ការកេងប្រវ័ញ្ចប្រភពបើកចំហកាលពីឆ្នាំមុនបានផ្លាស់ប្តូររបៀបដែលអ្នកជំនាញគិតពីសុវត្ថិភាព

កម្មវិធីប្រភពបើកចំហមាននៅគ្រប់ទីកន្លែង—ត្រូវបានប្រើប្រាស់ស្ទើរតែគ្រប់កម្មវិធីទំនើបៗ—ប៉ុន្តែបញ្ហាសុវត្ថិភាពដែលវាប្រឈមនឹងបន្តកាន់តែធ្ងន់ធ្ងរ។ ដោយពឹងផ្អែកលើឆ្អឹងខ្នងរបស់អ្នកស្ម័គ្រចិត្ត ភាពងាយរងគ្រោះឥឡូវនេះធ្វើឱ្យវាក្លាយជាគោលដៅចម្បងសម្រាប់ការវាយប្រហារតាមអ៊ីនធឺណិតដោយទាំងពួក Hacker ព្យាបាទ និងតួអង្គរដ្ឋ។ ការហៅជិតស្និទ្ធជាមួយ xz Utils backdoor attack បង្ហាញពីរបៀបដែលសុវត្ថិភាពប្រភពបើកចំហអាចមានភាពផុយស្រួយ។ ជាមួយនឹងឧបករណ៍ប្រភពបើកចំហមានសារៈសំខាន់សម្រាប់ទាំងក្រុមហ៊ុនឯកជន និងរដ្ឋាភិបាល ការវិនិយោគកាន់តែច្រើនពីវិស័យឯកជន និងវិស័យសាធារណៈនឹងត្រូវបានទាមទារ។

ភាគច្រើននៃកូដប្រភពហ្វូងមនុស្សរបស់អ៊ីនធឺណិតគឺងាយរងគ្រោះទៅនឹងការជ្រៀតចូលដោយតួអង្គអាក្រក់ និងប្រទេសជាតិ។ កម្មវិធីប្រភពបើកចំហគឺជា "បេះដូងនៃអ៊ីនធឺណិត" វាត្រូវបានថែរក្សាយ៉ាងទូលំទូលាយដោយ អ្នកស្ម័គ្រចិត្ត មួយចំនួនតូច ហើយដែលធ្វើឱ្យវាក្លាយជាហានិភ័យសន្តិសុខដ៏សំខាន់សម្រាប់សាជីវកម្ម និងរដ្ឋាភិបាលដូចគ្នា នេះបើតាម The Economist បានរាយការណ៍។ កម្មវិធីប្រភពបើកចំហត្រូវបានប្រើប្រាស់ជាទូទៅនៅទូទាំង ហេដ្ឋារចនាសម្ព័ន្ធ ឌីជីថល ដោយសារតម្លៃទាបរបស់វា។ ហេដ្ឋារចនាសម្ព័ន្ធ​នោះ ដែល​បង្កប់​នៅ​ទូទាំង​ពិភព​ឌីជីថល​កំពុង​រង​ការ​វាយ​ប្រហារ​ដោយ​ប្រទេស​ជា​សត្រូវ​នានា។

Martin Woodward អនុប្រធានផ្នែកទំនាក់ទំនងអ្នកអភិវឌ្ឍន៍នៅ GitHub បាននិយាយ ពីមុនថា "កម្មវិធីប្រភពបើកចំហគឺជាមូលដ្ឋានគ្រឹះនៃ 99% នៃកម្មវិធីរបស់ពិភពលោក" ។ ប្រហែល 97% នៃកម្មវិធីប្រើប្រាស់កូដប្រភពបើកចំហ ដោយ 90% នៃក្រុមហ៊ុនបានបញ្ចូល ឬប្រើប្រាស់វាក្នុងសមត្ថភាពមួយចំនួន។

អ្វីដែលកាលពីឆ្នាំមុនបានបង្ហាញនៅក្នុងសុវត្ថិភាពប្រភពបើកចំហ

ឧប្បត្តិហេតុ xz Utils គឺជាឧទាហរណ៍ដ៏ត្រជាក់នៃអ្វីដែលកំពុងប្រឈម។ នៅថ្ងៃទី 29 ខែមីនា ឆ្នាំ 2024 លោក Andres Freund ដែលជាវិស្វករផ្នែកទន់នៅក្រុមហ៊ុន Microsoft "បានរកឃើញដោយចៃដន្យនូវ backdoor ដែលលាក់នៅក្នុងផ្នែកនៃកម្មវិធីដែលជាផ្នែកមួយនៃប្រព័ន្ធប្រតិបត្តិការលីនុច។" backdoor នេះបានមកពីការចេញផ្សាយ tarballs សម្រាប់ xz Utils ដែលត្រូវបានរំខាន និងអនុញ្ញាតឱ្យចូលប្រើប្រព័ន្ធដោយគ្មានការអនុញ្ញាតដោយប្រើកំណែដែលរងផលប៉ះពាល់។ កូដប្រភពដែលត្រូវបានសម្របសម្រួលគឺជា ឧបករណ៍ប្រើប្រាស់បង្ហាប់ទិន្នន័យប្រភពបើកចំហ xz Utils នៅក្នុងប្រព័ន្ធលីនុច។ កាសែត New York Times បានសរសេរថា វិស្វករបានការពារ "ការវាយប្រហារតាមអ៊ីនធឺណិតដែលមានសក្តានុពលជាប្រវត្តិសាស្ត្រ"។

