سرعت پیشرفت هوش مصنوعی، معادلات مدیریت آسیب‌پذیری را دگرگون کرده است. امروزه برخی مدل‌های پیشرفته هوش مصنوعی قادرند تنها در 20 ساعت و صرفاً بر اساس توضیحات یک آسیب‌پذیری، یک اکسپلویت عملیاتی تولید کنند؛ قابلیتی که نشان می‌دهد رویکرد سنتی مبتنی بر پچ کردن دیگر پاسخگوی سرعت تحول تهدیدات سایبری نیست. در همین راستا، کاخ سفید با راه‌اندازی پروژه Gold Eagle و بهره‌گیری از هوش مصنوعی پیشرفته، رویکردی جدید برای شناسایی، اولویت‌بندی و اصلاح آسیب‌پذیری‌های نرم‌افزاری در نهادهای دولتی و زیرساخت‌های حیاتی، پیش از سوءاستفاده مهاجمان از آن‌ها، در پیش گرفته است. این پروژه که بر توانمندی‌های مدل Mythos شرکت آنتروپیک (Anthropic) متکی است، نشان می‌دهد دولت‌ها نیز به این جمع‌بندی رسیده‌اند که رویکردهای سنتی مدیریت آسیب‌پذیری دیگر با سرعت تحول تهدیدات سایبری همخوانی ندارند. از این رو، چالش اصلی دیگر تنها سرعت اعمال پچ‌ها نیست؛ بلکه سازمان‌ها باید مدیریت آسیب‌پذیری خود را متناسب با تهدیدات مبتنی بر هوش مصنوعی و اولویت‌بندی مبتنی بر ریسک بازتعریف کنند.
آنچه در مدیریت آسیب‌پذیری تغییر کرده است
مدل Mythos شرکت آنتروپیک را می‌توان یکی از مهم‌ترین نقاط عطف در تحول مدیریت آسیب‌پذیری دانست. این مدل هوش مصنوعی پیشرفته موفق شده آسیب‌پذیری‌هایی را شناسایی کند که پیش از این از دید ابزارهای امنیتی پنهان مانده بودند؛ از یک آسیب‌پذیری 27 ساله که موجب کرش از راه دور (Remote Crash) در سیستم‌عامل OpenBSD می‌شد تا زنجیره‌ای از آسیب‌پذیری‌های کرنل لینوکس که بدون نیاز به هدایت انسانی، امکان دستیابی به کنترل کامل سیستم را فراهم می‌کرد.
علاوه بر این، حدود 50 سازمان عضو پروژه Glasswing که با شرکت آنتروپیک همکاری می‌کنند، تاکنون موفق به شناسایی بیش از 10 هزار آسیب‌پذیری با شدت بالا (High) و بحرانی (Critical) در نرم‌افزارهای حیاتی شده‌اند.
با این حال، این توانمندی تا زمانی یک مزیت دفاعی محسوب می‌شد که فقط در اختیار مدافعان قرار داشت. این وضعیت چندان دوام نیاورد؛ شرکت آنتروپیک در ژوئن 2026 مدل Fable را به‌صورت عمومی منتشر کرد، اما دسترسی به آن مدت کوتاهی بعد و در پی اعمال مقررات کنترل صادرات (Export Controls) آمریکا به حالت تعلیق درآمد و پس از مدتی دوباره برقرار شد. این موضوع نشان داد که فناوری‌های پیشرفته شناسایی آسیب‌پذیری دیگر صرفاً یک ابزار نرم‌افزاری نیستند، بلکه به فناوری‌های راهبردی تبدیل شده‌اند که دسترسی و انتشار آن‌ها تحت نظارت و محدودیت‌های دولت‌ها قرار دارد؛ جایگاهی که با یک سرویس معمولی نرم‌افزار به‌عنوان سرویس (Software as a Service – SaaS) تفاوت دارد.
