ذكروا لي أداة تسمى "Pentest GPT" — هل من الممكن أن يستخدمها من يقدم لنا عرضاً لاختبار الأمان؟

هذه الأداة في الأساس عبارة عن سلسلة موجهات (prompts) تأخذ مخرجات فاحص الشبكات أو أدوات مسح الثغرات التي يدخلها المختبر وتقترح الأداة المناسبة لتشغيلها في الخطوة التالية، معتمدة في الخلفية على استدعاء نموذج ذكاء اصطناعي عام. ونسخ المخرجات ولصقها مباشرة في التقرير سيؤدي حتماً إلى إغفال ثغرات منطق العمل.

هل وافقت الشركة صاحبة العرض المنخفض على تضمين بروتوكول للسرية وحفظ البيانات في العقد؟ إن لم يقدموا ضماناً تقنياً بعدم خروج بيانات الاختبار لخوادم عامة، فهل من المنطقي المجازفة ببرنامج مخصص للتقييم المالي؟

أجرينا العام الماضي اختبار اختراق مماثلاً يعتمد على الأتمتة بنحو 50.000 TL. كان ما يقارب ثمانين بالمئة من التقرير مجرد مخرجات فحص قياسية، وفاتتهم ثغرة تجاوز صلاحيات حرجة في مسار الدفع لدينا. لاحقاً دفعنا 110.000 TL لاختبار يدوي وعندها فقط ظهرت الثغرات الحقيقية.

عبارة "خفضنا التكلفة" تعني في هذا المجال غالباً أنهم أسندوا المهمة لمتدرب يكتب أوامر للأداة. الذكاء الاصطناعي أداة مساعدة ممتازة، لكن بيعه كميزة لتخفيض السعر يعني أنهم يقتطعون من جهد وخبرة المختصين.

تواصلوا مع الشركة مرة أخرى واشترطوا عليهم إرفاق أدلة التحقق اليدوي لكل ثغرة مذكورة في التقرير. ووضحوا لهم من البداية أنكم لن تقبلوا بمجرد قائمة ثغرات افتراضية أنتجتها الأداة.

احنا كمان نزلنا الأداة دي عشان نجربها، بتطلع الأوامر الأساسية بس الأخطاء المنطقية زي التحقق من الصلاحيات مش بتشوفها خالص وفي مشاريع الفينتك مستحيل تعتمدوا عليها لوحدها، ولازم تحطوا شرط في العقد يحدد استخدام الذكاء الاصطناعي.

وفقاً للوائح التنظيمية التي تخضع لها المؤسسات التي تعالج البيانات المالية، فإن نقل بيانات الشبكة الداخلية وبيانات العملاء المجمعة أثناء الاختبارات إلى خدمات سحابية خارجية دون رقابة قد يشكل انتهاكاً قانونياً. يُنصح بطلب مخطط تدفق البيانات كتابياً من مزود الخدمة.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك ثم إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

صححوا لي إن أخطأت.

شكرًا جزيلاً، سأجربها اليوم.

لم أكن أعلم بهذا.

حدث معنا هذا. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذا كل شيء، أرجو المعذرة إذا أطالت.

بعد تجربة ذلك، تغيرت نظرتي للأمور. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

الإجابة أعلاه لخصت جوهر الأمر. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

هذا العنوان مؤرشف.

أحسنت في فتح هذا العنوان. محاولة فعل هذا بمفردك هي أغلى الطرق.

لو كنت مكانك، لسلك هذا المسار.

أنا أيضًا متحمس لمعرفة ذلك.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

تم الحفظ.