Tekoäly voi löytää enemmän haavoittuvuuksia kuin koskaan. Ihmisten on silti päätettävä, mitä seuraavaksi tehdään.

Kyberturvatiimit ovat jo vuosien ajan toimineet yksinkertaisen oletuksen varassa: jos haavoittuvuudet löydettäisiin nopeammin ja niitä löydettäisiin enemmän, ohjelmistoista tulisi turvallisempia.

Tekoäly asettaa tämän oletuksen koetukselle. Kun laajempi keskustelu tekoälystä siirtyy nopeasta käyttöönotosta mitattavaan hyötyyn, kyberturvallisuus tuo esiin haasteen, joka ei katoa tekoälyn kehityksen hidastuessakaan. Organisaatiot kohtaavat jo yhä enemmän tekoälyn tuottamia haavoittuvuushavaintoja, jotka vaativat edelleen ihmisen tekemää varmistamista, priorisointia ja korjaamista.

Project Glasswingin tuoreet havainnot ovat tähän mennessä yksi selkeimmistä esimerkeistä. Claude Mythos Previewn kerrotaan tunnistaneen vain muutamassa kuukaudessa yli 26 000 haavoittuvuushavaintoa eri ohjelmistoprojekteista. Glasswingin julkisen ilmoitusrekisterin riippumattoman analyysin mukaan vain noin 10 % näistä havainnoista on kuitenkin edennyt ilmoitusprosessiin, ja lopulta korjattuja on ollut alle 1 %.

Nämä luvut ovat huomattavia, mutta niiden ei pitäisi yllättää. Ala on vuosikymmenten ajan pyrkinyt tehostamaan haavoittuvuuksien löytämistä. Sen sijaan siltä puuttuu kyky käsitellä tekoälyn mittakaavassa tuotettuja haavoittuvuushavaintoja.

Kyberturvallisuuden pullonkaula ei enää ole haavoittuvuuksien löytäminen. Ratkaisevaa on se, mitä tapahtuu sen jälkeen.

Haavoittuvuuksien löytäminen ei koskaan ollut vaikein osa

Project Glasswingin varhaisessa päivityksessä Anthropic totesi, että edistymistä rajoitti yhä enemmän haavoittuvuuksien löytämisen sijaan raporttien tarkistamiseen, ilmoitusten koordinointiin ja korjaustyön tukemiseen tarvittava ihmistyö. Yhtiö kertoi myös, että jotkut ylläpitäjät pyysivät ilmoitustahdin hidastamista, koska heillä ei ollut valmiuksia käsitellä tuotettujen havaintojen määrää.

Tämä ero on tärkeä, sillä haavoittuvuuksien löytäminen ja niiden korjaaminen ovat perustavanlaatuisesti erilaisia tehtäviä.

Haavoittuvuuksien löytäminen on yhä enemmän hahmontunnistusongelma. Nykyaikaiset tekoälyjärjestelmät osaavat analysoida suuria koodikantoja, tunnistaa poikkeavaa toimintaa, jäljittää ohjelman suorituspolkuja ja tuoda esiin mahdollisia heikkouksia.

Korjaaminen on eri asia. Haavoittuvuuden korjaaminen edellyttää asiayhteyden ymmärtämistä. Jonkun on selvitettävä, onko ongelma todellinen, ymmärrettävä sen mahdolliset vaikutukset, arvioitava mahdollisia korjauskeinoja, varmistettava, etteivät muutokset aiheuta regressioita, koordinoitava ilmoitusaikatauluja, viestittävä sidosryhmille ja lopulta kannettava vastuu lopputuloksesta.

Viimeinen kohta on ratkaisevan tärkeä. Tekoäly voi tunnistaa mahdollisen haavoittuvuuden, mutta se ei voi olla vastuussa siitä, mitä seuraavaksi tapahtuu. Havaintojen varmistaminen, luokittelu, korjaaminen ja niistä ilmoittaminen edellyttävät aina ihmistä, joka on vastuussa ylläpitämästään projektista. Tämä vie aikaa ihmisiltä, joilla on usein kokopäivätyö, perhe ja muita huomiosta kilpailevia velvollisuuksia. Monissa avoimen lähdekoodin projekteissa rajoittava tekijä ei ole näkyvyys riskeihin, vaan ylläpitäjien ja tietoturvatiimien kyky arvioida vastuullisesti yhä kasvavaa havaintomäärää ja reagoida siihen.

Tämä on perustavanlaatuinen ero löytämisen ja korjaamisen välillä. Tekoäly voi auttaa laajentamaan haavoittuvuuksien löytämistä. Korjaaminen riippuu edelleen ihmisistä, joilla on tarvittava asiayhteyden ymmärrys, toimivalta ja vastuu reagoida tekoälyn löytämiin ongelmiin.

Avoimen lähdekoodin haaste

Tämä ilmiö näkyy entistä selvemmin avoimen lähdekoodin ohjelmistojen ekosysteemissä. Koska avoimen lähdekoodin komponentteja käytetään 98 prosentissa kaupallisista koodikannoista, valtaosa maailman digitaalisesta infrastruktuurista perustuu projekteihin, joita ylläpitää suhteellisen pieni joukko osallistujia.

