Штучні агенти перетворюють нульові дні на гонку, яку люди не можуть виграти самотужки

Тривалий час нульові дні були небезпечними, але вони були рідкісними і важкими для використання у великому масштабі. Знаходження одного з них вимагало терпіння, спеціальних навичок і глибокого розуміння поведінки програмного забезпечення. Як повідомили Ніколь Перлрот і інші журналісти, існувала торгівля нульовими днями, і держави розглядали їх як надзвичайно цінні кіберзброї.

Сьогодні нульові дні широко доступні. Практично будь-хто може виявити нові з їх допомогою відкритих джерел моделей штучного інтелекту або власних моделей штучного інтелекту, таких як Клод і OpenAI.

Ті самі досягнення, які роблять штучний інтелект корисним для написання коду, підсумовування журналів і прискорення операцій з безпеки, також можуть бути використані для пошуку вад, ланцюжків уразливостей і тестування шляхів експлуатації з швидкістю машини. Нападники більше не потребують ручного інспектування кожного залежності, зворотного інжинірингу кожного застосунку або витрат тижнів на пошук слабкості. Штучні агенти можуть автоматизувати більшу частину цієї роботи, досліджуючи бази коду, скануючи відкриті системи, генеруючи гіпотези і повторюючи до тих пір, поки не знайдуть щось корисне.

Це зміняє економіку використання нульових днів. Людський нападник може мати час лише для переслідування найбільш перспективних цілей. Нападник, який використовує штучний інтелект, може дозволити собі вивчити набагато більше програмного забезпечення, набагато швидше, з набагато меншою втомою. Навіть якщо більшість спроб закінчуються невдачею, чиста кількість спроб робить успіх більш імовірним. У сфері кібербезпеки масштаб часто перетворює рідкісні події на звичайні.

Штучний інтелект розширює поверхню пошуку нульових днів

Це пояснює, чому нульові дні стають більш терміновою ризиком для підприємства. Сучасне програмне забезпечення занадто велике, занадто взаємопов’язане і занадто залежить від компонентів третіх сторін, щоб будь-яка організація могла повністю зрозуміти кожну слабкість до того, як це зробить нападник. Більшість компаній покладаються на розгалужену суміш комерційних платформ, відкритих бібліотек, хмарних послуг, застосунків SaaS, API, систем ідентифікації, пристроїв краю і внутрішніх інструментів. Кожний шар вводить потенційні уразливості. Кожна інтеграція створює нові шляхи нападу. Кожна оновлення може тихо змінити профіль ризику.

Незручна реальність полягає в тому, що існує величезна кількість невиявлених уразливостей усередині програмного забезпечення будь-якого типу. Деякі з них існують у старому коді. Деякі з них існують у новому коді, написаному під тиском. Деякі з них походять від залежностей, яких мало організація відстежує з достатньою точністю. Деякі з них виникають зі способу взаємодії систем, навіть якщо кожен окремий компонент здається безпечним. Штучні агенти добре підходять для дослідження цієї складності, оскільки вони можуть шукати широко, наполегливо і адаптивно.

Захисники стикаються з неможливою проблемою патчування. Ви не можете патчити уразливість, якої не існує. Ви не можете пріоритезувати кожну теоретичну слабкість однаково. Ви не можете повністю протестувати кожну комбінацію програмного забезпечення, конфігурації і поведінки користувача до розгортання. Навіть зрілі програми управління уразливостями часто будуються навколо відомих CVE, консультативних документів постачальників і джерел інформації про загрози. Це важливо, але вони надходять після відкриття. У світі, де штучний інтелект прискорює полювання на нульові дні, відкриття може статися вперше в руках нападника.

Це створює зростаючу гру у “колотіння молота”. Уразливість виявляється. Патчується. Експлуатація зміщується до сусідньої системи, іншої залежності або нової відкритої інтерфейсу. Команди безпеки реагують, але черга продовжує зростати. Штучний інтелект збільшує швидкість молота з обох сторін, але нападники часто виграють спочатку, оскільки їм потрібно знайти лише один життєздатний шлях. Захисники повинні захистити всі з них.

