AI носи голям проблем за програмите за откриване на бъгове

Компаниите, които плащат на хакери да откриват пропуски в софтуера им, са засипани с некачествени сигнали, генерирани от AI, което принуждава някои от тях да прекратят изцяло тези програми.

Фирмите, които прилагат програми за откриване на бъгове, отдавна разчитат на независими изследователи в областта на сигурността да откриват уязвимости. Но разпространението на инструментите за изкуствен интелект сега ги затрупва с фалшиви сигнали.

Bugcrowd, чиито клиенти включват OpenAI, T-Mobile и Motorola, заяви, че броят на получените доклади се е увеличил повече от четири пъти за триседмичен период през март, като повечето от тях се оказаха фалшиви. Curl, широко използван инструмент за пренос на данни в интернет, преустанови платената си програма за откриване на бъгове през януари, посочвайки експлозия на некачествени доклади, генерирани от изкуствен интелект и подадени сигнали с по-ниско качество.

Експертите по киберсигурност казват, че напредъкът в генеративния AI преобразува икономиката на програмите за награди за откриване на бъгове. Макар инструментите да позволяват на опитни изследователи да откриват пропуски по-бързо, те също така понижават бариерата за влизане, което предизвиква поток от автоматизирани или погрешни сигнали, които компаниите трябва да пресяват.

Наградите за откриване на бъгове набират популярност от началото на 2000-те години, като схемите предлагат шестцифрени суми за най-големите открития. Програмата на Google изплати общо 17 млн. долара миналата година, което е увеличение спрямо 7,5 млн. долара през 2021 г. През 2022 г. тя изплати най-голямата си индивидуална награда от 605 000 долара на потребител, който откри уязвимост в мобилната операционна система Android.

Създателят на Curl, Даниел Стенберг, написа в блог пост, че непрекъснатият поток е оказал сериозно психическо натоварване при управлението и понякога отнема много време за опровергаване. Софтуерната група Nextcloud спря програмата си за награди за откриване на бъгове през април поради масивното увеличение на докладите с ниско качество. Тя заяви, че се надява да възобнови програмата, след като намери начин за ефективно филтриране на подадените сигнали.

Напливът на доклади, генерирани от AI, идва след като Anthropic пусна миналия месец Mythos, своя нов кибер-AI модел, за който твърди, че може да открива софтуерни грешки по-бързо от хората. Компаниите, които провеждат програми за награди за откриване на бъгове, започнаха да въвеждат по-стриктни проверки, за да се справят с проблема, както и да създават AI агенти за сортиране на подадените сигнали.