ٹرائیج ہی پروڈکٹ ہے: ایتھیریم کے پروٹوکول کوڈ کے خلاف ⁦AI⁩ ایجنٹس چلانا

ایتھیریم فاؤنڈیشن کی پروٹوکول سیکیورٹی ٹیم کی جانب سے حقیقی پروٹوکول کوڈ کے خلاف مربوط AI ایجنٹس چلانے کے حوالے سے نوٹس، جس میں یہ شامل ہے کہ ہم کام کو کیسے منظم کرتے ہیں، جانچ پڑتال کے دوران کیا چیز برقرار رہتی ہے، اور کلائنٹ ٹیمیں اور سیکیورٹی محققین اس سے کیا سیکھ سکتے ہیں۔ یہ پوسٹ اپنے آپ میں مکمل ہے؛ بعد کی پوسٹس انفرادی کلائنٹس پر مزید گہرائی میں جائیں گی۔

ہم کیا چلا رہے ہیں، اور کس چیز نے ہمیں حیران کیا

ایتھیریم فاؤنڈیشن کی پروٹوکول سیکیورٹی ٹیم میں، ہم ان سسٹمز کے خلاف مربوط AI ایجنٹس چلا رہے ہیں جن پر نیٹ ورک کا انحصار ہے، جیسے سسٹمز سافٹ ویئر، کرپٹوگرافک کوڈ، اور ایسے کنٹریکٹس جن کا درست ہونا لازمی ہے۔ ایجنٹس نے حقیقی بگز تلاش کیے۔ ان میں سے ایک اب پبلک ہے: libp2p کے gossipsub میں دور سے متحرک ہونے والا پینک (panic)، جو کہ پیئر ٹو پیئر لیئر کا ایک بنیادی حصہ ہے جس پر ایتھیریم کے اتفاق رائے والے کلائنٹس چلتے ہیں، اسے ٹھیک کر کے ٹیم کے کریڈٹ کے ساتھ CVE-2026-34219 کے طور پر ظاہر کیا گیا ہے۔

ایجنٹس کا بگز تلاش کرنا کوئی حیرت کی بات نہیں تھی۔ حیرت اس بات پر تھی کہ انہیں تلاش کرنے میں کتنا کم کام لگا، اور حقیقی بگز کو ان بگز سے الگ کرنے میں کتنا زیادہ وقت لگا جو صرف حقیقی لگتے تھے۔

یہ پوسٹ ان کلائنٹ ٹیموں اور سیکیورٹی محققین کے لیے ہے جو یہی کام کرنا چاہتے ہیں۔ اس میں یہ شامل ہے کہ ہم ایجنٹس کو کیسے منظم کرتے ہیں، کسی امیدوار کو فائنڈنگ (finding) کے طور پر شمار ہونے سے پہلے کس معیار پر پورا اترنا ہوتا ہے، اور وہ عادات جو نتائج کو قابلِ اعتماد رکھتی ہیں۔

دیگر جگہوں پر ٹیمیں بھی اسی طریقہ کار پر متفق ہو رہی ہیں۔ Anthropic کی فرنٹیئر ریڈ ٹیم نے ایک ایجنٹ بنایا جو پراپرٹی پر مبنی ٹیسٹ لکھتا ہے اور اس نے Python ایکو سسٹم میں حقیقی بگز تلاش کیے۔ Cloudflare نے اپنے سسٹمز کے خلاف ایک فرنٹیئر ماڈل کو سیکیورٹی ریسرچ ہارنس کے ذریعے چلایا۔ ہر کوئی ایک ہی لوپ پر پہنچتا ہے: ایک قابل ماڈل کو کوڈ بیس کی طرف موڑیں، اسے تلاش کرنے دیں، اور جو کچھ واپس آئے اس کا ٹرائیج (triage) کریں۔ لہذا اصل سوال یہ ہے کہ پراعتماد لگنے والے شور میں ڈوبے بغیر یہ کیسے کیا جائے۔

شروع میں ہی ایک انتباہ: ایجنٹ پر مبنی آڈٹ کے لیے ٹولنگ بہت تیزی سے آگے بڑھتی ہے، اور کوئی بھی مخصوص سیٹ اپ چند ہفتوں میں پرانا ہو جاتا ہے۔ اس لیے یہ پوسٹ جان بوجھ کر ٹولنگ کے بجائے ان طریقوں کے بارے میں ہے جو دیرپا ہیں۔ ڈسکلوزر (Disclosure) بذات خود ایک الگ موضوع ہے اور شاید اس پر ایک الگ پوسٹ ہوگی۔