نگاهی به سرعت تحولات نیز ابعاد این تغییر را به‌خوبی نشان می‌دهد:
- سرعت مهاجمان: پژوهشگران شرکت Sysdig در مارس 2026 گزارش کردند که مهاجمان تنها 20 ساعت پس از انتشار یک CVE و بدون انتشار هیچ کد اثبات مفهوم (PoC) عمومی، توانسته‌اند صرفاً بر اساس توضیحات منتشرشده، یک اکسپلویت عملیاتی توسعه داده و از آن برای سوءاستفاده از آسیب‌پذیری استفاده کنند. همچنین، گزارش M-Trends 2026 شرکت Mandiant نشان می‌دهد میانگین زمان لازم تا اکسپلویت (Mean Time to Exploit – MTTE) به منفی 7 روز رسیده است؛ به این معنا که در بسیاری از موارد، اکسپلویت‌ها حتی پیش از افشای عمومی آسیب‌پذیری‌ها یا انتشار جزئیات فنی آن‌ها آماده سوءاستفاده هستند.
- کندی روند واکنش مدافعان: گزارش Data Breach Investigations Report 2026 شرکت Verizon نشان می‌دهد سازمان‌ها برای اعمال پچ روی آسیب‌پذیری‌هایی که سوءاستفاده از آن‌ها تأیید شده است، به‌طور میانگین 43 روز زمان صرف می‌کنند؛ در حالی که این زمان در سال گذشته 32 روز بوده است. این گزارش همچنین نشان می‌دهد تنها 26 درصد از آسیب‌پذیری‌ها در نهایت به‌طور کامل پچ می‌شوند.
- افزایش بی‌سابقه حجم آسیب‌پذیری‌ها: برآورد انجمن تیم‌های پاسخگویی به رخدادها و امنیت (FIRST) نشان می‌دهد که در سال 2026 حدود 59 هزار CVE جدید منتشر خواهد شد؛ یعنی به‌طور میانگین بیش از 160 آسیب‌پذیری در روز. همچنین تعداد آسیب‌پذیری‌های اجرای کد از راه دور (RCE) نسبت به سال گذشته 130 درصد افزایش یافته است.
این روندها نشان می‌دهد مدل سنتی CVE دیگر توان پاسخگویی به حجم فزاینده و سرعت بالای شناسایی و انتشار آسیب‌پذیری‌ها را ندارد. همین مسئله، ضرورت تغییر رویکرد سازمان‌ها در زمینه مدیریت و اولویت‌بندی آسیب‌پذیری‌ها را بیش از گذشته نشان داده است.
پنج رویکرد جدید صنعت برای مقابله با تغییرات مدیریت آسیب‌پذیری
1. بازنگری در فرآیند پچ کردن
شرکت سیسکو (Cisco) پس از آنکه دریافت ارزیابی ریسک آسیب‌پذیری‌ها به‌صورت جداگانه و موردی دیگر پاسخگوی حجم و سرعت تهدیدات فعلی نیست، فرآیند CVE خود را بازطراحی کرد. این شرکت به سمت مدل افشای مبتنی بر ریسک حرکت کرده است؛ مدلی که در آن آسیب‌پذیری‌ها در قالب دسته‌بندی‌های گسترده‌تر ضعف‌های رایج (Common Weakness Categories) تحلیل می‌شوند و انتشار اطلاعات مربوط به آن‌ها نیز در یک برنامه زمان‌بندی مشخص، دو بار در ماه انجام می‌شود.
دولت آمریکا نیز به رویکرد مشابهی روی آورد. سازمان CISA در ژوئن 2026، با معرفی دستورالعمل عملیاتی 26-04 (Binding Operational Directive 26-04)، دستورالعمل BOD 22-01 را لغو کرد؛ این دستورالعمل پیش‌تر سازمان‌ها را موظف می‌کرد تمامی آسیب‌پذیری‌های موجود در فهرست KEV را در بازه‌های زمانی مشخص و سخت‌گیرانه پچ کنند.
بر اساس BOD 26-04، قرار گرفتن یک آسیب‌پذیری در فهرست KEV دیگر به‌تنهایی معیار تصمیم‌گیری نیست؛ بلکه میزان ریسک هر آسیب‌پذیری با در نظر گرفتن عوامل دیگری مانند موارد زیر ارزیابی می‌شود:
- میزان مواجهه دارایی‌های عمومی با تهدیدات
- امکان سوءاستفاده خودکار از آسیب‌پذیری
- تأثیر فنی آسیب‌پذیری؛ از ایجاد دسترسی محدود تا امکان کنترل کامل سیستم
به این ترتیب، رویکرد صنعت از مدل سنتی «پچ کردن همه آسیب‌پذیری‌ها در یک بازه زمانی مشخص» به سمت «اولویت‌بندی آسیب‌پذیری‌ها بر اساس ریسک واقعی و میزان تهدید در محیط سازمان» تغییر کرده است.