ដោយសារ xz Utils គឺជាកម្មវិធីប្រភពបើកចំហ កូដរបស់វាអាចចូលប្រើបានជាសាធារណៈ ដែលអនុញ្ញាតឱ្យនរណាម្នាក់មើលការផ្លាស់ប្តូរដែលបានធ្វើ។ ទោះជាយ៉ាងណាក៏ដោយ ការបើកចំហនេះត្រូវបានកេងប្រវ័ញ្ចក្នុងលក្ខណៈមិនច្បាស់លាស់ពិសេសមួយ៖ ការវាយប្រហារបានកំណត់គោលដៅតែកូដនៅក្នុង tarballs ចេញផ្សាយប៉ុណ្ណោះ (ឯកសារបណ្ណសារដែលបានបង្ហាប់សម្រាប់កំណែនៃការចេញផ្សាយកម្មវិធី) ដែលទុកឱ្យសាខាសំខាន់នៃឃ្លាំងមិនត្រូវបានប៉ះពាល់។ យុទ្ធសាស្ត្រដ៏ឈ្លាសវៃនេះ បានធ្វើឱ្យការសម្របសម្រួលកាន់តែពិបាករកឃើញ។ បើគ្មានការប្រុងប្រយ័ត្នពីអ្នកអភិវឌ្ឍន៍ និងសំណាងអាក្រក់ទេ ការវាយប្រហារអាចបង្កគ្រោះថ្នាក់ដ៏ធំ ដោយបំពានប្រព័ន្ធរាប់មិនអស់នៅទូទាំងពិភពលោក។

អ្នកអភិវឌ្ឍន៍ម្នាក់ឈ្មោះ Jia Tan បានចាប់ផ្តើមធ្វើការរួមចំណែកកូដដ៏មានប្រយោជន៍ដល់គម្រោង និងទទួលបានទំនុកចិត្តបន្តិចម្តងៗ។ បន្ទាប់មកយូរៗទៅ តួអាក្រក់បានរត់ពន្ធមេរោគ។ ធាតុដ៏គួរឱ្យភ្ញាក់ផ្អើលបំផុតមួយនៃការវាយប្រហារ backdoor xz Utils គឺជារបៀបដែល កូដ ព្យាបាទត្រូវបានណែនាំតាមរយៈ git ដែលមិនបង្កគ្រោះថ្នាក់។ ជំនួសឱ្យការកែប្រែកូដប្រភព xz Utils ដោយផ្ទាល់ មេរោគត្រូវបានលាក់ទុកជាកូដវត្ថុ x86_64 នៅក្នុងឯកសារសាកល្បងប្រព័ន្ធគោលពីរ ដែលក្លែងបន្លំជាការធ្វើតេស្តឯកតាសម្រាប់ករណីគែមនៅក្នុងការបង្រួម XZ ។ សេវាស៊ើបការណ៍សម្ងាត់បរទេសរបស់រុស្ស៊ី SVR ដែលសង្ស័យថាជាអ្នកនៅពីក្រោយ ការវាយប្រហារ គឺជាសេវាស៊ើបការណ៍សម្ងាត់ដូចគ្នានៅពីក្រោយការវាយប្រហារ SolarWinds ។

ឧប្បត្តិហេតុនេះមិននៅដាច់ដោយឡែកទេ។ គម្រោងប្រភពបើកចំហគឺជាគោលដៅដ៏គួរឱ្យទាក់ទាញសម្រាប់តួអង្គរដ្ឋ ពីព្រោះកូដគឺជាសាធារណៈ។ ខណៈពេលដែលការបើកចំហនេះគឺអស្ចារ្យសម្រាប់ការសហការ វាក៏ផ្តល់ឱ្យអ្នកវាយប្រហារមានភាពងាយស្រួលក្នុងការសិក្សាកូដ និងការអាប់ដេតរបស់វា។ ប្រភពបើកចំហដើរតួនាទីយ៉ាងសំខាន់ក្នុងហេដ្ឋារចនាសម្ព័ន្ធសកល។ របាយការណ៍ ពី Lineaje ក្នុងឆ្នាំ 2023 បានបង្ហាញថា 70% នៃកម្មវិធីទាំងអស់នាពេលបច្ចុប្បន្ននេះគឺជាប្រភពបើកចំហ ហើយថា 82% នៃសមាសភាគកម្មវិធីប្រភពបើកចំហគឺ "មានហានិភ័យពីកំណើត" ។ ជាអកុសល ការប្រើប្រាស់គ្រប់ទីកន្លែងរបស់វាធ្វើឱ្យភាពងាយរងគ្រោះរបស់វាកាន់តែមានគ្រោះថ្នាក់។

របាយការណ៍ពី Lineaje និងអ្នកផ្សេងទៀតបង្ហាញពីហានិភ័យ៖ 82% នៃសមាសធាតុប្រភពបើកចំហត្រូវបានចាត់ទុកថាមានហានិភ័យដោយសារតែការថែទាំមិនល្អ កូដហួសសម័យ ឬកំហុសសុវត្ថិភាព។ គម្រោងទាំងនេះជាច្រើនត្រូវបានដំណើរការដោយក្រុមតូចៗ ឬអ្នកស្ម័គ្រចិត្តម្នាក់ៗដែលមានធនធានមានកម្រិត ដែលទុកឱ្យពួកគេងាយរងការវាយប្រហារ។

របៀបដែល AI នឹងដើរតួនាទីកាន់តែធំ

ការបន្ថែមទៅលើហានិភ័យទាំងនេះគឺការកើនឡើងនៃគំរូភាសាធំ (LLMs) ។ ខណៈពេលដែល LLMs ជួយអ្នកអភិវឌ្ឍន៍ជាមួយនឹងកិច្ចការដូចជាការបំបាត់កំហុស ឬដំណើរការស្វ័យប្រវត្តិកម្ម ពួកគេក៏អាចប្រើប្រាស់ខុសផងដែរ។ អ្នកវាយប្រហារអាចប្រើ LLMs ដើម្បីវិភាគកូដប្រភពបើកចំហរយ៉ាងរហ័សសម្រាប់ភាពងាយរងគ្រោះ ដែលធ្វើឱ្យវាកាន់តែងាយស្រួលក្នុងការស្វែងរកគុណវិបត្តិដែលអាចកេងប្រវ័ញ្ចបាន។ ឧបករណ៍ AI ទាំងនេះក៏អាចបង្កើតសារបន្លំដែលអាចបញ្ចុះបញ្ចូល ឬការរួមចំណែកក្លែងក្លាយចំពោះគម្រោងប្រភពបើកចំហ ដែលធ្វើឱ្យវាពិបាកក្នុងការស្វែងរកតួអង្គអាក្រក់។ សមត្ថភាពរបស់ LLMs ក្នុងការធ្វើត្រាប់តាមអន្តរកម្មរបស់មនុស្សបង្កើនឱកាសនៃកូដព្យាបាទដែលរអិលដោយមិនមាននរណាកត់សម្គាល់តាមរយៈការបន្លំ និងវ៉ិចទ័រវាយប្រហារផ្សេងទៀតដែលអាចត្រូវបានដោយស្វ័យប្រវត្តិ។

ទោះបីជាមានហានិភ័យក៏ដោយ LLMs ក៏ផ្តល់ឱកាសដើម្បីកែលម្អសុវត្ថិភាពប្រភពបើកចំហផងដែរ។ ប៉ុន្តែមានសមតុល្យដែលត្រូវតែមាន ព្រោះវាអាចជាតម្លៃហាមឃាត់ ដោយសារក្រុមហ៊ុនមិនទំនងក្នុងការវិនិយោគលើការដំណើរការអ្នកវិភាគផ្អែកលើ LLM លើកូដប្រភពបើកចំហដោយគ្មានថវិកា។ ជាឧទាហរណ៍ ប្រព័ន្ធ AI អាចដាក់ទង់ការផ្លាស់ប្តូរគួរឱ្យសង្ស័យនៅក្នុងមូលដ្ឋានកូដ ឬរកឃើញលំនាំមិនធម្មតានៅក្នុងឥរិយាបថអ្នករួមចំណែក។ ប្រភពបើកចំហ LLMs ក៏ "ទទួលបានអត្ថប្រយោជន៍ពីមូលដ្ឋានដែលកំពុងរីកចម្រើនយ៉ាងឆាប់រហ័សនៃសហគមន៍អ្នកអភិវឌ្ឍន៍ដែលជំរុញព្រំដែនរបស់ពួកគេ និងធ្វើមាត្រដ្ឋានប្រចាំថ្ងៃដើម្បីដោះស្រាយបញ្ហាប្រឈមសុវត្ថិភាពតាមអ៊ីនធឺណិតដ៏ស្មុគស្មាញ។"

