MWC 2018
2018
Computex
IFA 2018
Модель искусственного интеллекта Anthropic Mythos, к которой Microsoft получила предварительный доступ в рамках программы Project Glasswing, обнаруживает уязвимости в продуктах компании быстрее, чем инженеры успевают их исправлять. Поэтому в первую очередь они занимаются самыми опасными — ошибки средней степени угрозы отложили на потом, а «лёгкие» вообще в планах не значатся. Проблема в том, что развернуть опасную атаку можно и по цепочке считающихся неопасными уязвимостей.
Источник изображения: Kevin Ku / unsplash.com
Руководство Microsoft раскрыло проблему сотрудникам на встрече, которая прошла в середине мая. На одном из слайдов было показано, что только в апреле Mythos нашла 90 «критических» и 141 «серьёзных» ошибок в популярной программе SharePoint; в мае их было выявлено ещё больше. В ходе встречи инженерам установили крайний срок на 31 мая, когда у Microsoft заканчивался предварительный доступ к модели Anthropic. То есть если 1 июня компания выпускает патч, то следует исходить из того, что 2 июня киберпреступники располагают сведениями о закрытых уязвимостях.
Microsoft до сих пор устраняет уязвимости, которые обнаружила Mythos, и с учётом их большого количества даже с ресурсами софтверного гиганта приходится сначала заниматься только самыми серьёзными. Далее компания намеревается переключиться на ошибки «средней» степени серьёзности, гласят её внутренние документы; проблемы «низкой» степени серьёзности в документах не значатся вообще. Этот подход представляется разумным компромиссом, но только не в эпоху, когда кибербезопасностью занимается ИИ: Mythos способна объединять в цепочку даже уязвимости низкой степени угрозы, эксплуатируя которые, можно развернуть серьёзную атаку. В Microsoft это понимают, заявили в компании — техника цепочки атак «давно рассматривается как часть оценки уязвимостей и анализа рисков».
Источник изображения: Philipp Katzenberger / unsplash.com
К «критическим» угрозам Microsoft относит черви, которые могут вызывать сбои в работе систем и распространять иное вредоносное ПО, перемещаясь по сетевым ресурсам; «важные» приводят к «нарушению конфиденциальности, целостности или доступности пользовательских данных», а также к «нарушению доступности вычислительных ресурсов». Устранив проблемы в этих категориях, инженеры компании планируют заняться «умеренными» ошибками — только в случае SharePoint их насчитывается около 300. Изученные журналистами внутренние документы Microsoft не содержат данных по всему ассортименту программных продуктов компании, но дают представление о масштабе проблемы. Когда компания только начала работу с Mythos в апреле, та обнаружила несколько сотен «критических» и «важных» уязвимостей в таких продуктах как Microsoft 365, Teams и Copilot. По состоянию на середину мая большинство из них ещё не исправили. Они не представляют собой чего-то сложного или экзотического, но многие из них могут использоваться киберпреступниками, говорят в компании.
Смена стратегии отражается и в публичной деятельности Microsoft. Каждый месяц она выпускает обновления безопасности для Windows: в июне устранила более 200 уязвимостей, и это, заявили тогда эксперты, был рекордный показатель; а 14 июля вышло очередное обновление с исправлением уже более 600 ошибок. Общий объём уязвимостей не удастся «стабилизировать ещё некоторое время», признали в Microsoft. Но подход к решению проблемы придётся менять в корне, указывают эксперты: исправлять требуется уязвимости всего спектра — если провести аналогию с больницей, то с одинаковыми приоритетами лечить требуется пациентов как с опасными для жизни заболеваниями, так и с незначительными травмами, которые со временем могут стать смертельными. В Microsoft с этим не спорят.
Microsoft, конечно, не одна во всей отрасли ПО — проблема касается и проектов с открытым исходным кодом, которые поддерживаются добровольцами, а продукты используются бесплатно. Открытое ПО лежит в основе интернет-инфрастурктуры и интегрировано во многие современные технологии по всему миру, в том числе в продукты таких гигантов как Microsoft. Единого способа решения новой проблемы пока не выработано. Сделать это будет непросто: даже у Microsoft с её ресурсами нехватка персонала в «Центре реагирования на угрозы безопасности». Даже в эпоху до ИИ его сотрудники работали на пределе, обрабатывая сотни и тысяч сообщений в месяц. Дефицит кадров по этому направлению отражает корпоративную философию Microsoft: устранение уязвимостей — это затраты, а разработка новых продуктов — прибыль; поэтому привлекать лучших инженеров к задачам по обеспечению безопасности компания не хочет. Ситуация будет только усугубляться. Скоро Mythos догонят другие модели ИИ, а значит, число обращений станет расти. Лицензии с закрытым кодом Microsoft тоже не спасут — исходники компании время от времени попадают в руки хакеров.
Источник:
