На етапі пошуку система аналізує точки входу, потоки даних і контекст пов’язаного коду. Агенти створюють кілька гіпотез про можливі вразливості, незалежно досліджують їх і перевіряють висновки один одного. Потім система узагальнює докази в потенційні результати, а консультанти відтворюють експлойти-підтвердження концепції, перш ніж вразливість визнають підтвердженою.

Ця архітектура важлива тим, що розділяє охоплення та професійне судження. Один агент може широко просканувати систему, інший — простежити конкретний ланцюжок атаки, а третій — спробувати спростувати результат. Людська перевірка залишається фінальним запобіжником від хибних спрацювань і неправильних припущень про роботу програмного забезпечення.

Що, за даними Mandiant, уже знайшла AVDH

Google повідомляє, що AVDH використовують усередині компанії близько десяти місяців. За цей час система виявила десятки вразливостей, яким можна було присвоїти ідентифікатори, у широко використовуваних веброзширеннях і проєктах із відкритим кодом. Результатом стали 12 присвоєних CVE, ще приблизно десяток вразливостей перебуває на етапі активного розкриття.

Під час одного розслідування інциденту, пов’язаного з викраденими корпоративними репозиторіями, за повідомленнями зовнішніх джерел, система допомогла за два дні виявити понад 100 підтверджених вразливостей високої критичності.

Ці цифри демонструють потенційний масштаб аналізу за допомогою ШІ, але їх варто трактувати обережно. Це операційні результати, про які повідомляють Mandiant і пов’язані з нею джерела, а не незалежно перевірене порівняння з традиційним тестуванням безпеки. Також нову або раніше не оприлюднену вразливість не можна автоматично називати активним zero-day-експлойтом: сам факт відкриття проблеми не доводить, що її вже використовують у реальних атаках.

NOVA поєднує кілька моделей для пошуку вразливостей

Підрозділ Unit 42 компанії Palo Alto Networks описує NOVA — Network and Open-Source Vulnerability Analyzer — як автономну систему пошуку, перевірки та звітування про вразливості. Вона працює на основі власних агентних конвеєрів і кількох передових ШІ-моделей.

У тестуванні, про яке повідомила компанія, NOVA за два місяці проаналізувала 3915 проєктів із відкритим кодом і виявила 14 090 раніше невідомих вразливостей. Unit 42 стверджує, що 99,4% із них раніше не повідомлялися, а близько 40% отримали високий або критичний рівень оцінки.

Значення NOVA полягає не лише в кількості результатів. За повідомленнями про дослідження, багато знайдених проблем були семантичними або логічними помилками, а не дефектами пошкодження пам’яті, на яких традиційно зосереджуються автоматизовані інструменти. Йдеться, наприклад, про помилки в контролі доступу, обробці шляхів, поведінці серверних запитів або захисті від ін’єкцій коду — сферах, де критично важливо розуміти задум і нормальну поведінку застосунку.

Як і у випадку з AVDH, ключові показники є даними, оприлюдненими постачальником. Позначка «раніше невідома» сама по собі не доводить, що кожен результат є практично придатним до експлуатації zero-day, а рівень критичності може залежати від обраної системи оцінювання. Найобґрунтованіший висновок полягає в тому, що багатоагентні системи вже здатні швидко знаходити велику кількість потенційних проблем, які традиційні процеси перевірки могли б не охопити так оперативно.

Чому самого пошуку недостатньо

Швидше виявлення вразливостей може посилити захист, але водночас збільшити масштаб кризи, якщо організації й надалі виправлятимуть проблеми повільно. CERT-EU наводить оцінку середнього часу до експлуатації на рівні мінус сім днів. Це означає, що атака може початися ще до того, як патч стане широко доступним.

Такий показник змінює роль оновлень. Постійне виправлення коду залишається необхідним, але воно може бути не першою і не єдиною корисною дією. Командам безпеки потрібно тимчасово зменшувати доступність вразливого компонента, поки розробники досліджують проблему, тестують виправлення, координують розкриття та завершують поетапне розгортання.

Мережева локалізація: що пропонує Palo Alto

Програма Palo Alto Frontier AI Critical Defense Program покликана об’єднати лабораторії ШІ, виробників програмного забезпечення та відкритих проєктів, а також сектори на кшталт операційних технологій і охорони здоров’я. Її запропонований підхід передбачає мережеві «віртуальні патчі» — правила, які блокують трафік експлойта або небезпечну поведінку протоколу ще до появи постійного виправлення в коді.

