کسی ‘لارج لینگویج ماڈل’ (LLM) سے کلائنٹ کا مواد پڑھنے کے لیے کہنے سے پہلے، اپنے مجاز ٹیسٹ کے لیے ایک محدود اور طے شدہ ورک فلو (work-flow) تشکیل دیں۔ لارج لینگویج ماڈل (LLM) اپنے ان پٹ (input) میں موجود پیٹرنز کی بنیاد پر متن تیار کرتا ہے۔ پینیٹریشن ٹیسٹ (penetration test) کے دوران، یہ معمول کی تشریح (interpretation) کے عمل کو تیز تو کر سکتا ہے، لیکن یہ تعین نہیں کر سکتا کہ آیا کوئی دعویٰ درست ہے، مجاز ہے، یا کلائنٹ کو پیش کیے جانے کے لیے تیار ہے۔
فرضی منظرنامہ (Simulated scenario):
‘ریڈ ووڈ پیمنٹس’ (Redwood Payments) کے لیے ایک باضابطہ اسیسمنٹ کے دوران، ٹیسٹر LLM کو اسکین کا وہ متن فراہم کرتا ہے جس سے بظاہر ایک انتہائی اہم (critical) کمزوری کی نشاندہی ہوتی ہے۔ ماڈل CVE اور کاروباری اثرات (business impact) کے ساتھ ایک باقاعدہ اور درست ‘فائنڈنگ’ (finding) کا مسودہ تیار کرتا ہے۔ ٹیسٹر اسکین کے خام نتائج (raw output) اور ٹارگٹ ورژن کی جانچ کرتا ہے، یہ پاتا ہے کہ مذکورہ CVE کا اطلاق نہیں ہوتا، اور رپورٹ کے کلائنٹ تک پہنچنے سے پہلے اس فائنڈنگ کو حذف کر دیتا ہے۔
اس عمل کا مفید نتیجہ محض تیز رفتار تحریر نہیں ہے۔ بلکہ اس کا مقصد ٹھوس اور قابلِ دفاع شواہد، درست رپورٹ اور کلائنٹ کا اعتماد حاصل کرنا ہے۔ LLM کی ہر شراکت ‘انگیجمنٹ اسکوپ’ (engagement scope) کے اندر رہتی ہے اور کسی فائنڈنگ یا کلائنٹ کو دی جانے والی رپورٹ میں تبدیلی لانے سے پہلے انسانی تصدیق کے مرحلے (human verification gate) سے گزرتی ہے۔ آئیے ‘ریڈ ووڈ پیمنٹس’ کے ورک فلو میں ان تصدیقی مراحل کو شامل کرتے ہیں:
تصدیقی مرحلہ (verification gate) وہ مقام ہے جہاں ٹیسٹر LLM کے نتائج کو استعمال کرنے سے پہلے ان کا موازنہ بنیادی شواہد سے کرتا ہے۔ بنیادی شواہد میں منظور شدہ ٹولز کے نتائج، ٹائم اسٹیمپس، کمانڈز، اسکرین شاٹس اور ٹارگٹ کی تصدیق شدہ تفصیلات شامل ہیں۔ اس دعوے کی ذمہ داری ٹیسٹر پر ہی عائد ہوتی ہے، چاہے مواد کی ترتیب یا تحریر LLM نے ہی کیوں نہ تیار کی ہو۔
LLM کا استعمال محدود معاونت کے لیے کریں۔ یہ ‘ریکون’ (recon) نوٹس کا خلاصہ تیار کرنے، اسکین کے نتائج کی درجہ بندی (triage) کرنے، تصدیق شدہ نتائج کی وضاحت کرنے اور رپورٹ کا مسودہ تیار کرنے میں مدد دے سکتا ہے۔ اسے ‘ایکسپلائٹس’ (exploits) تخلیق کرنے، مجاز دائرہ کار (scope) کو بڑھانے، یا منظور شدہ ٹارگٹ پر کمزوری کے وجود کے ثبوت کا متبادل بننے کے لیے استعمال نہیں کیا جانا چاہیے۔ ہم ہر مجاز مرحلے پر مطلوبہ جانچ پڑتال کے عمل پر عمل کر سکتے ہیں:
LLM (بڑے لسانی ماڈلز) کی غلطیاں پینیٹریشن ٹیسٹنگ (pentest) کے عمل کو مخصوص قسم کا نقصان پہنچا سکتی ہیں کیونکہ ان کی عمدہ اور پرکشش عبارت غیر مصدقہ دعووں کو بھی قابلِ یقین بنا سکتی ہے۔ من گھڑت CVEs، شدت (severity) کا غلط تعین، غلط مثبت نتائج (false positives)، دائرہ کار میں غیر منصوبہ بند توسیع (scope creep)، اور ڈیٹا کا اخراج—ان سب کے لیے تصدیق کے مختلف طریقوں کی ضرورت ہوتی ہے۔ کسی ممکنہ مسئلے کی نشاندہی تبھی مفید ثابت ہوتی ہے جب ٹیسٹر بنیادی شواہد کی بنیاد پر اس مسئلے کو دوبارہ پیدا (reproduce) کر سکے یا اسے غلط ثابت کر سکے۔
شواہد کو ترجیح دیں LLM کے تیار کردہ مسودے کو محض ایک ‘ورکنگ نوٹ’ (ابتدائی مسودہ) سمجھیں۔ کوئی دریافت (finding) رپورٹ کیے جانے کے قابل تب بنتی ہے جب اس کے شواہد، دائرہ کار، اثرات اور حوالہ جات ٹیسٹر کے جائزے پر پورا اتریں۔
کلائنٹ کا ڈیٹا ایک الگ دائرہ کار یا حد (boundary) تشکیل دیتا ہے۔ اسکین کے نتائج، لاگز (logs)، تصدیقی مواد (authentication material) اور ذاتی ڈیٹا میں ایسی معلومات شامل ہو سکتی ہیں جنہیں کلائنٹ نے کبھی کسی بیرونی سروس کے لیے استعمال کرنے کی اجازت نہیں دی تھی۔ ایسے مواد کو حذف (redact) کر دیں یا شامل نہ کریں جب تک کہ تحریری اجازت نامے میں اس مخصوص سروس اور استعمال کا ذکر موجود نہ ہو۔ ہم ناکامی کی ہر قسم (failure mode) کا تعلق اس عادت یا عمل سے جوڑ سکتے ہیں جس کے تحت وہ واقع ہوتی ہے: