Ψευδή CVE, αναφορές παραγόμενες από AI και η ανάγκη επαλήθευσης

Η σύνταξη πειστικών αναφορών για ευπάθειες γίνεται ολοένα φθηνότερη, αυξάνοντας τις συνέπειες για τους συντηρητές λογισμικού και τις ομάδες ασφάλειας. Τον Ιούλιο του 2026 δημοσιεύτηκαν έξι καταχωρίσεις Κοινών Ευπαθειών και Εκθέσεων (CVE) για το SQLite, και σε δύο από αυτές αποδόθηκε βαθμολογία σοβαρότητας 9,8. Οι αναφορές έμοιαζαν νόμιμες: περιέγραφαν σφάλματα που απειλούσαν την ασφάλεια της μνήμης και περιλάμβαναν τεχνικές επεξηγήσεις και κώδικα απόδειξης της ορθότητας.

Ωστόσο, οι ερευνητές της JFrog διαπίστωσαν ότι ορισμένες από τις συναρτήσεις στις οποίες αναφέρονταν οι αναφορές δεν υπήρχαν στις επηρεαζόμενες εκδόσεις. Επιπλέον, κανένα από τα παραδείγματα απόδειξης της ορθότητας (PoC) δεν αναπαρήγαγε τις ευπάθειες που περιγράφονταν. Η σελίδα CVE του ίδιου του SQLite αναφέρει επί του παρόντος ότι αυτές οι έξι αναφορές δεν αφορούν σφάλματα· στη συνέχεια, οι αντίστοιχες εγγραφές CVE απορρίφθηκαν.

Το πρόβλημα δεν περιορίζεται στο SQLite. Ο Daniel Stenberg, ο συντηρητής του curl, εκτίμησε πέρυσι ότι περίπου το 20% των αναφορών ασφάλειας που λαμβάνονταν ήταν προϊόν «σκουπιδιών» παραγόμενων από AI. Η GitHub’s CVE Numbering Authority (CNA) έλαβε σχεδόν 4.000 αιτήματα CVE τον Μάιο του 2026· αυτό αντιστοιχεί σε αύξηση του όγκου κατά περίπου 10 φορές σε σύγκριση με την προηγούμενη χρονιά. Η GitHub δεν απέδωσε την αύξηση αυτή στην AI ούτε ανέφερε πτώση στην ποιότητα των υποβολών, ωστόσο η τεράστια αύξηση του όγκου υπογραμμίζει την υπερφόρτωση της διαδικασίας γνωστοποίησης ευπαθειών.

Η AI διευκολύνει τη σύνταξη λεπτομερών ισχυρισμών για ευπάθειες, αλλά η εξακρίβωση της εγκυρότητάς τους είναι χρονοβόρα. Επιπλέον, όταν μια CVE καταχωριστεί σε ροές δεδομένων ασφάλειας και δημόσιες βάσεις δεδομένων, η διόρθωση της αρχικής εγγραφής δεν σημαίνει αυτομάτως ότι θα διορθωθούν και όλα τα αντίγραφα. Έτσι, καθίσταται ολοένα πιο αναγκαίο να διακρίνουμε μια ευπάθεια που έχει αναφερθεί από μία που έχει επαληθευτεί τεχνικά.

Τι είναι μια «ψευδής» CVE;

Οι άνθρωποι χρησιμοποιούν συχνά τον όρο «ψευδής CVE» για να επισημάνουν μια CVE που πιθανότατα αναφέρθηκε εσφαλμένα. Ωστόσο, το «ψευδής» δεν σημαίνει ότι η αναφορά είχε σκοπό να παραπλανήσει. Μπορεί να προέρχεται από στατική ανάλυση που παραβλέπει έναν έλεγχο επικύρωσης ή ερμηνεύει λανθασμένα μια είσοδο ως ελεγχόμενη από εισβολέα. Μια αναφορά μπορεί να περιγράφει μια υπαρκτή συνάρτηση, αλλά να ισχυρίζεται ότι υπάρχει μη έγκυρη διαδρομή επίθεσης. Μπορεί να αποδοθεί ένα αναγνωριστικό (CVE ID) και στη συνέχεια να αποσυρθεί, αν η αναφερόμενη συνθήκη δεν συνιστούσε πράγματι ευπάθεια. Αυτό διαφέρει από μια σκόπιμα επινοημένη αναφορά.

