Abi iniciatyvos pristatytos spalio 8 dieną paskelbtoje „Anthropic Cyber Mission“ programoje. Bendrovė pripažįsta esminę problemą: DI jau geba greitai rasti daug galimų klaidų, tačiau saugumo komandoms sunku atskirti tikrą pavojų nuo klaidingų signalų, nustatyti prioritetus ir saugiai įdiegti pataisas.
Paliečia tūkstančius įmonių
Dauguma šiuolaikinių programų nėra parašytos nuo nulio. Jos remiasi bibliotekomis, karkasais ir kitais viešai prieinamais komponentais. Viena spraga populiariame pakete gali atsirasti tūkstančiuose interneto svetainių, mobiliųjų programėlių ir įmonių sistemų, nors jų savininkai apie priklausomybę net nežino.
Atvirojo kodo projektus dažnai prižiūri nedidelės komandos arba pavieniai savanoriai. Jie palaiko infrastruktūrą, nuo kurios priklauso didelės bendrovės, bet neturi nuolatinės saugumo laboratorijos. „Anthropic“ siūlomas modelis mėgina šią disproporciją sumažinti: periodiškai tikrinti kodą ir pateikti ne vien perspėjimą, bet ir galimos pataisos projektą.
Susiję straipsniai
DI čia turi realų pranašumą, nes gali analizuoti didelius kodo kiekius ir sekti duomenų kelią per daugybę failų. Vis dėlto automatiškai sugeneruota pataisa negali būti diegiama aklai. Ji gali pakeisti programos elgesį, sukurti kitą pažeidžiamumą arba neišspręsti viso atakos scenarijaus. Todėl galutinį sprendimą turi priimti projekto prižiūrėtojas, o pakeitimai – būti patikrinti testais ir žmogaus peržiūra.
Negalima tiesiog perkrauti
Antroji programos dalis skirta operacinėms technologijoms – valdikliams ir tinklams, valdantiems fizinius procesus elektrinėse, vandenvietėse, gamyklose ar transporte. Tokia įranga neretai projektuota veikti dešimtmečius. Jos negalima bet kada išjungti, todėl žinoma spraga gali likti nepataisyta ilgiau nei įprastame serveryje.
Pagal Kritinės infrastruktūros gynybos programą „Anthropic“ ketina suteikti partneriams modelius, inžinierius ir grėsmių tyrimų duomenis. Tai nėra pažadas perduoti DI tiesioginę elektros tinklo kontrolę. Modeliai turėtų padėti specialistams analizuoti kodą, konfigūracijas ir galimus atakos kelius, o sprendimai liktų operatorių rankose.
Tokia kryptis svarbi ir Lietuvai, kur energetikos, transporto bei viešojo sektoriaus sistemos tampa vis labiau skaitmenizuotos. DI modeliams persikeliant į vis daugiau įrenginių, auga ne tik jų nauda, bet ir programinės tiekimo grandinės rizika.
„OSS Scanner“ sėkmę lems ne rastų įtarimų skaičius. Svarbiau, kiek aptiktų spragų bus patvirtintos, kiek pataisų priims projektų autoriai ir ar jos nesukels naujų problemų. Jei priemonė sumažins triukšmą, o ne jį padidins, ji gali suteikti mažoms atvirojo kodo komandoms saugumo pajėgumus, kuriuos iki šiol turėjo tik didžiausios technologijų bendrovės.