Anthropic wykrywa błędy szybciej, niż Microsoft je naprawia

Sztuczna inteligencja zaczyna wyznaczać nowe tempo w świecie cyberbezpieczeństwa. Model AI opracowany przez Anthropic potrafi wykrywać podatności w oprogramowaniu szybciej, niż zespoły inżynierów są w stanie przygotowywać poprawki. To stawia gigantów technologicznych przed wyzwaniem, które może zmienić sposób i przede wszytkim tempo rozwijania i zabezpieczania oprogramowania.

Według informacji ujawnionych przez ProPublica wewnętrzny projekt Microsoftu o nazwie Glasswing miał jeden główny cel – wykorzystać zaawansowaną sztuczną inteligencję do odnalezienia jak największej liczby błędów, zanim podobne narzędzia trafią w ręce cyberprzestępców i zagranicznych służb.

Do tego zadania wykorzystano eksperymentalny model Claude Mythos Preview od Anthropic. Efekty okazały się znacznie bardziej spektakularne, niż zakładano. Podczas wewnętrznego spotkania kierownictwo Microsoftu przyznało, że system wykrywa nowe luki szybciej, niż programiści są w stanie je usuwać.

Nagranie ze spotkania pokazuje, że inżynierowie otwarcie mówili o wyścigu z czasem. Obawiali się chwili, gdy podobne możliwości staną się powszechnie dostępne także dla cyberprzestępców.

Dziesiątki krytycznych luk w jednym miesiącu

Skala problemu robi ogromne wrażenie. Tylko w kwietniu model Mythos wykrył około 90 krytycznych podatności oraz 141 błędów oznaczonych jako ważne w samym SharePoint. W pierwszej połowie maja liczby nadal rosły.

Microsoft rozpoczął intensywny proces usuwania najgroźniejszych luk, jednak liczba zgłoszeń okazała się tak duża, że część zespołów przez wiele miesięcy miała zajmować się wyłącznie przygotowywaniem poprawek.

Według dokumentów firma przyjęła klasyczny model priorytetyzacji. Najpierw usuwane są błędy krytyczne i ważne, a dopiero później te oznaczone jako umiarkowane. Najmniej groźne podatności pozostają na końcu kolejki.

"Wcześniej to było jak picie z węża ogrodowego, a teraz to jak picie z węża strażackiego” – powiedziałBen Edwards, naukowiec zajmujący się danymi i specjalizujący się w zarządzaniu lukami w zabezpieczeniach oprogramowania. „Mogli mieć ekipy, które poradziłyby sobie z tym wężem ogrodowym. To, czy poradzą sobie z wężem strażackim, to już inna sprawa”.

AI potrafi połączyć pozornie niegroźne błędy

Eksperci zwracają uwagę na problem, którego wcześniej nie traktowano jako priorytet. Współczesne modele AI nie analizują podatności pojedynczo. Potrafią zestawiać kilka błędów razem i tworzyć z nich skuteczne scenariusze ataku.

To oznacza, że kilka luk uznawanych wcześniej za mało istotne może wspólnie umożliwić przejęcie systemu lub dostęp do poufnych danych.

Były dyrektor ds. sztucznej inteligencji w amerykańskiej NSA Vinh Nguyen ocenił, że tradycyjny model klasyfikowania zagrożeń może nie nadążać za możliwościami nowoczesnych systemów AI. Jego zdaniem firmy będą musiały zmienić sposób oceny ryzyka oraz szybciej usuwać również podatności uznawane dotąd za mniej istotne.

Rekordowe aktualizacje zabezpieczeń

Rosnąca liczba błędów znajduje odzwierciedlenie w aktualizacjach publikowanych przez Microsoft. Czerwcowy Patch Tuesday przyniósł poprawki dla ponad 200 podatności. Kilka tygodni później firma opublikowała rekordową paczkę obejmującą ponad 600 luk. Była to największa liczba poprawek udostępniona jednorazowo w historii Microsoftu.

Specjaliści od bezpieczeństwa zauważają, że zdecydowana większość załatanych podatności należała do kategorii krytycznych lub ważnych. Luki o niższym priorytecie nadal pozostają w wielu przypadkach nieusunięte.

Problem dotyczy całej branży

Eksperci podkreślają, że Microsoft nie jest wyjątkiem. Nowoczesne modele AI mogą analizować ogromne repozytoria kodu w czasie liczonym w godzinach, podczas gdy przygotowanie, przetestowanie i wdrożenie poprawek zajmuje często tygodnie lub miesiące.

Dodatkowym wyzwaniem pozostaje ogromna ilość starszego kodu wykorzystywanego przez największych producentów oprogramowania. Tak zwany dług technologiczny sprawia, że wiele komponentów rozwijanych od kilkunastu lub kilkudziesięciu lat zawiera ukryte podatności, których wcześniej nikt nie zauważył.

Podobne problemy czekają również twórców projektów open source. W wielu przypadkach rozwój takich rozwiązań opiera się na niewielkich zespołach lub wolontariuszach. Lawinowy wzrost liczby zgłaszanych błędów może okazać się dla nich jeszcze większym wyzwaniem niż dla największych korporacji.

Wyścig dopiero się rozpędza

Wewnętrzne materiały Microsoftu sugerują, że firma spodziewała się momentu, gdy publicznie dostępne modele AI osiągną poziom zbliżony do Claude Mythos Preview. Inżynierowie uznawali to za punkt, od którego znalezienie nowych podatności stanie się znacznie łatwiejsze dla wszystkich uczestników rynku, również grup cyberprzestępczych.

Coraz więcej specjalistów uważa, że rozwój sztucznej inteligencji całkowicie zmienia ekonomię cyberbezpieczeństwa. Dotąd znalezienie poważnej luki wymagało dużego doświadczenia i wielu godzin analizy. Dziś znaczną część tej pracy wykonują modele AI, które nie męczą się i potrafią jednocześnie analizować ogromne ilości kodu.