به گفته پژوهشگران شرکت Palo Alto Networks، اگر فردا یک آسیب‌پذیری جدید منتشر شود و هم‌زمان یک اکسپلویت تولیدشده توسط هوش مصنوعی برای آن در اختیار مهاجمان قرار گیرد، سازمان‌ها باید از پیش مشخص کرده باشند که چه زمانی برای پچ کردن آن اقدام خواهند کرد و چه فرد یا تیمی اختیار تصمیم‌گیری و اجرای اقدامات فوری را بدون طی فرآیندهای طولانی تأیید دارد.
2. کاهش سطح مواجهه با تهدید
تا زمانی که سازمان‌ها از وجود یک دارایی یا سرویس مطلع نباشند، نمی‌توانند از آن محافظت کنند یا برای آسیب‌پذیری‌های آن پچ اعمال کنند. به همین دلیل، شناسایی دارایی‌ها و ترسیم سطح حمله (Attack Surface) در سرویس‌های قابل دسترس از اینترنت، سیستم‌های قدیمی و استقرارهای خارج از دید سازمان همچنان یکی از پایه‌های اصلی امنیت سایبری محسوب می‌شود.
با این حال، در عصر هوش مصنوعی، مدیریت سطح حمله دیگر تنها به شناسایی پورت‌های باز یا سرویس‌های قابل دسترس محدود نمی‌شود. سازمان‌ها باید بدانند عامل‌های خودکار (Autonomous Agents) و هویت‌های غیرانسانی چه سطحی از دسترسی دارند، به چه منابعی می‌توانند دسترسی پیدا کنند و در صورت سوءاستفاده، دامنه تأثیر آن‌ها تا چه بخش‌هایی از محیط سازمان گسترش خواهد یافت.
رخداد نفوذ به هاگینگ فیس (Hugging Face) در جولای 2026 نمونه‌ای هشداردهنده از این چالش جدید است. در این رخداد، یک عامل هوش مصنوعی خودکار از طریق یک پایپ‌لاین پردازش داده وارد محیط سازمان شد، سطح دسترسی خود را تا سطح نود سیستم (Node-Level Access) افزایش داد و طی یک بازه زمانی کوتاه، میان کلاسترهای داخلی حرکت جانبی (Lateral Movement) انجام داد.
این عامل هوش مصنوعی از روش پیچیده‌ای برای عبور از کنترل‌های امنیتی استفاده نکرد؛ بلکه ضعف اصلی در عدم وجود محدودیت‌های کافی برای کنترل دسترسی آن بود. از این رو، راهکارهایی مانند اصل حداقل دسترسی (Least Privilege)، محدودسازی دقیق دسترسی ابزارها و مدیریت دامنه اثرگذاری حمله در هویت‌های غیرانسانی مانند حساب‌های سرویس، کلیدهای API و عامل‌های هوش مصنوعی، به اندازه پچ اهمیت پیدا کرده‌اند.
3. شناسایی آسیب‌پذیری‌هایی که در عمل امکان سوءاستفاده از آن‌ها وجود دارد
امتیاز بالای CVSS به‌تنهایی تصویر کاملی از میزان ریسک یک آسیب‌پذیری نشان نمی‌دهد. برای مثال، امتیاز CVSS 9.8 مشخص نمی‌کند که آیا یک کامپوننت در محیط سازمانی به اینترنت دسترسی دارد، آیا یک زنجیره اکسپلویت می‌تواند مهاجم را به داده‌های حساس برساند یا کنترل‌های امنیتی موجود قادر به کاهش ریسک آن هستند یا خیر.
پلتفرم‌های مدیریت سطح حمله با بررسی محیط‌های واقعی سازمان، مسیرهای احتمالی سوءاستفاده را شناسایی کرده و هزاران یافته امنیتی را به فهرستی اولویت‌بندی‌شده تبدیل می‌کنند که تیم‌های امنیتی می‌توانند بر اساس میزان ریسک، برای آن‌ها اقدام کنند.