ایجنٹ ایک سرچ ٹول ہے، اوریکل نہیں

کوڈ بیس کی طرف موڑا گیا ایجنٹ ایک سرچ ٹول ہے، جو کافی حد تک فزر (fuzzer) کی طرح ہوتا ہے۔ فرق اس بات میں ہے کہ واپس کیا آتا ہے۔ ایک فزر آپ کو کریش اور اسٹیک ٹریس دیتا ہے۔ ایک ایجنٹ آپ کو اس سے کہیں زیادہ دیتا ہے، جس میں ایک رائٹ اپ (کال چین، اثرات کا دعویٰ، تجویز کردہ شدت) اور اس کی پشت پناہی کرنے والے آرٹفیکٹس شامل ہیں، جیسے کہ ایک پروف آف کانسیپٹ جسے آپ حقیقی کوڈ کے خلاف چلا سکتے ہیں۔

یہ سب نتائج کو پڑھنے اور ان پر بھروسہ کرنے میں آسان بناتا ہے، خاص طور پر چلنے والا پروف آف کانسیپٹ۔ لہذا یہ مت گنیں کہ ایک ایجنٹ کتنے امیدوار تیار کرتا ہے۔ یہ گنیں کہ ان میں سے کتنے حقیقی ثابت ہوتے ہیں۔

کام کو کیسے منظم کیا جاتا ہے

ہم ایک ہدف کے خلاف متوازی طور پر کئی ایجنٹس چلاتے ہیں۔ وہ ریپوزٹری کے ذریعے ہی آپس میں رابطہ کرتے ہیں، جس میں ورژن کنٹرول میں مشترکہ حالت ہوتی ہے اور کوئی مرکزی عمل کام تقسیم نہیں کرتا۔ ایک ایجنٹ ایک دعویٰ لکھتا ہے جہاں دوسرے اسے دیکھ سکتے ہیں، کام کرتا ہے، اور کمٹ (commit) کرتا ہے۔

ہم نے یہ طریقہ کار Anthropic کے ایجنٹس کے فلیٹ کے ساتھ C کمپائلر بنانے کے رائٹ اپ سے لیا ہے، جو اسی طرح کوآرڈینیٹ کرتا ہے۔ بنانے یا برقرار رکھنے کے لیے کوئی مرکزی کوآرڈینیٹر نہیں ہے، اور خرابی کے امکانات کم ہیں۔

کردار اس کام سے تیار ہوتے ہیں جو دریافت ہوتا ہے:

• Recon (جائزہ): یہ حملے کی سطح کو ٹھوس، قابلِ ٹیسٹ مفروضوں میں بدل دیتا ہے۔ "ڈیکوڈر کا آڈٹ کریں" نہیں بلکہ "اس مقام کے بعد اس فیلڈ پر بھروسہ کیا جاتا ہے؛ یہ وہ پراپرٹی ہے جو اسے برقرار رکھنی چاہیے، وہ طریقہ جس سے یہ ٹوٹ سکتی ہے، اور وہ ثبوت جو اسے حل کرے گا۔"
• Hunting (تلاش): یہ ایک مفروضہ لیتا ہے، کوڈ پاتھ کو ٹریس کرتا ہے، اور ایک ریپروڈیوسر (reproducer) بنانے کی کوشش کرتا ہے۔
• Gap-filling (خلا پُر کرنا): یہ دیکھتا ہے کہ کیا قبول کیا گیا اور کیا مسترد کیا گیا، مفروضوں کا اگلا بیچ لکھتا ہے، اور کوریج کو ٹریک کرتا ہے تاکہ ایجنٹس بار بار ایک ہی جگہ پر نہ جائیں۔
• Validation (توثیق): یہ ہر امیدوار کو آزادانہ طور پر دوبارہ چیک کرتا ہے، ڈپلیکیٹس کو ہٹاتا ہے، اور فیصلہ کرتا ہے۔

