Az AI gyorsabban talál sebezhetőségeket, mint ahogy a cégek javítják őket

A felfedezés és a támadás közötti idő rövidül

A HPE október 19-én közzétett elemzése szerint az AI összezsugorítja a sebezhetőségek felfedezése és kihasználása közötti időablakot. A vállalat az Anthropic Claude Mythos modelljét hozza példaként, amely 2026 áprilisában hibát talált az OpenBSD-ben. A sérülékenység 1998 óta észrevétlen maradt egy olyan kódbázisban, amelyet a világ egyik legalaposabban auditált rendszerének neveznek.

A HPE beszámolója szerint a modell néhány hét alatt több ezer, korábban ismeretlen sebezhetőséget talált jelentős operációs rendszerekben és böngészőkben, működő kihasználási kódokat írt, és kevés emberi segítséggel össze is kapcsolta ezeket. Az Anthropic túl veszélyesnek ítélte a modell nyilvános kiadását, ezért korai hozzáférést biztosított védelmi szakemberek egy csoportjának a Project Glasswing keretében.

A HPE szerint a támadások következményei változatlanok: bevételkiesés, szellemi tulajdon kiszivárgása, jó hírnévromlás és hatósági bírságok fenyegetnek. A megváltozott körülmény az, hogy a megelőzésre egyre kevesebb idő áll rendelkezésre.

A védekezést már a tervezésnél el kell kezdeni

A HPE szerint a biztonsági ellenőrzéseket nem szabad a kiadás előtti időszakra halasztani. A tervezési szakaszban végzett fenyegetéselemzés a rendszer felépítéséből eredő hibákat tárhatja fel, a biztonsági kódellenőrzés és a statikus elemzés pedig fejlesztés közben találhat gyenge pontokat. A behatolási tesztek és a sebezhetőségi felmérések a kiadás előtt térképezhetik fel a tényleges támadási útvonalakat.

A vállalat szerint a tervezéskor javított hiba jóval kevesebbe kerülhet, mint a gyártási környezetben kezelt probléma. A folyamatos sebezhetőségkezelés azért is szükséges, mert minden új kódsor, valamint minden nyílt forráskódú vagy külső könyvtár növeli a kitettséget. A HPE által idézett kutatások szerint az AI-támogatással fejlesztett kód mennyisége nő, és az ilyen kód hozzávetőleg tízszer több biztonsági megállapítást hordoz.

A javasolt folyamat több forrásból gyűjti a hibákat, rangsorolja őket, adat-tóban tárolja, a megfelelő csapathoz rendeli, majd előre meghatározott szolgáltatási szintekhez viszonyítva követi a javításukat.

A szabályozás és az új technológiák is sürgetik a változást

A HPE szerint a szervezeteknek abból kell kiindulniuk, hogy a támadóik is használhatnak AI-t. A vállalat olyan helyzetet vázol, amelyben a felfedezés és az aktív kihasználás közötti idő hónapokról órákra rövidülhet. A prioritások kijelöléséhez a HPE a CISA Known Exploited Vulnerabilities listáját és az Exploit Prediction Scoring Systemet, vagyis az EPSS-t emeli ki. Előre a már támadásokban használt, KEV-listán szereplő hibák kerülnek, ezután pedig a 0,5 feletti EPSS-értékkel rendelkező problémák.

Az EU Cyber Resilience Act szeptember 11-től kötelező jelentést ír elő az aktívan kihasznált sebezhetőségekről és súlyos incidensekről, az első riasztást pedig 24 órán belül kell elküldeni. 2027. december 11-től a termékeknek a CE-jelöléshez és európai értékesítéshez a biztonságos tervezés követelményeinek is meg kell felelniük. A jelentési kötelezettség a már forgalomban lévő termékekre is vonatkozik.

A HPE emellett a bizalmas számítástechnikát ajánlja az adatok használat közbeni védelmére. Ez hardveresen védett környezetben tartja az adatokat, és a rendszermemóriában is titkosítja őket. A vállalat szerint a több bérlős környezetekben ez az adatokat más bérlőktől és a rendszeradminisztrátoroktól is védi.

A posztkvantum-kriptográfia előkészítését szintén most kell elkezdeni. A HPE szerint a kvantumszámítógépek a jelenlegi titkosítási kulcsokat akár néhány óra vagy egy hét alatt feltörhetik. A támadók már ma begyűjthetik és későbbi visszafejtésre tárolhatják a titkosított adatokat, ezért a hosszú ideig bizalmasan kezelendő egészségügyi, pénzügyi és szellemi tulajdonhoz kapcsolódó adatok kockázatnak lehetnek kitéve.