Agenții de inteligență artificială transformă vulnerabilitățile zero-day într-o cursă pe care oamenii nu o pot câștiga singuri

De ani de zile, vulnerabilitățile zero-day au fost periculoase, dar erau rare și greu de exploatat la scară largă. Găsirea uneia necesita răbdare, abilități specializate și o înțelegere profundă a comportamentului software-ului. Așa cum au raportat Nicole Perlroth și alți jurnaliști, exista un comerț cu vulnerabilități zero-day, iar statele naționale le tratau ca arme cibernetice extrem de valoroase.

Astăzi, vulnerabilitățile zero-day sunt disponibile pe scară largă. Aproape oricine poate descoperi altele noi, singur, cu ajutorul modelelor de inteligență artificială open source sau al unor modele de inteligență artificială proprietare, cum ar fi Claude și OpenAI.

Aceleași progrese care fac inteligența artificială utilă pentru scrierea de cod, rezumarea jurnalelor și accelerarea operațiunilor de securitate pot fi folosite și pentru a căuta defecte, a lega vulnerabilități și a testa căi de exploatare la viteza mașinilor. Atacatorii nu mai au nevoie să inspecteze manual fiecare dependență, să inverseze ingineria fiecărei aplicații sau să petreacă săptămâni sondează pentru a găsi o slăbiciune. Agenții de inteligență artificială pot automatiza o mare parte din această muncă, explorând baze de cod, scannând sisteme expuse, generând ipoteze și iterând până găsesc ceva util.

Acest lucru schimbă economia exploatării vulnerabilităților zero-day. Un atacator uman poate avea timp să urmărească doar țintele cele mai promițătoare. Un atacator asistat de inteligență artificială poate examina mult mai mult software, mult mai repede, cu mult mai puțină oboseală. Chiar dacă majoritatea încercărilor eșuează, volumul mare de încercări face ca succesul să fie mai probabil. În securitatea cibernetică, scala adesea transformă evenimente rare în evenimente obișnuite.

Inteligența artificială extinde suprafața de căutare a vulnerabilităților zero-day

De aceea, vulnerabilitățile zero-day devin un risc mai urgent pentru întreprinderi. Software-ul modern este prea mare, prea interconectat și prea dependent de componente terțe pentru ca orice organizație să poată înțelege pe deplin toate slăbiciunile înainte ca un atacator să o facă. Majoritatea companiilor se bazează pe un amestec vast de platforme comerciale, biblioteci open source, servicii cloud, aplicații SaaS, API, sisteme de identitate, dispozitive de margine și unelte interne. Fiecare strat introduce potențiale vulnerabilități. Fiecare integrare creează noi căi de atac. Fiecare actualizare poate schimba în mod subtil profilul de risc.

Realitatea incomodă este că există o cantitate masivă de vulnerabilități nedescoperite în software de toate felurile. Unele dintre ele există în cod vechi. Altele există în cod nou scris sub presiune. Unele provin din dependențe pe care puține organizații le urmăresc cu suficientă precizie. Altele apar din modul în care sistemele interacționează, chiar și atunci când fiecare component individual pare sigur. Agenții de inteligență artificială sunt bine adaptate pentru a explora această complexitate, deoarece pot căuta în mod cuprinzător, persistent și adaptativ.

Apărătorii se confruntă cu o problemă imposibilă de corectare. Nu poți corecta o vulnerabilitate pe care nu o cunoști. Nu poți prioritiza toate slăbiciunile teoretice în mod egal. Nu poți testa pe deplin toate combinațiile de software, configurații și comportamente ale utilizatorilor înainte de implementare. Chiar și programele mature de gestionare a vulnerabilităților sunt adesea construite în jurul unor CVE cunoscute, consultanță de la furnizori și fluxuri de informații despre amenințări. Acestea sunt esențiale, dar ele vin după descoperire. Într-o lume cu vânătoare de zero-day accelerată de inteligență artificială, descoperirea poate avea loc mai întâi în mâinile unui atacator.

Acest lucru creează un joc tot mai mare de “whack a mole”. O vulnerabilitate este găsită. O corectură este grăbită. Exploatarea se mută la un sistem vecin, o dependență diferită sau o interfață nou expusă. Echipele de securitate răspund, dar lista de așteptare continuă să se extindă. Inteligența artificială crește viteza ciocanului pe ambele părți, dar atacatorii beneficiază adesea primii, deoarece au nevoie doar să găsească o cale viabilă. Apărătorii trebuie să protejeze toate aceste căi.