ہم نے یہ پائپ لائن ایجاد نہیں کی۔ Cloudflare بھی انہی مراحل کو بیان کرتا ہے، جائزہ، متوازی تلاش، آزادانہ توثیق، ڈی ڈپلیکیشن، رپورٹنگ، اور ان کے رائٹ اپ نے ہمارے طریقہ کار کو تشکیل دینے میں مدد کی۔

فائنڈنگ کے طور پر شمار ہونے سے پہلے ایک امیدوار کچھ اس طرح لگتا ہے:

ہدف:         وہ جزو اور انٹری پوائنٹ جہاں تک حملہ آور درحقیقت پہنچ سکتا ہے
مستقل:       وہ پراپرٹی جسے برقرار رہنا چاہیے
طریقہ کار:   وہ مخصوص طریقہ جس سے اسے توڑا جا سکتا ہے
کامیابی:     قابل مشاہدہ ثبوت: ایک پینک، ایک رکاوٹ، ایک قبول شدہ-نامانوس ان پٹ
ریپروڈیوسر:  ایک خود مختار آرٹفیکٹ جو حقیقی کوڈ کے خلاف چلتا ہے
ڈی ڈپلیکیٹ:  ایک کلید، تاکہ دو ایجنٹس ایک ہی چیز کے پیچھے نہ بھاگیں

یہ خاکہ ایک وجہ سے موجود ہے۔ یہ ایک مخصوص، قابلِ ٹیسٹ دعویٰ اور کام مکمل ہونے کی واضح تعریف پر مجبور کرتا ہے۔ ایک ایجنٹ جسے قابلِ مشاہدہ ثبوت لکھنا ہو، وہ "یہ خطرناک لگتا ہے" کا بہانہ نہیں بنا سکتا۔

قابلِ تولید (Reproducible) ورنہ یہ نہیں ہوا

ایک اصول کسی بھی دوسرے اصول سے زیادہ اہمیت رکھتا ہے۔ کوئی امیدوار اس وقت تک فائنڈنگ نہیں بنتا جب تک کہ کوئی ایسا خود مختار آرٹفیکٹ موجود نہ ہو جو حقیقی کوڈ کے خلاف ناکامی کو دوبارہ پیدا (reproduce) کرے، اور جو کسی ایسے شخص کے لیے چلے جس نے اسے نہیں لکھا۔

ریپروڈیوسر رائٹ اپ نہیں پڑھتا، اور اسے اس بات کی پرواہ نہیں ہوتی کہ ماڈل کتنا پراعتماد لگ رہا تھا۔ یہ یا تو چلتا ہے یا نہیں چلتا۔

اس کی زیادہ تر اہمیت ان غلط مثبت (false positives) کو پکڑنے میں ہے جو یہ سامنے لاتا ہے۔ ان میں سے تین بار بار سامنے آتے ہیں، اور ہر ایک میں ایجنٹ غلط وجہ سے پاس ہو رہا ہوتا ہے:

• ایک پینک جو صرف ڈیبگ بلڈ میں ہوتا ہے۔ اسے اس طرح مرتب کریں اور چلائیں جیسے سافٹ ویئر دراصل بھیجا جاتا ہے، اور ویلیو بس ریپ اراؤنڈ (wrap around) ہو جاتی ہے۔ کچھ بھی کریش نہیں ہوتا۔ یہ کریش کی طرح لگتا ہے، لیکن ایسا نہیں ہوتا۔
• ایک ریپروڈیوسر جو ہاتھ سے کوئی اندرونی ویلیو بناتا ہے، جسے کوئی حقیقی ان پٹ کبھی پیدا نہیں کر سکتا، کیونکہ حملہ آور کے کنٹرول میں موجود ہر راستہ اسے پہلے ہی مسترد کر دیتا ہے۔ بگ صرف ایک ایسے فنکشن کے خلاف "دوبارہ پیدا" ہوتا ہے جسے کوئی بھی قابل رسائی چیز اس طرح کال نہیں کرتی۔
• رسمی توثیق (formal-verification) کے کام میں، ایک ثبوت جو پاس تو ہو جاتا ہے لیکن اس کا وہ مطلب نہیں ہوتا جو آپ چاہتے تھے۔ یہ بیان معمولی طور پر درست ہوتا ہے قطع نظر اس کے کہ کوڈ کیا کرتا ہے، یا یہ اس پراپرٹی سے کمزور ہوتا ہے جسے آپ کیپچر کرنا چاہتے تھے۔ تصدیق کنندہ مطمئن ہو جاتا ہے، لیکن تھیورم اس رویے کو محدود نہیں کرتا جس کی آپ کو درحقیقت پرواہ تھی۔

