Plotka o błędzie wystarczy, by AI stworzyło exploit

Boty reagują na łatki szybciej niż ludzie

Anil Madhavapeddy, badacz z Cambridge i opiekun kompilatora OCaml, ostrzega przed fundamentalną zmianą w cyberbezpieczeństwie. Z jego doświadczenia wynika, że próby wykorzystania luki w projektach OCaml pojawiają się w ciągu dziesięciu minut od opublikowania łatki lub dyskusji na jej temat. Wcześniej to opóźnienie trwało dni lub tygodnie. Wzrost ruchu potwierdza również opiekun narzędzia rclone, który nagle musi uporać się z ponad czterdziestoma zgłoszeniami zamiast zwykłych dwóch miesięcznie.

Koniec publicznych embarg dla open source

Zmieniająca się dynamika radykalnie wpływa na to, jak działa społeczność open source. Tradycyjny model (w którym znajduje się błąd, pisze się poprawkę, społeczność dyskutuje o niej przez kilka dni, a w międzyczasie GitHub przydziela identyfikator CVE) przestaje działać. Jeśli zautomatyzowane systemy i boty stale monitorują publiczne repozytoria i potrafią zrekonstruować ścieżkę do exploita z samej wskazówki (takiej jak tytuł commita lub dyskusja pod pull requestem), publiczne przygotowanie poprawek staje się ryzykiem.

Agent nie gwarantuje jakości, ale zwiększa wolumen

Przyspieszenie wykrywania błędów ma dwie strony. Z jednej strony boty zalewają opiekunów repozytoriów automatycznie generowanymi raportami (często bez głębszego zrozumienia problemu). Mimo że rclone raportuje, że około 75% z nich zawiera przynajmniej coś istotnego, selekcja tych zgłoszeń wymaga ogromnej ilości czasu ze strony człowieka. Programiści paradoksalnie sami muszą wdrażać narzędzia AI, aby po prostu nadążyć za filtrowaniem raportów z obcych AI.

Gra o nowy system zgłaszania błędów

Obecna sytuacja jest nie do utrzymania. Jeśli przypisanie CVE przez GitHuba trwa od trzech do czterech tygodni, podczas gdy AI potrzebuje dziesięciu minut na zrozumienie luki, proces musi przyspieszyć. Społeczności będą musiały zbudować prywatne kanały udostępniania poprawek przed wypchnięciem ich do głównej gałęzi, i znaleźć sposób na automatyczne filtrowanie zalewu wygenerowanych raportów od łowców nagród.

Werdykt Lilith

Tu nie chodzi o to, że kod jest mniej bezpieczny. To moment, w którym przejrzysta kultura open source zderzyła się z maszynami, które nie potrzebują snu i czytają każdy commit w czasie rzeczywistym.