AI kan upptäcka fler sårbarheter än någonsin. Människor måste fortfarande avgöra vad som händer sedan.

I åratal har cybersäkerhetsteam utgått från ett enkelt antagande: om vi kunde hitta fler sårbarheter snabbare skulle vi göra programvaran säkrare.

Artificiell intelligens prövar det antagandet. Samtidigt som den bredare AI-diskussionen går från snabb implementering till mätbart värde blottlägger cybersäkerheten en utmaning som inte försvinner när AI-utvecklingen mattas av. Organisationer står redan inför en växande mängd AI-genererade sårbarhetsfynd som fortfarande kräver mänsklig validering, prioritering och åtgärd.

Nya resultat från Project Glasswing är ett av de tydligaste exemplen hittills. Claude Mythos Preview ska enligt uppgift ha identifierat över 26 000 sårbarhetsfynd i olika programvaruprojekt på bara några månader. Enligt en oberoende analys av Glasswings offentliga register över offentliggöranden har dock bara omkring 10 % av dessa fynd gått vidare till offentliggörandeprocessen, och färre än 1 % har till slut åtgärdats genom en programfix.

De siffrorna är slående, men borde inte komma som någon överraskning. Branschen har i årtionden optimerat arbetet för att hitta sårbarheter. Däremot har den inte byggt upp kapaciteten att hantera sårbarhetsfynd i AI-skala.

Flaskhalsen inom cybersäkerhet är inte längre att hitta sårbarheter. Den ligger i vad som händer sedan.

Att hitta sårbarheter har aldrig varit den svåraste delen

I en tidig uppdatering från Project Glasswing konstaterade Anthropic att framstegen i allt högre grad begränsades, inte av arbetet med att hitta sårbarheter, utan av det mänskliga arbete som krävs för att verifiera rapporter, samordna offentliggöranden och stödja arbetet med att åtgärda sårbarheterna. Företaget noterade också att vissa projektunderhållare efterfrågade en långsammare takt för offentliggöranden eftersom de saknade kapacitet att hantera mängden fynd som genererades.

Den här skillnaden är viktig eftersom upptäckt och åtgärdande av sårbarheter i grunden är två olika aktiviteter.

Att upptäcka sårbarheter handlar allt oftare om mönsterigenkänning. Moderna AI-system är mycket bra på att analysera stora kodbaser, identifiera ovanligt beteende, spåra exekveringsvägar och hitta potentiella svagheter.

Att åtgärda sårbarheter är något annat. För att åtgärda en sårbarhet krävs sammanhang. Någon måste avgöra om problemet är verkligt, förstå dess potentiella konsekvenser, bedöma möjliga lösningar, säkerställa att ändringarna inte leder till regressioner, samordna tidsplaner för offentliggöranden, kommunicera med berörda parter och till sist ta ansvar för resultatet.

Den sista delen är avgörande. AI kan identifiera en möjlig sårbarhet, men kan inte ställas till svars för vad som händer sedan. Validering, triagering, åtgärder och rapportering kommer alltid att kräva en människa som är ansvarig inför det projekt hen underhåller. Och det tar tid från personer som ofta har heltidsjobb, familj och andra åtaganden som konkurrerar om deras uppmärksamhet. I många projekt med öppen källkod är den begränsande faktorn inte insynen i riskerna, utan projektunderhållarnas och säkerhetsteamens kapacitet att på ett ansvarsfullt sätt bedöma och hantera en ständigt växande mängd fynd.

Detta är den grundläggande skillnaden mellan upptäckt och åtgärdande. AI kan i allt högre grad hjälpa oss att skala upp arbetet med att upptäcka sårbarheter. Åtgärdandet är fortfarande beroende av människor som har den bakgrundskunskap, befogenhet och det ansvar som krävs för att agera på det AI hittar.

