Πριν από μία δεκαετία, τα προγράμματα που αποσκοπούσαν στην επιβράβευση ερευνητών για την υποβολή ευρημάτων ευπαθειών λογισμικού άρχισαν να καθιερώνονται ευρέως. Τα προγράμματα αποκάλυψης ευπαθειών, γνωστά και ως «κυνήγι σφαλμάτων» (bug bounty), αποτέλεσαν μια θεμελιώδη παραδειγματική μετατόπιση, η οποία διαμορφωνόταν επί σειρά ετών. Αυτή η μετατόπιση απομάκρυνε τους θεσμούς από μια αρχική στάση εχθρότητας και αμυντικότητας απέναντι στα ευρήματα της έρευνας στον τομέα της ασφάλειας, οδηγώντας τους στην αναγνώριση της επιτακτικής ανάγκης τόσο για την παραλαβή εισροών όσο και για την κυκλοφορία διορθώσεων. Όταν η Apple ανακοίνωσε τελικά ένα πρόγραμμα bug bounty το έτος 2016, η μέγιστη ανταμοιβή ανερχόταν σε 200.000 δολάρια. Το ποσό αυτό αυξήθηκε σε 1 εκατομμύριο δολάρια το 2019 και έφτασε τα 2 εκατομμύρια δολάρια πέρυσι. Ωστόσο, αυτή η κατάσταση πρόκειται να μεταβληθεί εκ νέου.
Καθώς τα αυτόνομα μοντέλα Τεχνητής Νοημοσύνης (AI) γίνονται ολοένα και πιο ικανά τόσο στην αυτόνομη αναγνώριση ευπαθειών λογισμικού όσο και στην ανάπτυξη εργαλείων εκμετάλλευσής τους – δηλαδή, στον εντοπισμό αδυναμιών και στη δημιουργία εργαλείων hacking – τα προγράμματα αποκάλυψης ευπαθειών δέχονται έναν καταιγισμό υποβολών. Αυτό συμβαίνει την ίδια στιγμή που οι οργανισμοί εντοπίζουν περισσότερα σφάλματα από ποτέ οι ίδιοι. Αυτή η αφθονία μεταβάλλει την οικονομική διάσταση των προγραμμάτων bug bounty τόσο για τους θεσμούς που ζητούν υποβολές όσο και για τους ερευνητές, ορισμένοι εκ των οποίων ζουν ή συμπληρώνουν το εισόδημά τους από το κυνήγι σφαλμάτων. Επιπλέον, και αυτό είναι κρίσιμο, ο τομέας μεταβάλλεται παράλληλα και για τους επιτιθέμενους.
«Πιθανότατα έχω υποβάλει τρεις φορές περισσότερα σφάλματα από ό,τι πέρυσι αυτή την εποχή – θα υποψιαζόμουν ότι μια εταιρεία όπως η Google θα δαπανήσει δύο έως 10 φορές περισσότερα σε πληρωμές σφαλμάτων από ό,τι πέρυσι», δηλώνει ο ανεξάρτητος ερευνητής ασφάλειας Joseph Thacker, ο οποίος έχει αναπτύξει μεθόδους και εργαλεία για τη χρήση της Τεχνητής Νοημοσύνης στο δικό του κυνήγι σφαλμάτων.
Οι τεχνολογικοί κολοσσοί, προσθέτει ο κ. Thacker, «μπορούν να διαχειριστούν αυτή την πίεση, αλλά οι περισσότερες εταιρείες δεν μπορούν. Αυτή τη στιγμή οι άνθρωποι θα υποβάλλουν εύκολα και μεσαίας δυσκολίας σφάλματα – οι πράκτορες βρίσκουν πραγματικά καλά σφάλματα. Αλλά του χρόνου θα υποβληθούν λιγότερα σφάλματα επειδή πολλά από αυτά θα έχουν ήδη βρεθεί, και πιστεύω ότι ορισμένες εταιρείες θα αυξήσουν ξανά τις πληρωμές τους».