ទោះ​បី​ជា​យ៉ាង​ណា​ក៏​ដោយ បច្ចេក​វិទ្យា​ដូច​គ្នា​ដែល​ពង្រឹង​ការ​ការពារ​ក៏​អាច​ត្រូវ​បាន ​បំពាក់​អាវុធ ​ផង​ដែរ​។ ការដាក់ពង្រាយប្រភពបើកចំហ LLM នៅលើម៉ាស៊ីនមេ ឬនៅក្នុងបរិយាកាសពពកបង្ហាញពីហានិភ័យនៃការចូលប្រើដោយគ្មានការអនុញ្ញាតចំពោះម៉ូដែល ឬទិន្នន័យរសើបដែលវាគ្រប់គ្រង ប្រសិនបើមិនមានការគ្រប់គ្រងសុវត្ថិភាពត្រឹមត្រូវ។ តួអង្គព្យាបាទអាចជ្រៀតជ្រែកជាមួយទិន្នន័យបណ្តុះបណ្តាល ឬគំរូខ្លួនឯង ដោយចាក់បញ្ចូលកូដដែលបង្កគ្រោះថ្នាក់ ឬលម្អៀងដែលនាំឱ្យមានការយល់ច្រឡំ ឬខ្លឹមសារព្យាបាទ។ លើសពីនេះ LLMs ដែលមានសុវត្ថិភាពមិនត្រឹមត្រូវ អាចលេចធ្លាយព័ត៌មានរសើប ទាំងតាមរយៈអត្ថបទដែលបានបង្កើត ឬការវាយប្រហារដែលផ្តោតលើស្ថាបត្យកម្មរបស់ម៉ូដែល។

អ្វីដែលធ្លាប់ត្រូវបានសម្រេចជាមួយនឹងឃ្លាំងតែមួយដោយប្រើឧបករណ៍ដូចជា xz Utils ឆាប់ៗនេះអាចត្រូវបានធ្វើមាត្រដ្ឋានទូទាំងរាប់រយដោយបុគ្គលតែមួយដែលប្រើបច្ចេកវិទ្យា GenAI កម្រិតខ្ពស់ក្នុងរយៈពេលប៉ុន្មានឆ្នាំខាងមុខ ហើយការផ្លាស់ប្តូរនេះទំនងជាបានចាប់ផ្តើមរួចហើយ។ ឧបសគ្គចំពោះការចូលបានធ្លាក់ចុះយ៉ាងខ្លាំង ដោយផ្លាស់ប្តូរពីការទាមទារធនធានថ្នាក់ជាតិ ឬការយកចិត្តទុកដាក់យ៉ាងខ្លាំងចំពោះអ្វីមួយដែលឥឡូវនេះអាចផលិតបានយ៉ាងច្រើន។ វាអាចទៅរួចទាំងស្រុងដែលថានៅក្នុងប៉ុន្មានឆ្នាំខាងមុខនេះ ភាគច្រើននៃការធ្វើបច្ចុប្បន្នភាពតូច ឬតិចតួចចំពោះឃ្លាំងនឹងត្រូវបានបង្កើតដោយ GenAI ។

ខណៈពេលដែលការរួមចំណែកក្នុងការអភិវឌ្ឍន៍ប្រកបដោយអត្ថន័យ គុណភាពខ្ពស់នៅតែជាបញ្ហាប្រឈមផ្សេងគ្នា តួនាទីរបស់អ្នកថែទាំអាចផ្លាស់ប្តូរផងដែរ។ ជំនួសឱ្យការក្លាយជាអ្នកអភិវឌ្ឍន៍ដែលមានជំនាញក្នុងការរួមចំណែកយ៉ាងសកម្មនូវកូដ អ្នកថែទាំអាចក្លាយជាអ្នកដែលមានជំនាញក្នុងការគ្រប់គ្រងការងារដ៏ក្រអឺតក្រទម និងបង្ហាញរូបភាពនៃការមានប្រយោជន៍ ដោយបន្សល់ទុកនូវកិច្ចការដ៏ស្មុគស្មាញ ឬប្រកបដោយភាពច្នៃប្រឌិតទៅកាន់ក្រុមអ្នកអភិវឌ្ឍន៍ដែលខិតខំប្រឹងប្រែងតិចតួច។

AI Eroding Trust

ការវាយប្រហារក្លែងបន្លំបែបប្រពៃណីផ្តោតលើការទទួលបានបញ្ជីឈ្មោះផ្ទៃក្នុងរបស់ក្រុមហ៊ុន និងកំណត់គោលដៅបុគ្គលសំខាន់ៗ ឬអ្នកដែលពួកគេទុកចិត្ត។ ជាមួយនឹងប្រព័ន្ធអេកូដែលពឹងផ្អែកយ៉ាងទូលំទូលាយរបស់ NPM ដែលអាចចូលដំណើរការបានជាសាធារណៈ អ្នកវាយប្រហារមានមុំខុសគ្នា។ ពួកគេអាចកំណត់អត្តសញ្ញាណអ្នកថែទាំមួយចំនួនតូចសម្រាប់កញ្ចប់ដែលបានផ្តល់ឱ្យ វាយតម្លៃបញ្ហាដែលកើតឡើងវិញ និងប្រើប្រាស់ព័ត៌មាននោះដើម្បីដាក់ពង្រាយ bots ដែលមើលទៅមានប្រយោជន៍ដោយការរួមចំណែកជួសជុល ឬផ្តល់ជំនួយ។ នេះបង្កើតផ្លូវមួយសម្រាប់ការទទួលបានទំនុកចិត្ត និងបង្កប់ខ្លួននៅក្នុងដំណើរការអភិវឌ្ឍន៍។