اس میں سے کچھ بھی نیا نہیں ہے۔ یہ بالکل اسی ٹیسٹ کی طرح ہے جو پاس ہو جاتا ہے کیونکہ وہ دراصل کچھ چیک ہی نہیں کرتا۔ جو چیز نئی ہے وہ اس کا حجم ہے۔ ایک ایجنٹ بیکار ورژن کو اتنی ہی تیزی سے لکھتا ہے جتنا کہ اصلی ورژن، اور اتنے ہی اعتماد کے ساتھ۔ لہذا چیک کا خودکار ہونا ضروری ہے۔ آپ ایجنٹ پر خود کو پکڑنے کے لیے بھروسہ نہیں کر سکتے۔

سگنل ٹو نوائس (Signal-to-noise) ہی زیادہ تر کام ہے

زیادہ تر امیدوار غلط، ڈپلیکیٹ، یا دائرہ کار سے باہر ہوتے ہیں۔ یہ طریقہ کار کا مسئلہ نہیں ہے؛ یہ اسی طرح کام کرتا ہے۔ مقصد یہ ہے کہ غلط کو تیزی سے مسترد کیا جائے اور حقیقی کی پشت پناہی ایسے ثبوت کے ساتھ کی جائے جس پر بحث کرنا مشکل ہو۔

بچ جانے والے ہر امیدوار کے دو آزادانہ چیک ہوتے ہیں۔ کیا کوئی حقیقی حملہ آور واقعی عام کنفیگریشن میں اس تک پہنچ سکتا ہے؟ اور حملہ آور کو اسے انجام دینے میں کتنی لاگت آتی ہے، اس کے مقابلے میں کہ اگر یہ کام کر جائے تو نیٹ ورک کو کتنا نقصان ہوگا؟ ایک بگ جسے کوئی بھی ایک پیئر متحرک کر سکتا ہے، اس بگ سے بہت مختلف ہے جس کے لیے خصوصی رسائی یا وسائل کی ایک بڑی مقدار درکار ہوتی ہے۔

ہر چیز کو پہلے سے معلوم، ٹھیک کیے گئے، یا مسترد کیے گئے مسائل کی ایک چلتی ہوئی فہرست کے خلاف چیک کیا جاتا ہے۔ اس کے بغیر، ایجنٹس بار بار اسی بند مسئلے کو دریافت کرتے رہتے ہیں اور اسے بار بار رپورٹ کرتے ہیں۔

قبولیت کی شرح ایک ہدف سے دوسرے ہدف تک بہت مختلف ہوتی ہے، اور یہ تغیر بذات خود مفید ہے۔ اسے پختہ، بھاری آڈٹ شدہ کوڈ کے خلاف چلائیں اور تقریباً کچھ بھی نہیں بچتا، جو کہ پھر بھی جاننے کے قابل ہے۔ "ہم نے بہت تلاش کیا اور کچھ نہیں ملا" ایک حقیقی نتیجہ ہے۔ اسے کم دریافت شدہ کوڈ کے خلاف چلائیں، یا باقاعدہ تصدیق شدہ کوڈ کے خلاف، جہاں مشین سے چیک کیا گیا ثبوت ایک ماڈل کا احاطہ کرتا ہے اور تعینات شدہ بائٹ کوڈ کے بارے میں صرف یہ فرض کیا جاتا ہے کہ وہ اس سے میل کھاتا ہے، تو زیادہ چیزیں سامنے آتی ہیں۔

ہم اکیلے نہیں ہیں جنہوں نے یہ پایا کہ ٹرائیج مشکل حصہ ہے۔ Cloudflare کا بنیادی نتیجہ یہ تھا کہ ایک تنگ دائرہ کار وسیع اسکیننگ کو مات دیتا ہے۔ Anthropic کے پراپرٹی پر مبنی ٹیسٹنگ ایجنٹ نے تقریباً ایک ہزار امیدوار رپورٹس تیار کیں، پھر رینکنگ اور ماہرین کے جائزے کا استعمال کرتے ہوئے ایک ٹاپ ٹیر (top tier) تک پہنچے جو تقریباً 86 فیصد وقت برقرار رہا۔ جنریشن (generation) آسان حصہ تھا۔ میں یہاں اپنے نمبر شائع نہیں کرنے جا رہا؛ کسی مخصوص ہدف سے منسلک ہونے کی وجہ سے، وہ طریقہ کار کے بجائے ہدف کے بارے میں زیادہ بتائیں گے۔