Palo Alto заявляє, що функція Advanced Virtual Patching може розгортати такі засоби захисту протягом кількох годин, тоді як заявлений середній показник для традиційного патча в індустрії становить 55 днів.

Віртуальний патч слід сприймати як компенсаційний засіб контролю, а не як заміну виправленню вразливого коду. Його ефективність залежить від того, наскільки точно команда визначила шлях атаки і чи здатен мережевий контроль заблокувати його без перешкод для легітимної роботи. Захист може бути обмеженим, якщо атака проходить через довірені канали, зашифрований трафік, локальне підвищення привілеїв або поведінку, яку складно відрізнити від звичайної.

Чи можуть захисники повернути собі перевагу?

Можливо — але не просто завдяки додаванню ще одного ШІ-сканера.

Надійніша архітектура захисту поєднує кілька етапів в один операційний цикл:

1. Картографувати код і поверхню атаки, щоб агенти розуміли призначення системи.
2. Створити та перевірити модель загроз до масштабної генерації гіпотез.
3. Застосовувати кілька агентів і моделей, які аналізують систему з різних перспектив і ставлять під сумнів слабкі висновки.
4. Відтворювати та визначати пріоритетність вразливостей за участю фахівців і на основі доказів можливості експлуатації.
5. Відповідально розкривати проблему та готувати постійне виправлення через відповідну процедуру координації.
6. Негайно стримувати ризик мережевими правилами або іншими компенсаційними заходами.
7. Перевіряти результат після встановлення патча.

Головний урок AVDH і NOVA полягає в тому, що перевагу дає не сам результат моделі, а оркестрація всього процесу. ШІ може стискати час пошуку та перевірки, але захисникам і далі потрібні надійні докази, точна пріоритизація, стійка архітектура та системи розгортання, здатні діяти з тією самою швидкістю.

Зловмисники можуть використовувати подібні моделі, а віртуальні патчі залишаються тимчасовими та залежать від охоплення. Тому реалістична мета — не усунути ризик zero-day повністю, а зробити захисний цикл — від виявлення до стримування та остаточного виправлення — швидшим і надійнішим за шлях зловмисника від знаходження помилки до її експлуатації.

На етапі пошуку система аналізує точки входу, потоки даних і контекст пов’язаного коду. Агенти створюють кілька гіпотез про можливі вразливості, незалежно досліджують їх і перевіряють висновки один одного. Потім система узагальнює докази в потенційні результати, а консультанти відтворюють експлойти-підтвердження концепції, перш ніж вразливість визнають підтвердженою.

Ця архітектура важлива тим, що розділяє охоплення та професійне судження. Один агент може широко просканувати систему, інший — простежити конкретний ланцюжок атаки, а третій — спробувати спростувати результат. Людська перевірка залишається фінальним запобіжником від хибних спрацювань і неправильних припущень про роботу програмного забезпечення.

Що, за даними Mandiant, уже знайшла AVDH

Google повідомляє, що AVDH використовують усередині компанії близько десяти місяців. За цей час система виявила десятки вразливостей, яким можна було присвоїти ідентифікатори, у широко використовуваних веброзширеннях і проєктах із відкритим кодом. Результатом стали 12 присвоєних CVE, ще приблизно десяток вразливостей перебуває на етапі активного розкриття.

Під час одного розслідування інциденту, пов’язаного з викраденими корпоративними репозиторіями, за повідомленнями зовнішніх джерел, система допомогла за два дні виявити понад 100 підтверджених вразливостей високої критичності.

Ці цифри демонструють потенційний масштаб аналізу за допомогою ШІ, але їх варто трактувати обережно. Це операційні результати, про які повідомляють Mandiant і пов’язані з нею джерела, а не незалежно перевірене порівняння з традиційним тестуванням безпеки. Також нову або раніше не оприлюднену вразливість не можна автоматично називати активним zero-day-експлойтом: сам факт відкриття проблеми не доводить, що її вже використовують у реальних атаках.

NOVA поєднує кілька моделей для пошуку вразливостей

Підрозділ Unit 42 компанії Palo Alto Networks описує NOVA — Network and Open-Source Vulnerability Analyzer — як автономну систему пошуку, перевірки та звітування про вразливості. Вона працює на основі власних агентних конвеєрів і кількох передових ШІ-моделей.

