Το μπάλωμα που γίνεται χάρτης επίθεσης: Πώς το Mythos της Anthropic μετατρέπει τις διορθώσεις ασφαλείας σε όπλα μέσα σε λίγα λεπτά

Κάθε φορά που μια εταιρεία λογισμικού κυκλοφορεί μια ενημέρωση ασφαλείας, στέλνει χωρίς να το θέλει και ένα δεύτερο μήνυμα: «εδώ ήταν η τρύπα». Η Anthropic δημοσίευσε νέα ευρήματα που δείχνουν ότι το πειραματικό της μοντέλο, το Mythos, μπορεί να διαβάσει αυτό το κρυφό μήνυμα και να φτιάξει λειτουργική επίθεση πριν προλάβουν οι περισσότεροι οργανισμοί να εγκαταστήσουν το ίδιο το μπάλωμα. Αν ισχύει στην πράξη, αλλάζει τη βασική ισορροπία της κυβερνοάμυνας.

Για να καταλάβουμε γιατί, χρειάζεται μια διάκριση. Μια zero-day ευπάθεια είναι μια τρύπα που αξιοποιείται πριν υπάρξει διαθέσιμη διόρθωση. Κανείς δεν την ξέρει, οπότε κανείς δεν αμύνεται. Μια N-day είναι το αντίθετο: η τρύπα έχει ήδη αποκαλυφθεί και διορθωθεί, αλλά εκατομμύρια συστήματα παραμένουν ευάλωτα επειδή απλώς δεν έχουν ενημερωθεί ακόμη (SANS). Το παράθυρο ανάμεσα στην κυκλοφορία της διόρθωσης και στην εγκατάστασή της λέγεται patch gap, και εκεί ζει η επίθεση.

Πώς το patch γίνεται οδηγός επίθεσης

Η τεχνική λέγεται patch diffing: ο επιτιθέμενος βάζει δίπλα-δίπλα την παλιά και τη νέα έκδοση του κώδικα και κοιτάζει τι ακριβώς άλλαξε. Η αλλαγή δείχνει πού ήταν το πρόβλημα. Το μπάλωμα δεν κλείνει απλώς την πόρτα, αφήνει και τη σημείωση του μηχανικού για το ποια πόρτα ήταν αδύναμη (Hive Security). Μέχρι τώρα αυτή η δουλειά απαιτούσε χρόνο και εξειδίκευση. Η τεχνητή νοημοσύνη δεν καταργεί τη διάκριση zero-day και N-day. Κάνει όμως το N-day παράθυρο πολύ πιο επικίνδυνο, γιατί συμπιέζει δραματικά τον χρόνο και τη δεξιότητα που χρειάζονται.

Τα νούμερα που ανακοίνωσε η Anthropic στο ερευνητικό της post «Measuring LLMs' impact on N-day exploits» είναι ο λόγος που μιλάμε γι' αυτό. Στις δοκιμές με τον browser Firefox, το Mythos Preview έφτιαξε 8 λειτουργικά exploits από 18 διορθώσεις μέσα σε περίπου 12 ώρες, με το πρώτο σε λιγότερο από μία ώρα. Στα Windows, απέδειξε ευπάθειες στον πυρήνα του λειτουργικού για 18 από 21 περιπτώσεις μέσα σε 6 ώρες, με το πρώτο proof-of-concept σε 31 λεπτά (Anthropic, Axios).

Βάλτε αυτά τα 31 λεπτά δίπλα στην πραγματικότητα της άμυνας. Σύμφωνα με αναλύσεις που επικαλούνται δεδομένα του κλάδου, ο διάμεσος χρόνος αποκατάστασης για κρίσιμες, ενεργά αξιοποιούμενες ευπάθειες είναι περίπου 43 ημέρες, και μόλις το 26% τέτοιων ευπαθειών είχε πλήρως διορθωθεί σε δείγμα οργανισμών (Veracode). Δεν είναι ότι οι γνωστές ευπάθειες έγιναν ξαφνικά επικίνδυνες. Η CISA κρατά εδώ και χρόνια κατάλογο με αυτές και απαιτεί επείγουσα διόρθωση (CISA). Είναι ότι ο επιτιθέμενος επιταχύνεται τώρα πολύ πιο γρήγορα από τους αργούς ρυθμούς των οργανισμών.

Και γίνεται φθηνό. Η ίδια έρευνα αναφέρει κόστος γύρω στα 15.700 δολάρια για 8 πλήρεις αλυσίδες κλιμάκωσης προνομίων μέχρι το επίπεδο SYSTEM, και μόλις 2.200 δολάρια για το αρχικό στάδιο (Help Net Security). Όταν η κατασκευή λειτουργικής επίθεσης κοστίζει όσο ένα μεταχειρισμένο αυτοκίνητο, το οικονομικό εμπόδιο που προστάτευε πολλούς οργανισμούς απλώς εξαφανίζεται.

Πόσο πρέπει να ανησυχούμε, και πόσο όχι

Εδώ χρειάζεται ψυχραιμία. Αυτά είναι ευρήματα της ίδιας της εταιρείας, όχι ανεξάρτητα αναπαραγμένα benchmarks. Αναμεταδίδονται από τα τεχνολογικά μέσα, αλλά δεν έχουν δημόσια επαλήθευση με κώδικα (Infosecurity Magazine). Άλλο ένα proof-of-concept σε εργαστήριο και άλλο μια πραγματική επίθεση με authentication, παρακολούθηση, συστήματα EDR (λογισμικό που εντοπίζει ύποπτη δραστηριότητα στους υπολογιστές) και τις χιλιάδες παραλλαγές μιας ζωντανής υποδομής. Το Mythos είναι περιορισμένο ερευνητικό μοντέλο, όχι εργαλείο στα χέρια του μέσου επιτιθέμενου, και ακαδημαϊκά τεστ δείχνουν ότι τα μοντέλα δυσκολεύονται ακόμη σε επιθέσεις πολλών σταδίων από άκρη σε άκρη (arXiv).

Το πρακτικό συμπέρασμα είναι: φτιάξτε γρήγορη λωρίδα για τα κρίσιμα συστήματα, όχι να διορθώσετε τα πάντα αμέσως, κάτι που ούτως ή άλλως δεν γίνεται. Προτεραιότητα παίρνουν τα συστήματα που βλέπουν προς το διαδίκτυο, οι ταυτότητες, τα VPN και το email, με προσωρινά μέτρα όπου το άμεσο patch δεν γίνεται (SANS). Για τον απλό χρήστη το μάθημα είναι πιο μικρό αλλά υπαρκτό: οι αυτόματες ενημερώσεις του browser και του λειτουργικού πρέπει να μένουν ενεργές, και χρειάζονται επανεκκίνηση για να εφαρμοστούν (Google Chrome).

Η πραγματική μετατόπιση είναι θεσμική. Μέχρι τώρα η συζήτηση για τη διακυβέρνηση της AI εστίαζε στο ποιος παίρνει πρόσβαση στο μοντέλο. Το Mythos δείχνει ότι το επόμενο πεδίο μάχης είναι αλλού: στο πόσο γρήγορα οι κατασκευαστές λογισμικού και οι διαχειριστές υποδομών μπορούν να επιβεβαιώνουν και να διορθώνουν, όταν ο χρόνος για να γίνει ένα μπάλωμα όπλο μετριέται πια σε λεπτά. Η ταχύτητα διανομής μιας ενημέρωσης μόλις έγινε εξίσου κρίσιμη με την ίδια τη διόρθωση.