Ούτε μια διαφωνία αποτελεί ψευδή CVE. Ένας προμηθευτής μπορεί να αμφισβητήσει τα ευρήματα ενός ερευνητή σχετικά με τη δυνατότητα εκμετάλλευσης, τα όρια της απειλής ή το αν μια συνάρτηση προοριζόταν να επεξεργάζεται μη έμπιστες εισόδους. Η διαφωνία, όμως, δεν αποδεικνύει ότι ο ερευνητής έκανε λάθος. Επίσης, η απόρριψη μιας CVE δεν σημαίνει κατ’ ανάγκη ότι αυτή ήταν επινοημένη· μπορεί να απορριφθεί ως διπλότυπη ή για διοικητικούς λόγους. Αν και ένα αναγνωριστικό CVE δεν αποτελεί ανεξάρτητη τεχνική επαλήθευση, ο κλάδος πρέπει να αντιμετωπίζει σοβαρά τις πραγματικές αναφορές.

Γιατί αποτελούν πρόβλημα οι ψευδείς CVE

Ένα από τα προβλήματα που παρατηρούμε είναι ότι οι άνθρωποι χρησιμοποιούν AI για να δημιουργούν αναφορές ευπαθειών χωρίς να επαληθεύουν σωστά τα ευρήματα. Οι αναφορές αυτές μπορεί να περιλαμβάνουν λεπτομερείς τεχνικές επεξηγήσεις, αναφορές σε κώδικα, ακόμη και PoC, και έτσι να φαίνονται νόμιμες. Όμως, όπως είδαμε με τις CVE του SQLite, ορισμένες από τις συναρτήσεις στις οποίες παρέπεμπαν δεν υπήρχαν καν στις επηρεαζόμενες εκδόσεις.

Η GitHub ανέφερε σημαντική αύξηση στις υποβολές ευπαθειών το 2026, χωρίς, ωστόσο, να αποδώσει την αύξηση αυτή στην AI ή να αναφέρει πτώση στην ποιότητα των υποβολών. Το πρόβλημα είναι ότι, καθώς αυξάνεται ο αριθμός των αναφορών, αυξάνεται και ο όγκος της εργασίας που απαιτείται για τη διερεύνησή τους, ανεξάρτητα από το αν τα ευρήματα είναι πραγματικά.

Όσοι έχουν διαχειριστεί την αρχική αξιολόγηση αναφορών ευπαθειών γνωρίζουν καλά τη δυσκολία στην πράξη. Ένα μοντέλο AI μπορεί να εντοπίσει μια ύποπτη κλήση API, να σκιαγραφήσει ένα σενάριο εκμετάλλευσης και να συντάξει γρήγορα ένα κείμενο που φαίνεται επαγγελματικό. Για να διαπιστωθεί αν το σενάριο είναι εφαρμόσιμο, μπορεί να χρειαστεί να ελεγχθεί η ακριβής έκδοση, να ιχνηλατηθεί η ροή ελέγχου, να εξακριβωθεί πώς φτάνουν τα δεδομένα στη συνάρτηση, να δημιουργηθεί περιβάλλον δοκιμών και να εκτελεστεί η φερόμενη επίθεση. Η διαδικασία είναι η ίδια είτε η αναφορά είναι ακριβής είτε όχι, και μπορεί να έχει μεγάλο κόστος.

Οι ψευδείς CVE μπορούν επίσης να πλήξουν τη φήμη. Μια ανακοίνωση ευπάθειας μπορεί να διαδοθεί γρήγορα σε ροές δεδομένων σαρωτών, βάσεις δεδομένων ασφάλειας και αποτελέσματα αναζήτησης. Ωστόσο, η επακόλουθη διόρθωση μπορεί να μη φτάσει εξίσου μακριά. Ακόμη και όταν μια αναφορά έχει αμφισβητηθεί ή απορριφθεί, οι προμηθευτές μπορεί να βρεθούν σε θέση άμυνας απέναντι σε πελάτες που είδαν την αρχική αναφορά.

Υπάρχει επίσης ο κίνδυνος να παραβλεφθούν ή να καθυστερήσουν πραγματικές ευπάθειες, επειδή οι ομάδες αφιερώνουν χρόνο στη διερεύνηση εσφαλμένων αναφορών. Όταν οι συντηρητές και οι ομάδες ασφάλειας διαθέτουν περιορισμένους πόρους, κάθε ώρα που δαπανάται για την απόδειξη ότι ένα ψευδώς θετικό εύρημα είναι λανθασμένο είναι χρόνος που θα μπορούσε να έχει αφιερωθεί στη διερεύνηση ενός πραγματικού ζητήματος ασφάλειας.

