Työnjako on tärkeä, koska lähdekoodin analyysi tuottaa paljon enemmän epäilyttäviä kohtia kuin tietoturvatiimi ehtii manuaalisesti tutkia. AVDH voi tuottaa suuren määrän välituloksia, kun taas validointi ja ihmisen tekemä arviointi keskittävät huomion ongelmiin, jotka vaikuttavat sekä hyödynnettäviltä että vaikutuksiltaan merkittäviltä.

Google kertoi, että AVDH:n ensimmäisten kymmenen käyttökuukauden aikana järjestelmä analysoi kymmeniä miljoonia koodirivejä ja tuotti kymmeniätuhansia havaintoja. Eräässä kahden päivän tutkinnassa se tunnisti yli 100 todellista, kriittistä haavoittuvuutta. Laajempi työ on johtanut myös 12 myönnettyyn CVE-tunnisteeseen; noin tusinan muun ongelman ilmoitusprosessi oli tietojen mukaan vielä kesken.

Oleellinen mittari ei siis ole hälytysten raakamäärä. Tärkeämpää on se, kuinka suuri osa koneen tuottamista hypoteeseista muuttuu toistettaviksi, vastuullisesti käsitellyiksi haavoittuvuuksiksi.

AVDH ja Palo Alton NOVA eivät ole suoraviivaisia kilpailijoita

Palo Alto Networks on raportoinut NOVA-järjestelmästään huomattavasti suuremman otsikkoluvun. Yhtiön mukaan sen monimalliseen, autonomiseen haavoittuvuuksien etsintäjärjestelmään perustuva NOVA analysoi kahdessa kuukaudessa 3 915 avoimen lähdekoodin projektia ja ilmoitti 14 090 vahvistetusta haavoittuvuudesta. Palo Alton tutkimuksen mukaan 99,4 prosenttia niistä oli aiemmin ilmoittamattomia ja 40 prosenttia luokiteltiin korkeatasoisiksi tai kriittisiksi.

Luvut kuvaavat erilaista toimintamallia:

• AVDH: ajallisesti rajattu ja syvällisesti tutkittu arviointi, joka liittyi incident response -työhön. Ihmisen tarkistus ja hyökkäyspolkujen toistaminen olivat keskeisiä laadunvarmistuksen vaiheita.
• NOVA: tuhansien avoimen lähdekoodin projektien ekosysteemitason analyysi, jossa painottuvat kattavuus ja autonominen löytäminen.

Saatavilla olevat raportit eivät osoita, että järjestelmät olisivat käyttäneet samaa kohdevalintaa, vakavuusasteikkoa, väärien positiivisten havaintojen kynnystä, hyödynnettävyyden testiä tai ilmoitusprosessia. Siksi otsikkolukuja ei pidä käyttää yleispätevänä paremmuusjärjestyksenä.

AVDH osoittaa, miten agenttiketjut voivat tukea korkean varmuustason tutkimusta yksittäisessä toimeksiannossa. NOVA puolestaan osoittaa, kuinka laajassa mittakaavassa autonominen etsintä voi toimia avoimen lähdekoodin parissa. Yhdessä tulokset viittaavat siihen, että haavoittuvuuksien etsintä jakautuu nyt kahdeksi ongelmaksi: heikkouksia on etsittävä riittävän laajasti, mutta löydöt on myös varmennettava niin hyvin, että niistä on käytännön hyötyä.

Tietoturvan painopiste siirtyy löytämisestä altistumisen pienentämiseen

Palo Alton vastaus nopeampaan löytämiseen ei rajoitu haavoittuvuuksien tunnistamiseen. Yhtiön Advanced Virtual Patching -mallissa verkkotason suojauksia pyritään ottamaan käyttöön tunneissa, jotta altistumista voidaan vähentää ohjelmiston omistajien valmistellessa varsinaista korjausta. Palo Alto vertaa tätä perinteisen paikkauksen noin 55 päivän toimialan keskimääräiseen aikaväliin.

