Pověst o chybě teď AI agentům stačí na vytvoření exploitu

Roboti teď reagují na záplaty rychleji než lidé

Anil Madhavapeddy, výzkumník z Cambridge a správce OCaml kompilátoru, varuje před zásadní změnou v kyberbezpečnosti. Podle jeho zkušeností se pokusy o zneužití zranitelnosti v OCaml projektech objevují do deseti minut od zveřejnění záplaty nebo diskuze o ní. Dřív tahle prodleva trvala dny nebo týdny. Zvýšený provoz potvrzuje i správce nástroje rclone, který místo obvyklých dvou hlášení měsíčně najednou řeší přes čtyřicet.

Konec veřejných embarg pro open source

Změna dynamiky radikálně dopadá na to, jak funguje open source komunita. Tradiční model (kdy se objeví chyba, napíše se oprava, komunita ji pár dní diskutuje a GitHub mezitím přidělí CVE identifikátor) přestává fungovat. Jestliže automatizované systémy a boti neustále sledují veřejné repozitáře a umí z pouhého náznaku (jako je název commitu nebo diskuze pod pull requestem) rekonstruovat cestu k exploitu, veřejná příprava oprav se stává rizikem.

Agent nezaručuje kvalitu, ale zvedá objem

Zrychlení detekce chyb má dvě tváře. Na jednu stranu boti zaplavují správce repozitářů automaticky generovanými reporty (často bez hlubšího pochopení problému). I když rclone hlásí, že zhruba 75 % z nich obsahuje alespoň něco relevantního, triáž těchto hlášení vyžaduje obrovské množství lidského času. Vývojáři paradoxně musí sami nasazovat AI nástroje jen proto, aby stihli filtrovat hlášení od cizích AI.

Hra o nový systém ohlašování chyb

Současný stav není udržitelný. Pokud GitHubu trvá přidělení CVE tři až čtyři týdny, zatímco AI potřebuje na pochopení zranitelnosti deset minut, proces musí zrychlit. Komunity si budou muset vybudovat neveřejné kanály pro sdílení oprav, než je nasadí na hlavní větev, a najít cestu, jak automaticky filtrovat záplavu generovaných hlášení od lovců odměn.

Lilithin verdikt

Problém není v tom, že je kód méně bezpečný. Jde o moment, kdy transparentní open source kultura tvrdě narazila na stroje, které nepotřebují spát a čtou každý commit v reálném čase.