مرداد
اخبار
گوگل ۱۰۷۲ باگ امنیتی کروم را با هوش مصنوعی بست
شرکت گوگل اعلام کرده در دو نسخهی پیاپی مرورگر کروم، هزار و ۷۲ باگ امنیتی را برطرف کرده است؛ رقمی بیشتر از مجموع بیست و سه نسخهی پیش از آن. عامل این جهش نه استخدام گستردهی مهندس امنیت، که مجموعهای از عاملهای هوش مصنوعی است که کل چرخهی مدیریت آسیبپذیری را بر عهده گرفتهاند. یکی از باگهای کشفشده بیش از سیزده سال در کد پنهان مانده بود. این خبر نشان میدهد هوش مصنوعی از ابزار کمکی به خط مقدم دفاع سایبری منتقل شده است.
لیست مطالب
۱) دقیقاً چه اتفاقی افتاد؟
گوگل در یادداشتی دربارهی امنیت کروم اعلام کرد که در جریان انتشار دو نسخهی ۱۴۹ و ۱۵۰ این مرورگر، در مجموع هزار و ۷۲ باگ امنیتی شناسایی و رفع شده است. برای درک بزرگی این عدد باید آن را در مقیاس تاریخی خود دید: این رقم از مجموع باگهای رفعشده در بیست و سه نسخهی پیشین کروم بیشتر است.
در ادبیات امنیت نرمافزار، چنین جهشی معمولاً یکی از دو معنا را دارد: یا نرمافزار ناگهان بسیار ناامنتر شده، یا توان کشف ناگهان بسیار بیشتر شده. در این مورد، توضیح گوگل روشن است: توان کشف تغییر کرده. کد کروم همان کد قبلی بود؛ چشمی که به آن نگاه میکرد عوض شد.
این تمایز مهم است، چون باگهایی که حالا رفع شدهاند پیش از این هم وجود داشتند — فقط کسی پیدایشان نکرده بود. هر آسیبپذیریای که یک مدافع زودتر پیدا کند، آسیبپذیریای است که یک مهاجم دیرتر پیدا خواهد کرد.
۲) سه سامانهای که این کار را کردند
گوگل نام سه سامانه را در این فرایند مطرح کرده است. نخست نپتایم، حاصل همکاری با تیم پروجکت زیرو، که ابزارهای تخصصی پژوهش آسیبپذیری را در اختیار مدلهای هوش مصنوعی میگذارد؛ یعنی بهجای آنکه مدل صرفاً کد را بخواند، میتواند مثل یک پژوهشگر امنیتی با دیباگر و ابزار تحلیل کار کند.
دوم بیگاسلیپ، عاملی برای کشف آسیبپذیری که با همکاری دیپمایند و پروجکت زیرو توسعه یافته است. سوم، عاملی مبتنی بر مدل جمنای که طبق گزارشها در اوایل ۲۰۲۶ ساخته شد تا بخشهای گستردهتری از پایگاه کد کروم را جستوجو کند.
تفاوت این نسل از ابزارها با فازینگ سنتی در همینجاست. فازر کلاسیک ورودی تصادفی تولید میکند و منتظر میماند برنامه بشکند؛ کارآمد است اما کور. عامل مبتنی بر مدل زبانی میتواند کد را بفهمد، فرضیه بسازد که کجا ممکن است اشتباهی رخ داده باشد، و بعد هدفمند آن فرضیه را آزمون کند. همین «فهمیدن» است که مسیرهای عمیق و نادر را در دسترس قرار میدهد.
۳) نکتهی اصلی؛ کل چرخه خودکار شده، نه فقط کشف
سادهترین برداشت از این خبر آن است که هوش مصنوعی باگ پیدا میکند. اما بخش مهمتر جای دیگری است. طبق توضیح گوگل، این سامانهها در تمام مراحل حضور دارند: کشف نقص، بازتولید گزارش، تعیین شدت، تخصیص باگ به توسعهدهندهی مناسب، تولید وصلهی پیشنهادی و ساخت تست.