អត្តសញ្ញាណក្លែងក្លាយដ៏ល្អបំផុតត្រូវបានបង្កើតដោយទិន្នន័យពិភពពិត បង្កើនតាមពេលវេលាតាមរយៈការបង្ហោះប្រព័ន្ធផ្សព្វផ្សាយសង្គម កំណត់ត្រាសិក្សា និងច្រើនទៀត។ លេខសម្គាល់ក្លែងក្លាយដែលគួរឱ្យជឿជាក់ រួមមានប្រវត្តិលម្អិត ពេញលេញជាមួយនឹងរូបថត ការតភ្ជាប់ និងវត្តមាននៅលើអ៊ីនធឺណិត។ GenAI សម្រួលដល់ការបង្កើតអត្តសញ្ញាណទាំងនេះ ខណៈពេលដែលការពង្រឹងពួកវាដោយការក្លែងធ្វើសកម្មភាពសរសេរកូដនៅលើវេទិកាដូចជា GitHub ជាដើម។

ការរួមចំណែកដំបូងជាច្រើនចំពោះគម្រោងប្រភពបើកចំហគឺតូច និងងាយស្រួលក្នុងការផ្ទៀងផ្ទាត់ ដូចជាការកែកំហុសនៅក្នុងមតិយោបល់ ឬការធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យ។ សកម្មភាពទាំងនេះគឺល្អសម្រាប់អ្នកវាយប្រហារដែលប្រើ LLMs ព្រោះពួកគេអាចធ្វើដោយស្វ័យប្រវត្តិតាមខ្នាត។ នេះអនុញ្ញាតឱ្យបង្កើតអត្តសញ្ញាណក្លែងក្លាយរាប់រយ ដែលនីមួយៗមានប្រវត្តិរូប LinkedIn គណនីប្រព័ន្ធផ្សព្វផ្សាយសង្គម និងប្រវត្តិ GitHub ដែលមានការចូលរួមចំណែកតិចតួច ប៉ុន្តែស្របច្បាប់រាប់ពាន់។

អត្តសញ្ញាណទាំងនេះអាចចូលរួមក្នុងគម្រោងជាច្រើន អាចមានសក្តានុពលត្រួតស៊ីគ្នា និងបង្កើតកំណត់ត្រានៃការមានប្រយោជន៍។ យូរៗទៅ តួអង្គព្យាបាទអាចប្រើអត្តសញ្ញាណមួយក្នុងចំណោមអត្តសញ្ញាណទាំងនេះ ដើម្បីបញ្ជូនការរួមចំណែកដ៏សំខាន់បន្ថែមទៀត។ សូម្បីតែការរួមចំណែកទាំងនេះដំបូងអាចលេចឡើងត្រឹមត្រូវ និងមានប្រយោជន៍។ នៅក្នុងកិច្ចខិតខំប្រឹងប្រែងដែលបានសម្របសម្រួល ដូចជាអ្នកដែលតាមប្រទេសជាតិ ឬសមូហភាពរបស់ពួក Hacker អត្តសញ្ញាណមួយអាចពង្រឹងភាពជឿជាក់របស់អ្នកដទៃ ពង្រឹងការនិទានរឿង ឬទទួលបានឥទ្ធិពល។

យើងបានឃើញឧទាហរណ៍រួចហើយ ដូចជាឧប្បត្តិហេតុ xz utils ដែលអត្តសញ្ញាណជាច្រើនត្រូវបានប្រើដើម្បីរៀបចំការជឿទុកចិត្ត។ នៅពេលដែលការវាយប្រហារត្រូវបានលាតត្រដាង អត្តសញ្ញាណទាំងនោះត្រូវបានលុបចោល។ នៅក្នុងប្រតិបត្តិការដោយដៃ ការបាត់បង់ទ្រព្យសម្បត្តិបែបនេះនឹងត្រូវចំណាយច្រើន។ ទោះបីជាយ៉ាងណាក៏ដោយ ជាមួយនឹង GenAI ការបង្កើតអត្តសញ្ញាណថ្មីកើតឡើងក្នុងការចំណាយតិចតួចបំផុត ដោយកាត់បន្ថយភាគហ៊ុនសម្រាប់អ្នកវាយប្រហារយ៉ាងខ្លាំង។

ការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់នឹងកើនឡើង

ការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធីនាពេលថ្មីៗនេះ បានកំណត់គោលដៅ បណ្ណាល័យ @solana/web3.js npm ដ៏ពេញនិយម ដែលត្រូវបានប្រើយ៉ាងទូលំទូលាយសម្រាប់ការបង្កើតកម្មវិធីដែលមានមូលដ្ឋានលើ Solana ដោយបំពានកំណែ 1.95.6 និង 1.95.7 ជាមួយនឹងកូដព្យាបាទដើម្បីលួចសោឯកជនរបស់អ្នកប្រើប្រាស់ និងបង្ហូររូបិយប័ណ្ណគ្រីបតូ។ កាបូប។ ការវាយប្រហារនេះបានកេងប្រវ័ញ្ចលើយុទ្ធនាការបន្លំដែលអនុញ្ញាតឱ្យតួអង្គគំរាមកំហែងទទួលបានសិទ្ធិផ្សព្វផ្សាយ និងបញ្ចូលមុខងារ backdoor ដោយទាញយកសោឯកជនតាមរយៈបឋមកថា Cloudflare ដែលមើលទៅស្របច្បាប់។ កំណែដែលរងផលប៉ះពាល់ត្រូវបានដកចេញ ហើយអ្នកប្រើប្រាស់ត្រូវបានជំរុញឱ្យធ្វើបច្ចុប្បន្នភាពទៅកំណែ 1.95.8 ហើយពិចារណាបង្វិលសោរបស់ពួកគេដើម្បីកាត់បន្ថយហានិភ័យ។

ការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធីត្រូវបានគេរំពឹងថានឹងកើនឡើងនៅឆ្នាំ 2025 ដោយសារតែការកើនឡើងនៃការពឹងផ្អែកទៅលើបណ្ណាល័យប្រភពបើកចំហ និងការកើនឡើងនៃវិធីសាស្ត្រវាយប្រហារដ៏ទំនើបដូចជាការបន្លំ និងវិស្វកម្មសង្គម។ យោងតាមការសិក្សាមួយរបស់ Synopsys ភាពងាយរងគ្រោះនៅក្នុងកម្មវិធីប្រភពបើកចំហកំពុងកើនឡើងជាលំដាប់។ លើសពីនេះ ការបង្កើនការរួមបញ្ចូលឧបករណ៍ប្រភពបើកចំហនៅក្នុងប្រព័ន្ធសហគ្រាសផ្តល់ឱ្យអ្នកវាយប្រហារទទួលបានផលចំណេញខ្ពស់លើការវិនិយោគ ដែលធ្វើឱ្យការបំពានបែបនេះកាន់តែទាក់ទាញសម្រាប់ទាំងឧក្រិដ្ឋជនតាមអ៊ីនធឺណិត និងតួអង្គដែលឧបត្ថម្ភដោយរដ្ឋ។

ឥទ្ធិពលនៃតួអង្គរដ្ឋ និងការកំណត់គោលដៅអ្នកស្ម័គ្រចិត្ត

ឧប្បត្តិហេតុ xz Utils ដូចជាការវាយប្រហារ SolarWinds ដើរតួនាទីជាការដាស់តឿនមួយ ដោយបញ្ជាក់ពីតម្រូវការសម្រាប់ការវិនិយោគ និងការសហការកាន់តែច្រើនរវាងវិស័យសាធារណៈ និងឯកជន ដើម្បីទទួលបានកម្មវិធីប្រភពបើកចំហ និងរក្សាតម្លៃរបស់វាជាប្រយោជន៍សាធារណៈឌីជីថល។ ក្រុមហ៊ុនដែលទទួលបានអត្ថប្រយោជន៍ពីឧបករណ៍ប្រភពបើកចំហត្រូវបង្កើន និងគាំទ្រគម្រោងទាំងនេះ។ ជំនួយនេះអាចរួមបញ្ចូលការផ្តល់មូលនិធិ ការផ្តល់ពេលវេលាដល់អ្នកអភិវឌ្ឍន៍ ឬការផ្តល់ជំនាញផ្នែកសន្តិសុខ។ គម្រោងប្រភពបើកចំហក៏ត្រូវការអភិបាលកិច្ចល្អជាងមុនផងដែរ ដូចជាដំណើរការត្រួតពិនិត្យកូដតឹងរ៉ឹង និងការទទួលខុសត្រូវរួមគ្នាសម្រាប់ការធ្វើបច្ចុប្បន្នភាព។ ការកែប្រែភាពងាយរងគ្រោះកាន់តែលឿនគឺជាអាទិភាពមួយទៀត ដោយសារការពន្យារពេលទុកប្រព័ន្ធប្រឈមនឹងការវាយប្រហារក្នុងរយៈពេលយូរ។