Monissa tapauksissa tästä kriittisestä ohjelmistosta vastaavat ylläpitäjät ovat vapaaehtoisia tai ihmisiä, jotka sovittavat projektiin liittyvät tehtävät yhteen kokopäivätyön ja henkilökohtaisten velvollisuuksien kanssa. Kun tekoäly kasvattaa ohjelmistojen ja niistä löydettyjen haavoittuvuuksien määrää, ylläpitäjien kyvystä pysyä tahdissa tulee yhä tärkeämpi osa tietoturvan kokonaisuutta.

Kun tekoälyjärjestelmä tuottaa yhtäkkiä satoja tai tuhansia mahdollisia havaintoja projektien ekosysteemistä, ylläpitäjien valmiuksista tulee rajoittava tekijä.

Tämä ei ole ylläpitäjien arvostelua. Se on kuvaus todellisuudesta.

Jo ennen tekoälypohjaisen haavoittuvuuksien etsimisen yleistymistä monilla avoimen lähdekoodin projekteilla oli vaikeuksia rajallisten resurssien, kasvavien tietoturvavaatimusten ja lisääntyvän ylläpitotaakan kanssa. Tekoäly lisää paineita järjestelmälle, jonka voimavarat olivat jo valmiiksi äärirajoilla.

Haasteena ei ole vain sen selvittäminen, onko haavoittuvuus olemassa. Haasteena on kaikki se, mitä sen jälkeen tapahtuu.

Jonkun on tarkistettava raportti. Jonkun on toistettava ongelma. Jonkun on päätettävä, onko kyse tietoturvariskistä. Jonkun on kehitettävä korjaus ja testattava se. Jonkun on koordinoitava haavoittuvuudesta ilmoittaminen ja päivitysten julkaiseminen. Näitä vastuita ei voi yksinkertaisesti automatisoida pois.

Tekoälyn tuottamien havaintojen määrän kasvaessa edelleen avoimen lähdekoodin ohjelmistoihin tukeutuvat organisaatiot ovat yhä riippuvaisempia niitä ylläpitävien ihmisten hyvinvoinnista ja kyvystä jatkaa työtään.

Varautuminen tekoälyn vauhdittamaan haavoittuvuuksien löytämiseen

Mitä yritysten siis pitäisi tehdä? Ensinnäkin organisaatioiden on ymmärrettävä, ettei tekoälyn vauhdittama haavoittuvuuksien löytäminen ole tulevaisuuden ongelma. Se tapahtuu jo nyt. Project Glasswing osoitti, että edistyneimmät mallit voivat löytää haavoittuvuuksia mittakaavassa, jota olisi ollut vaikea kuvitella vielä muutama vuosi sitten.

Toiseksi tietoturvajohtajien tulisi arvioida, pystyvätkö heidän korjausprosessinsa skaalautumaan haavoittuvuuksien löytämiskyvyn kasvun mukana. Monet organisaatiot ovat panostaneet voimakkaasti haavoittuvuuksien löytämiseen mutta liian vähän niiden korjaamisesta vastaaviin ihmisiin ja prosesseihin.

Kolmanneksi yritysten tulisi kiinnittää enemmän huomiota ohjelmistojen ylläpitoon osana tietoturvaa. Tietoturvasta puhutaan usein uhkien ehkäisyn ja havaitsemisen näkökulmasta, mutta pitkäjänteinen ylläpito on edelleen yksi riskienhallinnan tärkeimmistä ja vähiten arvostetuista osa-alueista. Tekoäly voi helpottaa haavoittuvuuksien löytämistä, mutta se ei vähennä vastuuta pitää kriittiset ohjelmistot turvallisina ajan mittaan. Organisaatiot tarvitsevat strategian elinkaaren hallintaan, jotta ne voivat uudistaa järjestelmiään suunnitelmallisesti eivätkä joudu toteuttamaan kiireisiä siirtymiä tai reagoimaan riskeihin korjaustoimilla vasta niiden ilmaannuttua.

Lopuksi organisaatioiden tulisi tukea laajempia ekosysteemejä, joista ne ovat riippuvaisia. Kun tekoäly vauhdittaa haavoittuvuuksien löytämistä avoimen lähdekoodin ohjelmistoista, ylläpitäjiin kohdistuu yhä enemmän vaatimuksia. Ohjelmistojen toimitusketjun tietoturva riippuu viime kädessä siitä, onko ylläpitäjillä tarvittavat resurssit vastata näihin vaatimuksiin.

Tekoäly pystyy löytämään haavoittuvuuksia nopeammin. Niiden löytäminen ei kuitenkaan tee ohjelmistoista turvallisia. Vaativampaa on arvioida riskejä, asettaa tärkeimmät asiat etusijalle, toimittaa testattuja korjauksia ja ylläpitää ohjelmistoja turvallisina ajan mittaan. Haavoittuvuuksien löytymisen nopeutuessa organisaatiot tarvitsevat jatkuvaa korjauskykyä, jota tukevat asiantuntemus, vastuuvelvollisuus ja selkeästi määritellyt palvelutasot.

Kyberturvallisuuden vaikein ongelma ei ole haavoittuvuuden löytäminen, vaan se, mitä sen jälkeen tapahtuu.