Wdrożenie zaawansowanych modeli AI, takich jak Claude Mythos, miało zwiększyć bezpieczeństwo oprogramowania Microsoftu. W efekcie inżynierowie zostali jednak zalani setkami nowych luk w Windows, SharePoint czy Teams. Zespoły techniczne nie nadążają z ich łataniem, przez co muszą obierać za priorytet wyłącznie najgroźniejsze podatności. W dobie powszechnego dostępu do sztucznej inteligencji rosnący dług technologiczny i wyścig z cyberprzestępcami stają się dla giganta z Redmond jednym z największych wyzwań.
Rekordowa liczba poprawek w Patch Tuesday
Lipcowa aktualizacja z cyklu Patch Tuesday przyniosła poprawki aż 570 błędów w systemach Windows 10 i Windows 11. Microsoft sugeruje jednak, że powinniśmy zaakceptować tę sytuację jako nową normę. Jeśli pamiętacie nasze listy zmian w aktualizacjach zbiorczych, to mogliście się przyzwyczaić do kilkudziesięciu poprawek na jeden update. Dziś ta liczba jest pomnożona kilkukrotnie.
Wszystko za sprawą integracji wyspecjalizowanych narzędzi AI w procesach produkcyjnych, które wykrywają luki sprawniej niż ludzcy testerzy z użyciem narzędzi automatyzujących starszej generacji. Pojawiły się również doniesienia o pracach Microsoftu nad własnym rozwiązaniem tego typu, choć szczegóły na ten temat pozostają ograniczone. Raporty wskazują tymczasem, że Microsoft nie nadąża z usuwaniem usterek ze względu na ich masową skalę.
Claude Mythos Preview zrewolucjonizował odkrywanie luk
Z nagrania wewnętrznego spotkania Microsoftu z połowy maja, do którego dotarł serwis ProPublica, wynika, że model Claude Mythos Preview od Anthropic spełnił pokładane w nim oczekiwania. Narzędzie to zostało prywatnie udostępnione około 40 partnerom - w tym firmom Microsoft, Google, Apple czy Amazon - w ramach inicjatywy Project Glasswing. Celem tego projektu było wzmocnienie ochrony produktów, zanim błędy zostaną dostrzeżone przez cyberprzestępców. Dzięki temu maleje ryzyko ataków na podatności 0day.
Wdrożenie Mythosa do weryfikacji jakości oprogramowania stworzyło jednak poważny problem operacyjny. Zespół inżynierów w Microsoft po prostu nie dysponuje zasobami pozwalającymi na natychmiastowe usuwanie tylu wykrytych podatności. W samym tylko kwietniu Mythos ujawnił "90 krytycznych i 141 ważnych błędów" w oprogramowaniu SharePoint. Potężny model od Anthropic już parę miesięcy temu wywołał poruszenie w świecie technologii, w pierwszych dniach po uruchomieniu wykrywając luki w praktycznie wszystkich popularnych systemach operacyjnych i przeglądarkach internetowych. W samym tylko Firefoksie odkryła rekordowe 271 nieznanych wcześniej podatności.
Inżynierowie z Microsoft skupiają się na krytycznych podatnościach
W odpowiedzi na tę sytuację kadra zarządzająca apeluje do zespołów o usuwanie jak największej liczby usterek, skupiając się na podatnościach o statusie krytycznym i ważnym. Prezentacje przedstawione podczas wspomnianego spotkania wskazywały, że luki o umiarkowanym stopniu zagrożenia zostaną załatane w późniejszym terminie, natomiast całkowicie pominęły błędy o niskim priorytecie. Zaznaczono przy tym, że inżynierowie będą obciążeni pracą nad istotnymi lukami bezpieczeństwa co najmniej do sierpnia.
Warto zauważyć, że wspomniane statystyki dotyczyły wyłącznie platformy SharePoint. Podobne obciążenie zasobów może występować w całej firmie, zwłaszcza że na spotkaniu wspomniano o setkach niezałatanych błędów w usługach Teams, Microsoft 365 oraz Copilot.Trwa wyścig z czasem. Cyberprzestępcy tylko na to czekają
Brak możliwości szybkiego łatania podatności średniej wagi wiąże się z dużym ryzykiem. Wiele luk o umiarkowanym stopniu zagrożenia może zostać połączonych w łańcuch wykradania danych lub przejmowania kontroli, tworząc w praktyce krytyczny punkt eksploracji. O ile zostaną one wykryte przez "aktorów" o złych zamiarach. Nie jest to jednak pewne, jako że Mythos pozostaje ściśle ograniczony do garstki zaufanych podmiotów, a inne modele nie mają aż takich zdolności.
Dodatkowym utrudnieniem jest fakt, że nieraz dochodzi do wycieków kodu źródłowego niektórych produktów Microsoftu z przeszłości. Ułatwia to napastnikom analizowanie go za pomocą sztucznej inteligencji. Problem potęguje wieloletni cykl rozwoju oprogramowania Microsoftu - obecność długu technologicznego i starych fragmentów kodu sprawia, że pełna weryfikacja systemów jest wyjątkowo trudnym zadaniem, a kurczenie się szeregów żywych pracowników z powodu zwolnień tylko dokłada obowiązków tym pozostałym.
Microsoft zapewnił w oświadczeniu dla ProPublica, że stale analizuje swoje "metodologie triażu, decyzje kadrowe i inwestycje technologiczne", aby skutecznie dostosować się do wyzwań współczesnego cyberbezpieczeństwa. Dowiedz się więcej z naszych poprzednich artykułów:
