ИИ Anthropic Mythos обнаруживает уязвимости в продуктах Microsoft быстрее, чем их успевают исправлять

Модель искусственного интеллекта Anthropic Mythos, к которой Microsoft получила предварительный доступ в рамках программы Project Glasswing, обнаруживает уязвимости в продуктах компании быстрее, чем инженеры успевают их исправлять. Поэтому в первую очередь они занимаются самыми опасными — ошибки средней степени угрозы отложили на потом, а «лёгкие» вообще в планах не значатся. Проблема в том, что развернуть опасную атаку можно и по цепочке считающихся неопасными уязвимостей.

Источник изображения: Philipp Katzenberger / unsplash.com

К «критическим» угрозам Microsoft относит черви, которые могут вызывать сбои в работе систем и распространять иное вредоносное ПО, перемещаясь по сетевым ресурсам; «важные» приводят к «нарушению конфиденциальности, целостности или доступности пользовательских данных», а также к «нарушению доступности вычислительных ресурсов». Устранив проблемы в этих категориях, инженеры компании планируют заняться «умеренными» ошибками — только в случае SharePoint их насчитывается около 300. Изученные журналистами внутренние документы Microsoft не содержат данных по всему ассортименту программных продуктов компании, но дают представление о масштабе проблемы. Когда компания только начала работу с Mythos в апреле, та обнаружила несколько сотен «критических» и «важных» уязвимостей в таких продуктах как Microsoft 365, Teams и Copilot. По состоянию на середину мая большинство из них ещё не исправили. Они не представляют собой чего-то сложного или экзотического, но многие из них могут использоваться киберпреступниками, говорят в компании.

Смена стратегии отражается и в публичной деятельности Microsoft. Каждый месяц она выпускает обновления безопасности для Windows: в июне устранила более 200 уязвимостей, и это, заявили тогда эксперты, был рекордный показатель; а 14 июля вышло очередное обновление с исправлением уже более 600 ошибок. Общий объём уязвимостей не удастся «стабилизировать ещё некоторое время», признали в Microsoft. Но подход к решению проблемы придётся менять в корне, указывают эксперты: исправлять требуется уязвимости всего спектра — если провести аналогию с больницей, то с одинаковыми приоритетами лечить требуется пациентов как с опасными для жизни заболеваниями, так и с незначительными травмами, которые со временем могут стать смертельными. В Microsoft с этим не спорят.

Microsoft, конечно, не одна во всей отрасли ПО — проблема касается и проектов с открытым исходным кодом, которые поддерживаются добровольцами, а продукты используются бесплатно. Открытое ПО лежит в основе интернет-инфрастурктуры и интегрировано во многие современные технологии по всему миру, в том числе в продукты таких гигантов как Microsoft. Единого способа решения новой проблемы пока не выработано. Сделать это будет непросто: даже у Microsoft с её ресурсами нехватка персонала в «Центре реагирования на угрозы безопасности». Даже в эпоху до ИИ его сотрудники работали на пределе, обрабатывая сотни и тысяч сообщений в месяц. Дефицит кадров по этому направлению отражает корпоративную философию Microsoft: устранение уязвимостей — это затраты, а разработка новых продуктов — прибыль; поэтому привлекать лучших инженеров к задачам по обеспечению безопасности компания не хочет. Ситуация будет только усугубляться. Скоро Mythos догонят другие модели ИИ, а значит, число обращений станет расти. Лицензии с закрытым кодом Microsoft тоже не спасут — исходники компании время от времени попадают в руки хакеров.