Як Mandiant перетворила пошук уразливостей на конвеєр — і чому виправлення не встигають

Тому ключовий показник тут — не загальна кількість сповіщень. Важливіше, скільки машинних гіпотез перетворюються на відтворювані, підтверджені та відповідально розкриті вразливості.

Чому AVDH і NOVA не можна звести до простого змагання

Palo Alto Networks заявила про значно більший результат своєї автономної багатомодельної системи NOVA (Network and Open-Source Vulnerability Analyzer). За два місяці NOVA проаналізувала 3 915 проєктів із відкритим кодом і повідомила про 14 090 підтверджених вразливостей. За даними компанії, 99,4% із них раніше не повідомлялися, а 40% мали високий або критичний рівень небезпеки.

Але ці цифри описують іншу модель роботи:

• AVDH — обмежене в часі, глибоке дослідження у межах конкретного завдання, пов’язаного з реагуванням на інцидент. Людський аналіз і відтворення шляхів експлуатації є важливими елементами контролю якості.
• NOVA — аналіз екосистемного масштабу, що охоплює тисячі проєктів із відкритим кодом і оптимізований передусім під широту та автономність пошуку.

Доступні звіти не доводять, що обидві системи використовували однаковий вибір цілей, критерії серйозності, пороги хибних спрацювань, тести експлуатованості чи процедури розкриття. Тому їхні заголовкові цифри не варто сприймати як універсальний рейтинг.

AVDH демонструє, як ланцюжки агентів можуть підтримувати високоточне розслідування в конкретному середовищі. NOVA показує, якого масштабу може досягти автономне виявлення проблем у програмному забезпеченні з відкритим кодом.

Разом ці приклади вказують на розділення кібербезпеки на дві різні задачі: достатньо широко шукати слабкі місця і достатньо якісно їх перевіряти, щоб результати можна було використати на практиці.

Від пошуку — до скорочення часу, протягом якого системи залишаються відкритими

Відповідь Palo Alto Networks на прискорення пошуку не обмежується самим виявленням дефектів. Компанія запропонувала Advanced Virtual Patching — механізм розгортання мережевих засобів захисту протягом годин, поки власник програмного забезпечення готує звичайне виправлення. Palo Alto порівнює це із середнім галузевим терміном традиційного встановлення патчів — близько 55 днів.

Віртуальний патч може бути корисним, якщо вразливий сервіс доступний через мережевий трафік, який можна розпізнати та заблокувати. Проте це компенсувальний захід, а не заміна виправленню самого програмного забезпечення.

Надійне усунення проблеми все одно потребує відповідального власника: потрібно зрозуміти природу вразливості, змінити код, протестувати його, поширити оновлення та переконатися, що всі уражені системи його отримали. Мережеве правило може зменшити негайний ризик, але саме по собі не прибирає вразливий код із застосунку або ланцюга постачання програмного забезпечення.

Palo Alto також оголосила Frontier AI Critical Defense Program — координаційну ініціативу, що об’єднує розробників ШІ, постачальників програмного забезпечення, учасників спільноти відкритого коду та організації, які працюють з операційними технологіями. Серед заявлених учасників — Anthropic, OpenAI, IBM, Red Hat, Microsoft, Siemens, Mitsubishi Electric та Axis Communications.

Зловмисники отримують те саме прискорення

Захисні технології розвиваються одночасно з ознаками того, що зловмисники використовують ШІ для подібних завдань. Google Threat Intelligence Group повідомила про перший виявлений випадок, коли загрозливий суб’єкт застосував експлойт нульового дня, який, імовірно, було створено за допомогою ШІ. За даними Google, його планували використати в широкомасштабній атаці, але проактивне виявлення з боку компанії могло запобігти кампанії.

Експлойт був спрямований на обхід двофакторної автентифікації у популярному вебінструменті адміністрування з відкритим кодом. Серед ознак можливої участі мовної моделі називали навчальні коментарі в коді та вигаданий показник CVSS — оцінку серйозності вразливості, якої фактично не існувало.

Це не означає, що кожна вразливість, створена за допомогою ШІ, автоматично стає реальною атакою. Але захисники більше не можуть розраховувати, що складність коду, обмежені людські ресурси дослідників або тривала пауза між виявленням і експлуатацією гарантовано дадуть їм час на реакцію.

Саме тому важливим є попередження Cloud Security Alliance: ШІ прискорює та масштабує пошук вразливостей швидше, ніж багато систем розкриття і встановлення патчів здатні це обробляти. Більша кількість знахідок підвищує безпеку лише тоді, коли організації можуть своєчасно їх сортувати, узгоджувати розкриття, створювати виправлення та безпечно їх розгортати.

Чи можуть захисники повернути собі перевагу?

Так, але не завдяки самій лише купівлі моделі, яка шукає вразливості. Перевага буде у тих організацій, які з’єднають виявлення з усіма наступними етапами безпекової роботи:

1. Моделювання загроз звужує пошук до реалістичних шляхів атаки.
2. Агентний аналіз досліджує код і створює конкуруючі гіпотези з машинною швидкістю.
3. Незалежна перевірка зменшує ризик перетворення підозрілих фрагментів на хибні звіти.
4. Відтворення експлойта людьми підтверджує, що дефект справді можна використати.
5. Скоординоване розкриття дає супроводжувачам проєктів і постачальникам шлях до реагування.
6. Віртуальні патчі та інші компенсувальні заходи знижують рівень ризику, поки готується зміна коду.
7. Пріоритетне усунення допомагає спочатку виправляти найбільш доступні та небезпечні проблеми.

AVDH показує цінність такого пов’язаного процесу: широке автоматизоване дослідження доповнюється людським судженням і перевіркою експлуатації. NOVA демонструє тиск, який цей процес має витримати: автономний пошук може створювати результати в масштабах, до яких традиційні команди безпеки не були розраховані.

Тож нова гонка озброєнь у кібербезпеці — це не просто змагання за те, яка модель знайде найбільше помилок. Це змагання за повний цикл «виявити — підтвердити — зменшити ризик» швидше, ніж противник встигне перетворити вразливість на атаку.

Захисники можуть отримати перевагу там, де вони контролюють код, конвеєр розгортання, телеметрію та мережеві засоби захисту. Але саме виявлення без перевірки, відповідального власника, розкриття, виправлення і розгортання оновлень може не зменшити проблему, а лише збільшити її масштаб.