هوش مصنوعی جای هکرهای انسانی را می‌گیرد؟ آسیب‌پذیری‌های پیچیده همچنان به تخصص انسان نیاز دارند
هوش مصنوعی سرعت شناسایی آسیب‌پذیری‌های امنیتی را افزایش داده اما هنوز در کشف ضعف‌های پیچیده و آسیب‌پذیری‌های مرتبط با منطق کسب‌وکار با محدودیت روبه‌رو است.
گسترش ابزارهای هوش مصنوعی، شیوه شناسایی و گزارش آسیب‌پذیری‌های امنیتی را تغییر داده است. این ابزارها می‌توانند در مدت کوتاهی ضعف‌های شناخته‌شده نرم‌افزارها را شناسایی کنند و بخشی از فعالیت‌های تکراری پژوهشگران امنیتی را بر عهده بگیرند. بااین‌حال، افزایش توانایی ماشین‌ها در کشف باگ‌ها به معنای پایان نقش هکرهای انسانی نیست؛ زیرا شناسایی پیامدهای واقعی یک نقص امنیتی و درک نحوه سواستفاده از آن همچنان به تجربه و شناخت عمیق سیستم نیاز دارد.
کارا اسپرگ، مدیرعامل پلتفرم امنیت سایبری HackerOne ، در گفت‌وگو با Help Net Security به بررسی تأثیر هوش مصنوعی بر آینده هک اخلاقی و بازار باگ‌بانتی پرداخته است. از نگاه او، یکی از مهم‌ترین حوزه‌هایی که پژوهشگران انسانی همچنان در آن برتری دارند، شناسایی آسیب‌پذیری‌های مرتبط با منطق کسب‌وکار است؛ ضعف‌هایی که ممکن است در بررسی‌های فنی معمول شناسایی نشوند، اما امکان سواستفاده جدی از یک سامانه را فراهم کنند.
منطق کسب‌وکار؛ نقطه ضعف ابزارهای هوش مصنوعی
آسیب‌پذیری‌های منطق کسب‌وکار زمانی شکل می‌گیرند که فرایندها و قواعد عملکرد یک سامانه به شکلی طراحی شده باشند که مهاجم بتواند از آن‌ها سواستفاده کند. برای مثال، دور زدن مرحله تأیید یک تراکنش، دستکاری فرایند بازپرداخت وجه یا ترکیب چند رفتار عادی برای دسترسی غیرمجاز به حساب کاربران، از جمله سناریوهایی هستند که شناسایی آن‌ها به شناخت دقیق عملکرد سیستم نیاز دارد.
هوش مصنوعی در شناسایی آسیب‌پذیری‌های شناخته‌شده و الگوهای تکراری عملکرد مناسبی دارد، اما تشخیص ارتباط میان اجزای مختلف یک فرایند و ارزیابی پیامدهای آن برای کسب‌وکار همچنان چالش‌برانگیز است.
آمارهای گزارش پژوهش امنیتی HackerOne در سال ۲۰۲۶ نیز اهمیت این حوزه را نشان می‌دهد. ۷۲ درصد پژوهشگران شرکت‌کننده در این گزارش، آسیب‌پذیری‌های منطق کسب‌وکار را سریع‌ترین گروه در حال رشد معرفی کرده‌اند. همچنین ۸۵ درصد آن‌ها در حال توسعه مهارت‌های خود در حوزه هوش مصنوعی هستند و ۶۸ درصد گفته‌اند استفاده از این فناوری، آن‌ها را به سمت کشف آسیب‌پذیری‌های پیچیده‌تر با پاداش بالاتر سوق داده است.
افزایش استفاده از هوش مصنوعی در بازار باگ‌بانتی
ورود هوش مصنوعی به فرایند کشف آسیب‌پذیری، مدل باگ‌بانتی را نیز تحت تأثیر قرار داده است. در این مدل، سازمان‌ها با تعیین پاداش برای کشف آسیب‌پذیری‌های معتبر، از ظرفیت پژوهشگران مستقل برای ارزیابی امنیت سامانه‌های خود استفاده می‌کنند.
به باور اسپرگ، هوش مصنوعی می‌تواند این مدل را تقویت کند، اما مزیت اصلی جمع‌سپاری امنیت همچنان تنوع دیدگاه و مهارت پژوهشگران انسانی است. افزایش تعداد ابزارهای هوش مصنوعی به‌تنهایی نمی‌تواند همان تنوع فکری را ایجاد کند؛ به‌ویژه زمانی که مدل‌های مختلف از داده‌های مشابه استفاده می‌کنند و مأموریت‌های یکسانی دارند.
