اصطلاح «روز-صفر» به آسیب‌پذیری‌ای گفته می‌شود که سازندهٔ نرم‌افزار از وجودش بی‌خبر است و بنابراین هیچ وصله‌ای هم برایش منتشر نکرده. نامش از همین‌جا می‌آید: مدافع صفر روز فرصت داشته تا خود را آماده کند. چنین حفره‌هایی گران‌ترین کالای بازار امنیت سایبری‌اند و در گذشته یافتنشان به ماه‌ها کارِ تحلیلگران خبره نیاز داشت.

آنچه Anthropic گزارش کرده، تغییر در جنس این کار است. مدل به‌جای آنکه فهرستی از الگوهای شناخته‌شدهٔ خطا را روی کد بگرداند — کاری که ابزارهای تحلیل ایستا دهه‌هاست انجام می‌دهند — زنجیره‌ای از استدلال را دنبال می‌کند: کد را می‌خواند، فرض می‌سازد که کجا ممکن است منطق بشکند، و سپس می‌کوشد همان فرض را اثبات کند.

تفاوت میان این دو رویکرد در عمل تعیین‌کننده است. ابزارهای سنتی آنچه را می‌یابند که از پیش بلدند بیابند؛ آنچه Anthropic توصیف می‌کند، یافتن چیزی است که در هیچ فهرستی نبوده.

### شمشیر دولبه

همین توانایی است که گزارش را نگران‌کننده می‌کند. ابزاری که می‌تواند پیش از مهاجم حفره را پیدا کند و ببندد، دقیقاً همان ابزاری است که می‌تواند پیش از مدافع پیدایش کند و از آن سوءاستفاده کند. تفاوت تنها در این است که چه کسی دکمه را فشار می‌دهد.

این عدم‌تقارن به سود مهاجم است، و دلیلش ساده است: مدافع باید همهٔ حفره‌ها را ببندد، مهاجم تنها به یکی نیاز دارد. اگر هزینهٔ یافتن حفره برای هر دو طرف به یک اندازه کاهش یابد، طرفی بیشتر سود می‌برد که به عدد کمتری نیاز دارد.

Anthropic گفته است که یافته‌ها را پیش از انتشار عمومی به سازندگان نرم‌افزارهای آسیب‌دیده اطلاع داده — روالی که در جامعهٔ امنیت با نام «افشای مسئولانه» شناخته می‌شود و هدفش این است که وصله پیش از سوءاستفاده منتشر شود.

### چرا برای سازمان‌های ایرانی مهم است

پیامد عملی این تحول برای هر سازمانی که نرم‌افزار می‌نویسد یا به‌کار می‌گیرد، یکسان است: فرضِ «کسی سراغ کد ما نمی‌آید چون بررسی‌اش گران است» دیگر فرض معتبری نیست. آنچه تا دیروز به تیمی از متخصصان و هفته‌ها زمان نیاز داشت، اکنون به توان محاسباتی و زمان کمتری نیاز دارد.

این یعنی فاصلهٔ میان انتشار یک وصلهٔ امنیتی و نصب آن — فاصله‌ای که در بسیاری از سازمان‌ها هفته‌ها و گاه ماه‌ها طول می‌کشد — پرهزینه‌تر از گذشته می‌شود. در ادبیات امنیت، به این بازهٔ زمانی «پنجرهٔ آسیب‌پذیری» می‌گویند و کوتاه‌کردنش سال‌هاست توصیه می‌شود؛ تفاوت امروز این است که توصیه به ضرورت بدل شده.

هیچ‌یک از این‌ها به معنای آن نیست که دفاع ناممکن شده است. اما معنایش این هست که اقتصادِ حمله تغییر کرده، و سازمان‌هایی که برنامهٔ امنیتی‌شان بر پایهٔ «هزینهٔ حمله بالاست» بنا شده بود، باید آن پایه را دوباره بسنجند.