Utmaningen med öppen källkod

Den här utvecklingen blir ännu tydligare i hela ekosystemet för öppen källkod. Eftersom komponenter med öppen källkod finns i 98 % av kommersiella kodbaser är den överväldigande majoriteten av världens digitala infrastruktur beroende av projekt som underhålls av relativt små grupper av bidragsgivare.

I många fall är de som ansvarar för att underhålla denna kritiska programvara volontärer eller personer som balanserar projektansvar med heltidsjobb och personliga åtaganden. När AI ökar mängden programvara och antalet sårbarheter som upptäcks i den blir projektunderhållarnas kapacitet att hålla jämna steg en allt viktigare del av säkerhetsekvationen.

När ett AI-system plötsligt genererar hundratals eller tusentals potentiella fynd i ett projekteksystem blir projektunderhållarna den begränsande faktorn.

Det här är inte kritik mot projektunderhållarna. Det är en spegling av verkligheten.

Redan innan AI-driven upptäckt av sårbarheter uppstod hade många projekt med öppen källkod svårt att hantera begränsade resurser, växande säkerhetskrav och en allt större underhållsbörda. AI ökar trycket på ett system som redan var hårt ansträngt.

Utmaningen är inte bara att avgöra om en sårbarhet finns. Utmaningen är allt som händer efteråt.

Någon måste granska rapporten. Någon måste återskapa problemet. Någon måste avgöra om det utgör en säkerhetsrisk. Någon måste utveckla och testa en lösning. Någon måste samordna offentliggörandet och släppa uppdateringar. Det ansvaret går inte att automatisera bort.

I takt med att AI-genererade fynd fortsätter att öka blir organisationer som förlitar sig på programvara med öppen källkod alltmer beroende av att människorna som underhåller den mår bra och orkar fortsätta.

Förberedelser inför den kraftiga ökningen av AI-driven sårbarhetsidentifiering

Så vad bör företag göra? För det första måste organisationer inse att AI-driven sårbarhetsidentifiering inte är ett framtida problem. Det pågår redan. Project Glasswing visade att avancerade modeller kan upptäcka sårbarheter i en omfattning som hade varit svår att föreställa sig för bara några år sedan.

För det andra bör säkerhetsansvariga utvärdera om deras processer för att åtgärda sårbarheter kan skalas upp i takt med förmågan att upptäcka dem. Många organisationer har investerat stort i att hitta sårbarheter, men investerat för lite i de människor och processer som ansvarar för att åtgärda dem.

För det tredje bör företag ägna större uppmärksamhet åt programvaruunderhåll som en säkerhetsfunktion. Säkerhet diskuteras ofta i termer av förebyggande och upptäckt, men långsiktigt underhåll är fortfarande en av de viktigaste och mest förbisedda delarna av riskhantering. AI kan göra sårbarheter lättare att hitta, men det minskar inte ansvaret för att hålla kritisk programvara säker över tid. Organisationer behöver en strategi för ansvar under hela livscykeln, så att de kan modernisera på ett genomtänkt sätt i stället för att tvingas till hastiga migreringar eller reaktiva åtgärder när risker uppstår.

Slutligen bör organisationer stödja de bredare ekosystem som de är beroende av. I takt med att AI påskyndar upptäckten av sårbarheter i programvara med öppen källkod kommer underhållsansvariga att möta allt större krav. Programvaruförsörjningskedjans säkerhet beror i slutändan på om dessa underhållsansvariga har de resurser som krävs för att agera.

AI kan hitta sårbarheter snabbare. Men att hitta dem gör inte programvaran säker. Det svårare arbetet består i att bedöma risker, prioritera det som är viktigast, leverera testade korrigeringar och upprätthålla säker programvara över tid. I takt med att upptäckten av sårbarheter går snabbare kommer organisationer att behöva en kontinuerlig förmåga att åtgärda dem, med stöd av sakkunskap, tydligt ansvar och klara servicenivåer.

För det svåraste problemet inom cybersäkerhet är inte att hitta sårbarheten. Det är vad som händer sedan.