Довгостроковий відповідь може прийти від самого штучного інтелекту. Коли системи штучного інтелекту стають кращими у генерації, перегляді та тестуванні коду, вони повинні допомогти ліквідувати цілі класи уразливостей до того, як програмне забезпечення потрапить у виробництво. Безpečний розвиток за проектуванням міг би стати набагато більш практичним, коли штучний інтелект може безперервно інспектувати код, визначати небезпечні моделі, моделювати експлуатацію і рекомендувати виправлення в режимі реального часу. В кінцевому підсумку ми можемо досягнути точки, в якій звичайні помилки пам’яті, вставні помилки, помилки аутентифікації і небезпечні конфігурації будуть суттєво зменшені, оскільки інженерія, що використовує штучний інтелект, виявляє їх на ранній стадії. У нашій роботі над DeepTempo ми вже бачимо більшу використання безпечних мов, таких як Rust, у нашому програмному забезпеченні; хоча Rust складніше в деяких аспектах, він безпечніший, і кодування стало набагато легшим завдяки штучному інтелекту.

Захисники повинні перейти від швидкості патчування до стійкості до нападів

Хоча майбутнє, в якому все програмне забезпечення було патчено або переписано у безпечнішому вигляді, варто переслідувати, невідомо, наскільки це теоретично можливо з різних причин. У будь-якому випадку ми знаємо, що воно ще не прийшло і не прийде протягом багатьох років. Сьогодні код, згенерований штучним інтелектом, все ще може вводити уразливості. А інструменти безпеки, що використовують штучний інтелект, все ще можуть пропускати контекст. Сучасні корпоративні середовища все ще містять десятилітня технічного боргу. Нападники вже використовують автоматизацію, щоб рухатися швидше, тоді як захисники все ще інтегрують штучний інтелект у існуючі робочі потоки, ланцюги затвердження та моделі ризику і виявляють, що великі мови моделей не корисні при виявленні нападів.Більше інформації про те, як великі мови моделей справляються з виявленням, можна знайти в недавніх відкритих бенчмарках, таких як SOC Bench. Наприклад, інженери, які стоять за SOC Bench, виявили, що найкращі великі мови моделей мають рівень хибних позитивних результатів у діапазоні 20% і коштували б сотні мільйонів доларів на день у масштабі типового великого середовища безпеки.Внаслідок всіх цих факторів зростання штучного інтелекту зараз суттєво переважає нападників.

На жаль, організаціям потрібно припустити, що деякі невідомі уразливості будуть виявлені противниками до того, як вони будуть відкрито оприлюднені. Що більше, завдяки покращенню фішингу і поширенню масового захоплення ідентифікаторів, нападники все частіше можуть просто увійти в систему.Загалом, принаймні в середньостроковій перспективі, стратегія безпеки не може залежати виключно від запобігання. Запобігання залишається критично важливим, але воно повинно бути поєднане з швидшим виявленням, сильнішою поведінковою аналітикою і тіснішою ізоляцією.

Як запропонували різні організації недавно, включаючи NIST, Five Eyes і Національну академію наук, з огляду на зростання нападників, що використовують штучний інтелект, команди безпеки повинні переглянути підхід до розуміння того, що таке нормальне поведінка користувачів, машин, ідентифікаторів, застосунків і потоків даних. Нульові дні часто успішно обходять відомі підписи, але вони все одно залишають сліди, які найпотужніші моделі класифікації можуть бачити і розрізняти. Наприклад, напади можуть показувати незвичайні моделі доступу, ненормальне використання привілеїв, несподівану активність процесів, дивні потоки аутентифікації або переміщення даних, які в поєднанні не відповідають базовій лінії середовища. Штучний інтелект, спеціально розроблений для захисту, може допомогти захисникам знайти ці сигнали раніше, особливо коли сам напад є новим.

Крім того, компанії повинні зменшити радіус ураження компрометації. Сегментація, мінімальні привілеї, сильний контроль ідентифікаторів, безперервний моніторинг і швидка ізоляція стають більш важливими, коли експлуатуються невідомі уразливості. Якщо нападник використовує нульовий день для входу, наступне питання полягає в тому, наскільки далеко він може рухатися, перш ніж бути виявленим. Чим менше це вікно, тим менше вартість експлуатації.

Не існує чистої паузи для цього моменту. Штучні агенти продовжуватимуть покращуватися. Експерименти з нападами будуть прискорюватися. Кількість систем, які варто sondувати, продовжуватиме зростати. Завдання спільноти безпеки полягає в тому, щоб забезпечити, щоб захисний штучний інтелект дозрівав так само швидко.

Нульові дні завжди винагороджували швидкість, креативність і асиметрію. Штучні агенти посилюють всі три. Організації, які адаптуються, будуть розглядати штучний інтелект не лише як шар продуктивності для команд безпеки. Вони також будуть використовувати спеціально розроблений штучний інтелект для ефективного і точного виявлення невідомих загроз, пріоритезації слабких сигналів, які в поєднанні з тисячами інших свідчать про компрометацію, і реагування до того, як використана уразливість стане кризом для всього бізнесу.