Wired: AI skraćuje put od softverske rupe do exploita

Wired opisuje sigurnosni pomak koji se već osjeti u svakodnevnom radu: kako napadači pojačavaju AI razvoj exploita, potraga za softverskim ranjivostima prestaje biti spor, ručni proces i postaje utrka u brzini, validaciji i automatizaciji. To nije priča o jednom novom alatu koji je odjednom slomio internet. To je priča o promjeni ritma.

Generativni modeli mogu ubrzati dijelove posla koji su ranije tražili mnogo ručnog rada: čitanje koda, objašnjavanje nepoznatih funkcija, pisanje probnih skripti, usporedbu zakrpa i traženje sumnjivih obrazaca u velikim repozitorijima. Napadaču to može pomoći da brže dođe od indicije do exploita. Obrambenom timu može pomoći da brže dođe od upozorenja do potvrđene ranjivosti i prioriteta zakrpe. Razlika je u tome tko ima discipliniraniji proces.

U središtu je poznata infrastruktura sigurnosnog svijeta. Ranjivosti se i dalje bilježe kroz sustave poput CVE programa, a ozbiljnost se često procjenjuje kroz standarde poput CVSS-a. Kada ranjivost prijeđe iz teorije u stvarnu zloupotrebu, liste poput CISA Known Exploited Vulnerabilities kataloga postaju operativni signal za hitnost. AI ne ukida te mehanizme. On povećava pritisak na njih.

Najopasniji dio nove dinamike nije samo to što model može pomoći u pisanju koda za napad. Opasnija je mogućnost da se više koraka spoji u kraći ciklus: pronađi promjenu u kodu, zaključi što je zakrpa popravljala, provjeri postoji li ranjiva verzija, generiraj probni exploit, automatiziraj traženje meta. Svaki od tih koraka već je postojao. AI ih može učiniti jeftinijima i dostupnijima.

Zato obrana ne može ostati na povremenom skeniranju i ručnom čitanju izvještaja. Organizacije trebaju znati koje biblioteke koriste, koje verzije imaju u produkciji i gdje se kritični sustavi nalaze. Praktični okviri poput OWASP Top 10 i dalje su korisni jer vraćaju fokus na konkretne klase grešaka: kontrolu pristupa, kriptografske propuste, injekcije, ranjive komponente i lošu konfiguraciju. No okviri nisu dovoljni bez inventara, telemetrije i brzog puta od nalaza do promjene u kodu.

Za sigurnosne timove ovo znači manje glamura, više pogona. Treba automatizirati dosadne provjere, ali ne prepustiti odluke slijepo modelu. AI može predložiti exploit ili popravak, ali netko mora provjeriti kontekst, utjecaj i lažno pozitivne nalaze. U utrci koja se sada oblikuje, pobjednik nije onaj tko ima najglasniji model, nego onaj tko najbrže pretvara signal u provjerenu akciju.

Zaključak je neugodno jednostavan: AI era ne stvara samo pametnije napadače. Stvara sigurnosno tržište u kojem se brzina reakcije mjeri protiv brzine automatiziranog iskorištavanja. Tko još uvijek tretira ranjivosti kao kvartalni administrativni posao, već kasni.