور کاهش می‌یابد. برنامه‌های امنیتی تمایل کمتری به پرداخت مبالغ بالا برای باگ‌هایی دارند که به راحتی توسط ابزارها قابل شناسایی هستند. در مقابل، یافته‌هایی که نیازمند بررسی عمیق و قضاوت انسانی هستند، ارزش خود را حفظ کرده یا حتی پاداش بیشتری دریافت خواهند کرد.
از ژانویه ۲۰۲۵، تعداد گزارش‌های ارسالی ۲.۸ برابر شده است، اما گزارش‌های معتبر تنها ۱.۹ برابر رشد داشته‌اند. این نشان‌دهنده افزایش حجم گزارش‌های تکراری (Duplicates) و اسپم (Spam) است که توسط ابزارهای خودکار تولید می‌شوند. بنابراین، توانایی تأیید ریسک واقعی و کمک به تیم‌های امنیتی برای رفع مشکل، به بخش مهم‌تری از ارزش کار پژوهشگران تبدیل شده است.
زنجیره‌سازی آسیب‌پذیری‌ها و ارائه بافتار (Context)
یکی از بزرگترین مزیت‌های انسان‌ها، توانایی “زنجیره‌سازی آسیب‌پذیری‌ها” (Vulnerability Chaining) و درک بافتار (Context) است. هوش مصنوعی ممکن است بتواند نقاط ضعف را پیدا کند، اما انسان می‌تواند تشخیص دهد که چگونه این نقاط ضعف در کنار هم یک حمله گسترده را شکل می‌دهند. همچنین، تصمیم‌گیری در مورد اینکه کدام آسیب‌پذیری باید در اولویت اصلاح قرار گیرد، نیازمند درک اولویت‌های تجاری و مدیریت ریسک است که فراتر از توانایی‌های فعلی مدل‌های زبانی است.