هرکس با فرایند امنیت نرمافزار آشنا باشد میداند گلوگاه واقعی معمولاً کشف نیست، بلکه صف است. تیمهای امنیتی زیر بار گزارشهای ورودی خفه میشوند: باید هر گزارش را بازتولید کنند، شدتش را بسنجند، تکراریها را حذف کنند و به فرد درست بسپارند. وقتی این مراحل خودکار میشود، ظرفیت پردازش تیم چند برابر میشود بدون آنکه یک نفر به تیم اضافه شود.
این همان الگویی است که در بحثهای عمومی دربارهی اثر واقعی هوش مصنوعی بر بهرهوری مهندسی مطرح است؛ موضوعی که در یادداشت توهم ساختن با هوش مصنوعی با نگاهی منتقدانه بررسی شده است.
۴) باگی که سیزده سال پنهان مانده بود
گویاترین یافتهی این گزارش یک عدد است: سیزده سال. یکی از آسیبپذیریهای کشفشده، امکان فرار از سندباکس کروم را فراهم میکرد و بیش از سیزده سال در کد باقی مانده بود بدون آنکه کسی متوجهش شود.
سندباکس مهمترین لایهی دفاعی مرورگرهای مدرن است. ایدهاش ساده است: بخشی که محتوای وب را پردازش میکند در محفظهای ایزوله اجرا میشود، پس حتی اگر مهاجم آن بخش را در اختیار بگیرد، نمیتواند به سیستمعامل و فایلهای کاربر دست بزند. فرار از سندباکس یعنی شکستن همین دیوار. طبق توضیح منتشرشده، این نقص به یک رندرر آلوده اجازه میداد از محفظه بیرون بیاید و مرورگر را فریب دهد تا فایلهای محلی را بخواند.
سیزده سال یعنی این باگ در کدی بوده که هزاران مهندس و پژوهشگر امنیتی طی بیش از یک دهه از کنارش گذشتهاند. این تنها نمونهای است از اینکه بازرسی انسانی، هرچقدر هم دقیق، در برابر پایگاه کدی به بزرگی یک مرورگر مدرن محدودیت ذاتی دارد.
۵) اثر پیشگیرانه؛ باگهایی که هرگز منتشر نشدند
آمار دیگری که کمتر دیده شد اما شاید مهمتر باشد این است: طبق گزارشها، این سامانهها در ماه مه بیش از بیست آسیبپذیری را پیش از رسیدن به نسخهی نهایی متوقف کردند که یکی از آنها بحرانی طبقهبندی شده بود.
تفاوت میان «رفع باگ منتشرشده» و «جلوگیری از انتشار باگ» از نظر امنیتی بنیادی است. باگی که به نسخهی پایدار میرسد، یک پنجرهی زمانی برای مهاجمان باز میکند — فاصلهی میان انتشار و نصب وصله روی دستگاه میلیاردها کاربر. باگی که پیش از انتشار گرفته میشود، هرگز چنین پنجرهای نمیسازد.
در همین راستا، طبق گزارشها حجم گزارشهای دریافتی برنامهی پاداش آسیبپذیری کروم تا مارس ۲۰۲۶ از کل گزارشهای سال ۲۰۲۵ فراتر رفته بود؛ نشانهای از اینکه پژوهشگران بیرونی هم از همین ابزارها استفاده میکنند.
۶) روی دیگر سکه؛ مهاجمان هم همین ابزار را دارند
اینجا باید خوشبینی را متعادل کرد. هر تکنیکی که به مدافع اجازه میدهد آسیبپذیریهای عمیق را در کد پیدا کند، دقیقاً همان تکنیک را به مهاجم هم میدهد. مدلهای زبانی متنباز نیرومند در دسترس همه هستند و روشهای کشف آسیبپذیری با مدل، در مقالات عمومی منتشر میشود.
مزیت فعلی گوگل نه در داشتن ابزار، که در داشتن دسترسی به کد منبع، زیرساخت محاسباتی عظیم و توان انتشار وصله برای میلیاردها کاربر است. اما این مزیت مطلق نیست. پیامد عملی برای کاربر یک جمله است: بهروزرسانی مرورگر دیگر یک کار اختیاری و قابل تعویق نیست.
