شرکت امنیتی Wiz، که اکنون بخشی از اکوسیستم گوگل است، اعلام کرد که ابزارهای تست نفوذ مجهز به هوش مصنوعی (AI) موفق شدند حفره‌های امنیتی خطرناکی را در سیستم‌های مدیریتی یک اپراتور ریلی و کانال‌های هشدار یک بیمارستان عمومی شناسایی کنند.
تأثیرات بر زیرساخت‌های حمل و نقل و بهداشت
در مورد اپراتور ریلی، یک پایگاه داده لو رفته باعث افشای نشست‌های فعال مدیران (Administrator Sessions) شده بود که دسترسی به مسیرها، زمان‌بندی‌ها و حساب‌های مدیریتی را فراهم می‌کرد. کارشناسان Wiz پیش از آنکه اختلالی در حمل و نقل عمومی ایجاد شود، برای ایمن‌سازی سیستم با این سازمان همکاری کردند.
در بخش بهداشت، نبود محدودیت‌های دسترسی در یک بیمارستان منجر به افشای اطلاعات تماس کارکنان و امکان کنترل کانال هشدار موبایلی کل بیمارستان توسط هر کاربر آنلاین شده بود. همچنین در یک بیمارستان خصوصی دیگر، قابلیت ناامن آپلود فایل در وب‌سایت نوبت‌دهی، امکان کنترل سرور و دسترسی به شناسه‌های بیماران و اطلاعات بالینی را فراهم کرده بود.
ابتکار Scan for Good و نقش هوش مصنوعی
این یافته‌ها بخشی از نتایج اولیه برنامه Scan for Good است که در آن ابزارهای AI در کنار محققان انسانی قرار می‌گیرند تا نقاط ضعف امنیتی در خدمات عمومی، زیرساخت‌های حیاتی و سازمان‌های غیرانتفاعی را شناسایی و رفع کنند. این ابزارها از مدل‌های Gemini شرکت Google DeepMind و ابزار تست نفوذ Red Agent استفاده می‌کنند.
این موارد نشان می‌دهد که چگونه ضعف‌های دیجیتال در وب‌سایت‌های عمومی می‌توانند مسیری به سیستم‌های حساس باز کنند. بسیاری از این موارد مربوط به اعتبارنامه‌های لو رفته (Exposed Credentials) یا نبود بررسی‌های دسترسی (Permission Checks) بود که بدون نیاز به کشف یک آسیب‌پذیری نرم‌افزاری جدید، دسترسی گسترده را ممکن می‌ساخت.
ریسک‌های گسترده‌تر و زنجیره تأمین
سایر یافته‌های این طرح شامل موارد زیر بود:
- داده‌های دولتی: افشای اطلاعات شخصی، بهداشتی و مالی حدود ۵,۰۰۰ شهروند سالمند در یک سرویس داده‌های شهری.
- آرشیو ملی: دسترسی به ۸.۸ میلیون فایل در آرشیو ملی یک کشور در خاورمیانه از طریق یک کلید مدیریتی لو رفته.
- زنجیره تأمین ابری: شناسایی یک اعتبارنامه در کد وب‌سایت یک ارائه‌دهنده Cloud که می‌توانست به مهاجم اجازه دهد بدافزار را در بیش از ۵۰۰ ایمیج کانتینری (Container Images) مربوط به یک سرویس AI پیشرو منتشر کند.
تکامل ابزارهای دفاعی و تهاجمی
مدیران Wiz تأکید کردند که در گذشته، شناسایی این مسیرهای حمله در مقیاس بزرگ نیازمند زمان و تخصص دستی زیادی بود، اما AI اکنون کشف سیستم‌های اکسپوز شده و تحلیل مسیرهای حمله (Attack Paths) را به شدت تسهیل کرده است. این فناوری یک شمشیر دو لبه است که هم به مدافعان و هم به مهاجمان کمک می‌کند تا سریع‌تر به نقاط حساس نفوذ کنند.