این دقیقاً همان رویکردی است که BOD 26-04 دنبال می‌کند؛ یعنی تمرکز دیگر تنها بر وجود یک آسیب‌پذیری نیست، بلکه باید مشخص شود آن آسیب‌پذیری با توجه به معماری واقعی سازمان، دارایی‌های موجود و کنترل‌های امنیتی، تا چه اندازه قابل سوءاستفاده است.
4. اعتبارسنجی سطح ریسک و اطمینان از عملکرد کنترل‌های امنیتی
تحلیل شرکت SafeBreach روی 1.8 میلیون شبیه‌سازی حمله نشان داد که کنترل‌های امنیتی Endpoint توانسته‌اند حدود 53 درصد از حملات را مسدود کنند. اما نتایج این بررسی نشان می‌دهد برخی حملات مبتنی بر هویت، با وجود فعال بودن همین کنترل‌های دفاعی، توانسته‌اند مسیرهای جایگزینی برای عبور از لایه‌های امنیتی پیدا کنند؛ در حالی که این کنترل‌ها معمولاً در برابر حملات باج‌افزاری عملکرد موفقی دارند.
شرکت‌هایی مانند SafeBreach، Picus و Cymulate در دسته‌ای از راهکارهای امنیتی قرار می‌گیرند که گارتنر (Gartner) آن را اعتبارسنجی تهاجمی سطح حمله (Adversarial Exposure Validation) می‌نامد. این فناوری‌ها فراتر از شناسایی آسیب‌پذیری‌ها، بررسی می‌کنند که یک مهاجم در شرایط واقعی تا چه اندازه امکان سوءاستفاده دارد و پس از نفوذ به چه منابعی می‌تواند دسترسی پیدا کند؛ موضوعی که ابزارهای سنتی اسکن آسیب‌پذیری قادر به ارزیابی دقیق آن نیستند.
5. جلوگیری از انتشار آسیب‌پذیری‌ها در کدهای نرم‌افزاری
دستیارهای برنامه‌نویسی مبتنی بر هوش مصنوعی، فرآیند توسعه نرم‌افزار را سریع‌تر کرده‌اند؛ اما در کنار این مزیت، منجر به افزایش آسیب‌پذیری‌های امنیتی در کدهای تولیدشده نیز شده‌اند. رشد 130 درصدی آسیب‌پذیری‌های اجرای کد از راه دور (RCE) پیش از ظهور مدل‌هایی مانند Mythos و Fable آغاز شد و با گسترش استفاده از کدهای تولیدشده توسط هوش مصنوعی، این روند شتاب بیشتری گرفت.
پلتفرم‌های امنیت نرم‌افزار، نتایج شناسایی آسیب‌پذیری‌ها را مستقیماً در محیط توسعه یکپارچه (IDE) و پایپ‌لاین‌های CI/CD در اختیار تیم‌های توسعه قرار می‌دهند. این ابزارها با کمک هوش مصنوعی، هر آسیب‌پذیری را تا منشأ اصلی آن تحلیل کرده و تمام نمونه‌های مشابه آن را در بخش‌های مختلف پایگاه کد شناسایی می‌کنند.
برخی راهکارها مانند Pi Security، اصلاحات امنیتی انجام‌شده را به دانش قابل استفاده برای سازمان تبدیل می‌کنند تا سازمان بتواند از تکرار همان آسیب‌پذیری در نسخه‌های بعدی کد جلوگیری کرده و از تجربه اصلاحات گذشته در توسعه‌های آینده استفاده کند.
