AI odkrywa więcej podatności niż kiedykolwiek. O tym, co dalej, wciąż muszą decydować ludzie.

Od lat zespoły ds. cyberbezpieczeństwa kierują się prostym założeniem: gdybyśmy mogli szybciej znajdować więcej podatności, tworzylibyśmy bezpieczniejsze oprogramowanie.

Sztuczna inteligencja poddaje to założenie próbie. Wraz ze zmianą szerszej dyskusji o AI — od szybkiego wdrażania do wymiernych korzyści — cyberbezpieczeństwo ujawnia wyzwanie, które nie zniknie, nawet jeśli rozwój AI zwolni. Organizacje już teraz zmagają się z rosnącą liczbą podatności wykrywanych przez AI, które wciąż wymagają weryfikacji, ustalania priorytetów i usunięcia przez ludzi.

Najnowsze ustalenia Project Glasswing to jeden z najwyraźniejszych dotąd przykładów. Według doniesień Claude Mythos Preview wykrył w projektach programistycznych ponad 26 000 podatności w ciągu zaledwie kilku miesięcy. Jednak, jak wynika z niezależnej analizy publicznego rejestru ujawnionych podatności Glasswing, do procesu ujawniania trafiło tylko około 10% tych ustaleń, a poprawki ostatecznie wdrożono w przypadku mniej niż 1%.

Te liczby robią wrażenie, ale nie powinny zaskakiwać. Branża od dziesięcioleci koncentruje się na usprawnianiu wykrywania podatności. Nie zbudowała jednak zdolności do przetwarzania ich ustaleń w skali, jaką umożliwia AI.

Wąskim gardłem w cyberbezpieczeństwie nie jest już wykrywanie podatności. Jest nim to, co dzieje się później.

Wykrywanie podatności nigdy nie było najtrudniejsze

We wczesnej aktualizacji dotyczącej Project Glasswing Anthropic zauważyło, że postępy coraz bardziej ogranicza nie samo wykrywanie podatności, lecz praca, którą ludzie muszą wykonać, by zweryfikować zgłoszenia, koordynować ujawnianie podatności i wspierać działania naprawcze. Firma wspomniała również, że niektórzy opiekunowie projektów prosili o wolniejsze tempo ujawniania podatności, ponieważ nie byli w stanie przetworzyć napływających ustaleń.

To rozróżnienie ma znaczenie, ponieważ wykrywanie podatności i ich usuwanie to zasadniczo różne działania.

Wykrywanie podatności staje się coraz bardziej zadaniem polegającym na rozpoznawaniu wzorców. Współczesne systemy AI doskonale analizują duże bazy kodu, identyfikują nietypowe zachowania, śledzą ścieżki wykonywania programu i wskazują potencjalne słabe punkty.

Usuwanie podatności to co innego. Naprawienie podatności wymaga znajomości kontekstu. Ktoś musi ustalić, czy problem rzeczywiście istnieje, zrozumieć jego potencjalne skutki, ocenić możliwe rozwiązania, dopilnować, by zmiany nie spowodowały regresji, skoordynować harmonogram ujawnienia podatności, komunikować się z zainteresowanymi stronami i ostatecznie wziąć odpowiedzialność za rezultat.

Ta ostatnia kwestia ma kluczowe znaczenie. AI może wskazać potencjalną podatność, ale nie może odpowiadać za to, co wydarzy się później. Weryfikacja, określenie priorytetu, naprawa i zgłoszenie zawsze będą wymagały udziału człowieka odpowiedzialnego za utrzymywany przez siebie projekt. A to pochłania czas osób, które często mają pracę na pełen etat, rodzinę i inne obowiązki konkurujące o ich uwagę. W wielu projektach open source czynnikiem ograniczającym nie jest brak wiedzy o zagrożeniach, lecz możliwości opiekunów projektów i zespołów ds. bezpieczeństwa, by odpowiedzialnie oceniać coraz większą liczbę ustaleń i na nie reagować.

Na tym polega zasadnicza różnica między wykrywaniem podatności a ich usuwaniem. W wykrywaniu AI może nam coraz skuteczniej pomagać, zwiększając skalę działań. Usuwanie podatności nadal zależy od ludzi, którzy mają wiedzę o kontekście, uprawnienia i obowiązek podjęcia działań w związku z tym, co wykryje AI.

Wyzwanie związane z oprogramowaniem open source

Zjawisko to jest jeszcze bardziej widoczne w całym ekosystemie open source. Ponieważ komponenty open source znajdują się w 98% komercyjnych baz kodu, zdecydowana większość cyfrowej infrastruktury świata opiera się na projektach utrzymywanych przez stosunkowo niewielkie grupy współtwórców.

