За последние три дня разработчики ядра Linux раскрыли 442 уязвимости, опубликовав внушительный список CVE в своем списке рассылки по вопросам безопасности.
Предполагается, что большая часть ошибок была обнаружена с помощью инструментов ИИ. В частности, Glasswing от Anthropic и Daybreak от OpenAI предоставляют ведущим компаниям и исследователям доступ к передовым моделям кибербезопасности для поиска ошибок в крупных проектах с открытым исходным кодом, связанных с ИИ.
Большинство ошибок не представляют собой серьезных проблем, так что ничего катастрофического для интернета на сегодняшний день нет.
Внезапные всплески уязвимостей безопасности фиксируются после двух аналогичных случаев в Microsoft и Google, которые также выпустили масштабные обновления в прошлом месяце. Microsoft исправила 620 ошибок, а Google - еще 433 в своем браузере Chrome.
В свою очередь, Adobe и Oracle также увеличили частоту выпуска обновлений, ссылаясь на рост числа уязвимостей, обнаруживаемых с помощью ИИ. Oracle вообще перешла от ежеквартального выпуска обновлений к ежемесячному, а Adobe – от ежемесячного к выпуску дважды в месяц.
Разрабочики отмечают, что выпуск бюллетеней дважды в месяц позволит идти им в ногу с эпохой передового ИИ. Чем больше обнаруженных уязвимостей, тем больше исправлений нужно будет внедрять, а публикации раз в месяц уже попросту недостаточно.
Вместе с тем, как сообщает SRB, подобный «взрыв ИИ» на самом деле поможет лишь немногим, поскольку большинство компаний редко устанавливают обновления. Скорее всего, это лишь откроет больше доступных уязвимостей для злоумышленников и расширит риски для компаний.
Более крупные продукты, такие как ядро Linux, вероятно, могут подстроиться под возросшее количество сообщений об ошибках, как это происходит сейчас.
Однако создатель Linux Линус Торвальдс еще в мае заявлял, что большинство обнаруженных ИИ ошибок обычно являются дубликатами, которые вызывают «бессмысленную рутину» и «пустую трату времени для всех участников», поскольку «апокалипсис ошибок,» вызванный ИИ, сделал список уязвимостей безопасности Linux «практически полностью неуправляемым».
Так что небольшие проекты с открытым исходным кодом, вероятно, будут перегружены в будущем, поскольку разработчикам не хватит ресурсов и времени, необходимых для реализации более крупных проектов.
Именно поэтому Anthropic и OpenAI пообещали софинансирование экосистемы открытого исходного кода для поддержки проектов и оказания им помощи в борьбе с лавиной проблем.
Как отметили в апреле в Manifest Cyber, их прогнозы относительно наблюдаемых всплесков уязвимостей оправдался. ИИ ускорит обнаружение уязвимостей, а разработчикам открытого ПО будет сложно угнаться за такими темпами.
Рынок 0-day будет расти, а цены падать. При этом сроки эксплуатации сократятся. Но будем посмотреть.