ایجنٹس کس چیز میں اچھے ہیں، اور وہ کہاں گمراہ کرتے ہیں

دونوں سمتوں میں ہائپ (hype) موجود ہے، اس لیے یہاں ایک سادہ فہرست ہے کہ ایجنٹس کیا اچھا کرتے ہیں اور کہاں گمراہ کرتے ہیں۔

یہ تقسیم ایک کام سے دوسرے کام تک مستحکم بھی نہیں ہے۔ اسٹینسلاو فورٹ (Stanislav Fort)، جو حقیقی کمزوریوں پر ماڈلز کی ایک رینج کی جانچ کر رہے ہیں، اسے ایک جیگڈ فرنٹیئر (jagged frontier) کہتے ہیں، یا ایک ماڈل جو ایک کوڈ بیس پر مکمل ایکسپلوئٹ چین (exploit chain) بازیافت کرتا ہے وہ دوسرے پر بنیادی ڈیٹا فلو ٹریسنگ میں ناکام ہو سکتا ہے۔ آپ یہ فرض نہیں کر سکتے کہ ایک اچھے نتیجے کا مطلب یہ ہے کہ اگلا بھی برقرار رہے گا، جو کہ ایک اور وجہ ہے کہ ہر امیدوار کو انفرادی طور پر چیک کیا جاتا ہے۔

آخری قطار اہم ہے۔ ایک واحد ایجنٹ سیشن ون شاٹ (one-shot) استدلال میں اچھا ہے اور ان بگز میں برا ہے جو اقدامات کے تسلسل پر محیط ہوتے ہیں، جہاں ہر قدم درست ہوتا ہے اور صرف ترتیب غلط ہوتی ہے۔ ان کے لیے، ایجنٹ سرچ ٹول نہیں ہے۔ اس کا کام یہ تجویز کرنا ہے کہ کون سے سلسلے اسٹیٹ فل ٹیسٹ ہارنس (stateful test harness) کے ذریعے چلانے کے قابل ہیں۔ اس طرح استعمال کرنے پر، یہ اچھی طرح کام کرتا ہے۔ ہارنس کے متبادل کے طور پر استعمال کرنے پر، یہ سب سے مہنگے بگز کو چھوڑ دیتا ہے، وہ جو صرف ایک تسلسل میں ظاہر ہوتے ہیں۔

اسے ایماندار رکھنا

چند عادات ایجنٹ کی فائنڈنگز کو قابلِ اعتماد بنانے کا زیادہ تر کام کرتی ہیں، اور ان میں سے کوئی بھی پیچیدہ نہیں ہے۔

• ماخذ (Provenance) ہر آرٹفیکٹ پر: اسے کس نے تیار کیا، کس سیاق و سباق کے ساتھ، کس رویژن (revision) کے خلاف۔ ایک فائنڈنگ ایسی ہونی چاہیے جسے آپ مہینوں بعد دوبارہ چلا سکیں۔
• جہاں ضرورت ہو وہاں قطعیت (Determinism): ایک ماحول، بنانے اور چلانے کا ایک طریقہ، تاکہ "دوبارہ پیدا کرنے" کا مطلب ہر مشین پر ایک ہی ہو، نہ کہ صرف اس پر جہاں یہ پایا گیا تھا۔
• اصول، اسکرپٹس نہیں: ایجنٹس کو بتائیں کہ کیا اہمیت رکھتا ہے، انویرینٹس اور حقیقی فائنڈنگ کا معیار، بجائے اس کے کہ ایک نمبر والا طریقہ کار دیا جائے۔ حد سے زیادہ اسکرپٹ کیے گئے ایجنٹس اسی طرح ٹوٹتے ہیں جیسے حد سے زیادہ مخصوص ٹیسٹ ٹوٹتے ہیں، وہ ان اقدامات کی پیروی کرتے رہتے ہیں جب اقدامات کا کوئی مطلب نہیں رہتا۔ ریپوزٹری کانٹیکسٹ فائلوں کے ایک مطالعے میں بھی یہی بات سامنے آئی: اضافی تقاضوں نے کام کی کامیابی کو کم کیا اور لاگت میں 20% سے زیادہ اضافہ کیا، اور مصنفین سیاق و سباق کو کم از کم تقاضوں تک محدود رکھنے کی تجویز کرتے ہیں۔
• ایک انسان حتمی فیصلہ کرتا ہے: ایجنٹس تجویز کرتے ہیں۔ وہ یہ فیصلہ نہیں کرتے کہ کیا حقیقی ہے، کیا کسی معلوم مسئلے کا ڈپلیکیٹ ہے، یا کیا اور کب ظاہر کیا جائے گا۔

