Mythos, Aardvark i AI w wyszukiwaniu podatności: przyszłość cyberataków?
·Sztuczna inteligencja w rękach atakujących kojarzy się przede wszystkim z phishingiem, deepfake’ami i podrobionymi wiadomościami. Te wątki łatwo opowiedzieć, bo każdy zna je z codziennego życia.
Jest jednak obszar bardziej techniczny, który dla przyszłości cyberbezpieczeństwa może okazać się ważniejszy: autonomiczne wyszukiwanie podatności.
Chodzi o systemy AI, które potrafią czytać kod, szukać w nim błędów, sprawdzać je i proponować poprawki. Świetnie, kiedy takie narzędzia trafiają do obrońców. Gorzej, kiedy te same możliwości dostają atakujący.
Szerszy kontekst opisujemy w tekstach AI jako narzędzie atakującego i czym jest phishing AI.
Stronę obrony bierzemy pod lupę w artykule AI w obronie cyberbezpieczeństwa – o monitoringu, analizie incydentów i decyzjach, które i tak zatwierdza człowiek.
Czym jest podatność w oprogramowaniu?
Podatność to błąd albo słaby punkt systemu, który da się wykorzystać. Nie musi być spektakularną dziurą w aplikacji bankowej. Podatnością bywa źle skonfigurowany serwer, stara wtyczka, dziurawa kontrola dostępu, błąd w logowaniu albo niezaktualizowana aplikacja.
Atakujący lubią podatności, bo potrafią otworzyć im drogę do systemu. Czasem jedna niezałatana luka wystarczy, żeby dostać się do danych, kont albo infrastruktury.
Dlatego firmy potrzebują zarządzania podatnościami: regularnego wyszukiwania, oceny i usuwania podatności. Mieści się w tym również patch management (zarządzanie poprawkami), czyli proces aktualizacji i łatania błędów.
Czym jest CVE?
CVE to publiczny identyfikator znanej podatności. Dzięki niemu zespoły bezpieczeństwa, producenci i użytkownicy mówią o tym samym błędzie tą samą nazwą.
Czym jest zero-day?
Zero-day to podatność, o której producent jeszcze nie wie albo której jeszcze nie naprawił. Nazwa mówi, ile czasu na przygotowanie mają obrońcy, gdy taka podatność wychodzi na jaw albo ktoś zaczyna ją wykorzystywać: zero dni.
Dla zwykłej firmy wniosek jest prosty:
- aktualizacje są konieczne, ale nie wystarczą,
- monitoring ma znaczenie,
- skutki włamania trzeba z góry ograniczać,
- kopie zapasowe są obowiązkowe,
- liczy się czas reakcji.
Czym jest bug bounty?
Bug bounty to program, w którym firma pozwala badaczom bezpieczeństwa szukać podatności na jasno określonych zasadach. AI potrafi im pomóc, ale podstaw nie zmienia: testy muszą być autoryzowane, odpowiedzialne i sprawdzone przez człowieka.
Co oznacza agentic AI?
Agentic AI (agentowa sztuczna inteligencja) to systemy, które robią coś więcej niż odpowiadają na jedno pytanie. Przechodzą przez kilka kroków, sięgają po narzędzia, planują, sprawdzają wynik i działają dalej. W bezpieczeństwie oznacza to, że agent czyta kod, buduje sobie obraz systemu, wskazuje podejrzane miejsca, potwierdza błąd, proponuje poprawkę i tłumaczy ją programiście.
Jak podatności znajdowano do tej pory
Błędy w oprogramowaniu wychodziły na jaw dzięki kilku metodom:
- ręczne testy bezpieczeństwa,
- testy penetracyjne,
- automatyczne skanowanie,
- przegląd kodu,
- programy bug bounty,
- fuzzing,
- śledzenie znanych podatności CVE.
Każda z nich ma mocne strony i ograniczenia. Testy ręczne dają wysoką jakość, tylko kosztują i trwają. Skanery działają szybko, ale znajdują przeważnie to, co znane albo proste. Programiści znają swój kod, za to nie zawsze myślą jak atakujący.
Wyszukiwanie podatności przez AI dokłada do tego nową umiejętność: łączy czytanie kodu, rozumowanie, testowanie i propozycje poprawek.
Aardvark i Codex Security: AI w roli badacza bezpieczeństwa
Aardvark pokazano jako agentowego badacza bezpieczeństwa. Prościej: agent AI, który zachowuje się trochę jak analityk. Przegląda kod, próbuje zrozumieć, co robi aplikacja, wyszukuje podejrzane miejsca, potwierdza problemy i proponuje poprawki.
Dla obrońców to realna wartość. Wiele firm ma dużo kodu, mało czasu i jeszcze mniej specjalistów od bezpieczeństwa. Jeśli AI wyłapie błąd przed wdrożeniem na produkcję, ryzyko incydentu spada.
Takie narzędzie nie powinno jednak zastępować ludzi. Ma wspierać programistów i zespoły bezpieczeństwa, a ostateczne decyzje, priorytety i poprawki zostają po stronie człowieka.
Mythos: sygnał, jak szybko rosną możliwości modeli
Mythos Preview pokazał, że współczesne modele bywają mocne w znajdowaniu i potwierdzaniu podatności. Nie chodzi wyłącznie o oznaczenie podejrzanego fragmentu kodu. Istotna jest praca wielokrokowa: czytanie kodu, stawianie hipotez, testowanie ich, potwierdzanie wyników i przygotowywanie wyjaśnienia.
Dla branży bezpieczeństwa to zmiana ważna w dwie strony. Modele mogą przyspieszyć naprawę krytycznego oprogramowania. Mogą też skrócić czas, jaki firmy mają na reakcję po ujawnieniu podatności.
Kiedyś droga od znanej podatności do działającego ataku bywała długa. Mocniejsze modele mogą to okno zawęzić. Odkładanie aktualizacji będzie coraz bardziej ryzykowne.
Co z tego mają obrońcy
Wyszukiwanie podatności przez AI i automatyzacja tej pracy mają spory potencjał obronny. Programiści mogą wyłapać błędy przed wdrożeniem, zespoły bezpieczeństwa łatwiej ustalić priorytety ryzyka, a firmy szybciej naprawić to, co krytyczne.
Najwięcej mogą zyskać małe i średnie firmy. Korzystają ze stron, sklepów internetowych, aplikacji wewnętrznych, usług chmurowych i wtyczek, a własnego zespołu bezpieczeństwa nie mają. Narzędzia AI mogą im udostępnić kontrolę bezpieczeństwa na poziomie, który wcześniej był poza zasięgiem.
Gdzie zaczyna się ryzyko
Każde narzędzie do szukania błędów działa w dwie strony. Obrońca naprawia. Atakujący szuka wejścia.
Główne ryzyka:
- szybsze znajdowanie słabych punktów,
- szybsze wykorzystanie znanych podatności,
- większa presja na firmy, które wolno łatają,
- więcej zautomatyzowanych prób ataku,
- niższy próg wejścia dla mniej doświadczonych atakujących.
To nie znaczy, że narzędzia AI są złe. Znaczy tyle, że tempo rośnie, a powolne bezpieczeństwo będzie coraz większym problemem.
Co to znaczy dla zwykłej firmy
Zwykła firma nie musi rozumieć szczegółów każdego exploita. Musi zrozumieć konsekwencję: bezpieczeństwa nie da się załatwić raz w roku.
Strona, sklep internetowy, system wewnętrzny, zdalny dostęp, chmura, wtyczki, zewnętrzni dostawcy – przy każdym z tych elementów potrzebny jest powtarzalny proces.
Dla części firm to już nie tylko dobra praktyka. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wymaga, by system zarządzania bezpieczeństwem informacji obejmował także testowanie systemu informacyjnego (art. 8 ust. 1 pkt 2 lit. b).
Pytania, na które warto znać odpowiedź:
- Czy wiemy, z jakich systemów korzystamy?
- Czy wiemy, kto nimi zarządza?
- Czy wiemy, które z nich są wystawione do internetu?
- Czy aktualizujemy regularnie?
- Czy śledzimy krytyczne podatności?
- Czy mamy kopie zapasowe?
- Czy potrafimy szybko wyłączyć albo naprawić problem?
- Czy testujemy bezpieczeństwo, zanim zmiany trafią na produkcję?
Co zrobić w praktyce
1. Inwentaryzacja zasobów.
Nie ochronisz czegoś, o czym nie wiesz, że istnieje.
2. Regularne aktualizacje.
Przede wszystkim systemy wystawione publicznie, platformy CMS, wtyczki, VPN, firewalle i serwery.
3. Oddzielone dostępy krytyczne.
Konta administracyjne z MFA i minimalnymi uprawnieniami.
4. Regularne testy bezpieczeństwa.
Minimum to skanowanie podatności, a co jakiś czas testy penetracyjne.
5. Kontrola dostawców.
Zewnętrzna strona albo wtyczka bywa punktem wejścia.
6. Szybka reakcja na krytyczne podatności.
Przy poważnych błędach czekanie miesiącami nie jest strategią.
7. Bezpieczeństwo wbudowane w proces wytwarzania.
Poprawka przed wdrożeniem kosztuje mniej niż sprzątanie po incydencie.
8. AI jako asystent, nie wyrocznia.
AI przyspiesza analizę, ale ryzyko i sposób naprawy ocenia człowiek.
Podsumowanie
Autonomiczne wyszukiwanie podatności to jedna z najważniejszych zmian w cyberbezpieczeństwie. Modele takie jak Aardvark i Mythos pokazują, że AI potrafi wykonać część pracy, która jeszcze niedawno była domeną wąskiej grupy specjalistów.
Dla obrony to duża szansa. Dla firm nieprzygotowanych – poważne ostrzeżenie.
Przyszłość nie należy do organizacji, które nie popełniają błędów. Błędy będą zawsze. Należy do tych, które potrafią je znaleźć, ocenić i naprawić, zanim ktoś je wykorzysta.
