ИИ выявляет больше уязвимостей, чем когда-либо. Но решать, что делать дальше, по-прежнему должны люди.

Годами команды по кибербезопасности исходили из простого предположения: если удастся быстрее находить больше уязвимостей, программное обеспечение станет безопаснее.

Искусственный интеллект ставит это предположение под сомнение. Пока общая дискуссия об ИИ смещается от быстрого внедрения к измеримой пользе, в сфере кибербезопасности проявляется проблема, которая не исчезнет, даже если развитие ИИ замедлится. Организации уже сталкиваются с растущим потоком обнаруженных с помощью ИИ уязвимостей, которые по-прежнему требуют проверки, приоритизации и устранения силами людей.

Недавние результаты Project Glasswing — один из самых наглядных тому примеров. По сообщениям, Claude Mythos Preview всего за несколько месяцев обнаружил более 26 000 уязвимостей в программных проектах. Однако, согласно независимому анализу публичного реестра раскрытия уязвимостей Glasswing, до процесса раскрытия дошло лишь около 10% этих находок, а исправлены в итоге были менее 1%.

Эти цифры впечатляют, но удивляться им не стоит. Десятилетиями отрасль совершенствовала методы обнаружения уязвимостей. Но она не создала возможностей обрабатывать их поток в масштабах, задаваемых ИИ.

Узкое место в кибербезопасности — уже не обнаружение уязвимостей. Оно заключается в том, что происходит дальше.

Обнаружение уязвимостей никогда не было самой сложной задачей

В первом обновлении о Project Glasswing Anthropic отметила, что прогресс всё чаще сдерживает не поиск уязвимостей, а работа людей, необходимая для проверки сообщений о них, согласования раскрытия информации и содействия устранению уязвимостей. Компания также сообщила, что некоторые сопровождающие проекты попросили замедлить темпы раскрытия, поскольку у них не хватало ресурсов обработать поток поступающих находок.

Это различие важно, потому что обнаружение уязвимостей и их устранение — принципиально разные задачи.

Обнаружение всё чаще сводится к распознаванию закономерностей. Современные системы ИИ умеют анализировать большие кодовые базы, выявлять необычное поведение, отслеживать пути выполнения кода и находить потенциальные уязвимости.

Устранение уязвимостей — совсем другая задача. Чтобы исправить уязвимость, нужен контекст. Кто-то должен определить, действительно ли проблема существует, понять возможные последствия, оценить варианты исправления, убедиться, что изменения не вызовут регрессий, согласовать сроки раскрытия информации, сообщить о ситуации заинтересованным сторонам и в конечном счёте взять на себя ответственность за результат.

Последнее особенно важно. ИИ может обнаружить потенциальную уязвимость, но не может нести ответственность за дальнейшие действия. Проверять сообщения об уязвимостях, оценивать их приоритет, устранять проблемы и отчитываться о проделанной работе всегда должен человек, отвечающий за сопровождаемый им проект. А на это требуется время людей, у которых часто есть работа на полный день, семья и другие обязанности, требующие внимания. Во многих проектах с открытым исходным кодом ограничивающим фактором становится не отсутствие информации о рисках, а возможности сопровождающих проектов и команд безопасности ответственно оценивать и обрабатывать всё возрастающий поток находок.

В этом и заключается принципиальная разница между обнаружением уязвимостей и их устранением. ИИ всё лучше помогает масштабировать поиск уязвимостей. Но их устранение по-прежнему зависит от людей, которые знают контекст, имеют полномочия и несут ответственность за действия по результатам работы ИИ.

Проблема проектов с открытым исходным кодом

Особенно заметна эта ситуация во всей экосистеме открытого исходного кода. Поскольку компоненты с открытым исходным кодом используются в 98% коммерческих кодовых баз, подавляющее большинство цифровой инфраструктуры мира опирается на проекты, которые поддерживают сравнительно небольшие группы участников.

Во многих случаях за поддержку этого критически важного программного обеспечения отвечают волонтёры или люди, которым приходится совмещать работу над проектом с полной занятостью и личными обязанностями. По мере того как ИИ увеличивает объём программного обеспечения и число обнаруживаемых в нём уязвимостей, способность сопровождающих проектов не отставать становится всё более важной частью общей системы безопасности.

Когда система ИИ внезапно выдаёт сотни или тысячи потенциальных находок по целой экосистеме проектов, именно сопровождающие эти проекты становятся ограничивающим фактором.

Это не критика сопровождающих проекты. Это отражение реальности.

Ещё до появления средств обнаружения уязвимостей на базе ИИ многие проекты с открытым исходным кодом испытывали нехватку ресурсов, сталкивались с растущими требованиями к безопасности и всё большей нагрузкой по сопровождению. ИИ усиливает давление на систему, которая и без того работала на пределе.

Проблема не только в том, чтобы определить, существует ли уязвимость. Нужно справиться со всем, что происходит после этого.

Кто-то должен проверить сообщение об уязвимости. Кто-то должен воспроизвести проблему. Кто-то должен решить, представляет ли она угрозу безопасности. Кто-то должен разработать и протестировать исправление. Кто-то должен согласовать раскрытие информации и выпуск обновлений. Просто автоматизировать все эти обязанности невозможно.

По мере роста потока находок, полученных с помощью ИИ, организации, зависящие от программного обеспечения с открытым исходным кодом, будут всё больше зависеть от благополучия и устойчивости тех, кто его сопровождает.

Подготовка к резкому росту выявления уязвимостей с помощью ИИ

И что же делать компаниям? Прежде всего, организациям необходимо признать, что выявление уязвимостей с помощью ИИ — не проблема будущего. Это происходит уже сейчас. Project Glasswing показал, что передовые модели способны обнаруживать уязвимости в масштабах, которые всего несколько лет назад было бы трудно даже представить.

Во-вторых, руководителям по безопасности следует оценить, способны ли процессы устранения уязвимостей масштабироваться вместе с возможностями их обнаружения. Многие организации вложили значительные средства в поиск уязвимостей, уделяя при этом недостаточно внимания людям и процессам, ответственным за их устранение.

В-третьих, компаниям следует уделять больше внимания обслуживанию программного обеспечения как одной из функций безопасности. О безопасности часто говорят в контексте предотвращения угроз и их обнаружения, однако долгосрочное обслуживание остается одним из важнейших и недооцененных компонентов управления рисками. ИИ может упрощать поиск уязвимостей, но это не снимает ответственности за безопасность критически важного программного обеспечения в долгосрочной перспективе. Организациям необходима стратегия управления всем жизненным циклом программного обеспечения, которая позволит планомерно его модернизировать, а не вынужденно проводить поспешную миграцию или принимать экстренные меры по устранению проблем при возникновении рисков.

Наконец, организациям следует поддерживать более широкие экосистемы, от которых они зависят. По мере того как ИИ ускоряет поиск уязвимостей в программном обеспечении с открытым исходным кодом, нагрузка на его сопровождающих будет расти. Безопасность цепочки поставок программного обеспечения в конечном счете зависит от того, располагают ли сопровождающие необходимыми ресурсами для реагирования.

ИИ может быстрее находить уязвимости. Но сам факт их обнаружения не делает программное обеспечение безопасным. Гораздо сложнее оценить риски, определить приоритеты, выпустить проверенные исправления и поддерживать безопасность программного обеспечения в долгосрочной перспективе. По мере ускорения выявления уязвимостей организациям потребуется обеспечить непрерывное устранение проблем, опираясь на экспертные знания, подотчетность и четко определенные уровни обслуживания.

Потому что самая сложная задача в кибербезопасности — не найти уязвимость. А разобраться, что делать дальше.