رشد فعالیت این بازار نیز قابل توجه بوده است. پرداختی‌های HackerOne به پژوهشگران در نیمه نخست سال ۲۰۲۶ نسبت به مدت مشابه سال قبل ۲۶ درصد افزایش یافته است. همچنین تعداد برنامه‌هایی که دارایی‌های مبتنی بر هوش مصنوعی را در محدوده بررسی امنیتی خود قرار داده‌اند، طی دو سال دو برابر شده و گزارش‌های معتبر مربوط به آسیب‌پذیری‌های هوش مصنوعی ۲۲۲ درصد رشد کرده‌اند.
آیا هوش مصنوعی پاداش کشف باگ را کاهش می‌دهد؟
یکی از پیامدهای افزایش توانایی ابزارهای خودکار، تغییر ارزش اقتصادی آسیب‌پذیری‌ها در بازار باگ‌بانتی است. با آسان‌تر شدن شناسایی باگ‌های معمولی و شناخته‌شده، احتمال کاهش پاداش این یافته‌ها افزایش می‌یابد. در مقابل، آسیب‌پذیری‌های جدید، پیچیده و دشوار برای کشف همچنان می‌توانند پاداش‌های بالاتری داشته باشند.
آمارهای HackerOne نشان می‌دهد از ژانویه ۲۰۲۵ تاکنون، تعداد گزارش‌های ارسالی ۲.۸ برابر شده، اما تعداد گزارش‌های معتبر ۱.۹ برابر افزایش یافته است. این تفاوت بیانگر آن است که حجم گزارش‌ها سریع‌تر از یافته‌های تأییدشده رشد کرده است.
افزایش تعداد گزارش‌ها، علاوه بر تغییر شرایط پرداخت پاداش، فشار بیشتری بر تیم‌های امنیتی وارد می‌کند. بخشی از گزارش‌های دریافتی تکراری، خارج از محدوده برنامه یا فاقد شواهد کافی هستند و بررسی آن‌ها زمان و منابع سازمان‌ها را مصرف می‌کند.
چالش جدید تیم‌های امنیتی؛ اعتبارسنجی گزارش‌ها
تشخیص گزارش‌های تولیدشده با هوش مصنوعی از گزارش‌های انسانی نیز کار ساده‌ای نیست. بسیاری از پژوهشگران از این ابزارها برای تهیه گزارش‌های دقیق‌تر استفاده می‌کنند و نمی‌توان کیفیت یک یافته را تنها براساس میزان استفاده از هوش مصنوعی ارزیابی کرد.
مسئله اصلی، اعتبار شواهد و اثبات تأثیر واقعی آسیب‌پذیری است. تولید گزارشی متقاعدکننده با کمک هوش مصنوعی آسان‌تر شده، اما تأیید اینکه یک نقص واقعاً امکان نفوذ یا سوءاستفاده را فراهم می‌کند، همچنان به بررسی تخصصی نیاز دارد.
در کنار این مسئله، سازمان‌ها با مشکل انباشت آسیب‌پذیری‌های تأییدشده نیز مواجه هستند. حدود ۷۰ درصد مدیران امنیتی شرکت‌کننده در گزارش HackerOne اعلام کرده‌اند که یافته‌های تأییدشده سریع‌تر از توان تیم‌های آن‌ها برای رفع مشکلات وارد فهرست کارهای عقب‌افتاده می‌شوند. همچنین ۵۸ درصد گفته‌اند اولویت‌های کسب‌وکار و زمان‌بندی عرضه محصولات، اصلاح آسیب‌پذیری‌های بحرانی را به تأخیر می‌اندازد.
در مجموع، گسترش هوش مصنوعی به معنای حذف پژوهشگران امنیتی نیست، بلکه معیارهای ارزش‌گذاری فعالیت آن‌ها را تغییر می‌دهد. با خودکار شدن بخش بیشتری از بررسی‌های معمول، توانایی کشف آسیب‌پذیری‌های پیچیده، شناخت منطق کسب‌وکار و ارزیابی پیامدهای امنیتی اهمیت بیشتری پیدا می‌کند. در چنین شرایطی، مزیت رقابتی پژوهشگران نه در سرعت انجام کارهای تکراری، بلکه در کشف ضعف‌هایی خواهد بود که ابزارهای خودکار هنوز در شناسایی و تحلیل آن‌ها با محدودیت روبه‌رو هستند.