តួអង្គរដ្ឋនៅតែជាការគំរាមកំហែងដ៏ធំបំផុតមួយ។ កម្មវិធីប្រភពបើកចំហផ្តល់ឱ្យពួកគេនូវគោលដៅតម្លៃទាប រង្វាន់ខ្ពស់សម្រាប់ចារកម្ម ការបំផ្លិចបំផ្លាញ និងការរំខាន។ ការវាយប្រហាររបស់ SolarWinds ទោះបីជាពាក់ព័ន្ធនឹងកម្មវិធីដែលមានកម្មសិទ្ធិក៏ដោយ គឺជាឧទាហរណ៍ដ៏សំខាន់មួយអំពីរបៀបដែលបំផ្លាញការរំលោភខ្សែសង្វាក់ផ្គត់ផ្គង់ទាំងនេះ។

អ្នកវាយប្រហារទំនងជានឹងបន្តកំណត់គោលដៅអ្នកថែទាំបុគ្គលឱ្យបានញឹកញាប់ជាងមុន ដោយប្រើយុទ្ធសាស្ត្រវិស្វកម្មសង្គមកម្រិតខ្ពស់ដើម្បីសម្របសម្រួលគម្រោង។ ឧបករណ៍ AI នឹងបន្តពង្រឹងទាំងសមត្ថភាពរបស់អ្នកវាយប្រហារ និងអ្នកការពារ ដោយបង្កើតការប្រណាំងដើម្បីបន្តការគំរាមកំហែងថ្មីៗ។ រដ្ឋាភិបាល​ក៏​ទំនង​ជា​មាន ​ការ​ចូល​រួម ​កាន់​តែ​ច្រើន ដោយ​ជួយ​លើក​កម្ពស់​ភាព​ជា​ដៃ​គូ​សាធារណៈ និង​ឯកជន​ដើម្បី​ធ្វើ​ឱ្យ​ប្រសើរ​ឡើង​នូវ​សន្តិសុខ​នៅ​ទូទាំង​ប្រព័ន្ធ​អេកូឡូស៊ី​កាន់តែ​ទូលំទូលាយ។ ក្នុងពេលជាមួយគ្នានេះ បទប្បញ្ញត្តិកាន់តែតឹងរ៉ឹងអាចត្រូវបានណែនាំ ដែលជំរុញឱ្យក្រុមហ៊ុនមានទំនួលខុសត្រូវកាន់តែច្រើនសម្រាប់សមាសធាតុប្រភពបើកចំហដែលពួកគេប្រើប្រាស់។

នៅពេលដែលវាមកដល់ឧបទ្ទវហេតុ SolarWinds ថាតើវាបានរសាត់ចេញពីការចងចាំអាស្រ័យលើទស្សនៈ។ ខណៈពេលដែលការយកចិត្តទុកដាក់របស់សាធារណជនអាចនឹងផ្លាស់ប្តូរ មន្ត្រីរដ្ឋាភិបាល និងអ្នកជំនាញផ្នែកសន្តិសុខតាមអ៊ីនធឺណិតនៅតែផ្តោតលើការដោះស្រាយមេរៀនដែលបានរៀន។ ការងារដែលកំពុងដំណើរការជាច្រើននៅក្នុងសន្តិសុខសង្វាក់ផ្គត់ផ្គង់កម្មវិធី ដូចជាគំនិតផ្តួចផ្តើមដោយ OpenSSF (ដូចជា SLSA និង GUAC) គឺជាការឆ្លើយតបដោយផ្ទាល់ទៅនឹងតម្រូវការសម្រាប់ការការពារកាន់តែខ្លាំង ដែលជំរុញដោយភ្នាក់ងារដូចជា CISA ប៉ុន្តែការរីកចំរើនមានដំណើរការយឺត ហើយមិនមែនទាំងអស់នោះទេ។ អង្គការបានអនុម័តការការពារទាំងនេះ។ រដ្ឋាភិបាលសហព័ន្ធខ្លួនឯងគឺជា អ្នកប្រើប្រាស់ ដ៏ធំបំផុតមួយនៃកម្មវិធីប្រភពបើកចំហ ហើយនឹងបន្តបង្កើនការចូលរួមរបស់ខ្លួននៅក្នុងលំហ។

ខណៈពេលដែលកិច្ចខិតខំប្រឹងប្រែងទាំងនេះបន្តនៅពីក្រោយឆាក ផលប៉ះពាល់នៃឧបទ្ទវហេតុនេះប្រហែលជាមិនមានប្រតិកម្មពេញលេញជាមួយសាធារណជនទូទៅទេ ជាពិសេសក្នុងចំណោមអ្នកបង្កើតកម្មវិធីឯករាជ្យ ឬចំណង់ចំណូលចិត្តដែលប្រហែលជាមិនយល់ច្បាស់ពីផលប៉ះពាល់ដ៏ទូលំទូលាយនោះទេ។

