AI kan afdække flere sårbarheder end nogensinde. Mennesker skal stadig beslutte, hvad der skal ske herefter.

I årevis har cybersikkerhedsteams arbejdet ud fra en enkel antagelse: Hvis vi kunne finde flere sårbarheder hurtigere, ville vi gøre software mere sikker.

Kunstig intelligens sætter den antagelse på prøve. I takt med at den bredere debat om AI går fra hurtig udbredelse til målbar værdi, blotlægger cybersikkerheden en udfordring, som ikke forsvinder, selv hvis udviklingen inden for AI går langsommere. Organisationer står allerede over for en voksende mængde AI-genererede fund af sårbarheder, som stadig kræver menneskelig validering, prioritering og afhjælpning.

Nye fund fra Project Glasswing giver et af de tydeligste eksempler hidtil. Claude Mythos Preview skulle angiveligt have identificeret mere end 26.000 fund af sårbarheder på tværs af softwareprojekter på blot få måneder. Men ifølge en uafhængig analyse af Glasswings offentlige register over offentliggjorte sårbarheder er kun omkring 10 % af disse fund nået frem til offentliggørelsesprocessen, og færre end 1 % er i sidste ende blevet rettet med en programrettelse.

Tallene er opsigtsvækkende, men de bør ikke overraske. Branchen har i årtier optimeret arbejdet med at finde sårbarheder. Det, den ikke har opbygget, er kapaciteten til at behandle fund af sårbarheder i et omfang, der svarer til AI’s skala.

Flaskehalsen inden for cybersikkerhed er ikke længere at finde sårbarheder. Den ligger i det, der sker bagefter.

Det har aldrig været den sværeste del at finde sårbarheder

I en tidlig opdatering fra Project Glasswing bemærkede Anthropic, at fremskridtene i stigende grad blev begrænset, ikke af arbejdet med at finde sårbarheder, men af det menneskelige arbejde, der kræves for at kontrollere rapporter, koordinere offentliggørelser og understøtte arbejdet med at afhjælpe sårbarheder. Virksomheden bemærkede også, at nogle vedligeholdere bad om, at offentliggørelserne foregik langsommere, fordi de ikke havde kapacitet til at behandle den mængde fund, der blev genereret.

Denne forskel er vigtig, fordi det grundlæggende er to forskellige aktiviteter at finde sårbarheder og afhjælpe dem.

Det bliver i stigende grad et mønstergenkendelsesproblem at finde sårbarheder. Moderne AI-systemer er særdeles gode til at analysere store kodebaser, identificere usædvanlig adfærd, følge eksekveringsstier og afdække potentielle svagheder.

Afhjælpning er noget andet. Det kræver kontekst at rette en sårbarhed. Nogen skal afgøre, om problemet er reelt, forstå de potentielle konsekvenser, vurdere mulige løsninger, sikre, at ændringerne ikke medfører tilbagefald, koordinere tidsplaner for offentliggørelse, kommunikere med interessenter og i sidste ende påtage sig ansvaret for resultatet.

Den sidste del er afgørende. AI kan identificere en mulig sårbarhed, men kan ikke stå til ansvar for det, der sker bagefter. Validering, triagering, rettelse og rapportering vil altid kræve et menneske, der står til ansvar for det projekt, vedkommende vedligeholder. Og det tager tid fra mennesker, som ofte har et fuldtidsarbejde, en familie og andre forpligtelser, der kræver deres opmærksomhed. I mange open source-projekter er den begrænsende faktor ikke manglende indsigt i risiciene, men vedligeholdernes og sikkerhedsteamenes kapacitet til ansvarligt at vurdere og håndtere en stadig voksende mængde fund.

Det er den grundlæggende forskel mellem at finde og at afhjælpe sårbarheder. Det bliver i stigende grad en opgave, hvor AI kan hjælpe os med at skalere arbejdet med at finde dem. Afhjælpning afhænger stadig af mennesker, der har den kontekst, bemyndigelse og ansvarlighed, som kræves for at handle på det, AI finder.

Udfordringen for open source

Denne dynamik bliver endnu tydeligere i open source-økosystemet. Da open source-komponenter indgår i 98 % af kommercielle kodebaser, er langt størstedelen af verdens digitale infrastruktur afhængig af projekter, der vedligeholdes af relativt små grupper af bidragydere.

I mange tilfælde er de mennesker, der har ansvaret for at vedligeholde denne kritiske software, frivillige eller personer, der passer projektansvaret ved siden af fuldtidsarbejde og personlige forpligtelser. I takt med at AI øger mængden af software og de sårbarheder, der findes i den, bliver vedligeholdernes kapacitet til at følge med en stadig vigtigere del af sikkerhedsligningen.

Når et AI-system pludselig genererer hundredvis eller tusindvis af mulige fund i et projektøkosystem, bliver vedligeholderne den begrænsende faktor.

Det er ikke en kritik af vedligeholderne. Det er en afspejling af virkeligheden.

Allerede før fremkomsten af AI-drevet identifikation af sårbarheder kæmpede mange open source-projekter med begrænsede ressourcer, stigende sikkerhedskrav og en voksende vedligeholdelsesbyrde. AI øger presset på et system, der allerede var hårdt belastet.

Udfordringen består ikke blot i at afgøre, om der findes en sårbarhed. Udfordringen er alt det, der sker bagefter.

Nogen skal gennemgå rapporten. Nogen skal genskabe problemet. Nogen skal afgøre, om det udgør en sikkerhedsrisiko. Nogen skal udvikle og teste en løsning. Nogen skal koordinere offentliggørelsen og udsende opdateringer. Det ansvar kan ikke bare automatiseres væk.

I takt med at AI-genererede fund fortsætter med at vokse i antal, bliver organisationer, der er afhængige af open source-software, i stigende grad afhængige af de menneskers trivsel og mulighed for at opretholde arbejdet, som vedligeholder den.

Forberedelse på den kraftige stigning i AI-opdagede sårbarheder

Hvad bør virksomheder så gøre? For det første skal organisationer erkende, at AI-drevet opdagelse ikke er et problem, der hører fremtiden til. Det sker allerede. Project Glasswing viste, at avancerede modeller kan afdække sårbarheder i et omfang, der ville have været svært at forestille sig for blot få år siden.

For det andet bør sikkerhedsledere vurdere, om deres processer til afhjælpning kan følge med opdagelseskapaciteten. Mange organisationer har investeret massivt i at finde sårbarheder, samtidig med at de har investeret for lidt i de mennesker og processer, der skal løse problemerne.

For det tredje bør virksomheder være mere opmærksomme på softwarevedligeholdelse som en sikkerhedsfunktion. Sikkerhed diskuteres ofte med fokus på forebyggelse og opdagelse, men langsigtet vedligeholdelse er fortsat en af de vigtigste og mindst værdsatte komponenter i risikostyring. AI gør det måske lettere at finde sårbarheder, men det mindsker ikke ansvaret for at holde kritisk software sikker over tid. Organisationer har brug for en strategi for ejerskab gennem hele livscyklussen, så de kan modernisere på en velovervejet måde i stedet for at blive tvunget ud i forhastede migreringer eller reaktive afhjælpningstiltag, når der opstår risici.

Endelig bør organisationer støtte de bredere økosystemer, de er afhængige af. Efterhånden som AI fremskynder opdagelsen af sårbarheder i open source-software, vil vedligeholderne blive mødt af stadig større krav. Softwareforsyningskædens sikkerhed afhænger i sidste ende af, om vedligeholderne har de nødvendige ressourcer til at reagere.

AI kan finde sårbarheder hurtigere. Men det gør ikke softwaren sikker, at man finder dem. Det sværeste arbejde består i at vurdere risikoen, prioritere det vigtigste, levere afprøvede rettelser og vedligeholde sikker software over tid. I takt med at opdagelsen af sårbarheder accelererer, får organisationer brug for en løbende kapacitet til afhjælpning, understøttet af ekspertise, ansvarlighed og tydelige serviceniveauer.

For det sværeste problem inden for cybersikkerhed er ikke at finde sårbarheden. Det er, hvad der sker bagefter.