W wielu przypadkach osoby odpowiedzialne za utrzymanie tego kluczowego oprogramowania są wolontariuszami albo godzą obowiązki związane z projektem z pracą na pełen etat i życiem prywatnym. Wraz ze wzrostem ilości oprogramowania oraz liczby wykrywanych w nim podatności, napędzanym przez AI, zdolność opiekunów projektów do nadążania za tymi zmianami staje się coraz ważniejszym elementem bezpieczeństwa.

Gdy system AI nagle wykrywa w ekosystemie projektu setki lub tysiące potencjalnych podatności, to właśnie opiekunowie projektu stają się czynnikiem ograniczającym.

Nie jest to krytyka opiekunów projektów. To odzwierciedlenie rzeczywistości.

Jeszcze przed pojawieniem się narzędzi AI do wykrywania podatności wiele projektów open source zmagało się z ograniczonymi zasobami, rosnącymi oczekiwaniami w zakresie bezpieczeństwa i coraz większym obciążeniem związanym z utrzymaniem. AI zwiększa presję na system, który już wcześniej działał na granicy swoich możliwości.

Wyzwanie nie polega wyłącznie na ustaleniu, czy podatność istnieje. Obejmuje ono wszystko, co dzieje się później.

Ktoś musi przejrzeć zgłoszenie. Ktoś musi odtworzyć problem. Ktoś musi zdecydować, czy stanowi on zagrożenie dla bezpieczeństwa. Ktoś musi opracować i przetestować poprawkę. Ktoś musi skoordynować ujawnienie podatności i opublikowanie aktualizacji. Tych obowiązków nie da się po prostu zautomatyzować.

W miarę jak liczba ustaleń generowanych przez AI będzie rosła, organizacje korzystające z oprogramowania open source będą w coraz większym stopniu zależeć od kondycji i stabilności osób, które je utrzymują.

Przygotowanie na falę odkrywania luk w zabezpieczeniach przez AI

Co zatem powinny zrobić przedsiębiorstwa? Po pierwsze, organizacje muszą zdać sobie sprawę, że odkrywanie luk z wykorzystaniem AI nie jest problemem przyszłości. Dzieje się już teraz. Projekt Glasswing pokazał, że najnowocześniejsze modele potrafią wykrywać luki na skalę, którą jeszcze kilka lat temu trudno byłoby sobie wyobrazić.

Po drugie, osoby odpowiedzialne za bezpieczeństwo powinny ocenić, czy procesy usuwania luk można skalować wraz z rozwojem możliwości ich wykrywania. Wiele organizacji zainwestowało znaczne środki w wykrywanie luk, jednocześnie niedostatecznie inwestując w ludzi i procesy odpowiedzialne za ich usuwanie.

Po trzecie, przedsiębiorstwa powinny zwrócić większą uwagę na utrzymanie oprogramowania jako funkcję bezpieczeństwa. O bezpieczeństwie często mówi się w kontekście zapobiegania zagrożeniom i ich wykrywania, jednak długoterminowe utrzymanie pozostaje jednym z najważniejszych, a zarazem najmniej docenianych elementów zarządzania ryzykiem. AI może ułatwiać wykrywanie luk, ale nie zmniejsza odpowiedzialności za zapewnienie bezpieczeństwa kluczowego oprogramowania w dłuższej perspektywie. Organizacje potrzebują strategii zarządzania całym cyklem życia oprogramowania, która pozwoli im planowo je modernizować, zamiast zmuszać je do pospiesznych migracji lub reaktywnego usuwania luk, gdy pojawią się zagrożenia.

Wreszcie organizacje powinny wspierać szersze ekosystemy, od których są zależne. W miarę jak AI przyspiesza wykrywanie luk w oprogramowaniu open source, osoby odpowiedzialne za jego utrzymanie będą mierzyć się z coraz większymi wymaganiami. Bezpieczeństwo łańcucha dostaw oprogramowania zależy ostatecznie od tego, czy osoby te mają zasoby niezbędne do reagowania.

AI potrafi szybciej wykrywać luki. Samo ich wykrycie nie zapewnia jednak bezpieczeństwa oprogramowania. Trudniejsze zadania to ocena ryzyka, ustalanie priorytetów, dostarczanie przetestowanych poprawek oraz utrzymywanie bezpieczeństwa oprogramowania w dłuższej perspektywie. W miarę jak wykrywanie luk będzie przyspieszać, organizacje będą potrzebować ciągłej zdolności do usuwania luk, opartej na wiedzy specjalistycznej, odpowiedzialności i jasno określonych poziomach usług.

Bo najtrudniejszym problemem w cyberbezpieczeństwie nie jest znalezienie luki. Chodzi o to, co dzieje się później.