Umělá inteligence odhaluje více chyb v kódu, firmy ale hlášení nestíhají zpracovat

Umělá inteligence měla podle vývojářů bezpečnostních nástrojů znamenat konec éry, kdy se v softwaru měsíce či roky skrývají nebezpečné chyby. Realita je ale složitější. Nástroje využívající strojové učení dnes dokážou v kódu odhalit mnohem více potenciálních zranitelností než klasické metody manuálního testování nebo statické analýzy. To ovšem s sebou nese nečekaný vedlejší efekt – softwarové firmy jsou zaplavovány takovým množstvím hlášení o chybách, že je často nedokážou v rozumném čase zpracovat.

Bezpečnostní týmy popisují situaci, kdy jim automatizované systémy generují stovky až tisíce upozornění týdně. Mnohé z nich jsou skutečně relevantní, jiné se po bližším prozkoumání ukážou jako falešně pozitivní nebo jako chyby s minimálním praktickým dopadem. Problém spočívá v tom, že rozlišit mezi kritickou zranitelností a nepodstatným nálezem vyžaduje čas a odborné kapacity, kterých se dodavatelům softwaru nedostává. Nárůst objemu hlášení tak paradoxně zpomaluje reakci na skutečně nebezpečné chyby, protože se ztrácejí v záplavě méně závažných upozornění.

Tento jev se dotýká i produktů, které byly od počátku navrhovány s důrazem na bezpečnost. Firmy, které investovaly do bezpečného vývoje, zavedly kontrolu kódu a testovací procesy, se nyní potýkají s tím, že AI nástroje odhalují slabiny i v systémech považovaných za robustní. Ukazuje se, že žádný software není zcela bez chyb a že důkladnější analýza dokáže najít problémy i tam, kde je nikdo nečekal. To samo o sobě není překvapivé, avšak rozsah nově objevovaných zranitelností klade na organizace nárok, se kterým mnohé nepočítaly.

Výsledkem je paradoxní zpoždění v procesu odhalování a opravování chyb. Zatímco dříve trvalo dlouho nalézt zranitelnost, dnes trvá dlouho ji ověřit, vyhodnotit a zařadit podle priority. Bezpečnostní expert popisuje situaci jako přesun úzkého hrdla z fáze hledání chyb do fáze jejich zpracování. Množství dat, které je potřeba analyzovat, přesahuje kapacity lidských týmů, a to i v případech, kdy firmy najaly další specialisty nebo nasadily doplňkové automatizované nástroje pro filtrování hlášení.

Někteří dodavatelé softwaru reagují tím, že zavádějí vlastní systémy pro prioritizaci zranitelností, které kombinují automatizované vyhodnocení závažnosti s lidským dohledem. Cílem je oddělit skutečně kritické případy, jež vyžadují okamžitý zásah, od těch, které lze řešit v rámci běžného vývojového cyklu. I tak ale mnohé organizace přiznávají, že zpracování všech hlášení v přiměřeném čase je téměř nemožné, zejména u rozsáhlejších softwarových projektů s dlouhou historií vývoje.

Odborníci na kybernetickou bezpečnost upozorňují, že tento stav může mít i negativní dopad na důvěryhodnost bezpečnostního výzkumu. Pokud firmy nejsou schopny reagovat na hlášení v rozumné lhůtě, hrozí, že výzkumníci začnou zveřejňovat informace o zranitelnostech dříve, než budou opravy k dispozici, což zvyšuje riziko zneužití chyb útočníky. Tento konflikt mezi rychlostí odhalování a rychlostí opravování se tak stává jedním z klíčových témat současné diskuse o kybernetické bezpečnosti.

Zástupci technologických firem zároveň zdůrazňují, že řešením není omezit používání AI nástrojů pro hledání chyb, ale naopak zlepšit procesy, které následují po jejich odhalení. Mezi navrhovaná opatření patří lepší automatizace při ověřování nahlášených zranitelností, sdílení informací mezi firmami a standardizace postupů pro hodnocení závažnosti. Bez těchto kroků hrozí, že přínos umělé inteligence v oblasti kybernetické bezpečnosti bude z velké části znehodnocen neschopností systémů zpracovat objem informací, který sama pomáhá generovat.

Situace tak ukazuje, že technologický pokrok v oblasti detekce zranitelností sám o sobě bezpečnost nezvyšuje, pokud není doprovázen odpovídajícím posílením kapacit pro reakci na zjištěné problémy. Otázkou zůstává, jak rychle se firmám podaří najít rovnováhu mezi množstvím odhalených chyb a schopností je efektivně řešit, než se rozdíl mezi objevem zranitelnosti a jejím odstraněním stane bezpečnostním rizikem sám o sobě.