Ο κ. Thacker και άλλοι ερευνητές παραδέχονται πρόθυμα ότι κανείς δεν γνωρίζει ακριβώς πώς θα εξελιχθούν μακροπρόθεσμα οι δυναμικές προσφοράς και ζήτησης. Επίσης, ανάλογα με την αποτελεσματικότητα της ανακάλυψης εκμεταλλεύσεων από την Τεχνητή Νοημοσύνη και της αυτοματοποιημένης σάρωσης συστημάτων για τους επιτιθέμενους, οι προγραμματιστές ενδέχεται να αρχίσουν να αισθάνονται ακόμη μεγαλύτερη πίεση για την ταχεία κυκλοφορία ενημερώσεων κώδικα – επιταχύνοντας ενδεχομένως μακροχρόνια και σκληρά κερδισμένα πρότυπα, όπως οι προθεσμίες αποκάλυψης 90 ημερών. Αυτές οι προθεσμίες αποτελούν καθορισμένα χρονικά πλαίσια μεταξύ του εντοπισμού σφαλμάτων και της δημόσιας αποκάλυψής τους, τα οποία συχνά ωθούν στην κυκλοφορία ενημερώσεων.
Όπως έγραψε ο ερευνητής ασφάλειας Himanshu Anand νωρίτερα αυτόν τον μήνα, «The 90 day responsible disclosure window was built for a world where bug finders were rare and exploit development was slow. That world is gone. LLMs have compressed both timelines».
Είναι κρίσιμη η επιβολή λογοδοσίας ως προς την ταχύτητα με την οποία οι οργανισμοί αναπτύσσουν διορθώσεις ευπαθειών στα συστήματά τους. Η διάδοση των ενημερώσεων κώδικα αποτελούσε ανέκαθεν μια κρίσιμη αλλά περίπλοκη πρόκληση ασφάλειας, δεδομένου ότι, χωρίς την κατάλληλη δοκιμή, η εγκατάσταση νέου λογισμικού σε μεγάλη κλίμακα μπορεί να έχει απρόβλεπτες συνέπειες, συμπεριλαμβανομένων των χειρότερων σεναρίων, όπως οι διακοπές λειτουργίας.
Η επείγουσα ανάγκη αντιμετώπισης πραγματικών επιθέσεων διευκολύνεται, με τόσο εξελιγμένους όσο και λιγότερο ικανούς παράγοντες να επιδιώκουν να επεκτείνουν τις δυνατότητές τους και να μειώσουν το κόστος. Σε ευρήματα που δημοσιεύθηκαν νωρίτερα αυτόν τον μήνα, για παράδειγμα, ερευνητές της Google δήλωσαν ότι είχαν παρατηρήσει «prominent cyber crime threat actors» (τους οποίους αρνήθηκαν να κατονομάσουν) να επιχειρούν να εκμεταλλευτούν μια ευπάθεια μηδενικής ημέρας – ή προηγουμένως άγνωστη – την οποία είχαν αναπτύξει χρησιμοποιώντας εργαλεία Τεχνητής Νοημοσύνης για να παρακάμψουν την επαλήθευση δύο παραγόντων σε μια πλατφόρμα διαχείρισης συστημάτων ανοιχτού κώδικα. Η Google ενημέρωσε άμεσα τον προγραμματιστή και εκδόθηκε μια διόρθωση για το ελάττωμα. Ωστόσο, οι ερευνητές ανέφεραν ότι το περιστατικό αυτό αποτελούσε μια κρίσιμη απεικόνιση του μεταβαλλόμενου τοπίου του κυνηγιού σφαλμάτων.
«We all assumed it was already happening, and this is our first evidence that it is happening», δηλώνει ο John Hultquist, επικεφαλής αναλυτής της Ομάδας Πληροφοριών Απειλών της Google, αναφερόμενος στους επιτιθέμενους που χρησιμοποιούν Τεχνητή Νοημοσύνη για να ανακαλύψουν νέες ευπάθειες και να δημιουργήσουν εργαλεία εκμετάλλευσης.
«Nation state issues are very serious and very real, but criminal actors still make up the vast majority of incidents that organizations deal with and many of those incidents are quite serious», προσθέτει ο κ. Hultquist. «Zero-day use limited, and the ones that do use them tend to be really successful, so I think we shouldn’t underestimate the impact of more criminals with a zero day in their hands».
