Mythos, Aardvark ja AI-põhine haavatavuste otsimine: küberrünnakute tulevik?
·Kui räägitakse tehisintellektist ründajate käes, mõtlevad paljud andmepüügile (phishing), deepfake’idele või võltsuudistele. Neid teemasid on lihtne selgitada, sest need puudutavad igapäevaelu.
On aga üks tehnilisem areng, mis võib küberturvalisuse tuleviku jaoks veelgi olulisem olla: autonoomne haavatavuste otsimine.
Lihtsalt öeldes on jutt AI-süsteemidest, mis oskavad tarkvara lugeda, vigu otsida, neid testida ja parandusi pakkuda. See on väga kasulik, kui selliseid tööriistu kasutavad kaitsjad. Ohtlikuks võib see minna siis, kui sarnased võimed jõuavad ründajate kätte.
Rohkem konteksti leiad artiklitest AI ründajana ja mis on AI-andmepüük.
Sama teema kaitsjapoole leiad artiklist AI kaitsena küberturvalisuses, kus on juttu seirest, intsidentide analüüsist ja turvameetmetest, mille inimene üle vaatab.
Mis on tarkvara haavatavus?
Haavatavus on viga või nõrk koht süsteemis, mida saab ära kasutada. See ei pea alati olema suur auk pangarakenduses. Ka valesti seadistatud server, vana pistikprogramm, nõrk juurdepääsukontroll, viga sisselogimises või paikamata rakendus võib olla haavatavus.
Ründajad armastavad haavatavusi, sest need võivad avada tee süsteemi sisse. Vahel piisab ühest paikamata veast, et saada ligipääs andmetele, kontodele või taristule.
Just seepärast vajavad ettevõtted haavatavuste haldust: regulaarset leidmist, hindamist ja kõrvaldamist. Selle juurde kuulub ka paikade haldus, ehk uuenduste ja paranduste protsess.
Mis on CVE?
CVE on avalik tunnus teadaoleva haavatavuse jaoks. See aitab turvameeskondadel, tootjatel ja kasutajatel rääkida samast veast sama nimega.
Mis on zero-day?
Zero-day ehk nullpäeva haavatavus on auk, mida tootja veel ei tea või mille jaoks paika veel ei ole. Ettevõtte jaoks tähendab see: uuendused on tähtsad, aga seire, varukoopiad, kahju piiramine ja kiire reageerimine on täpselt sama tähtsad.
Mis on bug bounty?
Bug bounty programm lubab turvauurijatel selgete reeglite alusel haavatavusi otsida. Tehisintellekt võib seda toetada, kuid ei muuda põhimõtet: testimine peab olema lubatud, vastutustundlik ja kontrollitav.
Mida tähendab agentne tehisintellekt?
Agentne tehisintellekt tähistab süsteeme, mis ei anna lihtsalt ühte vastust. Nad oskavad töötada mitmes sammus, kasutada tööriistu, planeerida, tulemusi kontrollida ja edasi minna. Turvalisuses võib see tähendada: loe koodi, mõista süsteemi, leia kahtlased kohad, valideeri need, paku parandus ja selgita see arendajale ära. Sama arhitektuur toob kaasa ka omaenda ründepinna – seda käime läbi artiklis LLM-integratsioonide penetratsioonitestimine.
Kuidas haavatavusi seni leitud on
Traditsiooniliselt on tarkvaravigu leitud käsitsi tehtavate turvatestide, penetratsioonitestide, automaatsete skaneeringute, koodiülevaatuse, bug bounty programmide, fuzzimise ja teadaolevate CVE-de jälgimise abil.
Igal meetodil on omad tugevused ja piirid. Käsitsi testimine on kvaliteetne, kuid kallis ja aeglane. Automaatsed skannerid on kiired, aga leiavad sageli ainult teadaolevaid või lihtsaid probleeme. Arendajad tunnevad koodi, kuid ei mõtle alati nagu ründaja.
AI-põhine haavatavuste otsimine täiendab neid meetodeid, ühendades koodi lugemise, loogilise mõtlemise, testimise ja parandusettepanekud.
Aardvark ja Codex Security: tehisintellekt turvauurijana
Aardvarki esitleti agentse turvauurijana. Lihtsalt öeldes: AI-agent, mis käitub teatud määral nagu turvaanalüütik. Ta vaatab koodi üle, püüab rakendust mõista, otsib kahtlasi kohti, valideerib probleemid ja pakub parandusi.
Kaitsja jaoks on see huvitav. Paljudel ettevõtetel on palju koodi, vähe aega ja liiga vähe turvaeksperte. Kui tehisintellekt leiab vead enne tootmisse jõudmist, saab ta intsidentide riski vähendada.
Oluline on see: selline tööriist ei tohiks inimest asendada. Ta peaks arendajaid ja turvameeskondi toetama, samal ajal kui otsused, prioriteedid ja parandused vaatab üle inimene.
Mythos: märk kiiresti kasvavatest võimetest
Mythos Preview näitas, et tänapäevased AI-mudelid võivad olla haavatavuste leidmises ja valideerimises tugevad. Oluline ei ole ainult see, et mudel märgib kahtlase koodi ära. Määrav on mitmeastmeline töö: loe koodi, sõnasta hüpoteesid, testi, valideeri tulemused ja valmista ette selgitus.
Turvakogukonna jaoks on see oluline. Sellised mudelid võivad aidata kriitilist tarkvara kiiremini parandada. Samal ajal võib lüheneda aeg, mis ettevõtetel pärast haavatavuse avalikustamist reageerimiseks jääb.
Miks see kasulik on
AI-põhisel haavatavuste otsimisel ja automatiseeritud analüüsil on suur kaitsepotentsiaal. Need võivad aidata arendajatel vigu enne juurutamist leida, toetada turvameeskondi prioriteetide seadmisel ja lasta ettevõtetel kriitilised probleemid kiiremini kõrvaldada.
Miks see riskantne on
Iga tööriista, mis aitab vigu leida, saab kasutada kahel viisil. Kaitsja kasutab seda kõrvaldamiseks. Ründaja võib kasutada seda selleks, et leida tee sisse.
Riskid on ennekõike järgmised:
- nõrkade kohtade kiirem leidmine,
- teadaolevate haavatavuste kiirem ärakasutamine,
- suurem surve ettevõtetele, kes paikavad aeglaselt,
- rohkem automatiseeritud ründekatseid,
- madalam lävi vähem kogenud ründajatele.
See ei tähenda, et AI-turvatööriistad oleksid halvad. See tähendab, et maailm kiireneb. Aeglasest turvalisusest saab järjest suurem probleem.
Mida see tavalise ettevõtte jaoks tähendab
Tavaline ettevõte ei pea mõistma iga ründetehnika ega eksploiti tehnilist detaili. Ta peaks aga mõistma tagajärge: turvalisusega ei saa tegeleda kord aastas.
Kui sul on veebileht, e-pood, sisemine süsteem, kaugjuurdepääs, pilv, pistikprogrammid või välised teenusepakkujad, vajad sa regulaarset protsessi.
Praktilised soovitused
1. Koosta süsteemide inventuur.
Sa ei saa kaitsta seda, mida sa ei tea.
2. Paika regulaarselt.
Eelkõige avalikud süsteemid, CMS-id, pistikprogrammid, VPN, tulemüürid ja serverid.
3. Eralda kriitilised ligipääsud.
Administraatorikontod peaksid kasutama mitmeastmelist autentimist ja minimaalseid õigusi.
4. Tee regulaarseid turvakontrolle.
Vähemalt regulaarne haavatavuste analüüs ja aeg-ajalt penetratsioonitest. Vahet nende kahe vahel selgitame artiklis haavatavuste skaneerimine või penetratsioonitest.
5. Hoia tarnijatel silm peal.
Ka väline veebileht või pistikprogramm võib olla sisenemispunkt.
6. Reageeri kriitilistele haavatavustele kiiresti.
Raskete aukude puhul ei ole kuudepikkune ootamine strateegia.
7. Lõimi turvalisus arendusse.
Enne juurutamist leitud viga on odavam parandada kui pärast intsidenti.
8. Kasuta tehisintellekti assistendina, mitte pimeda kohtunikuna.
Tehisintellekt võib analüüsi kiirendada, kuid riski- ja parandusotsused vajavad inimese kontrolli. Kui sa oled ise AI-agente või LLM-e oma protsessidesse lõiminud, vajavad ka need eraldi penetratsioonitesti.
Kokkuvõte
Autonoomne haavatavuste otsimine on üks olulisemaid muutusi küberturvalisuses. Mudelid nagu Aardvark ja Mythos näitavad, et tehisintellekt suudab üle võtta osa tööst, mis oli pikka aega vaid vähestele ekspertidele jõukohane.
Kaitse jaoks on see suur võimalus. Ettevalmistamata ettevõtte jaoks on see selge hoiatus.
