AI ubrzava otkrivanje ranjivosti u softveru

Umjetna inteligencija udvostručila je tempo kojim se evidentiraju softverske ranjivosti, prema podacima VulnChecka, a sedam konzultiranih stručnjaka očekuje nove poremećaje dok sigurnosni timovi pokušavaju pratiti nalaze. Upozorili su da se razdoblje između otkrivanja propusta i pokušaja njegova iskorištavanja može skratiti s tjedana na sate.

Najnoviji val nije ograničen na jedan proizvod. Kritični propusti u PHP-u, Node.js-u, Plexu i drugim široko korištenim komponentama prisilili su dio operatera da preventivno isključi usluge. Takva odluka zaustavlja prihod i rad korisnika, ali smanjuje mogućnost da napadač uđe u sustav prije zakrpe. Trošak ranjivosti zato više nije samo cijena tehničkog popravka nego i cijena kontroliranog prekida.

AI alati mogu pročitati goleme količine koda, usporediti obrasce i predložiti put do greške koju bi čovjek tražio tjednima. Isti mehanizam koriste proizvođači i istraživači, ali i napadači. Pronalaženje greške ne znači automatski uspješan napad: dio prijavljenih propusta zahtijeva rijetku konfiguraciju, složen lanac uvjeta ili pristup koji napadač nema.

Rizik nastaje kada organizacija ne zna gdje se ranjiva komponenta nalazi. PHP ili Node.js mogu biti u osnovnoj aplikaciji, dodatku, administracijskom alatu ili napuštenoj razvojnoj kopiji. Sigurnosni tim tada dobiva obavijest bez pouzdanog popisa izloženih instanci. Softverski inventar i evidencija ovisnosti postaju preduvjet za odluku što zakrpati prvo.

Cloudflareov izvršni direktor Matthew Prince upozorio je da bi industrija mogla godinama živjeti s čestim sigurnosnim uzbunama. Tvrtke zato trebaju unaprijed odrediti tko smije ugasiti uslugu, tko odobrava iznimku i kako se korisnike obavještava. Improvizacija usred incidenta povećava vjerojatnost da će se ranjivi sustav ostaviti dostupan ili da će se zakrpom prekinuti važniji poslovni proces.

Brže otkrivanje može dugoročno očistiti desetljeća tehničkog duga. Propust koji se pronađe i popravi prestaje biti skrivena prednost napadača. Taj pozitivan učinak ovisi o odgovornom objavljivanju, dostupnosti zakrpa i jasnom roku u kojem vlasnici sustava mogu reagirati. Objavljivanje detaljnog programa za iskorištavanje ranjivosti prije popravka pretvara istraživanje u operativni rizik.

Uprave moraju pratiti vrijeme od objave do popisa pogođenih sustava, vrijeme do privremene zaštite i vrijeme do pune zakrpe. Broj zatvorenih prijava nije dovoljno mjerilo ako najkritičniji javno dostupni poslužitelj ostane nezaštićen. Prioritet treba vezati uz izloženost, važnost podataka i dokaz da se propust aktivno iskorištava.

Za dobavljače sigurnosnih alata otvara se tržište za automatsko testiranje i virtualno primjenu sigurnosnih zakrpa, ali kupci trebaju tražiti dokaze o pogrešnim uzbunama. Sustav koji svakodnevno generira tisuće neprovjerenih nalaza može usporiti obranu. Korisniji je alat koji objašnjava put napada, pogođenu verziju i provjerljivu mjeru ublažavanja.

CISA dopunjuje katalog poznato iskorištavanih ranjivosti, što javnim institucijama daje operativan redoslijed rada. Katalog nije zamjena za vlastitu procjenu, ali razdvaja teorijski problem od potvrđenog napadačkog interesa. Sljedeći test tržišta bit će mogu li proizvođači objavljivati kvalitetne zakrpe istom brzinom kojom modeli pronalaze nove pogreške.

Operativni plan treba uključiti vlasnika svake aplikacije, dokaz o sigurnosnoj kopiji i mogućnost brzog povratka prethodne verzije. Zakrpa uvedena bez testa može zatvoriti jednu ranjivost i otvoriti prekid poslovanja, pa sigurnost i kontinuitet moraju koristiti isti registar odluka.

Novi tempo traži i promjenu ugovora s dobavljačima. Korisnik mora znati rok u kojem će proizvođač potvrditi ranjivost, objaviti zaobilaznu mjeru i isporučiti zakrpu. Ugovor bez takvih rokova ostavlja sigurnosni tim odgovornim za rizik koji ne može sam ukloniti. Posebno su osjetljivi uređaji i aplikacije izvan redovne podrške, jer otkriveni propust može ostati bez službenog popravka.