AI ще продължава да разкрива критични бъгове в продължение на години

Главният изпълнителен директор на Cloudflare Матю Принс твърди, че уязвимостите в PHP, които принудиха уеб сайтовете да преустановят работата си миналата седмица, са само началото. Компанията му вече знае за други сериозни уязвимости в критичен софтуер и той очаква AI моделите да продължат да откриват нови такива в продължение на години. Тъй като тези модели значително са съкратили времето и уменията, необходими за откриването и експлоатирането на сериозни бъгове, специалистите по сигурност и обикновените потребители са изправени пред дълъг период на сътресения, преди основният софтуер на интернет да стане по-безопасен.

Принс заяви пред Reuters, че Cloudflare е наясно с „редица допълнителни сериозни уязвимости, които се срещат в други части от критичния софтуер“, макар че не назова засегнатите програми. Той ги сравни с грешките в PHP, които наскоро принудиха правителствени уебсайтове, магазина за игри GOG и множество по-малки уебсайтове да преустановят работата си, докато техническите им екипи бързаха да ги поправят.

Според някои оценки PHP се използва на около 70% от уеб сайтовете в света – обхват, който превърна тези уязвимости в потенциална врата към някои от най-посещаваните места в интернет.

Той обвинява за това големите езикови модели. Както изследователите в областта на сигурността, така и хакерските групи ги използват, за да претърсват основния софтуер в интернет за уязвимости, които никой още не е открил. Доскоро темпото на тази работа зависеше от това колко квалифицирани хора имаха времето и търпението да прочетат сложния код. Нападателите се сблъскваха със същото ограничение, когато се опитваха да превърнат дадена уязвимост в работещ експлойт.

Сега този лимит вече няма толкова голямо значение. Един човек може да насочи цяла флотилия от LLM-агенти към дадена кодова база, а тези агенти могат за няколко часа да създадат това, за което преди на специалистите им отнемаше седмици.

Wiz Research, един от екипите, открили пропуските в PHP с помощта на LLM инструменти, описа промяната в своя технически доклад. „Моделите от типа Frontier бяха от решаващо значение за практическото приложение на този процес, като ни позволиха да разработим и адаптираме експлойти, които работят за множество приложения в рамките на часове“, пише компанията. „Тъй като времето и експертните познания, необходими за тази работа, намаляват, сложността вече не представлява значима пречка, което променя начина, по който на практика определяме какво е уязвимо.“

Това противоречи на дългогодишното схващане в областта на сигурността: кодът, който е труден за разбиране, е частично защитен, защото малцина могат да го разгадаят. Когато моделите работят по тази задача, неясният и сложен код става толкова достъпен, колкото и простият.

Фондацията „Електронна граница“ (EFF) изчисли колко бързо се развива този процес. Според нея 3% от всички софтуерни уязвимости, регистрирани досега, са били открити само през октомври, а близо една четвърт от всички известни проблеми със сигурността са били открити през тази година. EFF приписва на авангардните AI модели на OpenAI, Anthropic и други компании заслугата за това, че откриването на уязвимости от типа zero-day е станало евтино както в софтуера с отворен код, така и в този със затворен код.