ایک نیا طریقہ کار LLM پر مبنی پینٹیسٹ (pentest) ایجنٹ کو محض دعویٰ کرنے کے بجائے خلاف ورزی (breach) کو ثابت کرنے پر مجبور کرتا ہے، جس کے لیے چیلنج-رسپانس نانسیز (challenge-response nonces) کا استعمال کیا جاتا ہے جو غلط مثبت (false positives) نتائج کو ختم کر دیتے ہیں۔ HALO فریم ورک میں دکھایا گیا یہ تکنیک "ایسا لگتا ہے کہ ہمیں شیل (shell) مل گیا ہے" کو "ہمارے پاس واقعی شیل ہے" میں بدل دیتی ہے۔

غلط مثبت (false-positive) خلاف ورزیاں کیوں اہم ہیں

لارج لینگویج ماڈلز پر مبنی خودکار ایکسپلائٹیشن انجن (exploitation engines) ایک ہی بار میں درجنوں "کامیاب" پورٹ کومپرومائزز (port compromises) پیدا کر سکتے ہیں۔ بہت سی سروسز بینرز میں "uid=0" جیسی اسٹرنگز دکھاتی ہیں، اور ایک تیار کردہ ٹارگٹ حملہ آور کے کوڈ کو چلائے بغیر ہی ان آؤٹ پٹس کی نقل کر سکتا ہے۔ جب ایجنٹ ان جوابات پر بھروسہ کرتا ہے، تو اس کے بعد کا ہر فیصلہ—چاہے وہ پویوٹ (pivot) کرنا ہو، ڈیٹا چوری (exfiltrate) کرنا ہو، یا لیٹرل موومنٹ (move laterally) ہو—ایک جھوٹ پر مبنی ہوتا ہے۔ سیکیورٹی ٹیمیں فرضی بنیادوں کے پیچھے گھنٹوں ضائع کر دیتی ہیں، اور انسیڈنٹ ریسپونڈرز حقیقی خطرات کو غلط ترجیح دے سکتے ہیں۔

دعوے کو ثبوت میں بدلنا

یہ حل روایتی آتھنٹیکیشن (authentication) کے طریقوں سے لیا گیا ہے۔ ایکسپلائٹ شروع کرنے سے پہلے، حملہ آور کا سسٹم ایک منفرد ٹوکن، یا نانسی (nonce)، تیار کرتا ہے اور اسے پے لوڈ (payload) میں شامل کر دیتا ہے۔ کنٹرولر کے لیے نتیجے کو حقیقی خلاف ورزی کے طور پر قبول کرنے کے لیے ضروری ہے کہ ایکسپلائٹ بالکل وہی ٹوکن واپس کرے۔ ایک جعلی بینر نانسی کا اندازہ نہیں لگا سکتا؛ اسے جواب میں ٹوکن شامل کرنے کے لیے حملہ آور کے کوڈ کو چلانا ہی ہوگا۔ اگر واپس آنے والے ڈیٹا میں مماثل نانسی موجود نہ ہو، تو اس کوشش کو غلط مثبت (false positive) قرار دے کر مسترد کر دیا جاتا ہے۔

یہ تبدیلی تصدیقی ماڈل کو "آؤٹ پٹ درست لگتا ہے" سے بدل کر "آؤٹ پٹ ایگزیکیوشن (execution) کو ثابت کرتا ہے" کر دیتی ہے۔ یہ اس 'آپٹیمزم بائیس' (optimism bias) کو ختم کر دیتی ہے جو خود مختار حملے والے ٹولز (autonomous offense tools) کے لیے مسئلہ بنتی ہے۔

ایک قابل اعتماد ڈیلیوری سیڑھی بنانا

پے لوڈ کو ٹارگٹ تک پہنچانے کے لیے اب بھی ایک مضبوط ڈیلیوری چین کی ضرورت ہوتی ہے۔ HALO تین عام راستوں کی درجہ بندی کرتا ہے:

