Ta mesec so strokovnjaki za kibernetsko varnost odkrili ranljivosti v več pomembnih storitvah. Med drugim v programskem jeziku PHP, platformi za razvoj programske opreme gitlab, okolju node.js in medijskem strežniškem programu plex. Pri odkrivanju ranljivosti PHP so sodelovali raziskovalci podjetij Wiz, Calif in OpenAI, ki so uporabili orodja umetne inteligence. Zaradi odkritij se je že začelo širiti poimenovanje »črni oktober«.
Matthew Prince, izvršni direktor podjetja Cloudflare, ki spremlja velik del internetnega prometa, je opozoril na hiter porast poskusov izkoriščanja ranljivosti PHP. »V desetih urah pred javno objavo smo v omrežju Cloudflare zaznali na tisoče poskusov izkoriščanja. V 45 minutah po objavi se je število povzpelo na več deset tisoč, v dveh urah na več sto tisoč, zdaj pa jih je že na milijone,« je zapisal na omrežju X.
Da so na vidiku težave, so že pred časom svarili vodilni ljudje podjetij, ki razvijajo umetno inteligenco. Ne toliko o nevarnosti, da bi ta pobegnila izpod nadzora, ampak zaradi njene zmogljivosti za odkrivanje varnostne ranljivosti. To je med drugim tudi razlog, da je Bela hiša za nekaj časa omejila izvoz Anthropicovega modela mythos. Izvoz danes ni več omejen, podjetje pa ga lahko ponudi zgolj preverjenim organizacijam.
Zakaj ima umetna inteligenca premoč?
Težava niti ni nujno v tem, da bi bila umetna inteligenca sposobna videti bolje od ljudi. Velik del njenih prednosti je že sam obseg dela, ki ga lahko opravi. Sistematično lahko preiskuje velike količine programske opreme ter odkriva napake, ki so jih razvijalci spregledali. Odkrije pa lahko tudi ranljivosti v sistemih, za katere ne skrbi več nihče.
Pri OpenAI so ob tem izpostavili, da je odkritje ranljivosti PHP pokazalo pomembnost usklajenega razkritja ranljivosti, ki omogoči čas za pripravo popravkov. So pa dodali, da umetna inteligenca skrajšuje obdobje, v katerem se lahko organizacije na odkrite napake pripravijo.
Pojavljajo se tudi skrbi, da bi lahko napadalci vse lažje izkoriščali ranljivosti v sistemih, ki jih ni mogoče posodobiti. Ogroženi bi lahko bili zlasti stari spletni arhivi. Strah pred vdori pa bi lahko njihove upravljalce prisilil v trajen izklop zastarelih strani. Pogosto se izpostavlja tudi bojazen, da bi hekerji lahko s pomočjo umetne inteligence razvili nova orodja za zlonamerne napade na informacijske sisteme.
Se bojijo Satana ali nam ga prodajajo?
Opozorila prvega moža Anthropica Daria Amdeia in prvega moža OpenAI Sama Altmana o nevarnosti umetne inteligence sicer vselej spremlja nenavadno nelagodje. Dobro ga je povzel grški ekonomist in politik Janis Varufakis. »Govorijo nam: Poglejte, ustvarili smo Satana, ustavite nas. Toda tisto, kar želijo, da slišimo, na kar namigujejo, je v resnici nekaj drugega: Mar si ne želite tudi vi koščka tega Satana?«
Pojavile so se tudi druge kritike. Ne toliko kritike tega, da bi razvijalci umetne inteligence morali zaustaviti razvoj. Niti kritike, da so orodja umetne inteligence prenevarna, da bi bile dostopna. Zelo pomembne kritike, ki bi jih bilo treba slišati že pred časom, namreč opozarjajo, da bi znala umetna inteligenca zlasti razkriti dolga leta površnega ustvarjanja računalniške kode, ki so jo poganjali finančni interesi, veliko manj pa je bilo poudarka na varnosti.
»Večmilijardno industrijo kibernetske varnosti imamo zato, ker je bilo ponudnikom tehnologije desetletja dovoljeno ustvarjati pomanjkljivo, nezavarovano in slabo zasnovano programsko opremo,« opozarja nekdanja direktorica ameriške agencije za kibernetsko varnost CISA Jen Easterly.
Umetna inteligenca tudi ustvarja nove težave
S prihodom umetne inteligence pa se ta podedovani problem še poglablja. Ne zgolj zato, ker lahko zdaj umetna inteligenca razgali preteklo nevestnost na področju varnosti. Z vzponom programiranja s pomočjo umetne inteligence (vibe coding) se hkrati povečuje tudi nevarnost še pogostejših ranljivosti. Umetna inteligenca lahko namreč v izjemno kratkem času ustvari kodo, ki je na videz funkcionalna, vendar obenem posnema nevarne vzorce iz starejše kode, na kateri se je učila.
Podjetje za spletno varnost Apiiro je leta 2025 v raziskavi ugotovilo, da so ekipe s pomočjo umetne inteligence kodo objavljale štirikrat hitreje, hkrati pa ustvarile tudi desetkrat več varnostnih pomanjkljivosti. Med njimi niso bile samo ranljivosti, ki bi jih napadalci lahko izkoristili, temveč tudi nevarni vzorci v kodi, izpostavljeni podatki in napačne nastavitve.
»Umetna inteligenca pomeni več kode, večjo napadalno površino in več možnosti za iste vrste napak, ki jih beležimo že od devetdesetih, le da v takšnem obsegu, da se zdi nekdanji cikel odpravljanja ranljivosti skoraj zastarel,« pa opozarjajo pri podjetju Semgrep.