Почему компании испытывают нехватку сотрудников, несмотря на развитие безопасного ИИ? Один случай исправления уязвимости требует привлечения сотен ИТ-специалистов

ИИ значительно ускоряет обнаружение уязвимостей, но настоящие проблемы для компаний возникают после сканирования.

Источник: Jin10 Data

ИИ ускоряет обнаружение уязвимостей в программном обеспечении, но некоторые компании увеличивают количество сотрудников по безопасности и бюджет. Как сообщает The Information на этой неделе, глобальный ИТ-поставщик Diversified планирует увеличить бюджет на программное обеспечение безопасности примерно на 20% в следующем году и нанять как минимум трех новых сотрудников по кибербезопасности.

Масштабы работ по исправлению уязвимостей объясняют эти дополнительные расходы. Как сообщает The New York Times, недавно выявленная уязвимость в PHP требует изменения около 200 файлов. После того, как исследователи обнаружили проблему, несколько компаний и поддерживающие проекты с открытым исходным кодом потратили недели на координацию исправлений, а затем уведомили соответствующие органы для помощи в развертывании патчей.

Экстренные исправления занимают рабочие руки разработчиков

Недавно Diversified, работая с уязвимостями PHP и библиотеки сжатия веб-трафика Brotli, привлекла большую часть из примерно 100 ИТ-специалистов. Участниками стали аналитики и инженеры, которые обычно не занимаются вопросами безопасности, им нужно было проверить, какие облачные приложения и веб-страницы могут быть затронуты, и установить патчи.

Главный информационный директор компании сообщил The Information, что работа по исправлению требует гораздо больше, чем простое обновление, и отнимает время от повседневной деятельности. Запланированные дополнительные расходы на программное обеспечение безопасности включают инструменты ИИ, способные автоматически контролировать приложения; новые сотрудники будут заниматься реальными потребностями в исправлении.

Стартап в области программного обеспечения Atomicwork также столкнулся с необходимостью сосредоточиться на проверках. Генеральный директор Вижай Раяпати (Vijay Rayapati) на прошлой неделе попросил около 30 инженеров-программистов приостановить текущую работу и сосредоточиться на вопросах кибербезопасности. В конечном итоге компания подтвердила, что не подвергалась непосредственной угрозе, но все равно потратила ресурсы на проверки.

Раяпати планирует, что на каждые три новых технических сотрудника будет приходиться один инженер по кибербезопасности. Он ожидает, что в следующем году количество инженеров, сосредоточенных на кибербезопасности, увеличится до примерно 27 человек, что в три раза больше текущего числа. Это часть плана по набору сотрудников, который еще не полностью реализован.

После нахождения уязвимости необходимо подтверждение, исправление и развертывание

Сообщение The New York Times о процессе исправления PHP показывает, что исследователи безопасности из Calif начали проверять этот язык программирования с помощью ИИ-агента с июля и обнаружили уязвимость, скрывавшуюся более десяти лет. Затем они связались с поддерживающими PHP и командой Wiz, обнаружившей аналогичные уязвимости, чтобы совместно продвигать исправление.

Инженеры-участники сотрудничали через специальные каналы связи и ежедневно проводили телефонные переговоры для координации. Когда патч был почти завершен, команда уведомила государственные учреждения и компанию Cloudflare, занимающуюся интернет-инфраструктурой, чтобы помочь расширить масштаб развертывания. После проверки выходных данных кодовые изменения и координация между учреждениями все еще требовали времени.

Поддерживающие проекты с открытым исходным кодом также должны сначала определить, действителен ли отчет. The New York Times отмечает, что с конца прошлого года некоторые проекты получили множество отчетов об уязвимостях, сгенерированных ИИ, которые не были должным образом протестированы, а также действительно ценные находки. Согласно данным фонда OpenJS, в этом году Node.js подтвердил и исправил 50 уязвимостей, что превышает количество уязвимостей в любые предыдущие годы.

Между раскрытием уязвимости и успешной атакой все еще существует разрыв. Axios на этой неделе цитирует исследователей безопасности, которые утверждают, что недавняя уязвимость PHP, хотя и вызвала множество попыток атак, но создать эффективную атаку было сложно, и успешных случаев было немного, что также способствовало работе по защите компаний.

Счета за сканирование побуждают компании искать более дешевые модели

Помимо увеличения числа сотрудников по безопасности, само сканирование ИИ также является затратной статьей. Главный информационный директор компании UiPath (PATH.N) Скотт Робертс (Scott Roberts) сообщил The Information, что использование Mythos от Anthropic для сканирования одного кодового репозитория стоит около 25 000 долларов; у компании есть сотни кодовых репозиториев, и недавно она сократила такие расходы, используя более дешевые модели с открытым исходным кодом.

В отчете Morgan Stanley на этой неделе связывается низкая цена моделей с работой по безопасности. Банк считает, что открытые модели с весами могут снизить затраты на обработку данных, таких как журналы, расследование предупреждений, классификацию угроз и автоматический ответ; клиенты или конкуренты также могут использовать эти модели для замены некоторых функций безопасности, за которые ранее требовалась дополнительная оплата.

В отчете также отмечается, что более низкие затраты на вывод могут привести к большему объему использования, и сэкономленные средства останутся у поставщика программного обеспечения или клиента, в зависимости от конкуренции и модели ценообразования.

The Information также взял интервью у главного информационного директора крупной энергетической компании США. Этот человек сообщил, что бюджет на кибербезопасность компании, основанный на 30 миллионах долларов, в этом году увеличился более чем на 10% по сравнению с прошлым годом, и дополнительные расходы пойдут на Mythos и дополнительные функции ИИ для существующих продуктов безопасности.

Существующие инструменты защиты электронной почты и мониторинга данных компании взимают отдельную плату за непрерывно работающие функции ИИ. Чтобы оплатить новые функции, компания уже заранее использовала бюджет на кибербезопасность на следующий год.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.