Η πρόοδος της τεχνητής νοημοσύνης (AI) έχει οδηγήσει στον εντοπισμό μιας συνεχούς ροής νέων ευπαθειών λογισμικού, οι οποίες είναι σχεδόν βέβαιο ότι θα προκαλέσουν νέες αναταράξεις, αντίστοιχες με τις διακοπές λειτουργίας που επηρέασαν κυβερνητικές ιστοσελίδες σε ολόκληρο τον κόσμο αυτή την εβδομάδα.
Αυτό προκύπτει από τις εκτιμήσεις επτά επαγγελματιών του τομέα κυβερνοασφάλειας που μίλησαν στο Reuters.
Σύμφωνα με έρευνα της VulnCheck, εταιρείας πληροφοριών κυβερνοαπειλών με έδρα τη Μασαχουσέτη, η οποία πρόκειται να δημοσιευθεί τις επόμενες ημέρες, η AI συνέβαλε στον διπλασιασμό του αριθμού των ψηφιακών ευπαθειών που εντοπίστηκαν σε ετήσια βάση.
Ο Μάθιου Πρινς, διευθύνων σύμβουλος της εταιρείας ψηφιακών υποδομών Cloudflare, δήλωσε ότι γνωρίζει την ύπαρξη «πολλών ακόμη σοβαρών ευπαθειών σε άλλα κρίσιμα προγράμματα λογισμικού».
Προέβλεψε μάλιστα ότι οι επόμενοι μήνες θα είναι ιδιαίτερα απαιτητικοί, καθώς η τεχνητή νοημοσύνη φέρνει στην επιφάνεια αδυναμίες που παρέμεναν κρυμμένες επί χρόνια στις υποδομές του διαδικτύου.
«Πιστεύω ότι θα περάσουμε δύο χρόνια κατά τα οποία κάθε εβδομάδα θα αισθανόμαστε σαν να πέφτει ο ουρανός στο κεφάλι μας», δήλωσε ο Prince σε συνέντευξή του την Πέμπτη.
Οι ευπάθειες της PHP και τα κυβερνητικά μπλακάουτ
Οι διακοπές λειτουργίας που εξαπλώθηκαν από την Τετάρτη σε κυβερνητικές ιστοσελίδες στην Ευρώπη και σε άλλες περιοχές του κόσμου σημειώθηκαν μετά την ανακάλυψη κενών ασφαλείας στην PHP, μια παλαιά αλλά ιδιαίτερα διαδεδομένη γλώσσα προγραμματισμού, στην οποία βασίζεται μεγάλο μέρος του διαδικτύου.
Οι διαχειριστές των συστημάτων έσπευσαν να διορθώσουν το λογισμικό τους, ενόψει του κινδύνου μαζικής εκμετάλλευσης των ευπαθειών.
Επειδή ορισμένοι εκτίμησαν ότι δεν θα προλάβαιναν να εφαρμόσουν τις απαραίτητες διορθώσεις προτού κινηθούν οι χάκερ, επέλεξαν να θέσουν προσωρινά εκτός λειτουργίας τις ιστοσελίδες τους, μέχρι να διασφαλίσουν ότι μπορούσαν να λειτουργήσουν με ασφάλεια.
Ο Πάτρικ Γκάριτι, ερευνητής της VulnCheck, επισήμανε ότι η κινητοποίηση για τη διόρθωση των ευπαθειών της PHP συνέπεσε με μια ήδη ιδιαίτερα επιβαρυμένη εβδομάδα για τον κλάδο της κυβερνοασφάλειας.
Κατά την ίδια εβδομάδα αποκαλύφθηκαν επίσης ευπάθειες στο Node.js, μια εναλλακτική τεχνολογία σε σχέση με την PHP, καθώς και στο πρόγραμμα αναπαραγωγής και μετάδοσης πολυμέσων Plex.
Παράλληλα, καταγράφηκαν παραβιάσεις που συνδέονταν με την πύλη πρόσβασης σε συστήματα τεχνητής νοημοσύνης LiteLLM και την πλατφόρμα ανάπτυξης λογισμικού Railway.
Επιπλέον, αποκαλύφθηκε ότι η ινδική αρχή ψηφιακών πιστοποιητικών eMudhra χρησιμοποιούσε ένα εξαιρετικά αδύναμο κρυπτογραφικό κλειδί, το οποίο ενδεχομένως εξέθετε σε κινδύνους χρήστες σε ολόκληρο το διαδίκτυο.
«Αν είδαμε τέσσερα ή πέντε τέτοια περιστατικά μόνο αυτή την εβδομάδα, περιμένω ότι θα δούμε πολύ περισσότερα», δήλωσε ο Garrity.
«Πιστεύω ότι θα υπάρξουν πολύ περισσότερες ασκήσεις αντιμετώπισης έκτακτων περιστατικών για οτιδήποτε είναι εκτεθειμένο στο διαδίκτυο», πρόσθεσε.
Η AI μειώνει δραματικά τον χρόνο αντίδρασης
Οι βάσεις κώδικα πάνω στις οποίες λειτουργούν τα σύγχρονα προγράμματα είναι τεράστιες και πολύπλοκες. Λάθη στον κώδικα, τα λεγόμενα bugs, που δημιουργούν πιθανές οδούς εκμετάλλευσης από επιτιθέμενους, εμφανίζονται συχνά σε απροσδόκητα σημεία.
