Keamanan Nasional Memerlukan Pengamanan Beban Kerja AI Modern

Sementara praktik pengkodean yang didorong AI dan modifikasi beban kerja mengklaim dapat mempercepat kinerja misi, mereka juga memperkenalkan kerentanan sistem. Tantangan ini sudah dipahami – praktik manajemen kerentanan saat ini tidak dapat mengikuti perkembangan alat AI yang cepat, yang pada akhirnya meningkatkan risiko bagi pasukan yang melakukan misi operasional.

Mengetahui bahwa alat Anda akan berhasil, apakah itu M27 IAR atau alat C2 taktis yang didorong AI yang menempatkan api pada target, membangun kepercayaan di lapangan. Ketika datang ke sistem perangkat lunak, mereka dapat meningkatkan keandalan dengan menghilangkan risiko kontainer perangkat lunak melalui keamanan Rantai Pasokan Perangkat Lunak (SSC) yang komprehensif.

Kerentanan Kontainer Adalah Risiko yang Meningkat dalam Perangkat Lunak Pertahanan

Setiap organisasi yang didorong perangkat lunak berjuang dengan kerentanan keamanan yang terkait dengan kontainer. Departemen Perang (DoW) bertujuan untuk mengeluarkan sistem terbaik untuk pasukan operasional, tetapi ini meningkatkan risiko. Alasannya adalah karena sebagian besar sistem misi bergantung pada perangkat lunak inti dari distribusi Linux dan basis perangkat lunak komunitas dengan baseline perangkat lunak yang terlalu besar. Sistem yang dibangun pada perangkat lunak sumber terbuka ini biasanya mengandung Kerentanan Kritis dan Paparan (CVEs) yang diketahui dan tidak diketahui.

Untuk mengatasi masalah ini, gambar yang dikurasi yang termasuk perbaikan untuk CVEs ini secara dramatis mengurangi permukaan serangan. Selain itu, kode yang tidak perlu mewakili risiko tambahan, karena kode ini mungkin menyembunyikan CVEs. Mengirimkan gambar perangkat lunak yang diperkuat mengurangi risiko ini dengan menghilangkan kode yang tidak perlu. Tanpa penguatan, kode tambahan meningkatkan permukaan serangan yang rentan dan memperkenalkan CVEs tersembunyi. Juga sangat penting untuk mengevaluasi setiap CVE sebagai bagian dari konteks di mana ia muncul. CVEs dapat dieksploitasi dalam lingkungan, sistem operasi, dan perangkat keras di mana mereka ditemukan dapat direproduksi. Pemindaian, pemrofilan, dan pemahaman perangkat lunak produksi yang cerdas akan menentukan apakah setiap CVE individu mempengaruhi lingkungan target dan mengidentifikasi CVEs yang duplikat dan hanya muncul dalam beberapa paket.

Alat Pengkodean AI Meningkatkan Masalah

Alat pengkodean AI adalah mesin yang intensif sumber daya yang digunakan untuk mengembangkan, melatih, dan mengirimkan model, tetapi seringkali fokus pada keadaan akhir daripada mengoptimalkan komputasi dan penyimpanan operasional. Sebagai hasilnya, mereka memperbesar masalah keamanan dengan menggunakan distribusi sumber terbuka secara tidak disengaja daripada gambar yang dikurasi dan diperkuat.

Alat pengkodean AI saat ini berubah secara konstan, memiliki banyak ketergantungan sumber terbuka, dan diterapkan lebih luas daripada alat tradisional. Model, kerangka kerja, dan layanan pendukung diperbarui setiap hari atau setiap minggu daripada setiap trimester atau setiap tahun, dan setiap artefak perangkat lunak yang tidak diperkuat yang diterapkan oleh alat ini memperbesar risiko. Ini bukanlah risiko baru, tetapi dengan AI, mereka sekarang dipercepat. Sebagai contoh, backlog kerentanan tumbuh lebih cepat karena lebih banyak perangkat lunak yang diterapkan. Sebagai bukti, daftar CVE pada tahun 2025 rata-rata 132 kerentanan baru per hari, naik 20% dari tahun sebelumnya, dan tiga kali lipat dari jumlah pada tahun 2020.

Manajemen Kerentanan yang Buruk Menghasilkan Konsekuensi Operasional

Konsekuensi operasional dari manajemen kerentanan yang buruk termasuk:

• Pembatasan pada teknologi yang dapat diakses ATO, dengan lebih sedikit alat AI yang disetujui untuk produksi
• Pengurangan kecepatan penerapan AI karena tumpukan kontainer gagal memenuhi persyaratan pada timeline misi
• Ketidakmampuan untuk bersaing dengan taktik AI lawan, meningkatkan risiko misi
• Biaya keuangan yang tinggi dan berulang untuk mengelola backlog kerentanan
• Insinyur yang sangat terampil fokus pada mengejar dan memperbaiki CVE daripada mengirimkan kemampuan baru

Dengan atau tanpa AI, praktik manajemen kerentanan untuk solusi DoW harus memenuhi timeline misi. Platform yang didorong AI harus meningkatkan pertahanan cyber, bukan meningkatkan paparan keamanan. Solusi pilihan harus mengatasi eksposur yang relevan dengan runtime, mengurangi jumlah CVE, dan memungkinkan pejabat yang berwenang untuk membedakan antara noise dan dampak misi. Mengatasi masalah ini menjaga unit dari upaya pengerasan satu per satu, menciptakan pipeline yang konsisten dan didorong data.

Pendekatan yang Menang untuk Pertahanan Nasional

Proses keamanan terbaik adalah yang memungkinkan operasi AI yang lebih cepat, lebih aman, fondasi kontainer zero-trust yang lebih kuat, dan data risiko rantai pasokan perangkat lunak yang lebih akurat untuk komandan.

Lembaga pertahanan harus memulai dengan gambar CVE yang hampir nol, kemudian menghilangkan kerentanan tambahan dengan menghapus komponen yang tidak digunakan daripada memperbaikinya untuk mengurangi jalur risiko yang dapat diterima. Gambar yang diperkuat menghasilkan permukaan serangan yang lebih kecil dan narasi risiko yang lebih jelas untuk mempercepat pengakuan sistem AI yang diaktifkan, membebaskan tim cyber untuk fokus pada misi dengan prioritas lebih tinggi daripada triage kerentanan yang tidak berakhir.

Selain itu, tagihan bahan perangkat lunak (SBOMs), tagihan bahan runtime (RBOMs), dan gambar yang diperkuat memberikan operator dan tim keamanan dengan tampilan yang berlapis, akurat runtime dari beban kerja AI yang dikontainerisasi. Pendekatan ini secara langsung mendukung prinsip zero trust dan selaras dengan persyaratan visibilitas rantai pasokan perangkat lunak Kerangka Keamanan Berkelanjutan (ESF) tim, menunjukkan apa yang ada di perangkat lunak, perilakunya, dan mekanisme pengiriman.

Praktik penilaian risiko dan pengujian DoW yang matang harus disertai dengan kontainer yang memiliki artefak yang dapat dibaca mesin dan bulletin keamanan teknis. Ini memungkinkan pengembang dan operator untuk berlangganan kontainer yang dibutuhkan dan menerima skor risiko yang konsisten dan peringatan jika masalah baru muncul. Untuk Komando, ini bertindak sebagai “lampu peringatan” yang praktis pada tumpukan perangkat lunak kritis, memungkinkan keputusan untuk melampaui penemuan komersial ke dalam penyelarasan misi langsung pada kecepatan operasi yang didorong AI.