  • Reverse shells – متاثرہ ہوسٹ حملہ آور کے کنٹرول میں موجود لسنر (listener) کو واپس کنکشن شروع کرتا ہے۔ یہ اس وقت مفید ہوتا ہے جب ان باؤنڈ ٹریفک بلاک ہو۔
  • Bind shells – حملہ آور براہ راست ٹارگٹ پر موجود لسننگ سروس سے جڑ جاتا ہے۔ یہ اس وقت کام کرتا ہے جب آؤٹ باؤنڈ فلٹرز نرم ہوں۔
  • Blind callbacks – ایک طرفہ سگنل (مثلاً DNS ریکویسٹ) جو انتہائی محدود ماحول میں ایگزیکیوشن کی تصدیق کرتا ہے جہاں کوئی براہ راست چینل نہیں کھولا جا سکتا۔

سیڑھی کے ہر مرحلے پر نانسی (nonce) کو برقرار رکھنا ضروری ہے، ورنہ ثبوت کا مرحلہ آگے چل کر ناکام ہو جائے گا۔

خود مختار (self-contained) ایکسپلائٹس کو یقینی بنانا

غلط اعتماد کا ایک اور ذریعہ بیرونی لائبریریز پر انحصار ہے جو شاید ٹارگٹ پر موجود نہ ہوں۔ HALO بھیجنے سے پہلے ہر ضروری جزو کو ایک ہی فائل میں بنڈل کر دیتا ہے۔ اس کے بعد اس بنڈل کو ایک ایسے سینڈ باکس (sandbox) میں ٹیسٹ کیا جاتا ہے جس میں جان بوجھ کر اصل ڈیپینڈنسیز (dependencies) نہیں رکھی جاتیں۔ اگر ایکسپلائٹ پھر بھی چل جاتا ہے، تو اس کا مطلب ہے کہ یہ آرٹفیکٹ (artifact) واقعی خود مختار ہے اور اسے لاک ڈاؤن سسٹم پر بھروسہ کیا جا سکتا ہے۔

ڈویلپمنٹ کے نشانات کو صاف کرنا

عوامی ریلیز کی تیاری کے دوران، مصنف نے دریافت کیا کہ Git ہسٹری میں حقیقی IP ایڈریسز موجود ہیں۔ ایک صاف ورکنگ ٹری (working tree) ان ریکارڈز کو ختم نہیں کرتی؛ Git ہر کمٹ (commit) کو محفوظ رکھتا ہے۔ مصنف نے ریپوزٹری کو ایک ہی صاف کمٹ میں دوبارہ لکھا اور لیک ہونے والے ایڈریسز کو RFC 5737 کے مطابق صرف دستاویزات کے لیے مخصوص رینجز (مثلاً 192.0.2.0/24) سے بدل دیا۔ یہ ٹول شیئر کرنے کے دوران پروڈکشن انفراسٹرکچر کے حادثاتی طور پر ظاہر ہونے سے روکتا ہے۔

سیکیورٹی ٹولنگ کے لیے عملی اصول

  • ہر ٹیسٹ فکسچر میں صرف دستاویزات کے لیے مخصوص IP رینجز استعمال کریں۔
  • ابتدائی کمٹ سے سیکرٹس (secrets) اور اسکوپ فائلز کو ہٹا دیں۔
  • کسی بھی دعویٰ کردہ خلاف ورزی کی تصدیق کے لیے چیلنج-رسپانس نانسیز کا استعمال کریں۔
  • اس عین فائل کی تصدیق کریں جو بھیجی جائے گی، نہ کہ کسی غیر متعلقہ اسکرپٹ کی۔

ثبوت، خوش فہمی پر غالب آتا ہے۔ ایک خود مختار پینٹیسٹ ایجنٹ کو قابلِ تصدیق ٹوکن پیش کرنے پر مجبور کر کے، HALO یہ دکھاتا ہے کہ خلاف ورزی صرف تب ہی خلاف ورزی ہے جب ٹارگٹ یہ ثابت کر سکے کہ اس نے حملہ آور کا کوڈ چلایا ہے۔ پہلے دروازہ بنایا جاتا ہے؛ باقی سب کچھ اس کے بعد آتا ہے۔