Στο παρελθόν, ο εντοπισμός αυτών των αδυναμιών απαιτούσε ένα ελάχιστο επίπεδο εξειδικευμένων γνώσεων.
Η αξιοποίησή τους, προκειμένου να δημιουργηθούν ψηφιακά εργαλεία παραβίασης —γνωστά ως exploits— μπορούσε να απαιτήσει εβδομάδες ή ακόμη και μήνες εργασίας από έναν έμπειρο επαγγελματία.
Αυτή η χρονική καθυστέρηση προσέφερε στους υπεύθυνους ασφάλειας ένα περιθώριο να διορθώσουν τα προβλήματα και να διαθέσουν σταδιακά ενημερώσεις λογισμικού.
Η τεχνητή νοημοσύνη, ωστόσο, έχει ουσιαστικά ανατρέψει αυτές τις παραδοχές.
Τα μοντέλα AI μπορούν πλέον να εντοπίζουν διαδοχικά ευπάθειες, εξετάζοντας τον κώδικα σε συνεχή βάση, όλο το εικοσιτετράωρο, και να δημιουργούν εργαλεία εκμετάλλευσής τους μέσα σε λίγες ώρες.
Ο Σέιν Φράι, επικεφαλής τεχνολογίας της εταιρείας κυβερνοασφάλειας RunSafe Security, με έδρα τη Βιρτζίνια, δήλωσε ότι οι επιδόσεις των μοντέλων τεχνητής νοημοσύνης τους τελευταίους μήνες έχουν ουσιαστικά εξαλείψει κάθε αμφιβολία σχετικά με το αν πρόκειται να μεταμορφώσουν τον κλάδο.
«Αυτό που αλλάζει θεμελιωδώς και αναμφισβήτητα είναι η χρονική κλίμακα όχι μόνο για τον εντοπισμό των ευπαθειών, αλλά και για το πόσο γρήγορα μπορούν οι αντίπαλοι να τις μετατρέψουν σε όπλα επίθεσης», δήλωσε ο Fry.
Περισσότερες ευπάθειες δεν σημαίνουν απαραίτητα περισσότερες επιθέσεις
Παρότι όλοι οι ειδικοί που μίλησαν στο Reuters συμφώνησαν ότι ο διαθέσιμος χρόνος αντίδρασης των αμυνόμενων περιορίζεται, οι απόψεις τους διχάζονται ως προς το κατά πόσο η AI θα οδηγήσει σε ανεξέλεγκτη έξαρση επιθέσεων από χάκερ.
Ο Ντάνιελ Στένμπεργκ, επικεφαλής προγραμματιστής του εργαλείου μεταφοράς αρχείων curl, υποστήριξε ότι οι ευπάθειες που ανακαλύπτονται από μοντέλα τεχνητής νοημοσύνης τείνουν να είναι ασυνήθιστα και εξειδικευμένα σφάλματα, τα οποία είναι δύσκολο να αξιοποιηθούν από κακόβουλους παράγοντες.
Αντίστοιχα, ο Ράμι Ράχμαν, ανώτερος επικεφαλής μηχανικός λύσεων στην εταιρεία κυβερνοασφάλειας ArmorCode, τόνισε ότι «περισσότερες ευπάθειες που δημοσιοποιούνται δεν σημαίνουν αυτομάτως περισσότερες επιτυχημένες επιθέσεις».
Ορισμένες πρώτες ενδείξεις υπέρ αυτής της άποψης προέκυψαν από την ευπάθεια της PHP που προκάλεσε παγκόσμια ανησυχία αυτή την εβδομάδα.
Η εταιρεία πληροφοριών κυβερνοαπειλών Hunt.io ανακοίνωσε ότι, όπως και η Amazon και η Cloudflare, είχε παρατηρήσει επιθετικές προσπάθειες εκμετάλλευσης του συγκεκριμένου κενού ασφαλείας.
Ωστόσο, ο επικεφαλής ερευνών της εταιρείας, Εστεμπάν Μπόρχες, δήλωσε ότι, μέχρι τις 2 μ.μ. της Πέμπτης, ώρα ανατολικής ακτής των ΗΠΑ (18:00 GMT), οι κυβερνοεγκληματίες που παρακολουθούσε φαίνεται ότι δεν είχαν καταφέρει να δημιουργήσουν λειτουργικό εργαλείο εκμετάλλευσης της ευπάθειας.
Από την πλευρά του, ο επικεφαλής της Cloudflare δήλωσε ότι είχε δει μεμονωμένες ενδείξεις παραβιάσεων που συνδέονταν με την ευπάθεια της PHP.
«Τα τέρατα στο στοιχειωμένο σπίτι»
Παρά τις ανησυχίες, ο Matthew Prince θεωρεί ότι το κύμα ανακαλύψεων που προκαλεί η τεχνητή νοημοσύνη, αν και μπορεί να αναστατώσει τον κλάδο της κυβερνοασφάλειας, θα έχει τελικά συνολικά θετικό αποτέλεσμα.
Παρομοίασε τη διαδικασία με την εξόντωση των τεράτων μέσα σε ένα στοιχειωμένο σπίτι.
Η αναμέτρηση με αυτά μπορεί να προκαλεί φόβο, εξήγησε, αλλά το να παραμένουν τα τέρατα κρυμμένα και αθόρυβα πίσω από κλειστές πόρτες είναι πολύ χειρότερο.
«Η πραγματικότητα είναι ότι θα καταφέρουμε να διορθώσουμε πολλά από αυτά τα προβλήματα», κατέληξε.