هوش مصنوعی مسئله Exposure را تغییر داده است؛ اعتبارسنجی نیز باید تغییر کند

امنیت سایبری در حال حاضر تحت تأثیر موج گسترده‌ای از هوش مصنوعی قرار گرفته است، اما یکی از مهم‌ترین تغییرات را می‌توان بسیار ساده‌تر بیان کرد: فرآیند کشف آسیب‌پذیری‌ها سریع‌تر و گسترده‌تر شده، در حالی که تیم‌های امنیتی همچنان باید تشخیص دهند کدام یافته‌ها واقعاً نیازمند اقدام فوری هستند.

آمار نیمه نخست سال ۲۰۲۶ نشان می‌دهد که ۳۵٬۸۵۳ آسیب‌پذیری CVE منتشر شده است؛ رقمی که تقریباً ۴۹ درصد بیشتر از مدت مشابه سال قبل محسوب می‌شود. با این حال، در همین بازه تنها ۴۹۵ آسیب‌پذیری به‌عنوان موارد مورد بهره‌برداری در دنیای واقعی شناسایی شدند و ۱۱۶ مورد نیز از همان روز انتشار در معرض حملات قرار داشتند.

داده‌های منتشرشده توسط Anthropic نیز نشان می‌دهد مدل‌های Mythos-class در نرم‌افزارهای متن‌باز ۲۶٬۱۵۳ نامزد آسیب‌پذیری را شناسایی کرده‌اند، اما تنها ۴۲۱ مورد از آن‌ها در نهایت توسط پروژه‌های بالادستی وصله شده‌اند.

نتیجه این آمار اهمیت زیادی برای تیم‌های دفاعی دارد: برخورد با تمام آسیب‌پذیری‌های دارای رتبه High یا Critical در CVSS به‌عنوان یک وضعیت اضطراری، نه‌تنها از نظر عملی امکان‌پذیر نیست، بلکه رویکرد درستی نیز محسوب نمی‌شود. چالش اصلی تیم‌های امنیتی این است که مشخص کنند کدام Exposureها روی کدام دارایی‌ها واقعاً به اقدام فوری نیاز دارند؛ به‌ویژه در شرایطی که تعداد یافته‌ها افزایش یافته و فاصله زمانی میان افشای آسیب‌پذیری و آغاز بهره‌برداری از آن کوتاه‌تر شده است.

CVSS به‌تنهایی نمی‌تواند اهمیت یک آسیب‌پذیری را در محیط شما مشخص کند

یک CVE ممکن است صدها دارایی را تحت تأثیر قرار دهد، اما میزان ریسک آن الزاماً در تمام این دارایی‌ها یکسان نیست. برخی نمونه‌ها از بیرون قابل دسترسی نیستند، برخی دیگر پشت کنترل‌های امنیتی قرار دارند که تکنیک‌های موردنیاز برای بهره‌برداری را متوقف می‌کنند و برخی نیز روی سیستم‌های حیاتی سازمان قرار گرفته‌اند؛ جایی که مکانیزم‌های پیشگیری ممکن است شکست بخورند و سامانه‌های تشخیص نیز قادر به شناسایی حمله نباشند.

CVSS یک معیار مشترک برای تعیین شدت آسیب‌پذیری در اختیار سازمان‌ها قرار می‌دهد، اما نمی‌تواند اطلاعات زمینه‌ای لازم برای تعیین تأثیر واقعی آن آسیب‌پذیری بر یک سازمان مشخص را ارائه کند.

بنابراین تیم‌های امنیتی باید از شواهد به‌دست‌آمده از محیط واقعی خود استفاده کنند تا مشخص شود یک Exposure واقعاً قابل بهره‌برداری است یا خیر، چه دارایی‌هایی تحت تأثیر قرار گرفته‌اند و این دارایی‌ها تا چه اندازه در دسترس مهاجمان و برای کسب‌وکار حیاتی هستند. با افزایش حجم آسیب‌پذیری‌ها، تفکیک میان شدت نظری و ریسک واقعی اهمیت بیشتری پیدا می‌کند.

تست نفوذ خودکار به‌تنهایی نمی‌تواند تمام Exposureها را اعتبارسنجی کند

پس از عبور از معیارهای صرفاً مبتنی بر شدت آسیب‌پذیری، تست نفوذ خودکار یکی از قدرتمندترین منابع شواهد امنیتی محسوب می‌شود. این روش می‌تواند Exploitهای واقعی را اجرا کند، قابل بهره‌برداری بودن یک Exposure را در محیط سازمان اثبات کند، آسیب‌پذیری‌ها، اعتبارنامه‌ها و پیکربندی‌های نادرست را در قالب زنجیره‌های حمله به یکدیگر متصل کند و نشان دهد مهاجم در عمل تا چه اندازه می‌تواند در شبکه پیشروی کند.

با این حال میزان پوشش تست نفوذ همچنان در عمل محدود است. تحقیقات Omdia نشان می‌دهد که ۹۵ درصد سازمان‌ها تست نفوذ را در اولویت بالا یا بسیار بالا قرار می‌دهند، اما به‌طور متوسط تنها ۳۲ درصد از سطح حمله آن‌ها در طول هر سال آزمایش می‌شود.

رویکردهای Agentic و خودکار می‌توانند این پوشش را افزایش دهند، اما تمام محدودیت‌های ناشی از اجرای Exploit روی سیستم‌های واقعی را از بین نمی‌برند.

