Açıklıklar ve Tehditler
Hata raporları selleri yazılım satıcılarını boğuyor, güvenli tasarım ilkelerine uygunluk başarısızlıklarını ortaya çıkarıyor ve açıklama süreçlerinde darboğazlar yaratıyor.
Alexander Culafi, Kıdemli Haber Yazarı, Dark Reading
Açıklıklar gizlenecek yer bulamaz hale geliyor. Bunun nedeni sınır yapay zeka modelleri ve bu durum yazılım satanlar için sorun yaratabilir.
Yapay zekanın yaygınlaşmasıyla ortaya çıkan açıkların seline verilen ad olan "vulnpocalypse", hata avcılığıyla ilişkilendirilen ekonomi ve talepler üzerinde geniş kapsamlı sonuçlar yaratıyor. Yazılım yayıncıları, kod incelemelerinin, araştırmacı ilgisinin ve keşif kapasitesinin sınırlı olduğu bir dünyada çalışmaya alışkındı. Ancak son iki yılda durum değişti. Büyük dil modelleri, hata keşif hattının büyük bir kısmını otomatikleştirdi ve hızlandırdı; sınır modelleri bu süreci daha da hızlandırabilir.
Hata ödülü platformları ele aldıkları rapor sayısında dramatik artış bildiriyor. HackerOne’da raporlar bir yılda ikiye katlandı; Bugcrowd ve TrendAI’ın Sıfırıncı Gün Girişimi de benzer şekilde büyük artışlardan söz etti. Bu durum platformları hata ödülü sürecinin bazı bölümlerini otomatikleştirmek için yapay zekâ destekli tarama kullanmaya itti ve bazı uzmanlar yeni LLM gerçekliğinin bağımsız güvenlik araştırma ekonomisini ciddiyetten çok hacim odaklı bir oyuna dönüştüreceğini düşünüyor.
Mindgard’da ürün sorumlusu ve Pwn2Own sızma yarışmasının kurucularından Aaron Portnoy, Dark Reading’e yapay zekâ nedeniyle "açıklıkların gizlenecek bir yeri kalmıyor" dedi.
"Yazılım satıcıları uzun süre hatalı yazılımı hesap verebilirlik olmadan gönderebildi, ama artık saklanamıyorlar çünkü yapay zeka uyumaz ve ölçekte [açıklık bulabilir]" diye konuştu.
Açıklık bulmak daha ucuz ve hızlı hale geliyor, ancak keşif ancak kuruluşlar bununla bir şey yapabildiği sürece faydalı. LLM’ler araştırmacıları daha üretken hale getiriyor ve bu yüzden zorluk aşağıya, yazılım üreticilerine kayıyor.
Vulnpocalypse Güvenli Tasarıma Hesap Sorma
"Hata ödülü ekosistemi uzun zamandır acı çekiyor ve yapay zeka imparatorun çıplak olduğunu gösterdi" diyor Luta Security’nin kurucusu ve CEO’su Katie Moussouris. Moussouris aynı zamanda açıklık araştırmasında öncü.
Moussouris, hata keşif hızındaki artışın aynı hataları yapıp duran ve sürekli güvensiz yazılım yayınlayan satıcılar için bir hesap sorma olduğunu açıklıyor. Hata ödülü platformlarının satıcının kaçırdığı hatalar için olması gerektiğini, açıklık bulmanın birincil yöntemi olmaması gerektiğini savunuyor.
Şirketlerin taleple başa çıkmakta zorlandığı görülüyor. HackerOne CEO’su Kara Sprague, Dark Reading’e son 12 ayda bekleme listelerinde duran kritik açıklık sayısının 30 kat arttığını söyledi; "ortalama düzeltme süresinde yüzde 50 iyileşme sağlamamıza rağmen" diye ekledi.
Benzer şekilde Moussouris, iyi yatırım yapmış güvenlik örgütlerinin bile hata ödülü programlarını kısmaya başladığını görüyor. "Daha üst seviye ödeme için davet alabilmek için bu kadar çok açıklık göndermen gerekiyor" gibi daha fazla engel koyuyorlar ve aldıkları hacmi yapay olarak yavaşlatmak için bu tür şeyler yapmaya çalışıyorlar.
Güvenli tasarım ve düzeltme bir darboğazın bir tarafını temsil ediyorsa, açıklama diğer tarafını temsil ediyor.
Açıklık Açıklama Sorunları
Disclose.io’nun başkanı ve kurucu ortağı Casey Ellis, daha önce Bugcrowd’u da kurmuştu. Güvenlik topluluğunun yıllarca açıklık keşfini kolaylaştırmak için çalıştığını, ancak açıklık bildirimini kolaylaştırmak için neredeyse hiç çaba harcamadığını savunuyor.
Diğer bir deyişle, açıklık avcılığı yapan güvenlik araştırmacılarının büyük çoğunluğu iyi niyetli kişiler ve hataları etik kanallardan tamamen açıklamak istiyor. Ancak açıklıkların sel baskını ve düzeltme sorunları bu süreci daha da zorlaştırıyor.
"Yapay zekâ destekli araştırma yapan çok sayıda insanla konuşuyorum ve hataları doğru yere ulaştırmanın ne kadar zor olduğu için bir sürü hatayı ellerinde tutuyorlar. Bu kötü niyetli değil ve kötü bir niyetleri yok" diyor. "Eğer bunu internete dökersek kullanıcı riski yaratacağını biliyoruz ve bunu yapmak istemiyoruz, ama bunun dışında ya da satıcı duyarlı değilse ne yapacaksın? Şu anda çok fazla böyle durum var."
Ellis, birçok kuruluşun hâlâ net bildirim kanallarına, açıklık açıklama politikalarına ya da araştırmacıları rahat hissettirecek hukuki güvenli limanlara sahip olmadığını savunuyor. Endişesi, yapay zekânın açıklık keşfini, açıklık açıklama sistemlerinin olgunlaşmasından daha hızlı hızlandırması.
Yapay zeka bu sorunları daha da kötüleştirdi, ama bunlar yeni sorunlar değil. Birçok kuruluş uzun süredir araştırmacılara güvenli bildirim yolları sunmakta zorlandı ve teknoloji odaklı olmayan bazı kuruluşlar etik güvenlik araştırmasını suç faaliyeti olarak algıladı. "Bu işi iyi niyetle yapmak isteyen insanlara suçlu muamelesi yapmak aptallık" diyor Ellis.
Yeni yapay zeka geleceği hata keşif hızında büyük bir artışa olanak sağladı, ancak bu ekosistemi ayakta tutan destek kirişleri üzerinde de önemli bir stres yarattı. Bu bulmacanın bazı parçaları çözülüyor; örneğin hata ödülü ekonomisi hacim etrafında yeniden şekilleniyor ve açıklık araştırma platformları yapay zeka taramasına yaslanıyor. Ancak açıklık araştırma hunisinin dibinde oturan satıcıların önümüzdeki aylar ve yıllarda en fazla belirsizlikle karşı karşıya kalabileceği belirtiliyor.
Bugcrowd CEO’su Dave Gerry, güvenlik sektörü açısından yapılacak daha çok iş olduğunu söylüyor ve düzeltme, yani hataları onarma konusunda "hazır olduğumuzu düşünmüyorum" diyor.
"2012’den beri bunu yapıyorum. O zaman hazır değildik. O zaman bulunan her şeyi düzeltmiyorduk" diyor. "Hâlâ hazır değiliz."