Yhtiö on lisäksi ilmoittanut Frontier AI Critical Defense Program -ohjelmasta, joka kokoaa tekoäly-yhtiöitä, ohjelmistotoimittajia, avoimen lähdekoodin toimijoita ja operatiivisen teknologian organisaatioita koordinoituun puolustustyöhön. Ilmoitettuihin osallistujiin kuuluvat muun muassa Anthropic, OpenAI, IBM, Red Hat, Microsoft, Siemens, Mitsubishi Electric ja Axis Communications.

Virtuaalinen paikkaus voi olla hyödyllinen silloin, kun haavoittuva palvelu vastaanottaa liikennettä, jonka verkkotason suojaus pystyy tunnistamaan ja estämään. Se on kuitenkin kompensoiva suojaus, ei varsinaisen ohjelmistokorjauksen korvike. Kestävä ratkaisu edellyttää edelleen, että ohjelmiston omistaja ymmärtää haavoittuvuuden, muuttaa koodia, testaa muutoksen, jakelee sen ja varmistaa korjauksen päätyneen kaikkiin vaikutuksen alaisiin järjestelmiin.

Ero korostuu, kun haavoittuvuuksia löydetään yhä nopeammin. Verkkotason sääntö voi pienentää välitöntä riskiä, mutta se ei yksin korjaa haavoittuvaa koodia kaikkialla sovelluksessa tai ohjelmistojen toimitusketjussa.

Hyökkääjät saavat saman nopeusedun

Puolustuksen kehitys tapahtuu samaan aikaan, kun hyökkääjien tekoälyn käytöstä on saatu vastaavaa näyttöä. Google Threat Intelligence Group kertoi tapauksesta, jota se kuvasi ensimmäiseksi tunnistetuksi tilanteeksi, jossa uhkatoimijan nollapäivähyökkäyksen uskottiin syntyneen tekoälyn avulla. Hyökkääjä suunnitteli käyttävänsä hyökkäystä laajamittaisessa kampanjassa, jonka Google kertoi ehkäisseensä vastalöydön avulla.

Hyökkäys kohdistui suositun avoimen lähdekoodin web-pohjaisen hallintatyökalun kaksivaiheisen tunnistautumisen ohitukseen. Analyysissä mainittiin muun muassa opettavaiset kommentit ja keksitty CVSS-pistemäärä merkkeinä siitä, että tekoälymalli oli todennäköisesti osallistunut hyökkäyksen kehittämiseen.

Tämä ei tarkoita, että jokainen tekoälyn tuottama haavoittuvuus muuttuisi toimivaksi hyökkäykseksi. Se tarkoittaa kuitenkin, ettei puolustus voi enää luottaa siihen, että koodin monimutkaisuus, tutkijoiden rajallinen työaika tai pitkä viive haavoittuvuuden löytämisen ja hyväksikäytön välillä tarjoaisi automaattisesti riittävästi reagointiaikaa.

Cloud Security Alliancen varoitus on tässä keskeinen: tekoäly kasvattaa haavoittuvuuksien löytämisen nopeutta ja mittakaavaa nopeammin kuin monet ilmoitus- ja paikkausjärjestelmät pystyvät käsittelemään. Lisääntyneet löydöt parantavat turvallisuutta vain, jos organisaatioilla on kapasiteettia arvioida ne, koordinoida ilmoitukset, rakentaa korjaukset ja ottaa suojaukset käyttöön turvallisesti.

Voivatko puolustajat saada etulyöntiaseman takaisin?

