Mandiant का AVDH दिखाता है AI साइबरसिक्योरिटी की नई दौड़: खोज नहीं, सत्यापन है सबसे बड़ा मोर्चा

Google ने कहा कि उपयोग के शुरुआती 10 महीनों में AVDH ने करोड़ों lines of code वाले codebases का विश्लेषण किया और हजारों नहीं, बल्कि दसियों हजार findings तैयार कीं। इसके व्यापक काम से 12 CVEs assign हुए हैं, जबकि लगभग इतनी ही अन्य समस्याएं अभी active disclosure प्रक्रिया में बताई गई हैं।

इसलिए सबसे उपयोगी पैमाना alerts की कुल संख्या नहीं है। असली सवाल यह है कि मशीन से निकली hypotheses में से कितनी reproducible, responsibly handled vulnerabilities में बदलती हैं।

AVDH और Palo Alto का NOVA: आंकड़े बड़े हैं, लेकिन तुलना सीधी नहीं

Palo Alto Networks ने अपने autonomous, multi-model vulnerability discovery system NOVA (Network and Open-Source Vulnerability Analyzer) से कहीं बड़ा headline figure पेश किया है। कंपनी के शोध के अनुसार, NOVA ने दो महीनों में 3,915 open-source projects का विश्लेषण किया और 14,090 confirmed vulnerabilities की पहचान की। इनमें 99.4% पहले report नहीं हुई थीं और 40% को high या critical severity दी गई।

लेकिन दोनों प्रणालियां अलग operating models को दर्शाती हैं:

• AVDH: incident response से जुड़ी, समय-सीमित और गहराई से जांची गई assessment, जिसमें human review और exploit paths का reproduction अहम quality controls हैं।
• NOVA: हजारों open-source projects में ecosystem-scale scan, जिसका जोर breadth और autonomous discovery पर है।

उपलब्ध reports यह साबित नहीं करतीं कि दोनों प्रणालियों ने target selection, severity criteria, false-positive thresholds, exploitability tests या disclosure processes के लिए समान मानक अपनाए। इसलिए इनके headline numbers को universal leaderboard की तरह नहीं पढ़ा जाना चाहिए।

AVDH दिखाता है कि agent chains किसी खास engagement में high-confidence investigation को कैसे मजबूत कर सकती हैं। NOVA यह दिखाता है कि open-source software में autonomous discovery कितने बड़े पैमाने पर चल सकती है। दोनों मिलकर संकेत देते हैं कि vulnerability discovery अब दो अलग समस्याओं में बंट रही है: कमजोरियों को खोजने के लिए पर्याप्त व्यापक search और उन्हें actionable बनाने के लिए पर्याप्त मजबूत validation।

अब लड़ाई discovery से exposure reduction तक पहुंच गई है

Palo Alto का जवाब केवल कमजोरियां खोजने तक सीमित नहीं है। कंपनी का Advanced Virtual Patching प्रस्ताव AI से मिली जानकारी के आधार पर network-level protections को कुछ घंटों में deploy करने का लक्ष्य रखता है, ताकि software owners पारंपरिक remediation पर काम करते समय exposure घटा सकें। Palo Alto ने traditional patching का industry-average interval लगभग 55 दिन बताया है।

कंपनी ने Frontier AI Critical Defense Program की भी घोषणा की है। इसमें AI कंपनियों, software providers, open-source समुदाय और operational-technology संगठनों को coordinated defense effort में जोड़ा गया है। घोषित प्रतिभागियों में Anthropic, OpenAI, IBM, Red Hat, Microsoft, Siemens, Mitsubishi Electric और Axis Communications सहित अन्य संगठन शामिल हैं।

Virtual patching तब उपयोगी हो सकती है जब vulnerable service तक पहुंचने वाले traffic को network control पहचानकर block कर सके। लेकिन इसे compensating control समझना चाहिए, मूल software fix का विकल्प नहीं। स्थायी समाधान के लिए software owner को vulnerability समझनी होगी, code change करना होगा, उसे test और distribute करना होगा और यह सुनिश्चित करना होगा कि प्रभावित systems पर fix पहुंच चुका है।

