استخدام ChatGPT في عمليات Red Team — هل يستخدمه أحد في الاختبار الذي طلبنا له عرضاً، وما خطورته؟

النماذج العامة لا تنتج ثغرات يوم الصفر مباشرة بسبب فلاتر الأمان. ما يفعله الاستشاريون غالباً هو إعادة ترتيب هياكل الأكواد المعروفة لتجاوز آليات الرصد. ولصق كود الشركة في خدمات سحابية، بخلاف النماذج المحلية والمعزولة، يُعد ثغرة لا يمكن قبولها.

في اختبار اختراق بقيمة 120.000 TL أجريناه الشهر الماضي، اكتشفنا عبر مراقبة حركة الشبكة أن أحد الخبراء يمرر سجلات أخطاء شبكتنا الداخلية لخدمة ذكاء اصطناعي عامة. أوقفنا الاختبار فوراً وفسخنا العقد. للأسف باتت مراقبة خروج البيانات من فريق التدقيق مسؤولية تقع على عاتق العميل.

يُشكر من صرّح باستخدام الذكاء الاصطناعي على صراحته، لكن طلب 160.000 TL وتمرير معظم الشغل لبوت بأوامر جاهزة هو مضيعة للجهد والمال. جوهر Red Team هو العقل البشري المبتكر؛ فالهجمات النمطية تقوم بها الماسحات التلقائية على أي حال.

جعل الذكاء الاصطناعي يحلل الشركة المستهدفة ثم كتابة استشارة Red Team في الفاتورة تجارة مربحة بصراحة. انتبهوا لأسلوب الجمل عند تسليم التقرير؛ كي لا يكونوا قد نسخوا إجابات البوت العامة وألصقوها في النتيجة.

لو بيستخدموا نماذج شغالة على سيرفر محلي ومفصولة عن النت فمفيش مشكلة خالص، اما لو بيبعتوا بيانات لسحابة خارجية فالسرية ضاعت خلاص. حطوا شرط جزائي تقيل بالعقد.

وفقًا لقانون حماية البيانات الشخصية KVKK ومعايير أمن المعلومات، نقل بيانات الموظفين أو العملاء التي يتم الحصول عليها أثناء الاختبار إلى منصات ذكاء اصطناعي تستضيف خوادمها في الخارج يُعد مخالفة واضحة للتشريعات. وهذا الوضع قد يعرّض شركتكم لخطر غرامة إدارية.

قلقكم في محله تمامًا. اطلبوا من الشركات التي تقدّم العروض مستند منهجية الاختبار بلا استثناء. اطلبوا منهم أن يلتزموا كتابيًا بتحديد الأدوات التي سيستخدمونها وفي أي مرحلة وبأي إجراءات لحماية البيانات. الشركة المحترفة لا تتردد في توثيق ذلك.

أعتقد أن الحديث بهذه القطعية في جانب chatgpt في red team صعب. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. مثبت بالتجربة.

عندنا نفس المشكلة.

ملخص سريع للجدد: إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

هذا كل شيء، أرجو المعذرة إذا أطالت.

سأكون ممتنًا لو شاركت النتيجة. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

أتمنى أن يفيدك هذا.

صحيح. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

عانيت من نفس المشكلة قبل عامين. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أتفق، بل أود التأكيد على هذه النقطة. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

سأدافع عن الرأي المعاكس، لا تغضبوا. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

لو كنت مكانك، لسلك هذا المسار.

صحيح بشكل عام، لكن هناك جزء ناقص. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أخذت ملاحظة، شكرًا لك.

بالتأكيد. وإذا أردت إضافة شيء: معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.