Mahdollisesti, mutta pelkkä haavoittuvuuksia etsivän mallin hankkiminen ei riitä. Etulyöntiasema kuuluu organisaatioille, jotka yhdistävät löytämisen muuhun turvallisuuden toimintamalliin:

1. Uhkamallinnus kohdistaa haun realistisiin hyökkäysreitteihin.
2. Agenttipohjainen analyysi tutkii koodia ja muodostaa kilpailevia hypoteeseja koneen nopeudella.
3. Riippumaton validointi pienentää riskiä, että epäilyttävät koodikohdat muuttuvat harhaanjohtaviksi raporteiksi.
4. Ihmisen tekemä toisto varmistaa, että ehdotettua heikkoutta voidaan todella hyödyntää.
5. Koordinoitu ilmoittaminen antaa ylläpitäjille ja toimittajille väylän reagoida.
6. Virtuaalinen paikkaus ja muut kompensoivat suojaukset pienentävät altistumista varsinaisen koodikorjauksen valmistelun aikana.
7. Korjausten priorisointi varmistaa, että ensin paikataan helpoimmin saavutettavat ja seurauksiltaan vakavimmat haavoittuvuudet.

AVDH havainnollistaa yhdistetyn työnkulun arvoa: laaja automaattinen etsintä yhdistyy ihmisen harkintaan ja hyökkäyksen todentamiseen. NOVA taas näyttää, millaiseen paineeseen tämän työnkulun on vastattava: autonominen etsintä voi tuottaa havaintoja määrällä, jota perinteisiä tietoturvatiimejä ei ole suunniteltu käsittelemään.

Tekoälyn kyberturvallisuuskilpailu ei siksi ole vain kamppailu siitä, mikä malli löytää eniten bugeja. Todellinen kilpailu käydään siitä, kumpi pystyy viemään koko havaitsemisesta lieventämiseen johtavan ketjun läpi nopeammin kuin vastapuoli ehtii muuttaa haavoittuvuuden hyökkäykseksi.

Puolustajat voivat ottaa etumatkaa siellä, missä he hallitsevat koodia, julkaisuputkea, telemetriaa ja verkkotason suojauksia. Löytäminen ilman validointia, vastuunkantajaa, ilmoittamista ja korjaamista voi kuitenkin kasvattaa ongelman kokoa sen ratkaisemisen sijaan.

Työnjako on tärkeä, koska lähdekoodin analyysi tuottaa paljon enemmän epäilyttäviä kohtia kuin tietoturvatiimi ehtii manuaalisesti tutkia. AVDH voi tuottaa suuren määrän välituloksia, kun taas validointi ja ihmisen tekemä arviointi keskittävät huomion ongelmiin, jotka vaikuttavat sekä hyödynnettäviltä että vaikutuksiltaan merkittäviltä.

Google kertoi, että AVDH:n ensimmäisten kymmenen käyttökuukauden aikana järjestelmä analysoi kymmeniä miljoonia koodirivejä ja tuotti kymmeniätuhansia havaintoja. Eräässä kahden päivän tutkinnassa se tunnisti yli 100 todellista, kriittistä haavoittuvuutta. Laajempi työ on johtanut myös 12 myönnettyyn CVE-tunnisteeseen; noin tusinan muun ongelman ilmoitusprosessi oli tietojen mukaan vielä kesken.

Oleellinen mittari ei siis ole hälytysten raakamäärä. Tärkeämpää on se, kuinka suuri osa koneen tuottamista hypoteeseista muuttuu toistettaviksi, vastuullisesti käsitellyiksi haavoittuvuuksiksi.

AVDH ja Palo Alton NOVA eivät ole suoraviivaisia kilpailijoita

Palo Alto Networks on raportoinut NOVA-järjestelmästään huomattavasti suuremman otsikkoluvun. Yhtiön mukaan sen monimalliseen, autonomiseen haavoittuvuuksien etsintäjärjestelmään perustuva NOVA analysoi kahdessa kuukaudessa 3 915 avoimen lähdekoodin projektia ja ilmoitti 14 090 vahvistetusta haavoittuvuudesta. Palo Alton tutkimuksen mukaan 99,4 prosenttia niistä oli aiemmin ilmoittamattomia ja 40 prosenttia luokiteltiin korkeatasoisiksi tai kriittisiksi.