رکاوٹ (bottleneck) منتقل ہو گئی

AI نے سیکیورٹی محقق کی جگہ نہیں لی۔ اس نے کام کو منتقل کر دیا ہے۔ وہ وقت جو پہلے مفروضے بنانے اور ان کا پیچھا کرنے میں صرف ہوتا تھا، اب انہیں بڑے پیمانے پر جانچنے میں صرف ہوتا ہے، جس میں اوریکل بنانا، ٹرائیج چلانا، معلوم مسائل کی فہرست رکھنا، اور ڈسکلوزر کو سنبھالنا شامل ہے۔

رکاوٹ ختم نہیں ہوئی۔ یہ بگز تلاش کرنے سے ہٹ کر نتائج پر بھروسہ کرنے کی طرف منتقل ہو گئی ہے، جو کہ اس کے لیے ایک بہتر جگہ ہے، کیونکہ یہیں پر انسانی فیصلے کی درحقیقت اہمیت ہوتی ہے۔ لیکن یہ اب بھی ایک رکاوٹ ہے، اور اسے نظر انداز کرنے کا نتیجہ یہ ہوتا ہے کہ آپ غلطی سے "یہ ٹھیک ہے" کہہ کر چیزیں آگے بھیج دیتے ہیں۔

وہ طریقہ کار جو اس کام کو ممکن بناتے ہیں وہ نئے نہیں ہیں۔ قابلِ تولید ناکامیاں، حقیقی اوریکلز، اور محتاط ٹرائیج وہی طریقہ کار ہیں جنہوں نے پچھلے پندرہ سالوں میں فزنگ (fuzzing) کو ایک تحقیقی موضوع سے معیاری پریکٹس میں بدل دیا۔ ٹولز نئے ہیں۔ طریقہ کار نئے نہیں ہیں۔

ٹولز کتنی تیزی سے بدلتے رہتے ہیں یہ ایک کھلا سوال ہے۔ نکولس کارلینی (Nicholas Carlini)، جو محتاط ہیں اور کبھی خود بھی شکی تھے، دلیل دیتے ہیں کہ ایکسپونینشل کیس (exponential case) کو سنجیدگی سے لینے کی ضرورت ہے، حالانکہ وہ اس پر وسیع ایرر بارز (error bars) رکھتے ہیں۔ اگر جنریشن کی سائیڈ اتنی تیزی سے اوپر جاتی ہے، تو ججمنٹ (فیصلے) کی سائیڈ کو بھی اس کے ساتھ اوپر جانا ہوگا، ورنہ جو کچھ تیار ہوتا ہے اور جس کی درحقیقت تصدیق ہوتی ہے اس کے درمیان کا فرق صرف بڑھتا ہی جائے گا۔

ان سسٹمز کے لیے جن پر ایتھیریم کا انحصار ہے، یہی وہ حصہ ہے جو اہمیت رکھتا ہے۔ ایجنٹس ہمیں ہاتھ سے کیے جانے والے کام کے مقابلے میں کہیں زیادہ گراؤنڈ کور کرنے دیتے ہیں۔ اس کے بدلے میں، وہ پراعتماد لگنے والے دعووں کے ایک بہت بڑے ڈھیر پر زیادہ محتاط فیصلے کا مطالبہ کرتے ہیں۔ یہ ایک ایسا سودا ہے جو کرنے کے قابل ہے، جب تک آپ کو یاد رہے کہ فیصلہ (judgment) ہی اصل پروڈکٹ ہے۔