Răspunsul pe termen lung poate veni de la inteligența artificială însăși. Pe măsură ce sistemele de inteligență artificială devin mai bune la generarea, revizuirea și testarea codului, ele ar trebui să ajute la eliminarea întregilor clase de vulnerabilități înainte ca software-ul să ajungă la producție. Dezvoltarea sigură de la proiectare ar putea deveni mult mai practică atunci când inteligența artificială poate inspecta continuu codul, identifica modele nesigure, modela exploatarea și recomanda corecții în timp real. În cele din urmă, putem ajunge la un punct în care erorile comune de memorie, defectele de injecție, greșelile de autentificare și configurațiile nesigure sunt reduse dramatic, deoarece ingineria asistată de inteligență artificială le detectează devreme. În munca noastră la DeepTempo, vedem deja o utilizare mai mare a limbajelor sigure de memorie, cum ar fi Rust, în software-ul nostru; deși Rust este mai greu de codat în anumite privințe, este mai sigur și codarea lui a devenit mult mai ușoară datorită inteligenței artificiale.

Apărătorii trebuie să treacă de la viteza corectării la reziliența la atac

Deși un viitor în care toate software-urile au fost corectate sau rescrise într-un mod mai sigur este demn de urmărit, nu este clar cât de teoretic posibil este acest lucru din diverse motive. În orice caz, știm că nu a sosit încă și nu va sosi în următorii ani. Codul generat de inteligența artificială de astăzi poate introduce încă vulnerabilități. Și uneltele de securitate bazate pe inteligență artificială pot omite contextul. Mediile enterprise de astăzi conțin încă decenii de datorie tehnică acumulată. Atacatorii folosesc deja automatizarea pentru a se deplasa mai repede, în timp ce apărătorii încă integrează inteligența artificială în fluxurile de lucru existente, lanțurile de aprobare și modelele de risc și descoperă că LLM-urile nu sunt utile atunci când detectează atacuri.Mai multe informații despre modul în care LLM-urile se descurcă în detectări pot fi găsite în benchmark-urile open source recente, cum ar fi SOC Bench. Doar ca exemplu, inginerii din spatele SOC Bench au descoperit că cele mai bune LLM-uri au o rată de fals pozitiv în intervalul 20% și ar costa sute de milioane de dolari pe zi la scară unei medii de securitate. Ca urmare a tuturor acestor factori, ascensiunea inteligenței artificiale favorizează în prezent atacatorii.

Din nefericire, organizațiile trebuie să presupună că unele vulnerabilități necunoscute vor fi descoperite de adversari înainte de a fi dezvăluite public. Mai mult, datorită îmbunătățirii phish-ului și prevalenței capturării identităților, atacatorii pot pur și simplu să se autentifice.Scurt spus, cel puțin pe termen mediu, strategia de securitate nu poate depinde în întregime de prevenire. Prevenirea rămâne critică, dar trebuie asociată cu detectarea mai rapidă, analiza comportamentală mai puternică și izolarea mai strânsă.

Așa cum au sugerat recent diverse organizații, inclusiv NIST, Five Eyes și Academia Națională de Științe, având în vedere ascensiunea atacatorilor îmbunătățiți de inteligența artificială, echipele de securitate ar trebui să reexamineze abordările pentru a înțelege ce înseamnă “normal” în rândul utilizatorilor, mașinilor, identităților, aplicațiilor și fluxurilor de date. Exploatările zero-day reușesc adesea pentru că ocolesc semnăturile cunoscute, dar ele lasă urme pe care modelele de clasificare cele mai puternice de astăzi le pot vedea și discerne. De exemplu, atacurile pot arăta modele de acces neobișnuite, utilizare anormală a privilegiilor, activitate de proces neașteptată, fluxuri de autentificare ciudate sau mișcări de date care, în combinație, nu se potrivesc cu linia de bază a mediului. Inteligența artificială specializată poate ajuta apărătorii să găsească aceste semne mai devreme, mai ales atunci când atacul însuși este nou.

În plus, companiile ar trebui să reducă raza de exploatare a compromisului. Segmentarea, privilegiile minime, controlul puternic al identității, monitorizarea continuă și izolarea rapidă contează mai mult atunci când se exploatează vulnerabilități necunoscute. Dacă un atacator folosește o vulnerabilitate zero-day pentru a intra, următoarea întrebare este cât de departe poate merge înainte de a fi detectat. Cu cât fereastra este mai mică, cu atât exploatarea devine mai puțin valoroasă.

Nu există un buton de pauză curat pentru acest moment. Agenții de inteligență artificială vor continua să se îmbunătățească. Experimentarea ofensivă va continua să accelereze. Numărul de sisteme care merită sondează va continua să crească. Sarcina comunității de securitate este să se asigure că inteligența artificială defensivă se maturizează la fel de rapid.

Vulnerabilitățile zero-day au fost întotdeauna răsplătite pentru viteză, creativitate și asimetrie. Agenții de inteligență artificială amplifică toate acestea. Organizațiile care se adaptează vor trata inteligența artificială ca mai mult decât un strat de productivitate pentru echipele de securitate. Ei vor folosi, de asemenea, inteligența artificială specializată pentru a detecta eficient și precis amenințările necunoscute, pentru a prioritiza semnalele aparent slabe care, în combinație cu mii de altele, sugerează un compromis și pentru a răspunde înainte ca o vulnerabilitate exploatată să devină o criză la nivel de întreprindere.