Luvut kuvaavat erilaista toimintamallia:

• AVDH: ajallisesti rajattu ja syvällisesti tutkittu arviointi, joka liittyi incident response -työhön. Ihmisen tarkistus ja hyökkäyspolkujen toistaminen olivat keskeisiä laadunvarmistuksen vaiheita.
• NOVA: tuhansien avoimen lähdekoodin projektien ekosysteemitason analyysi, jossa painottuvat kattavuus ja autonominen löytäminen.

Saatavilla olevat raportit eivät osoita, että järjestelmät olisivat käyttäneet samaa kohdevalintaa, vakavuusasteikkoa, väärien positiivisten havaintojen kynnystä, hyödynnettävyyden testiä tai ilmoitusprosessia. Siksi otsikkolukuja ei pidä käyttää yleispätevänä paremmuusjärjestyksenä.

AVDH osoittaa, miten agenttiketjut voivat tukea korkean varmuustason tutkimusta yksittäisessä toimeksiannossa. NOVA puolestaan osoittaa, kuinka laajassa mittakaavassa autonominen etsintä voi toimia avoimen lähdekoodin parissa. Yhdessä tulokset viittaavat siihen, että haavoittuvuuksien etsintä jakautuu nyt kahdeksi ongelmaksi: heikkouksia on etsittävä riittävän laajasti, mutta löydöt on myös varmennettava niin hyvin, että niistä on käytännön hyötyä.

Tietoturvan painopiste siirtyy löytämisestä altistumisen pienentämiseen

Palo Alton vastaus nopeampaan löytämiseen ei rajoitu haavoittuvuuksien tunnistamiseen. Yhtiön Advanced Virtual Patching -mallissa verkkotason suojauksia pyritään ottamaan käyttöön tunneissa, jotta altistumista voidaan vähentää ohjelmiston omistajien valmistellessa varsinaista korjausta. Palo Alto vertaa tätä perinteisen paikkauksen noin 55 päivän toimialan keskimääräiseen aikaväliin.

Yhtiö on lisäksi ilmoittanut Frontier AI Critical Defense Program -ohjelmasta, joka kokoaa tekoäly-yhtiöitä, ohjelmistotoimittajia, avoimen lähdekoodin toimijoita ja operatiivisen teknologian organisaatioita koordinoituun puolustustyöhön. Ilmoitettuihin osallistujiin kuuluvat muun muassa Anthropic, OpenAI, IBM, Red Hat, Microsoft, Siemens, Mitsubishi Electric ja Axis Communications.

Virtuaalinen paikkaus voi olla hyödyllinen silloin, kun haavoittuva palvelu vastaanottaa liikennettä, jonka verkkotason suojaus pystyy tunnistamaan ja estämään. Se on kuitenkin kompensoiva suojaus, ei varsinaisen ohjelmistokorjauksen korvike. Kestävä ratkaisu edellyttää edelleen, että ohjelmiston omistaja ymmärtää haavoittuvuuden, muuttaa koodia, testaa muutoksen, jakelee sen ja varmistaa korjauksen päätyneen kaikkiin vaikutuksen alaisiin järjestelmiin.

Ero korostuu, kun haavoittuvuuksia löydetään yhä nopeammin. Verkkotason sääntö voi pienentää välitöntä riskiä, mutta se ei yksin korjaa haavoittuvaa koodia kaikkialla sovelluksessa tai ohjelmistojen toimitusketjussa.

Hyökkääjät saavat saman nopeusedun

Puolustuksen kehitys tapahtuu samaan aikaan, kun hyökkääjien tekoälyn käytöstä on saatu vastaavaa näyttöä. Google Threat Intelligence Group kertoi tapauksesta, jota se kuvasi ensimmäiseksi tunnistetuksi tilanteeksi, jossa uhkatoimijan nollapäivähyökkäyksen uskottiin syntyneen tekoälyn avulla. Hyökkääjä suunnitteli käyttävänsä hyökkäystä laajamittaisessa kampanjassa, jonka Google kertoi ehkäisseensä vastalöydön avulla.

