Mythos, Aardvark a AI hledání zranitelností: budoucnost kyberútoků?

Když se mluví o umělé inteligenci v rukou útočníků, většina lidí si představí phishing, deepfaky nebo falešné zprávy. To jsou témata, která se snadno vysvětlují, protože se dotýkají každodenního života.

Existuje ale i techničtější oblast, která může být pro budoucnost kybernetické bezpečnosti ještě zásadnější: autonomní hledání zranitelností.

Zjednodušeně řečeno jde o AI systémy, které dokážou číst software, hledat chyby, testovat je a navrhovat opravy. To může být velmi dobré, pokud je používají obránci. Může to být nebezpečné, pokud se podobné schopnosti dostanou do rukou útočníků.

Související kontext najdete v článcích AI jako útočník a co je AI phishing.

Obrannou stránku stejného tématu popisuje článek AI jako obrana v kybernetické bezpečnosti, kde jde o monitoring, analýzu incidentů a bezpečnostní akce pod lidským dohledem.

Co je zranitelnost v softwaru

Zranitelnost je chyba nebo slabé místo v systému, které se dá zneužít. Nemusí jít jen o velkou chybu v bankovní aplikaci. Zranitelnost může být i špatně nastavený server, stará verze pluginu, slabá kontrola přístupu, chyba v přihlašování nebo neopravená aplikace.

Útočníci zranitelnosti milují, protože jim mohou otevřít cestu do systému. Někdy stačí jedna neopravená chyba a útočník získá přístup k datům, účtům nebo celé infrastruktuře.

Proto firmy řeší vulnerability management, tedy pravidelné hledání, hodnocení a opravu zranitelností. Součástí je také patch management, proces aktualizací a oprav.

Co je CVE

CVE je veřejný identifikátor známé zranitelnosti. Pomáhá bezpečnostním týmům, výrobcům a uživatelům mluvit o stejné chybě stejným názvem.

Co je zero-day

Zero-day je zranitelnost, o které výrobce ještě neví nebo ještě nemá opravu. Pro běžnou firmu to znamená, že aktualizace jsou nutné, ale nestačí. Je potřeba monitoring, zálohy, omezení dopadu kompromitace a rychlá reakce.

Co je bug bounty

Bug bounty je program, ve kterém firma umožní bezpečnostním výzkumníkům hledat zranitelnosti za jasných pravidel. AI může výzkumníkům pomáhat, ale nemění základ: testování musí být povolené, odpovědné a kontrolované.

Co znamená agentická AI

Agentická AI označuje systémy, které nedělají jen jednu odpověď na jednu otázku. Umí pracovat ve více krocích, používat nástroje, plánovat, kontrolovat výsledek a pokračovat. V bezpečnosti to může znamenat čtení kódu, pochopení systému, nalezení podezřelého místa, validaci problému, návrh opravy a vysvětlení pro vývojáře.

Jak se zranitelnosti hledaly dříve

Tradičně se chyby v softwaru hledaly manuálním bezpečnostním testováním, penetračním testem, automatickým skenováním, kontrolou kódu, bug bounty programy, fuzzingem a monitoringem známých CVE zranitelností.

Každý způsob má výhody i limity. Manuální testování je kvalitní, ale drahé a časově náročné. Automatické skenery jsou rychlé, ale často najdou jen známé a jednodušší problémy. Vývojáři znají kód, ale nemusí vždy přemýšlet jako útočníci.

AI hledání zranitelností přináší nový prvek: schopnost kombinovat čtení kódu, logické uvažování, testování a návrh oprav.

Aardvark a Codex Security: AI jako bezpečnostní výzkumník

Aardvark byl představen jako agentický bezpečnostní výzkumník. Jednoduše řečeno: AI agent, který se chová trochu jako bezpečnostní analytik. Podívá se na kód, snaží se pochopit aplikaci, hledá podezřelá místa, ověřuje problém a navrhuje opravu.

Pro obránce je to zajímavé. Mnoho firem má hodně kódu, málo času a ještě méně bezpečnostních expertů. Pokud AI pomůže najít chyby dříve, než se dostanou do produkce, může snížit riziko incidentů.

Důležité ale je, že takový nástroj nemá nahradit člověka. Má pomáhat vývojářům a bezpečnostním týmům, ale finální rozhodnutí, priority a opravy musí projít lidskou kontrolou.

Mythos: ukázka rychle rostoucích schopností

Mythos Preview ukázal, že moderní AI modely mohou být silné při hledání a validaci zranitelností. Nejde jen o upozornění na podezřelé místo. Důležité je, že model dokáže pracovat ve více krocích: číst kód, vytvářet hypotézy, testovat je, ověřovat výsledky a připravit vysvětlení.

Pro bezpečnostní komunitu je to velké téma. Podobné modely mohou pomoci rychleji opravovat kritický software. Zároveň se ale může zkrátit čas, který mají firmy na reakci po zveřejnění chyby.

Proč je to užitečné

AI zranitelnosti a jejich automatizované hledání mají velký obranný potenciál. Mohou pomoci vývojářům najít chyby před nasazením, bezpečnostním týmům prioritizovat rizika a firmám rychleji opravovat kritické problémy.

Proč je to riskantní

Každý nástroj, který pomáhá najít chyby, může být použit dvěma způsoby. Obránce ho použije k opravě. Útočník ho může použít k hledání cesty dovnitř.

Rizika jsou hlavně:

• rychlejší objevování slabých míst,
• rychlejší zneužívání známých zranitelností,
• větší tlak na firmy, které pomalu aktualizují,
• více automatizovaných pokusů o útok,
• menší vstupní bariéra pro méně zkušené útočníky.

To neznamená, že AI bezpečnostní nástroje jsou špatné. Znamená to, že svět zrychluje. Pomalá bezpečnost bude stále větší problém.

Co to znamená pro běžnou firmu

Běžná firma nemusí rozumět detailům exploitů. Měla by ale pochopit důsledek: nestačí řešit bezpečnost jednou za rok.

Pokud máte web, e-shop, interní systém, vzdálený přístup, cloud, pluginy nebo externí dodavatele, potřebujete pravidelný proces.

Praktická doporučení

1. Vytvořte seznam systémů.

Nemůžete chránit to, o čem nevíte.

2. Aktualizujte pravidelně.

Hlavně veřejné systémy, CMS, pluginy, VPN, firewall a servery.

3. Oddělte kritické přístupy.

Administrátorské účty mají mít MFA a minimální potřebná oprávnění.

4. Dělejte pravidelné bezpečnostní kontroly.

Alespoň základní vulnerability scan a občasný penetrační test.

5. Sledujte dodavatele.

I externí web nebo plugin může být vstupní branou.

6. Reagujte rychle na kritické zranitelnosti.

U vážných chyb nečekejte měsíce.

7. Zapojte bezpečnost do vývoje.

Levnější je opravit chybu před nasazením než po incidentu.

8. Používejte AI jako pomocníka, ne jako slepého rozhodčího.

AI může urychlit analýzu, ale rozhodnutí o riziku a opravě mají projít lidskou kontrolou.

Závěr

Autonomní hledání zranitelností je jedna z nejdůležitějších změn v kybernetické bezpečnosti. Modely jako Aardvark a Mythos ukazují, že AI dokáže dělat část práce, která byla donedávna vyhrazená úzkému okruhu expertů.

Pro obranu je to velká příležitost. Pro nepřipravené firmy velké varování.

Budoucnost nebude patřit těm, kteří nikdy neudělají chybu. Chyby budou vždy. Budoucnost bude patřit těm, kteří je umí rychle najít, správně vyhodnotit a opravit dřív, než je někdo zneužije.