На этой неделе компании и государственные учреждения в спешном порядке устанавливали заплатки для двух критических уязвимостей в PHP - языке программирования, на котором работает значительная доля сайтов по всему миру. Об этом сообщает AFP.

Бреши, через которые злоумышленники могли бы атаковать сайты, обнаружили с помощью мощной модели OpenAI. Это один из самых громких примеров того, как искусственный интеллект проявляет себя в кибербезопасности.

Агентство поговорило с Майклом Дэниелом, президентом Cyber Threat Alliance (Альянс по киберугрозам) и бывшим координатором по кибербезопасности Белого дома при президенте Бараке Обаме. Он объяснил, что означает этот случай в условиях, когда инструменты ИИ находят ошибки в программном обеспечении быстрее, чем когда-либо.

"Это начало довольно хаотичного периода, учитывая возможности продвинутых моделей, - сказал Дэниел. - Я годами говорил, что логичное следствие способности таких моделей находить уязвимости быстро и в больших масштабах - это потоп этих уязвимостей".

Он напомнил выражение Роба Джойса, бывшего директора по кибербезопасности Агентства национальной безопасности США: "великий очищающий лесной пожар старого программного обеспечения". По словам Дэниела, это ещё и "наш технологический долг, срок оплаты которого пришёл". Компании и ведомства годами откладывали обновление программ, чтобы сэкономить. В бухгалтерских книгах такие расходы не видны, но в реальности они есть - просто до поры до времени остаются скрытыми.

Что делать организациям? Дэниел советует готовиться к обновлениям, поддерживать их актуальность и оперативно устанавливать заплатки, как только они выходят. "Будет потоп уязвимостей, потоп заплаток и потоп мер защиты, и не все они окажутся одинаково качественными", - предупреждает он. Небольшим организациям, у которых нет собственных ресурсов, нужно перестроить работу так, чтобы принимать обновления от поставщиков как можно быстрее.

Опасна ли каждая найденная брешь? По словам эксперта, исторически доля уязвимостей, которые злоумышленники реально используют, составляет 5-6%, и признаков роста этого показателя нет. Однако сейчас, если злоумышленник берётся за дело, он действует гораздо быстрее. Раньше от появления доказательства концепции (демонстрации, что уязвимость можно использовать) до включения в эксплойт-наборы (инструменты для атак) проходили месяцы, теперь - часы или дни.

Крупным компаниям приходится тяжелее. Раньше они старались вообще не рисковать: прежде чем внедрить заплатку, её всесторонне тестировали. Сейчас на это нет времени. "Если риск сломать что-то при установке заплатки - 1%, а риск атаки может стоить 50 миллионов долларов, то это интересный компромисс", - поясняет Дэниел.

Надёжны ли продвинутые модели ИИ в поиске реальных ошибок? "Много шума, - отвечает он. - Случай с PHP - яркий пример настоящей уязвимости, но вокруг масса ложных или относящихся к программам, которые вообще не подключены к интернету. Нам нужно улучшать систему сортировки".

Что будет через два-три года? Дэниел надеется, что инструменты ИИ начнут применять к программам ещё до их выпуска. Тогда, возможно, мы станем выпускать софт, изначально менее уязвимый. "Вы выжигаете всё старое, и это освобождает место для нового роста, более безопасного с самого начала. Это не решает проблему кибербезопасности, но меняет её природу".

Источник: Tech Xplore