У тестуванні, про яке повідомила компанія, NOVA за два місяці проаналізувала 3915 проєктів із відкритим кодом і виявила 14 090 раніше невідомих вразливостей. Unit 42 стверджує, що 99,4% із них раніше не повідомлялися, а близько 40% отримали високий або критичний рівень оцінки.

Значення NOVA полягає не лише в кількості результатів. За повідомленнями про дослідження, багато знайдених проблем були семантичними або логічними помилками, а не дефектами пошкодження пам’яті, на яких традиційно зосереджуються автоматизовані інструменти. Йдеться, наприклад, про помилки в контролі доступу, обробці шляхів, поведінці серверних запитів або захисті від ін’єкцій коду — сферах, де критично важливо розуміти задум і нормальну поведінку застосунку.

Як і у випадку з AVDH, ключові показники є даними, оприлюдненими постачальником. Позначка «раніше невідома» сама по собі не доводить, що кожен результат є практично придатним до експлуатації zero-day, а рівень критичності може залежати від обраної системи оцінювання. Найобґрунтованіший висновок полягає в тому, що багатоагентні системи вже здатні швидко знаходити велику кількість потенційних проблем, які традиційні процеси перевірки могли б не охопити так оперативно.

Чому самого пошуку недостатньо

Швидше виявлення вразливостей може посилити захист, але водночас збільшити масштаб кризи, якщо організації й надалі виправлятимуть проблеми повільно. CERT-EU наводить оцінку середнього часу до експлуатації на рівні мінус сім днів. Це означає, що атака може початися ще до того, як патч стане широко доступним.

Такий показник змінює роль оновлень. Постійне виправлення коду залишається необхідним, але воно може бути не першою і не єдиною корисною дією. Командам безпеки потрібно тимчасово зменшувати доступність вразливого компонента, поки розробники досліджують проблему, тестують виправлення, координують розкриття та завершують поетапне розгортання.

Мережева локалізація: що пропонує Palo Alto

Програма Palo Alto Frontier AI Critical Defense Program покликана об’єднати лабораторії ШІ, виробників програмного забезпечення та відкритих проєктів, а також сектори на кшталт операційних технологій і охорони здоров’я. Її запропонований підхід передбачає мережеві «віртуальні патчі» — правила, які блокують трафік експлойта або небезпечну поведінку протоколу ще до появи постійного виправлення в коді.

Palo Alto заявляє, що функція Advanced Virtual Patching може розгортати такі засоби захисту протягом кількох годин, тоді як заявлений середній показник для традиційного патча в індустрії становить 55 днів.

Віртуальний патч слід сприймати як компенсаційний засіб контролю, а не як заміну виправленню вразливого коду. Його ефективність залежить від того, наскільки точно команда визначила шлях атаки і чи здатен мережевий контроль заблокувати його без перешкод для легітимної роботи. Захист може бути обмеженим, якщо атака проходить через довірені канали, зашифрований трафік, локальне підвищення привілеїв або поведінку, яку складно відрізнити від звичайної.

Чи можуть захисники повернути собі перевагу?

Можливо — але не просто завдяки додаванню ще одного ШІ-сканера.

Надійніша архітектура захисту поєднує кілька етапів в один операційний цикл:

1. Картографувати код і поверхню атаки, щоб агенти розуміли призначення системи.
2. Створити та перевірити модель загроз до масштабної генерації гіпотез.
3. Застосовувати кілька агентів і моделей, які аналізують систему з різних перспектив і ставлять під сумнів слабкі висновки.
4. Відтворювати та визначати пріоритетність вразливостей за участю фахівців і на основі доказів можливості експлуатації.
5. Відповідально розкривати проблему та готувати постійне виправлення через відповідну процедуру координації.
6. Негайно стримувати ризик мережевими правилами або іншими компенсаційними заходами.
7. Перевіряти результат після встановлення патча.

Головний урок AVDH і NOVA полягає в тому, що перевагу дає не сам результат моделі, а оркестрація всього процесу. ШІ може стискати час пошуку та перевірки, але захисникам і далі потрібні надійні докази, точна пріоритизація, стійка архітектура та системи розгортання, здатні діяти з тією самою швидкістю.

Зловмисники можуть використовувати подібні моделі, а віртуальні патчі залишаються тимчасовими та залежать від охоплення. Тому реалістична мета — не усунути ризик zero-day повністю, а зробити захисний цикл — від виявлення до стримування та остаточного виправлення — швидшим і надійнішим за шлях зловмисника від знаходження помилки до її експлуатації.