Inteligența artificială poate scoate la iveală mai multe vulnerabilități ca niciodată. Tot oamenii trebuie să decidă ce urmează.

De ani de zile, echipele de securitate cibernetică au pornit de la o presupunere simplă: dacă am putea găsi mai repede mai multe vulnerabilități, am face software-ul mai sigur.

Inteligența artificială pune la încercare această presupunere. Pe măsură ce discuția mai amplă despre IA trece de la adoptarea rapidă la valoarea măsurabilă, securitatea cibernetică scoate la iveală o provocare care nu va dispărea dacă ritmul dezvoltării IA încetinește. Organizațiile se confruntă deja cu un volum tot mai mare de constatări privind vulnerabilități, generate de IA, care necesită în continuare validare, prioritizare și remediere de către oameni.

Descoperirile recente legate de Project Glasswing oferă unul dintre cele mai clare exemple de până acum. Potrivit relatărilor, Claude Mythos Preview a identificat peste 26.000 de constatări privind vulnerabilități în proiecte software în doar câteva luni. Totuși, conform unei analize independente a registrului public de divulgare al Glasswing, doar aproximativ 10% dintre aceste constatări au ajuns în procesul de divulgare, iar în cele din urmă au fost remediate mai puțin de 1%.

Cifrele sunt izbitoare, dar nu ar trebui să surprindă. De zeci de ani, industria și-a concentrat eforturile asupra optimizării procesului de identificare. Însă nu a dezvoltat capacitatea de a procesa constatări privind vulnerabilități la scara IA.

Blocajul din securitatea cibernetică nu mai ține de identificarea vulnerabilităților. Ci de ceea ce se întâmplă în continuare.

Identificarea vulnerabilităților nu a fost niciodată partea cea mai dificilă

Într-o actualizare timpurie privind Project Glasswing, Anthropic a menționat că progresul era tot mai mult limitat nu de identificarea vulnerabilităților, ci de munca oamenilor necesară pentru verificarea rapoartelor, coordonarea divulgărilor și sprijinirea eforturilor de remediere. Compania a mai menționat că unii responsabili de mentenanță au cerut un ritm mai lent al divulgărilor, deoarece nu aveau capacitatea de a procesa volumul constatărilor generate.

Această distincție este importantă, deoarece identificarea și remedierea vulnerabilităților sunt activități fundamental diferite.

Identificarea este tot mai mult o problemă de recunoaștere a tiparelor. Sistemele moderne de IA excelează la analiza bazelor de cod de mari dimensiuni, identificarea comportamentelor neobișnuite, urmărirea căilor de execuție și scoaterea la iveală a potențialelor vulnerabilități.

Remedierea este altceva. Repararea unei vulnerabilități necesită context. Cineva trebuie să stabilească dacă problema este reală, să înțeleagă impactul potențial, să evalueze posibilele soluții, să se asigure că modificările nu provoacă regresii, să coordoneze calendarul divulgării, să comunice cu părțile interesate și, în cele din urmă, să-și asume responsabilitatea pentru rezultat.

Ultima parte este esențială. IA poate identifica o posibilă vulnerabilitate, dar nu poate răspunde pentru ceea ce se întâmplă în continuare. Validarea, trierea, remedierea și raportarea vor necesita întotdeauna o persoană care răspunde în fața proiectului pe care îl întreține. Iar acest lucru le răpește timp unor oameni care au adesea un loc de muncă cu normă întreagă, o familie și alte obligații care le solicită atenția. În multe proiecte cu sursă deschisă, factorul limitativ nu este vizibilitatea riscurilor, ci capacitatea responsabililor de mentenanță și a echipelor de securitate de a evalua și aborda în mod responsabil un volum de constatări aflat în continuă creștere.

Aceasta este diferența fundamentală dintre identificare și remediere. Identificarea este tot mai mult o problemă în a cărei rezolvare IA ne poate ajuta să ne extindem capacitatea. Remedierea depinde în continuare de oameni care au contextul, autoritatea și responsabilitatea necesare pentru a acționa în urma constatărilor IA.

Provocarea software-ului cu sursă deschisă

Această dinamică devine și mai evidentă în întregul ecosistem al software-ului cu sursă deschisă. Întrucât componentele cu sursă deschisă sunt prezente în 98% dintre bazele de cod comerciale, marea majoritate a infrastructurii digitale mondiale se bazează pe proiecte întreținute de grupuri relativ mici de colaboratori.