Hyökkäys kohdistui suositun avoimen lähdekoodin web-pohjaisen hallintatyökalun kaksivaiheisen tunnistautumisen ohitukseen. Analyysissä mainittiin muun muassa opettavaiset kommentit ja keksitty CVSS-pistemäärä merkkeinä siitä, että tekoälymalli oli todennäköisesti osallistunut hyökkäyksen kehittämiseen.

Tämä ei tarkoita, että jokainen tekoälyn tuottama haavoittuvuus muuttuisi toimivaksi hyökkäykseksi. Se tarkoittaa kuitenkin, ettei puolustus voi enää luottaa siihen, että koodin monimutkaisuus, tutkijoiden rajallinen työaika tai pitkä viive haavoittuvuuden löytämisen ja hyväksikäytön välillä tarjoaisi automaattisesti riittävästi reagointiaikaa.

Cloud Security Alliancen varoitus on tässä keskeinen: tekoäly kasvattaa haavoittuvuuksien löytämisen nopeutta ja mittakaavaa nopeammin kuin monet ilmoitus- ja paikkausjärjestelmät pystyvät käsittelemään. Lisääntyneet löydöt parantavat turvallisuutta vain, jos organisaatioilla on kapasiteettia arvioida ne, koordinoida ilmoitukset, rakentaa korjaukset ja ottaa suojaukset käyttöön turvallisesti.

Voivatko puolustajat saada etulyöntiaseman takaisin?

Mahdollisesti, mutta pelkkä haavoittuvuuksia etsivän mallin hankkiminen ei riitä. Etulyöntiasema kuuluu organisaatioille, jotka yhdistävät löytämisen muuhun turvallisuuden toimintamalliin:

1. Uhkamallinnus kohdistaa haun realistisiin hyökkäysreitteihin.
2. Agenttipohjainen analyysi tutkii koodia ja muodostaa kilpailevia hypoteeseja koneen nopeudella.
3. Riippumaton validointi pienentää riskiä, että epäilyttävät koodikohdat muuttuvat harhaanjohtaviksi raporteiksi.
4. Ihmisen tekemä toisto varmistaa, että ehdotettua heikkoutta voidaan todella hyödyntää.
5. Koordinoitu ilmoittaminen antaa ylläpitäjille ja toimittajille väylän reagoida.
6. Virtuaalinen paikkaus ja muut kompensoivat suojaukset pienentävät altistumista varsinaisen koodikorjauksen valmistelun aikana.
7. Korjausten priorisointi varmistaa, että ensin paikataan helpoimmin saavutettavat ja seurauksiltaan vakavimmat haavoittuvuudet.

AVDH havainnollistaa yhdistetyn työnkulun arvoa: laaja automaattinen etsintä yhdistyy ihmisen harkintaan ja hyökkäyksen todentamiseen. NOVA taas näyttää, millaiseen paineeseen tämän työnkulun on vastattava: autonominen etsintä voi tuottaa havaintoja määrällä, jota perinteisiä tietoturvatiimejä ei ole suunniteltu käsittelemään.

Tekoälyn kyberturvallisuuskilpailu ei siksi ole vain kamppailu siitä, mikä malli löytää eniten bugeja. Todellinen kilpailu käydään siitä, kumpi pystyy viemään koko havaitsemisesta lieventämiseen johtavan ketjun läpi nopeammin kuin vastapuoli ehtii muuttaa haavoittuvuuden hyökkäykseksi.

Puolustajat voivat ottaa etumatkaa siellä, missä he hallitsevat koodia, julkaisuputkea, telemetriaa ja verkkotason suojauksia. Löytäminen ilman validointia, vastuunkantajaa, ilmoittamista ja korjaamista voi kuitenkin kasvattaa ongelman kokoa sen ratkaisemisen sijaan.