ជាចុងក្រោយ ដូចដែលអ្នកជំនាញ Michal Zalewski បានកត់សម្គាល់ថា "ចំណុចសំខាន់គឺថា យើងមានលុយរាប់លានដុល្លា ដែលជិះនៅលើកំពូលកូដដែលបង្កើតឡើងដោយអ្នកចូលចិត្ត"។ នេះគូសបញ្ជាក់អំពីលទ្ធភាពដែល backdoors ផ្សេងទៀតអាចនៅតែលាក់កំបាំង រកមិនឃើញនៅក្នុងកម្មវិធីសំខាន់ដែលបង្កើតជាឆ្អឹងខ្នងនៃអ៊ីនធឺណិត។

ខណៈពេលដែលការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះគឺជាការព្រួយបារម្ភ បញ្ហាធំគឺស្ថិតនៅក្នុងការលុបបំបាត់ការជឿទុកចិត្តនៅក្នុងប្រព័ន្ធអេកូប្រភពបើកចំហ។ ប្រភពបើកចំហរីកចម្រើនលើការរួមចំណែករបស់អ្នកអភិវឌ្ឍន៍ដែលគ្មានមុខដែលធ្វើការដោយស្មោះត្រង់ ជាញឹកញាប់ដោយគ្មានអន្តរកម្មផ្ទាល់ ឬការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ។ GenAI ធ្វើឱ្យខូចដល់មូលដ្ឋានគ្រឹះនេះដោយធ្វើឱ្យវាអាចធ្វើទៅបានសម្រាប់អ្នករួមចំណែកដែលគ្មានមុខមាត់ជាច្រើនដែលត្រូវបានប្រឌិតទាំងស្រុង។

ការវាយប្រហារដោយបន្លំគឺមានគ្រោះថ្នាក់រួចទៅហើយ ព្រោះវាកេងចំណេញលើការជឿទុកចិត្ត ជាជាងការទម្លុះការការពារផ្នែកបច្ចេកទេស ពួកគេបានបោកបញ្ឆោតបុគ្គលឱ្យអនុវត្តកូដព្យាបាទនៅក្នុងបរិយាកាសដែលគួរឱ្យទុកចិត្ត។ GenAI ពង្រីកហានិភ័យនេះដោយអនុញ្ញាតឱ្យអ្នកវាយប្រហារបញ្ចូលកូដព្យាបាទទៅក្នុងកញ្ចប់ប្រភពបើកចំហដែលជឿទុកចិត្តក្រោមការរួមចំណែកស្របច្បាប់។

នេះទំនងជានឹងជំរុញឱ្យមានការប្រកួតប្រជែងរវាងតួអង្គព្យាបាទដោយប្រើ GenAI ដើម្បីជ្រៀតចូលគម្រោង និងឧបករណ៍ការពារដែលប្រើប្រាស់ GenAI ដើម្បីស្វែងរក និងប្រឆាំងភាពងាយរងគ្រោះ មុនពេលពួកគេអាចត្រូវបានគេកេងប្រវ័ញ្ច។ បន្ទាប់មកសំណួរនឹងក្លាយទៅជាថាតើការជឿទុកចិត្តលើប្រភពបើកចំហអាចរស់រានមានជីវិតនៅក្នុងពិភពលោកដែលអ្នកចូលរួមវិភាគទានអាចមិនអាចបែងចែកបានកាន់តែខ្លាំងពីអ្នកក្លែងបន្លំដែលជំរុញដោយ AI ។

នៅពេលដែលយើងចូលដល់ឆ្នាំ 2025 កម្មវិធីប្រភពបើកចំហគឺស្ថិតនៅចំណុចសំខាន់មួយ។ ការគំរាមកំហែងកាន់តែមានភាពស្មុគ្រស្មាញ ដែលត្រូវបានជំរុញដោយតួអង្គរដ្ឋ ការប្រើប្រាស់ឧបករណ៍ AI ខុសដូចជា LLMs និងការផ្តោតទៅលើការជ្រៀតជ្រែកខ្សែសង្វាក់ផ្គត់ផ្គង់ដើម្បីបង្កការខូចខាតជាអតិបរមា។ ទោះបីជាយ៉ាងណាក៏ដោយ ជាមួយនឹងវិធានការសកម្ម ការវិនិយោគកាន់តែច្រើន និងការទទួលខុសត្រូវរួមគ្នា វាអាចបង្កើតអនាគតមួយដែលប្រភពបើកចំហបន្តរីកចម្រើនជាកម្លាំងសម្រាប់ការច្នៃប្រឌិត និងវឌ្ឍនភាព ជាជាងភាពងាយរងគ្រោះដែលកំពុងរង់ចាំការកេងប្រវ័ញ្ច។