Αντιμετώπιση του προβλήματος με αυτοματοποίηση

Πολλοί ερευνητές εξακολουθούν να βασίζονται στη χειροκίνητη αρχική αξιολόγηση για να διαχειριστούν τον νέο καταιγισμό αναφορών, αλλά αυτό δεν είναι βιώσιμο. Η αυτοματοποίηση αποδεικνύεται πολύτιμη βοήθεια για την επαλήθευση ενός ισχυρισμού περί ευπάθειας με βάση την πραγματικά επηρεαζόμενη έκδοση και διαμόρφωση. Ακολουθούν οι πέντε ερωτήσεις που πρέπει να τεθούν:

• Είναι εύλογες οι προϋποθέσεις της επίθεσης, συμπεριλαμβανομένων της διαμόρφωσης και των δικαιωμάτων;
• Υπάρχει η φερόμενη συνάρτηση στην επηρεαζόμενη έκδοση;
• Μπορεί ένας εισβολέας να φτάσει στον ευάλωτο κώδικα; Προσδιορίστε αν ο σχετικός κώδικας μπορεί να εκτελεστεί υπό τις συνθήκες που επηρεάζονται και αν ένας εισβολέας μπορεί να παράσχει είσοδο που θα φτάσει σε αυτόν.
• Μπορούν οι δοκιμαστές να αναπαραγάγουν τη συμπεριφορά σε ελεγχόμενη δοκιμή ή με ένα PoC;
• Παρουσιάζει η παρατηρούμενη συμπεριφορά τον αντίκτυπο στην ασφάλεια που περιγράφεται στη σχετική ανακοίνωση;

Τα εργαλεία με δυνατότητες αυτόνομης δράσης μπορούν να δημιουργούν περιβάλλοντα δοκιμών, να αναλύουν διαδρομές κώδικα, να δημιουργούν PoC και να καταγράφουν στοιχεία εκτέλεσης για αξιολόγηση. Δεν μπορούν να επιλύουν αυτόματα κάθε ισχυρισμό. Ακόμη κι όταν μια ευπάθεια είναι αυθεντική, ένα PoC μπορεί να αποτύχει αν το περιβάλλον είναι ελλιπές ή η συνθήκη ενεργοποίησης είναι λανθασμένη. Οι δοκιμαστές μπορούν να αναπαραγάγουν μια κατάρρευση χωρίς να αποδείξουν ότι η ευπάθεια είναι εκμεταλλεύσιμη, όπως ισχυρίζεται η αναφορά. Αυτές οι επιφυλάξεις είναι ο λόγος για τον οποίο η ανθρώπινη κρίση παραμένει καθοριστική. Ωστόσο, τα εργαλεία αυτά μπορούν να βοηθήσουν τις ομάδες να πλησιάσουν περισσότερο σε μια απάντηση που μπορεί να αναπαραχθεί, προτού μια αναφορά απορροφήσει ακόμη περισσότερο χρόνο από τις ομάδες μηχανικών, διαχείρισης ευπαθειών και υποστήριξης πελατών.

Αντιμετωπίζοντας την υπερφόρτωση στο οικοσύστημα CVE

Καμία σύντομη πολιτική δεν πρόκειται να λύσει ως διά μαγείας το πρόβλημα των πλαστών CVE. Θα βοηθούσε, ωστόσο, να απαιτούνται ισχυρότερα αποδεικτικά στοιχεία κατά την υποβολή και να αποσαφηνίζεται η κατάσταση αναπαραγωγής. Θα βοηθούσε επίσης να αντιμετωπίζονται με μεγαλύτερη σαφήνεια οι αμφισβητούμενες εγγραφές και να διορθώνονται ταχύτερα τα δεδομένα στα επόμενα συστήματα. Οι ερευνητές θα πρέπει να ενθαρρύνονται να επαληθεύουν τα ευρήματά τους που υποβοηθούνται από την ΤΝ προτού τα υποβάλουν.

Οι ομάδες ασφάλειας και οι προμηθευτές πρέπει να επικεντρωθούν στην εξέταση των αποδεικτικών στοιχείων. Μια κρίσιμη βαθμολογία CVE δεν αποκαλύπτει αν η ευάλωτη διαδρομή είναι προσβάσιμη στο δικό τους περιβάλλον. Το ότι ένα PoC αποτυγχάνει δεν σημαίνει πως όλα είναι εντάξει. Και η απόκτηση ενός αναγνωριστικού CVE δεν απαλλάσσει τις ομάδες από την τεχνική εργασία που απαιτείται για να κατανοήσουν ένα ζήτημα.

Η ΤΝ ενισχύει τη δυνατότητα εντοπισμού ευπαθειών, ενώ παράλληλα επιτρέπει τη δημιουργία πειστικών αλλά ανακριβών ισχυρισμών. Σε έναν κόσμο όπου οι αναφορές πολλαπλασιάζονται, οι οργανισμοί πρέπει να επενδύσουν στην επαλήθευση. Αυτό περιλαμβάνει τη δημιουργία δοκιμών, την αναπαραγωγή αποτελεσμάτων, τον έλεγχο παραδοχών και τη διευκόλυνση της αξιολόγησης των αποδεικτικών στοιχείων. Πρόκειται για έναν τομέα στον οποίο οι δοκιμές ασφάλειας με αυτόνομους πράκτορες θα μπορούσαν να διαδραματίσουν σημαντικό ρόλο.