Tylko 1% luk wykrywanych przez AI jest realnie wykorzystywanych. Co to oznacza dla cyberbezpieczeństwa? - Security Bez Tabu

Tylko 1% luk wykrywanych przez AI jest realnie wykorzystywanych. Co to oznacza dla cyberbezpieczeństwa?

Cybersecurity news

Wprowadzenie do problemu / definicja

Dynamiczny rozwój narzędzi opartych na sztucznej inteligencji istotnie zmienia sposób wyszukiwania podatności w oprogramowaniu. AI przyspiesza analizę kodu, wspiera badaczy bezpieczeństwa i zwiększa liczbę zgłoszeń dotyczących potencjalnych błędów. Sama skala wykryć nie oznacza jednak automatycznie proporcjonalnego wzrostu realnego ryzyka operacyjnego. Kluczowe znaczenie ma to, ile z tych podatności zostaje faktycznie wykorzystanych w środowisku produkcyjnym przez atakujących.

W skrócie

Według opisywanych danych tylko około 1% podatności identyfikowanych z użyciem AI zostało rzeczywiście zaobserwowanych w aktywnych atakach. To wynik zbliżony do proporcji znanych z klasycznego, manualnego procesu odkrywania luk. W praktyce oznacza to, że AI znacząco zwiększa wolumen zgłoszeń, ale nie musi automatycznie prowadzić do lawinowego wzrostu liczby najgroźniejszych incydentów.

  • AI zwiększa liczbę wykrywanych potencjalnych podatności.
  • Tylko niewielka część tych ustaleń przekłada się na realne wykorzystanie w atakach.
  • Największym wyzwaniem staje się priorytetyzacja, triage i ocena exploitability.

Kontekst / historia

Od lat rynek cyberbezpieczeństwa obserwuje stały wzrost liczby publikowanych podatności. Pojawienie się nowoczesnych modeli AI i narzędzi wspierających analizę kodu dodatkowo przyspieszyło ten trend. Organizacje zaczęły raportować większy napływ kandydatów na podatności, proof-of-conceptów oraz zgłoszeń wymagających dokładnej oceny.

Rynkowa narracja przez długi czas sugerowała, że AI doprowadzi do gwałtownego wzrostu liczby przełomowych i łatwo wykorzystywanych luk typu zero-day. Dostępne obserwacje pokazują jednak bardziej zniuansowany obraz. AI obniża koszt wyszukiwania błędów i zwiększa tempo odkryć, ale zdecydowana większość wykrytych problemów nie przekłada się automatycznie na skuteczne ataki w praktyce.

Analiza techniczna

Z technicznego punktu widzenia AI wzmacnia kilka etapów procesu badania bezpieczeństwa. Modele mogą szybciej przeszukiwać duże bazy kodu pod kątem znanych klas błędów, takich jak problemy z walidacją danych wejściowych, memory safety issues, błędy autoryzacji, nieprawidłowa obsługa sesji czy podatności logiczne. Mogą też wspierać korelację danych z commitów, changelogów, testów i zgłoszeń błędów.

Przejście od potencjalnej podatności do luki wykorzystywanej w realnym ataku wymaga jednak spełnienia wielu warunków. Błąd musi być osiągalny, praktycznie eksploatowalny, atrakcyjny dla atakującego i obecny w odpowiednio szeroko wdrożonym komponencie. Część zgłoszeń okazuje się duplikatami, problemami niskiego wpływu lub błędami trudnymi do wykorzystania poza środowiskiem laboratoryjnym.

To prowadzi do ważnej obserwacji operacyjnej: wzrost liczby CVE i potencjalnych ustaleń nie jest równoznaczny ze wzrostem liczby incydentów. AI zwiększa szum w procesie zarządzania podatnościami, ponieważ do zespołów trafia więcej sygnałów wymagających potwierdzenia, klasyfikacji i oszacowania ryzyka. W efekcie największym wyzwaniem staje się odróżnienie ustaleń teoretycznych od tych, które mają wysokie prawdopodobieństwo wykorzystania.

Konsekwencje / ryzyko

Dla organizacji najważniejszą konsekwencją jest presja na proces vulnerability management. Jeżeli wolumen nowych zgłoszeń rośnie szybciej niż zdolność zespołu do ich oceny i usuwania, łatwo o przeciążenie operacyjne. W takim modelu część zasobów może zostać skierowana na analizę luk mało istotnych, podczas gdy rzeczywiście krytyczne ścieżki ataku pozostaną niewystarczająco zabezpieczone.

Ryzyko dotyczy także błędnej priorytetyzacji. Sam fakt nadania identyfikatora CVE lub wysokiego scoringu technicznego nie przesądza jeszcze o realnym zagrożeniu dla konkretnej organizacji. Znacznie większe znaczenie ma to, czy podatny komponent jest wystawiony na zewnątrz, czy istnieje publiczny exploit, czy luka może zostać wykorzystana bez uwierzytelnienia oraz czy działają mechanizmy kompensujące, takie jak segmentacja, WAF, EDR czy silna kontrola dostępu.

Jednocześnie nie należy bagatelizować wpływu AI. Nawet jeśli tylko niewielki odsetek wykrytych podatności trafia do aktywnych kampanii, to większa skala odkryć może skrócić czas między ujawnieniem błędu a przygotowaniem działającego łańcucha eksploatacji. To zwiększa presję na szybką walidację ekspozycji i monitorowanie aktywności poeksploitacyjnej.

Rekomendacje

Organizacje powinny odejść od modelu opartego wyłącznie na liczbie wykrytych podatności i skupić się na ryzyku rzeczywistym. W praktyce oznacza to połączenie informacji o exploitable vulnerabilities z kontekstem biznesowym, ekspozycją zasobów i telemetryką bezpieczeństwa.

  • Wdrożyć priorytetyzację opartą na exploitability, ekspozycji i krytyczności zasobu.
  • Rozwijać proces walidacji technicznej, w tym manualną weryfikację i testy odtwarzające scenariusze ataku.
  • Łączyć zarządzanie podatnościami z danymi o aktywnym exploitowaniu, proof-of-conceptach i anomaliach w logach.
  • Inwestować w secure SDLC, automatyzację testów bezpieczeństwa i wcześniejsze wykrywanie błędów w cyklu wytwórczym.
  • Utrzymywać obronę warstwową obejmującą segmentację, zasadę najmniejszych uprawnień, ochronę tożsamości i gotowość do reagowania na incydenty.

Podsumowanie

Informacja, że tylko około 1% podatności wykrytych przy wsparciu AI jest realnie wykorzystywany w atakach, stanowi ważny sygnał dla rynku. Sztuczna inteligencja zwiększa skalę odkryć i przyspiesza pracę badawczą, ale nie zmienia podstawowej zasady cyberbezpieczeństwa: najważniejsza pozostaje właściwa ocena ryzyka i koncentracja na podatnościach rzeczywiście istotnych operacyjnie.

Dla zespołów bezpieczeństwa oznacza to konieczność dojrzalszego zarządzania podatnościami, lepszego triage’u oraz łączenia danych o podatnościach z kontekstem biznesowym i informacjami o aktywnych zagrożeniach. Wzrost liczby wykryć nie musi oznaczać wzrostu liczby katastrofalnych incydentów, ale z pewnością podnosi wymagania wobec procesów, automatyzacji i zdolności analitycznych organizacji.

Źródła