W połowie maja w centrali Microsoftu w Redmond odbyło się spotkanie, które unaoczniło skalę wyzwań stojących przed gigantem technologicznym w dobie sztucznej inteligencji. Inżynierowie omawiali postępy projektu Glasswing, którego celem jest usuwanie luk w oprogramowaniu wykrywanych przez nowy model AI o nazwie Mythos, stworzony przez firmę Anthropic. Narzędzie to identyfikuje błędy w kodzie w tempie, z którym zespół Microsoftu ma ogromne trudności, co zmusza firmę do desperackiego wyścigu z czasem.
AI jako miecz obosieczny
Dostęp do modelu Mythos otrzymały wybrane organizacje tworzące oprogramowanie używane na całym świecie. Głównym założeniem tej współpracy jest naprawa podatności, zanim podobne narzędzia trafią w ręce hakerów lub wrogich państw, które mogłyby wykorzystać je do szpiegostwa i sabotażu. Zapisy ze spotkania wskazują, że Mythos spełnia pokładane w nim nadzieje, a inżynierowie Microsoftu znaleźli się w sytuacji, w której liczba wykrywanych błędów przewyższa moce przerobowe zespołu odpowiedzialnego za ich łatanie.
Dane przedstawione podczas spotkania pokazują skalę problemu:
Ryzyko łańcuchowe i nowa strategia triage
Obecna strategia Microsoftu opiera się na priorytetyzacji – najpierw naprawiane są błędy o najwyższym stopniu zagrożenia. Eksperci ostrzegają jednak, że w erze AI takie podejście może być niewystarczające. Vinh Nguyen, były główny specjalista ds. AI w NSA, zwraca uwagę na zjawisko „łańcuchowania” podatności:
Problem polega na tym, że można połączyć cztery luki niskiego poziomu, co w efekcie daje zagrożenie o wysokiej skali. Jeśli jesteś Microsoftem, obecna strategia triage może nie doszacowywać ryzyka.
Firma przyznaje, że bezpieczeństwo jest priorytetem, a procesy oceny ryzyka są stale reewaluowane. Niemniej jednak, dokumenty wewnętrzne sugerują, że naprawa setek błędów o średnim priorytecie może zająć miesiące, a luki o niskim znaczeniu pozostają poza głównym obszarem zainteresowania.
Apokalipsa błędów
Skutki tego wyścigu są już widoczne w publicznych aktualizacjach oprogramowania. W lipcu Microsoft wydał poprawki dla ponad 600 błędów, co stanowi rekord w historii firmy. Dustin Childs z Zero Day Initiative, programu zajmującego się wykrywaniem luk, skomentował sytuację wprost:
Cóż, moi drodzy. Jesteśmy w tym miejscu. Apokalipsa błędów w pełni na nas spadła.
Wyzwanie jest tym większe, że wiele produktów Microsoftu opiera się na tzw. długu technicznym – starym kodzie, który zawiera nieodkryte od lat luki. Problem dotyczy jednak nie tylko gigantów, ale całego sektora oprogramowania, w tym rozwiązań open-source, które stanowią fundament współczesnej infrastruktury internetowej.
Kultura korporacyjna a bezpieczeństwo
Wewnętrzne dokumenty i relacje byłych pracowników wskazują na długotrwałe problemy kadrowe w Microsoft Security Response Center. W kulturze korporacyjnej firmy łatanie dziur w zabezpieczeniach jest traktowane jako koszt, podczas gdy tworzenie nowych funkcji generuje zyski. Choć firma zapewnia, że inwestuje w bezpieczeństwo, inżynierowie podczas spotkań wyrażali obawy, że przeciwnicy mogą już dysponować własnymi narzędziami AI do analizy kodu, nawet jeśli nie posiadają najnowszych wersji źródłowych Microsoftu.
W obliczu „zalewu” błędów, eksperci sugerują, że branża musi zmienić podejście do zarządzania podatnościami. Zamiast ignorować mniejsze luki, firmy powinny zwiększyć zasoby ludzkie i technologiczne, aby móc reagować na pełne spektrum zagrożeń, zanim te zostaną wykorzystane przez cyberprzestępców.