În multe cazuri, cei responsabili de întreținerea acestui software esențial sunt voluntari sau persoane care îmbină responsabilitățile legate de proiect cu locuri de muncă cu normă întreagă și obligații personale. Pe măsură ce IA sporește volumul de software și de vulnerabilități descoperite în acesta, capacitatea acestor responsabili de mentenanță de a ține pasul devine o componentă tot mai importantă a ecuației securității.

Când un sistem de IA generează brusc sute sau mii de posibile constatări privind un ecosistem de proiecte, responsabilii de mentenanță devin factorul limitativ.

Aceasta nu este o critică la adresa responsabililor de mentenanță. Este o reflectare a realității.

Chiar și înainte de apariția identificării vulnerabilităților cu ajutorul IA, multe proiecte cu sursă deschisă se confruntau cu resurse limitate, așteptări tot mai mari în materie de securitate și sarcini de mentenanță în creștere. IA amplifică presiunea asupra unui sistem care era deja suprasolicitat.

Provocarea nu constă doar în a stabili dacă există o vulnerabilitate. Provocarea este tot ceea ce urmează.

Cineva trebuie să analizeze raportul. Cineva trebuie să reproducă problema. Cineva trebuie să decidă dacă aceasta reprezintă un risc de securitate. Cineva trebuie să dezvolte și să testeze o soluție. Cineva trebuie să coordoneze divulgarea și să publice actualizările. Aceste responsabilități nu pot fi pur și simplu automatizate.

Pe măsură ce numărul constatărilor generate de IA continuă să crească, organizațiile care se bazează pe software cu sursă deschisă vor depinde tot mai mult de sănătatea și sustenabilitatea comunităților care îl întrețin.

Pregătirea pentru valul de descoperiri de vulnerabilități cu ajutorul IA

Așadar, ce ar trebui să facă întreprinderile? În primul rând, organizațiile trebuie să înțeleagă că descoperirea vulnerabilităților cu ajutorul IA nu este o problemă a viitorului. Se întâmplă deja. Project Glasswing a demonstrat că modelele de ultimă generație pot descoperi vulnerabilități la o scară greu de imaginat cu doar câțiva ani în urmă.

În al doilea rând, liderii din domeniul securității ar trebui să evalueze dacă procesele lor de remediere pot ține pasul cu capacitățile de descoperire. Multe organizații au investit masiv în identificarea vulnerabilităților, dar au investit prea puțin în oamenii și procesele responsabile de remedierea acestora.

În al treilea rând, întreprinderile ar trebui să acorde mai multă atenție mentenanței software-ului, ca funcție de securitate. Securitatea este adesea discutată din perspectiva prevenirii și a detectării, însă mentenanța pe termen lung rămâne una dintre cele mai importante și mai puțin apreciate componente ale gestionării riscurilor. IA poate facilita descoperirea vulnerabilităților, dar nu diminuează responsabilitatea de a menține în siguranță software-ul esențial de-a lungul timpului. Organizațiile au nevoie de o strategie privind responsabilitatea pe întreg ciclul de viață, care să le permită să modernizeze în mod deliberat, în loc să fie nevoite să recurgă la migrări grăbite sau la eforturi reactive de remediere atunci când apar riscuri.

În cele din urmă, organizațiile ar trebui să sprijine ecosistemele mai largi de care depind. Pe măsură ce IA accelerează descoperirea vulnerabilităților în software-ul cu sursă deschisă, cei care îl întrețin se vor confrunta cu cerințe tot mai mari. Securitatea lanțului de aprovizionare cu software depinde, în ultimă instanță, de resursele de care dispun acești oameni pentru a răspunde.

IA poate găsi vulnerabilitățile mai repede. Dar simpla lor descoperire nu face software-ul sigur. Munca mai dificilă constă în evaluarea riscurilor, stabilirea priorităților, furnizarea de remedieri testate și menținerea securității software-ului de-a lungul timpului. Pe măsură ce descoperirea vulnerabilităților se accelerează, organizațiile vor avea nevoie de o capacitate continuă de remediere, susținută de expertiză, responsabilitate și niveluri clare ale serviciilor.

Pentru că cea mai dificilă problemă în securitatea cibernetică nu este găsirea vulnerabilității. Ci ceea ce urmează.