Забудьте о замедлении ИИ — взрыв уязвимостей уже начался

Волна уже началась

Пока сторонники худших сценариев для ИИ переключились с возможной эпидемии программных уязвимостей на угрозу массовой гибели людей из-за неконтролируемого ИИ в ближайшее десятилетие, другая перемена в кибербезопасности уже произошла. Её вызвали доступные возможности массовых ИИ-продуктов, включая модели с открытыми весами.

Число уязвимостей, найденных с помощью ИИ, в последние месяцы резко выросло. Это усиливает нагрузку на небольшие ИТ- и службы безопасности, а также на добровольцев, поддерживающих важное ПО с открытым исходным кодом. Уязвимости находили и до появления ИИ-инструментов для поиска ошибок, но нынешний рост заметен.

За последнее время компании сообщили о следующих результатах:

CVE — это подтверждённые программные уязвимости, а само сокращение расшифровывается как «общие уязвимости и риски».

По словам Джерри Гэмблина, руководителя исследований в Empirical Security и основателя RogoLabs, которая ведёт проект анализа CVE cve.icu, к среде этой недели общее число зарегистрированных уязвимостей достигло 66 401.

К 16 сентября прошлого года cve.icu насчитал 33 512 CVE — почти вдвое меньше нынешнего показателя. За весь 2022 год, когда OpenAI выпустила первую версию ChatGPT, проект зарегистрировал 25 000 CVE.

Что означает рост числа CVE

Исследователи в области безопасности и ИИ расходятся во мнении, станет ли этот рост и другие последствия применения ИИ в кибербезопасности катастрофой или лишь усилят уже существующие процессы и проблемы.

Одни напоминают, что ещё до появления ИИ медленное внедрение исправлений и недостаточные инвестиции в кибербезопасность давали злоумышленникам множество преимуществ и приводили к крупным взломам. Но по мере роста числа найденных уязвимостей разговор становится менее теоретическим, и позиции двух сторон постепенно сближаются.

Джерри Гэмблин считает, что сообщения о резком увеличении числа найденных уязвимостей не преувеличены. При этом он отмечает: сам по себе большой показатель не означает больший ущерб. Рост числа CVE означает прежде всего рост числа известных уязвимостей, а это в основном говорит о работе системы поиска.

Опасение связано с другим: разработчики могут не успевать выпускать исправления, пользователи — устанавливать их достаточно быстро, а злоумышленники получат возможность самостоятельно находить новые уязвимости с помощью ИИ и проводить всё более масштабные атаки. Национальный центр кибербезопасности Великобритании формулирует это так: само обнаружение уязвимостей не повышает безопасность.

Кто успевает быстрее

Пока многие исследователи видят непрочный баланс: ИИ ускоряет поиск ошибок, но одновременно помогает защитникам. По словам Мэтью Олни, директора по анализу угроз в Cisco Systems, и компании, и злоумышленники пытаются понять, где именно применять ИИ.

Ситуация продолжает меняться. Возможное замедление разработки ИИ — в форме регулирования или соглашения между компаниями — может предотвратить массовое уничтожение людей с помощью ИИ. Но оно не остановит волну уязвимостей, которую уже запустили существующие ИИ-инструменты.

Джерри Гэмблин из RogoLabs сводит разницу к ресурсам: скорость обнаружения растёт вместе с вычислительными мощностями, а исправление уязвимостей зависит от людей — и их нельзя быстро купить больше.