Ωστόσο, για τους ερευνητές που κερδίζουν χρήματα μέσω του κυνηγιού σφαλμάτων, οι καιροί αλλάζουν. Το εργαλείο γραμμής εντολών Curl τερμάτισε το πρόγραμμα bug bounty του (το οποίο λειτουργούσε μέσω της υπηρεσίας τρίτου μέρους HackerOne) τον Ιανουάριο, αφού κατακλύστηκε από υποβολές χαμηλής ποιότητας που δημιουργήθηκαν.
«We have concluded the hard way that a bug bounty gives people too strong incentives to find and make up ‘problems’ in bad faith that cause overload and abuse», έγραψε η ομάδα τότε, προσθέτοντας ότι «we still appreciate and value valid vulnerability reports».
Την περασμένη εβδομάδα, ο δημιουργός και επικεφαλής προγραμματιστής του Linux, Linus Torvalds, έγραψε ότι η φημισμένη λίστα αλληλογραφίας ασφαλείας του Linux έχει καταστεί «σχεδόν εντελώς ανεξέλεγκτη» λόγω του μεγάλου όγκου και των διπλών αναφορών σφαλμάτων που παράγονται από την Τεχνητή Νοημοσύνη.
Τον Απρίλιο, ωστόσο, ο Daniel Stenberg, ιδρυτής και επικεφαλής προγραμματιστής του Curl, δήλωσε σε ανάρτησή του στο LinkedIn ότι η ποιότητα των υποβολών είχε βελτιωθεί. «Over the last few months, we have stopped getting AI slop security reports in the curl project», έγραψε. «Instead we get an ever-increasing amount of really good security reports, almost all done with the help of AI. They’re submitted in a never-before seen frequency and put us under serious load».
Και στα τέλη Απριλίου, η Google ανακοίνωσε ότι αναθεωρούσε τα Προγράμματα Ανταμοιβής Ευπαθειών (Vulnerability Reward Programs) για το Chrome και το Android, μειώνοντας τις πληρωμές για ορισμένες κατηγορίες σφαλμάτων, ενώ αύξανε άλλες.
«As the security research landscape evolves with AI, we’re making changes in our programs to ensure we’re rewarding the most challenging and impactful vulnerabilities in our products», έγραψε η εταιρεία.
«I think 90th percentile bug hunters with special skills will always be able to have findings and get payouts from big companies», δηλώνει ο Jonathan Dunn, καρδιολόγος που είναι επίσης κυνηγός σφαλμάτων. «But even with AI, we also need to heavily incentivize ethical researchers to find stuff on public infrastructure and other critical systems that otherwise may not get enough attention from defenders».
Προς το παρόν, οι περισσότεροι οργανισμοί φαίνεται να είναι έτοιμοι να εφαρμόσουν κάθε δυνατή λύση στο πρόβλημα (και το όφελος) της επιταχυνόμενης ανακάλυψης σφαλμάτων. «Αυτό αλλάζει τη δυναμική της βιομηχανίας κυνηγιού σφαλμάτων, αλλά εξακολουθεί να απαιτεί ανθρώπινο χρόνο», δηλώνει ο Alex Zenla, επικεφαλής τεχνολογίας της εταιρείας ασφάλειας cloud Edera.
Νωρίτερα αυτόν τον μήνα, η Anthropic ξεκίνησε ένα πρόγραμμα bug bounty μέσω της HackerOne για ερευνητές, ώστε να υποβάλλουν ευρήματα στα συστήματα της εταιρείας και στα μοντέλα Τεχνητής Νοημοσύνης Claude. Ωστόσο, ολοένα και περισσότεροι ερευνητές υποστηρίζουν ότι είναι απαραίτητες δομικές άμυνες για την αντιμετώπιση της επιταχυνόμενης ανακάλυψης ευπαθειών. Με άλλα λόγια, σχεδιάζουν ψηφιακές λύσεις για διαφορετικές κατηγορίες ευπαθειών που τις εξαλείφουν ή τις καθιστούν σημαντικά λιγότερο εκμεταλλεύσιμες στην πράξη.
«You can’t patch your way out of this», δηλώνει ο επί μακρόν μηχανικός ασφαλείας και ερευνητής Niels Provos. «You need to build infrastructure that makes as many bugs as possible irrelevant».