برای آسیب‌پذیری‌های مبتنی بر CVE، ابتدا باید یک Exploit عملی وجود داشته باشد و سپس هدف نیز باید به‌گونه‌ای باشد که اجرای آزمایش روی آن از نظر عملیاتی و امنیتی امکان‌پذیر باشد. بسیاری از CVEهای تازه‌افشاشده هنوز Exploit قابل استفاده‌ای ندارند و در برخی موارد نیز اجرای Exploit واقعی روی دارایی‌های حیاتی، محدود یا Air-Gapped سازمان امکان‌پذیر نیست.

در نتیجه حتی چنین Exposureهایی نیز به یک ارزیابی از قابلیت بهره‌برداری نیاز دارند، بدون اینکه لزوماً امکان اجرای یک تست نفوذ خودکار روی آن‌ها وجود داشته باشد.

بنابراین تست نفوذ خودکار بخش مهمی از فرآیند اعتبارسنجی است، اما به‌تنهایی نمی‌تواند تمام Exposureها را اعتبارسنجی کند.

یک رویکرد یکپارچه برای اعتبارسنجی تمام Exposureها

اینجاست که سه رویکرد اصلی در کنار یکدیگر قرار می‌گیرند:

اعتبارسنجی قابلیت بهره‌برداری (Exploitability Validation): مشخص می‌کند یک Exposure در محیط واقعی سازمان قابل بهره‌برداری است یا خیر؛ حتی در شرایطی که هنوز Exploit عملی برای یک CVE وجود ندارد یا اجرای Live Exploitation روی یک دارایی امکان‌پذیر نیست. اعتبارسنجی کنترل‌های امنیتی (Security Control Validation): بررسی می‌کند کنترل‌های پیشگیری و تشخیص سازمان تا چه اندازه می‌توانند یک حمله را متوقف یا شناسایی کنند و در چه شرایطی ممکن است حمله از آن‌ها عبور کند. تست نفوذ Agentic (Agentic Pentesting): اجرای ایمن Exploitهای واقعی و زنجیره‌کردن Exposureها برای مشخص‌کردن میزان پیشروی احتمالی یک مهاجم در محیط واقعی سازمان.

این روش‌ها در شرایط مختلف به پرسش‌های متفاوتی پاسخ می‌دهند. آمادگی در برابر تهدیدهای مبتنی بر مدل‌های Mythos نیازمند ترکیب هر سه قابلیت در قالب یک پلتفرم یکپارچه است؛ پلتفرمی که هدف آن اعتبارسنجی Exposureها بر اساس شرایط منحصربه‌فرد هر سازمان باشد.

البته لازم نیست هر سه روش برای تمام Exposureها مورد استفاده قرار گیرند. هدف این است که برای هر Exposure، مناسب‌ترین روش انتخاب شود و شواهد حاصل از آن در نهایت به یک فرآیند مشترک تصمیم‌گیری وارد شود.

ترکیب این سه قابلیت در قالب یک برنامه یکپارچه، مزیت‌های بیشتری نیز ایجاد می‌کند. یک یافته امنیتی می‌تواند به‌صورت خودکار فرآیند اعتبارسنجی مناسب خود را فعال کند، شواهد جدید می‌توانند اولویت اصلاح یک آسیب‌پذیری را تغییر دهند و پس از اعمال اصلاحات نیز می‌توان نتیجه را مجدداً اعتبارسنجی کرد؛ به‌جای اینکه آسیب‌پذیری پس از بسته‌شدن یک تیکت از چرخه امنیتی خارج شود.

به‌این‌ترتیب اطلاعات مربوط به قابلیت بهره‌برداری، اثربخشی کنترل‌های امنیتی و Attack Pathها در یک فرآیند واحد باقی می‌مانند و در جریان‌های کاری جداگانه از یکدیگر گسسته نمی‌شوند.

رویکرد مطرح‌شده همچنین با مسیری که در تحقیقات ماه مه Gartner به آن اشاره شده هم‌راستا است؛ یعنی تمرکز بر Attack Pathهای اعتبارسنجی‌شده، واکنش مبتنی بر تصمیم‌گیری و کاهش Exposure در قالب فرآیندهای عملیاتی یکپارچه.

آنچه متخصصان امنیتی می‌بینند

در همین راستا، شرکت Picus Security در روزهای ۱۴ و ۱۵ اکتبر رویداد Validation Summit ’26 را برگزار خواهد کرد تا دیدگاه‌های مستقل درباره تغییرات ایجادشده، رویکردهای جدید اعتبارسنجی و تجربیات رهبران امنیتی سازمان‌های بزرگ را ارائه دهد.

در این رویداد، Mikko Hyppönen سخنرانی افتتاحیه را درباره تفاوت این تحول با تغییرات گذشته ارائه خواهد کرد. پس از آن، Volkan Ertürk، مدیر فناوری Picus، درباره نیازهای جدید اعتبارسنجی امنیتی در شرایطی که مهاجمان از هوش مصنوعی برای تقویت حملات خود استفاده می‌کنند، صحبت خواهد کرد.

همچنین در این رویداد، نحوه ترکیب Exploitability Validation، Security Control Validation و Agentic Pentesting نمایش داده خواهد شد و تیم Picus یک فرآیند اعتبارسنجی را به‌صورت زنده روی یک آسیب‌پذیری تازه‌افشاشده اجرا خواهد کرد.

این فرآیند از مرحله‌ای آغاز می‌شود که هنوز Patch یا Exploit عملی برای آسیب‌پذیری وجود ندارد، سپس قابلیت بهره‌برداری پیش از انتشار PoC بررسی می‌شود، پس از ظهور Exploit، آن را در برابر کنترل‌های امنیتی زنده آزمایش می‌کند و در نهایت بعد از رفع آسیب‌پذیری، اعتبارسنجی مجدد انجام می‌شود.