اکنون سازمان‌ها چه اقداماتی باید انجام دهند؟
با تغییر چشم‌انداز تهدیدات سایبری و افزایش توانایی هوش مصنوعی در شناسایی و تولید اکسپلویت، سازمان‌ها دیگر نمی‌توانند مدیریت آسیب‌پذیری را صرفاً به فرآیند پچ کردن سریع‌تر محدود کنند. رویکرد جدید باید بر ارزیابی ریسک واقعی، کاهش سطح حمله، اعتبارسنجی کنترل‌های امنیتی و جلوگیری از ورود آسیب‌پذیری‌ها به چرخه توسعه نرم‌افزار تمرکز داشته باشد. اقدامات کلیدی که سازمان‌ها باید در این مسیر در نظر بگیرند عبارتند از:
- ارزیابی زمان واقعی اعمال پچ‌های امنیتی: سازمان‌ها باید به جای اتکا به زمان‌بندی‌های تعیین‌شده در سیاست‌های امنیتی، مدت زمان واقعی موردنیاز برای استقرار پچ آسیب‌پذیری‌های بحرانی در 90 روز گذشته را ارزیابی کنند. اختلاف میان زمان برنامه‌ریزی‌شده برای اعمال پچ و زمان واقعی اجرای آن، میزان شکاف مواجهه با ریسک سازمان را نشان می‌دهد.
- اتخاذ مدل اولویت‌بندی مبتنی بر ریسک: بر اساس رویکرد BOD 26-04، آسیب‌پذیری‌ها نباید با یک میزان فوریت و اولویت یکسان مدیریت شوند. آسیب‌پذیری‌هایی که به‌صورت فعال مورد سوءاستفاده قرار گرفته‌اند و روی سامانه‌های در دسترس از اینترنت قرار دارند، باید مانند یک رخداد امنیتی جدی بررسی و مدیریت شوند. آسیب‌پذیری‌های بحرانی که هنوز نشانه‌ای از سوءاستفاده فعال از آن‌ها وجود ندارد، باید در اولویت اصلاح قرار گیرند و سایر آسیب‌پذیری‌ها نیز از طریق چرخه‌های استاندارد پچ مدیریت شوند.
- آزمایش فرآیند تصمیم‌گیری اضطراری: سازمان‌ها باید با اجرای تمرین‌های شبیه‌سازی بررسی کنند که چه مدت زمانی برای دریافت تأییدهای مدیریتی، عملیاتی و حقوقی جهت اعمال پچ‌های اضطراری نیاز است؛ زیرا تأخیر در تصمیم‌گیری می‌تواند فاصله میان شناسایی تهدید و واکنش مؤثر را افزایش دهد.
- ارزیابی ابزارهای امنیت نرم‌افزار در برابر کدهای تولیدشده توسط هوش مصنوعی: سازمان‌ها باید ابزارهای امنیتی فعلی خود را با نمونه‌های واقعی از کدهای تولیدشده توسط هوش مصنوعی ارزیابی کنند تا مشخص شود این ابزارها تا چه اندازه قادر به شناسایی آسیب‌پذیری‌های جدید هستند. ضعف‌هایی که از دید این ابزارها پنهان می‌مانند، بخشی از بدهی فنی امنیتی سازمان به شمار می‌روند.
- بازنگری در فرآیند باگ‌بانتی(Bug Bounties) و مدیریت گزارش‌های امنیتی: با افزایش توانایی هوش مصنوعی در شناسایی آسیب‌پذیری‌ها، حجم گزارش‌های امنیتی ممکن است از ظرفیت بررسی دستی تیم‌ها فراتر رود. ایجاد یک پایپ‌لاین اولویت‌بندی خودکار برای دسته‌بندی و تحلیل گزارش‌ها، به سازمان‌ها کمک می‌کند این حجم از اطلاعات را مدیریت کنند.
در نهایت، سازمان‌هایی در سال‌های آینده موفق خواهند بود که صرفاً به افزایش سرعت پچ کردن تکیه نکنند، بلکه رویکرد مدیریت آسیب‌پذیری خود را با واقعیت تهدیدات جدید، به‌ویژه تهدیدات مبتنی بر هوش مصنوعی، هماهنگ سازند. در این رویکرد، کاهش سطح حمله، تمرکز بر آسیب‌پذیری‌هایی که در محیط واقعی امکان سوءاستفاده از آن‌ها وجود دارد، ارزیابی مداوم اثربخشی کنترل‌های امنیتی و جلوگیری از ورود کدهای آسیب‌پذیر به محیط تولید، جایگزین مدل سنتی «پچ کردن همه آسیب‌پذیری‌ها» خواهد شد.
این تحول نیازمند بازطراحی ساختار و رویکرد امنیتی سازمان است؛ نه اینکه صرفاً فرآیندهای فعلی بهینه‌سازی شوند.
