KI kan avdekke flere sårbarheter enn noen gang. Mennesker må fortsatt avgjøre hva som skjer videre.

I årevis har cybersikkerhetsteam bygget arbeidet sitt på en enkel antakelse: Hvis vi kunne finne flere sårbarheter raskere, ville vi gjøre programvaren sikrere.

Kunstig intelligens setter denne antakelsen på prøve. Etter hvert som den bredere KI-debatten dreier fra rask innføring til målbare resultater, avdekker cybersikkerhet en utfordring som ikke forsvinner selv om KI-utviklingen skulle bremse opp. Organisasjoner står allerede overfor et økende antall KI-genererte funn av sårbarheter, som fortsatt må valideres, prioriteres og utbedres av mennesker.

Nylige funn fra Project Glasswing er et av de tydeligste eksemplene hittil. Claude Mythos Preview skal ha identifisert over 26 000 sårbarhetsfunn i programvareprosjekter på bare noen få måneder. Ifølge en uavhengig analyse av Glasswings offentlige register over sårbarhetsvarsler har imidlertid bare rundt 10 % av disse funnene nådd fram til varslingsprosessen, og færre enn 1 % har til slutt blitt rettet.

Tallene er slående, men bør ikke overraske. Bransjen har brukt flere tiår på å optimalisere arbeidet med å oppdage sårbarheter. Det den ikke har bygget opp, er kapasiteten til å håndtere sårbarhetsfunn i det omfanget KI muliggjør.

Flaskehalsen innen cybersikkerhet er ikke lenger oppdagelsen av sårbarheter. Den ligger i det som skjer etterpå.

Det har aldri vært den vanskeligste delen å finne sårbarheter

I en tidlig oppdatering fra Project Glasswing påpekte Anthropic at framgangen i stadig større grad ble begrenset, ikke av arbeidet med å finne sårbarheter, men av det menneskelige arbeidet som kreves for å verifisere rapporter, koordinere varsling og støtte utbedring. Selskapet bemerket også at enkelte vedlikeholdere ba om at varslingstakten skulle senkes fordi de ikke hadde kapasitet til å håndtere mengden funn som ble generert.

Dette skillet er viktig fordi det å oppdage sårbarheter og det å utbedre dem i bunn og grunn er to forskjellige aktiviteter.

Å oppdage sårbarheter er i økende grad et spørsmål om mønstergjenkjenning. Moderne KI-systemer er svært gode til å analysere store kodebaser, identifisere uvanlig atferd, spore kjøringsforløp og avdekke mulige svakheter.

Utbedring er noe annet. Å rette en sårbarhet krever kontekst. Noen må avgjøre om problemet er reelt, forstå den mulige konsekvensen, vurdere mulige løsninger, sørge for at endringene ikke fører til tilbakefall, koordinere tidsplaner for varsling, kommunisere med berørte parter og til slutt ta ansvar for resultatet.

Det siste punktet er avgjørende. KI kan identifisere en mulig sårbarhet, men kan ikke holdes ansvarlig for det som skjer videre. Validering, prioritering, retting og rapportering vil alltid kreve et menneske som står til ansvar overfor prosjektet det vedlikeholder. Og dette tar tid fra mennesker som ofte har fulltidsjobb, familie og andre forpliktelser som konkurrerer om oppmerksomheten deres. I mange åpen kildekode-prosjekter er den begrensende faktoren ikke manglende oversikt over risikoen, men vedlikeholdernes og sikkerhetsteamenes kapasitet til å vurdere og håndtere et stadig økende antall funn på en forsvarlig måte.

Dette er den grunnleggende forskjellen mellom oppdagelse og utbedring. KI kan i økende grad hjelpe oss med å skalere arbeidet med å oppdage sårbarheter. Utbedring er fortsatt avhengig av mennesker som har konteksten, myndigheten og ansvaret som skal til for å handle på grunnlag av det KI finner.

Utfordringen med åpen kildekode

Denne dynamikken blir enda tydeligere i økosystemet for åpen kildekode. Når komponenter med åpen kildekode finnes i 98 % av kommersielle kodebaser, er det store flertallet av verdens digitale infrastruktur avhengig av prosjekter som vedlikeholdes av relativt små grupper bidragsytere.