Discovery की गति बढ़ने के साथ यह अंतर और महत्वपूर्ण हो जाता है। Network control तत्काल exposure घटा सकता है, लेकिन वह किसी application या software supply chain में मौजूद vulnerable code को अपने-आप ठीक नहीं करता।

हमलावर भी इसी गति का लाभ उठा रहे हैं

रक्षकों की प्रगति ऐसे समय हो रही है जब हमलावर भी AI का इस्तेमाल समान कामों के लिए कर रहे हैं। Google Threat Intelligence Group ने ऐसा मामला report किया जिसे उसने AI की मदद से तैयार किए गए zero-day exploit का पहला पहचाना गया उदाहरण बताया। हमलावर इस exploit का बड़े पैमाने के हमले में इस्तेमाल करना चाहते थे, लेकिन Google की counter-discovery कार्रवाई से वह रोका जा सका, ऐसा Google ने कहा।

बताया गया exploit एक लोकप्रिय open-source web administration tool में two-factor authentication (2FA) bypass को निशाना बनाता था। इसमें educational comments और एक hallucinated CVSS score जैसे संकेत मिले, जिन्हें analysis ने AI model की संभावित सहायता के प्रमाण के रूप में देखा।

इसका मतलब यह नहीं कि AI से बनी हर vulnerability operational attack में बदल जाएगी। लेकिन इससे यह धारणा कमजोर होती है कि codebase की जटिलता, सीमित researcher capacity या discovery और exploitation के बीच लंबा अंतर defenders को भरोसेमंद समय देता रहेगा।

Cloud Security Alliance की चेतावनी इसी वजह से महत्वपूर्ण है: AI vulnerability discovery की गति और scale कई disclosure तथा patching systems की processing क्षमता से आगे निकल रही है। ज्यादा findings तभी सुरक्षा सुधारेंगी जब संगठनों के पास उन्हें triage करने, coordinated disclosure संभालने, fixes बनाने और protections को सुरक्षित रूप से deploy करने की क्षमता भी हो।

क्या defenders फिर बढ़त हासिल कर सकते हैं?

हां—लेकिन केवल vulnerability-finding model खरीदकर नहीं। बढ़त उन संगठनों को मिलेगी जो discovery को अपने पूरे security operating system से जोड़ पाएंगे:

1. Threat modeling search को वास्तविक attack paths की ओर केंद्रित करता है।
2. Agentic analysis मशीन की गति से code की जांच और अलग-अलग hypotheses तैयार करता है।
3. Independent validation संदिग्ध patterns के misleading reports बनने की संभावना घटाता है।
4. Human reproduction यह पुष्टि करता है कि flaw का वास्तविक exploit संभव है या नहीं।
5. Coordinated disclosure maintainers और vendors को जवाब देने का रास्ता देता है।
6. Virtual patching और अन्य compensating controls code fix तैयार होने तक exposure कम करते हैं।
7. Prioritized remediation यह सुनिश्चित करती है कि सबसे reachable और consequential vulnerabilities पहले ठीक हों।

AVDH इस connected workflow की उपयोगिता दिखाता है: व्यापक automated exploration को human judgment और exploit verification के साथ जोड़ा गया है। NOVA उस दबाव का पैमाना दिखाता है जिसे इस workflow को संभालना होगा—autonomous discovery ऐसे findings पैदा कर सकती है जिन्हें process करने के लिए traditional security teams बनाई ही नहीं गई थीं।

असली AI cybersecurity arms race किस बात पर है?

उभरती दौड़ केवल इस बात की नहीं है कि कौन-सा model सबसे ज्यादा bugs खोजता है। असली मुकाबला detect-to-mitigate loop को पूरा करने का है—यानी vulnerability का पता चलने से लेकर उसके सत्यापन, disclosure, protection और remediation तक—इतनी तेजी से कि adversary उसे attack में न बदल सके।

Defenders वहां बढ़त बना सकते हैं जहां वे code, deployment pipeline, telemetry और network controls पर नियंत्रण रखते हैं। लेकिन validation, ownership, disclosure और remediation के बिना discovery समस्या का आकार घटाने के बजाय बढ़ा भी सकती है।