Národní bezpečnost vyžaduje zabezpečení moderních AI pracovních zátěží

Zatímco AI poháněné kodovací postupy a úpravy pracovních zátěží tvrdí, že urychlují výkon mise, také zavádějí systémové zranitelnosti. Výzva je dobře pochopena – dnešní postupy správy zranitelností nemohou držet krok s rychle se vyvíjejícími AI nástroji, což nakonec zvyšuje riziko pro vojáky provádějící operační mise.

Vědět, že vaše nástroje budou úspěšné, ať už se jedná o M27 IAR nebo AI poháněné taktické C2, které zasahují cíle, budí důvěru v terénu. Když se jedná o softwareové systémy, mohou zvýšit spolehlivost odstraněním softwarových kontejnerových rizik prostřednictvím komplexní Softwarové dodavatelské řetězce (SSC) bezpečnosti.

Zranitelnosti kontejnerů jsou rostoucím rizikem v softwaru pro obranu

Každá softwarově řízená organizace zápasí se zranitelnostmi souvisejícími s kontejnery. Ministerstvo války (DoW) se snaží nasadit nejlepší systémy pro operační vojáky, ale to zvyšuje riziko. Důvodem je, že většina misí závisí na základním softwaru z Linuxových distribucí a komunitních softwarových základen s příliš velkými softwarovými základnami. Systémy postavené na tomto open-source softwaru obvykle obsahují známá a neznámá Kritická zranitelnost a Exposures (CVEs).

Pro řešení tohoto problému dramaticky snižují útočný povrch kurátorované obrazy, které zahrnují opravy těchto CVEs. Kromě toho zbytečný kód představuje další riziko, protože tento kód může skrýt CVEs. Nasazení ztvrdlých softwarových obrazů zmírňuje toto riziko odstraněním zbytečného kódu. Bez zpevnění se zvyšuje útočný povrch a skrývá se CVEs. Je také důležité vyhodnotit každou CVE jako součást kontextu, ve kterém se projevuje. CVEs jsou využitelné v prostředích, operačních systémech a hardwaru, kde jsou zjištěny jako reprodukovatelné. Inteligentní skenování, profilování a pochopení produkčního softwaru určí, zda každá jednotlivá CVE ovlivňuje cílové prostředí a identifikuje, které CVEs jsou duplikovány a pouze se objevují v několika balíčcích.

AI kodovací nástroje zvyšují problém

AI kodovací nástroje jsou náročné na zdroje a používají se k vývoji, školení a nasazení modelů, ale často se zaměřují na konečné stavy spíše než na optimalizaci provozního výpočtu a úložiště. V důsledku toho zvyšují bezpečnostní problémy nekontrolovaným použitím open-source distribucí místo kurátorovaných a ztvrdlých obrazů.

Dnešní AI kodovací nástroje se neustále mění, mají mnoho open-source závislostí a nasazují se více než tradiční nástroje. Modely, rámce a podpůrné služby se aktualizují denně nebo týdně spíše než čtvrtletně nebo ročně, a každý neztvrdlý softwarový artifact implementovaný těmito nástroji zvyšuje riziko. Tyto nejsou nové rizika, ale s AI se nyní urychlují. Například zásoby zranitelností rostou rychleji, protože se nasazuje více softwaru. Jako důkaz, seznam CVE v roce 2025 průměrně 132 nových zranitelností denně, o 20 % více než v předchozím roce, a trojnásobek počtu z roku 2020.

Špatná správa zranitelností má operační důsledky

Operační důsledky špatné správy zranitelností zahrnují:

• Omezení technologií s přístupem ATO, s méně AI nástroji schválenými pro produkci
• Zpomalení nasazení AI, protože kontejnerové zásobníky selhávají v souladu s misijními časovými osami
• Neschopnost konkurovat taktikám protivníka AI, zvyšující misijní rizika
• Opakované vysoké finanční náklady na správu zásobníků zranitelností
• Vysoce kvalifikovaní inženýři se zaměřují na honbu a opravu CVEs místo dodávání nových schopností

S nebo bez AI, postupy správy zranitelností pro DoW řešení musí splňovat misijní časové osy. AI povolené platformy musí zlepšit kybernetickou obranu, ne zvyšovat bezpečnostní expozici. Řešení volby musí řešit expozici relevantní pro runtime, snižovat počet CVEs a umožňovat autorizovaným úředníkům rozlišovat mezi hlukem a misijním dopadem. Řešení tohoto problému brání jednotkám v tom, aby se věnovaly jednorázovým úsilím o zpevnění, a vytváří konsolidovanou, datovou pipeline.

Vítězný přístup pro národní obranu

Nejlepší zabezpečený proces je ten, který umožňuje rychlejší, bezpečnější AI povolené operace, silnější základnu nulové důvěry kontejnerů a vysoce kvalitní data o riziku softwarové dodavatelské řetězce pro velitele.

Obranné agentury by měly začít s téměř nulovými CVE obrazy, poté eliminovat další zranitelnosti odstraněním nepoužívaných komponent místo jejich oprav, aby snížily akceptovatelné riziko. Ztvrdlené obrazy vedou k menším útočným povrchům a jasnějším rizikovým narativům, aby urychlily akreditaci AI povolených systémů, osvobodily kybernetické týmy, aby se zaměřily na vyšší prioritu misí místo nekonečné triáže zranitelností.

Kromě toho softwareové seznamy materiálů (SBOMs), runtime seznamy materiálů (RBOMs) a ztvrdlené obrazy poskytují operátorům a bezpečnostním týmům vrstvený, runtime-precizní pohled na kontejnerové AI pracovní zátěže. Tento přístup přímo podporuje principy nulové důvěry a odpovídá požadavkům týmu Enduring Security Framework (ESF) na viditelnost softwarové dodavatelské řetězce, ukazuje, co je v softwaru, jeho chování a mechanismy dodání.

Zrání DoW rizikových skóre a osvědčených postupů by mělo doprovázet kontejnery se strojově čitelnými artefakty a technickými bezpečnostními bulletiny. To umožňuje vývojářům a operátorům přihlásit se k potřebným kontejnerům a obdržet konzistentní riziková skóre a upozornění, pokud se vyskytnou nové problémy. Pro velitelství to funguje jako praktická „kontrolka motoru“ na kritických softwarových zásobnících, umožňující rozhodnout se přesunout za komerční objev do přímé misijní orientace na rychlosti AI poháněných operací.