I mange tilfeller er de som har ansvar for å vedlikeholde denne kritiske programvaren, frivillige eller personer som balanserer prosjektansvar med fulltidsjobb og personlige forpliktelser. Etter hvert som KI øker mengden programvare og antallet sårbarheter som oppdages i den, blir vedlikeholdernes kapasitet til å holde tritt en stadig viktigere del av sikkerhetsregnestykket.

Når et KI-system plutselig genererer hundrevis eller tusenvis av mulige funn i et prosjektøkosystem, blir vedlikeholderne den begrensende faktoren.

Dette er ikke kritikk av vedlikeholderne. Det er en beskrivelse av virkeligheten.

Allerede før KI-drevet oppdagelse av sårbarheter oppsto, slet mange åpen kildekode-prosjekter med begrensede ressurser, økende forventninger til sikkerhet og stadig større vedlikeholdsbyrde. KI øker presset på et system som allerede var strukket til bristepunktet.

Utfordringen handler ikke bare om å avgjøre om en sårbarhet finnes. Den handler om alt som skjer etterpå.

Noen må gjennomgå rapporten. Noen må gjenskape problemet. Noen må avgjøre om det utgjør en sikkerhetsrisiko. Noen må utvikle og teste en løsning. Noen må koordinere varsling og publisere oppdateringer. Disse ansvarsoppgavene kan ikke bare automatiseres bort.

Etter hvert som KI-genererte funn fortsetter å øke, blir organisasjoner som er avhengige av programvare med åpen kildekode, stadig mer avhengige av at menneskene som vedlikeholder den, har gode og bærekraftige arbeidsvilkår.

Forberedelser på økningen i KI-drevet sårbarhetsoppdagelse

Så hva bør virksomheter gjøre? For det første må organisasjoner erkjenne at KI-drevet oppdagelse ikke er et framtidig problem. Det skjer allerede. Project Glasswing viste at de mest avanserte modellene kan avdekke sårbarheter i et omfang som ville vært vanskelig å forestille seg for bare noen få år siden.

For det andre bør sikkerhetsansvarlige vurdere om utbedringsprosessene deres kan skaleres i takt med kapasiteten til å oppdage sårbarheter. Mange organisasjoner har investert tungt i å finne sårbarheter, samtidig som de har investert for lite i menneskene og prosessene som skal håndtere dem.

For det tredje bør virksomheter være mer oppmerksomme på programvarevedlikehold som en sikkerhetsfunksjon. Sikkerhet omtales ofte med vekt på forebygging og oppdagelse, men langsiktig vedlikehold er fortsatt en av de viktigste og minst anerkjente delene av risikostyringen. KI kan gjøre sårbarheter enklere å finne, men det fritar ikke organisasjoner fra ansvaret for å holde kritisk programvare sikker over tid. Organisasjoner trenger en strategi for eierskap gjennom hele livssyklusen, slik at de kan modernisere på en planmessig måte i stedet for å bli tvunget til forhastede migreringer eller reaktive utbedringstiltak når risikoer oppstår.

Til slutt bør organisasjoner støtte de bredere økosystemene de er avhengige av. Etter hvert som KI fremskynder oppdagelsen av sårbarheter i programvare med åpen kildekode, vil vedlikeholderne møte stadig større krav. Sikkerheten i programvareforsyningskjeden avhenger i siste instans av om vedlikeholderne har ressursene de trenger for å håndtere dem.

KI kan finne sårbarheter raskere. Men det at de blir funnet, gjør ikke programvaren sikker. Den vanskeligere jobben er å vurdere risikoen, prioritere det som er viktig, levere utprøvde feilrettinger og holde programvaren sikker over tid. Etter hvert som oppdagelsen av sårbarheter går raskere, vil organisasjoner trenge en kontinuerlig kapasitet for utbedring, støttet av kompetanse, ansvarlighet og tydelige tjenestenivåer.

For det vanskeligste problemet innen cybersikkerhet er ikke å finne sårbarheten. Det er hva som skjer etterpå.