Число уязвимостей растёт взрывными темпами: AI-модели вскрывают десятилетия технического долга

За последние месяцы индустрия информационной безопасности столкнулась с беспрецедентным ростом количества публикуемых уязвимостей. Если до июня средний показатель составлял около 100 уязвимостей в месяц, то в сентябрьском релизе Microsoft Patch Tuesday было объявлено 975 advisory, а в этом месяце — сразу 1 415. Такой скачок — более чем десятикратный — заставляет задаться вопросом: что происходит и почему?

Подробности

Источник всплеска — фронтирные AI-модели, которые с апреля вышли на сцену, будучи точнее настроенными на поиск уязвимостей, чем когда-либо. Особенно заметную роль сыграла модель Mythos. Эти модели «пережёвывают» накопленный за десятилетия бэклог технического долга в библиотеках и инструментах, которые служат опорой для множества сред. AI-модели обладают новым взглядом на код: они способны «думать» без части допущений и предубеждений, свойственных человеку-защитнику, и при этом скрупулёзно перечисляют найденные проблемы. Ключевой момент: подавляющее большинство этих уязвимостей происходит из репозиториев старого кода крупных продуктов и систем. Укоренившиеся legacy-инструменты всегда были приоритетной целью из-за их предсказуемости — атакующие знают эти инструменты и их секреты, а также понимают, что вероятно присутствует в сети вместе с ними. Мультиэксплойтные атаки могут разворачиваться с минимальными вариациями; до появления Mythos злоумышленники эксплуатировали, например, log4j (CVE-2021-44228). Однако рост числа CVE на 105% год к году сопровождается ростом Known Exploited Vulnerabilities (KEV) лишь на 37%. Из 975 сентябрьских advisory Microsoft только 3 подверглись эксплуатации в реальных атаках. Это наглядно демонстрирует: disclosure не равно weaponization, и подавляющее большинство найденных AI ошибок на практике не эксплуатируется. Именно поэтому интернет не «рухнул» под тяжестью новых находок. Вал уязвимостей также создаёт нагрузку на мейнтейнеров open-source и оказывает давление на традиционную 90-дневную модель координированного раскрытия. Всплески новых классов уязвимостей можно рассматривать как свидетельство того, что со временем их число выйдет на плато и начнёт снижаться — после того как исторический бэклог кода будет устранён, а AI-верификация будет встроена непосредственно в конвейеры новой разработки.

Что делать

Поскольку атакующие с помощью AI способны разбирать патчи быстрее, защитники не могут закрыть все возможные угрозы. Организациям следует продолжать выстраивать эшелонированную оборону (defense-in-depth) и приоритизировать уязвимости с высокой эксплуатируемостью именно в их среде. Рекомендуется внедрять промежуточные меры защиты (например, LiveProtect), разворачивать поведенческое обнаружение аномалий и интегрировать актуальные AI-модели оценки в собственные цепочки сборки ПО. Итог: рост числа уязвимостей — это в первую очередь результат устранения накопленного технического долга, а не признак скорого коллапса; грамотная приоритизация и эшелонированная защита остаются главным ответом на новые вызовы.

Источник: Cisco Talos Intelligence