پیامد دوم برای پژوهشگران امنیت، سیل گزارشهای کمکیفیت تولیدشده با هوش مصنوعی است؛ پدیدهای که چند شرکت بزرگ فناوری در ماههای اخیر از آن شکایت کردهاند و ناچار شدهاند محدودیتهایی برای برنامههای پاداش خود بگذارند. جزئیات بیشتر این تحولات را در بخش اخبار هوش مصنوعی دنبال میکنیم.
۷) این خبر برای کاربر عادی چه معنایی دارد؟
سه نتیجهی عملی مشخص است. نخست، مرورگرتان را بهروز نگه دارید و پس از هر بهروزرسانی آن را کاملاً ببندید و باز کنید؛ بسیاری از وصلهها تا راهاندازی مجدد کامل اعمال نمیشوند. دوم، تعداد افزونهها را کم کنید؛ سختی نفوذ به هستهی کروم افزایش یافته و مهاجمان طبیعتاً به سراغ حلقههای ضعیفتر یعنی افزونهها میروند.
سوم، انتظارتان را واقعبینانه تنظیم کنید. رفع هزار باگ به معنای امن شدن کامل مرورگر نیست؛ به معنای بالا رفتن هزینهی حمله است. امنیت مطلق وجود ندارد، اقتصاد حمله وجود دارد.
۸) نگاه بلندمدت؛ امنیت به کدام سو میرود؟
اگر این روند ادامه یابد، طی چند سال آینده احتمالاً شاهد کاهش معنادار آسیبپذیریهای شناختهشده در نرمافزارهای پرکاربرد خواهیم بود، چون انبار باگهای تاریخی بهتدریج تخلیه میشود. اما همزمان، سطح حمله به لایههای تازه منتقل میشود: خود عاملهای هوش مصنوعی، زنجیرهی تأمین نرمافزار و رابطهای میان مدل و ابزار.
پرسش راهبردی این است که آیا سرعت دفاع از سرعت حمله جلو میزند یا برعکس. تجربهی کروم نشان میدهد سازمانهایی که منابع و دسترسی به کد دارند، دست بالا را حفظ میکنند. برای درک بهتر تصویر کلی این تحولات، مرور توان و محدودیتهای واقعی هوش مصنوعی و اهمیت هوش مصنوعی در کسبوکار کمککننده است؛ و اگر میخواهید خودتان با این ابزارها کار کنید، آموزشهای چتجیپیتی و راهنمای نوشتن پرامپت نقطهی شروع مناسبیاند.
پرسشهای پرتکرار دربارهی باگهای امنیتی کروم
آیا این یعنی کروم ناامن است؟
خیر. این باگها پیش از این هم در کد وجود داشتند و کشف نشده بودند. رفع شدنشان یعنی توان کشف بالا رفته، نه اینکه مرورگر ناگهان آسیبپذیرتر شده باشد.
هوش مصنوعی دقیقاً چه بخشی از کار را انجام میدهد؟
طبق اعلام گوگل، کشف نقص، بازتولید گزارش، تعیین شدت، تخصیص باگ به توسعهدهنده، تولید وصلهی پیشنهادی و ساخت تست. یعنی کل چرخه، نه فقط مرحلهی کشف.
باگ سیزدهساله چه بود؟
یک نقص فرار از سندباکس که طبق توضیح منتشرشده به یک رندرر آلوده اجازه میداد از محفظهی ایزوله بیرون بیاید و مرورگر را وادار به خواندن فایلهای محلی کند.
آیا مهاجمان هم میتوانند از همین روش استفاده کنند؟
بله. همان تکنیکها در دسترس مهاجمان هم هست. مزیت گوگل دسترسی به کد منبع، زیرساخت محاسباتی و توان انتشار سریع وصله است، نه انحصار در ابزار.
بهعنوان کاربر چه کاری باید بکنم؟
مرورگر را بهروز نگه دارید، پس از بهروزرسانی آن را کاملاً ببندید و دوباره باز کنید، و تعداد افزونههای نصبشده را به حداقل برسانید.
