AI mở rộng khoảng cách lỗ hổng và khoảng cách trách nhiệm
TREE NEWS đưa tin: Charles Guillemet, Giám đốc Công nghệ (CTO) của công ty sản xuất ví phần cứng Ledger, đã đưa ra cảnh báo rõ ràng: trí tuệ nhân tạo và các mô hình ngôn ngữ lớn đã giảm đáng kể rào cản trong việc phát hiện và khai thác các lỗ hổng phần mềm. Công việc mà trước đây các nhà nghiên cứu bảo mật phải mất nhiều tuần giờ đây có thể hoàn thành trong vài giờ kỹ thuật prompt, ông lưu ý. Sự thay đổi này có nghĩa là khoảng thời gian giữa việc phát hiện lỗi và khai thác nó đang thu hẹp lại – và nhu cầu tiết lộ phối hợp giữa các nhà nghiên cứu và nhà cung cấp chưa bao giờ cấp thiết hơn thế.
Từ vài tuần đến vài giờ: Bối cảnh mối đe dọa mới
Bình luận của Guillemet phản ánh một thực tế rộng lớn hơn trong toàn ngành tiền điện tử. Hợp đồng thông minh, phần mềm ví và giao thức cầu nối được xây dựng trên các mã nguồn phức tạp, nơi một lỗi duy nhất có thể rút sạch hàng triệu đô la. Trong lịch sử, việc tìm ra những lỗi như vậy đòi hỏi kiến thức chuyên sâu, kiểm toán thủ công và thường là may mắn. Các công cụ AI hiện hỗ trợ cả những tác nhân tương đối thiếu kinh nghiệm trong việc xác định các mẫu đáng ngờ, tạo đoạn mã khai thác và quét các lớp lỗ hổng đã biết trên quy mô lớn. Sự dân chủ hóa nghiên cứu lỗ hổng này là con dao hai lưỡi: nó trao quyền cho tin tặc mũ trắng tìm và báo cáo vấn đề nhanh hơn, nhưng cũng trang bị cho các tác nhân độc hại một bộ công cụ trinh sát và tấn công chi phí thấp.
Ý nghĩa đối với các công ty tiền điện tử là sâu sắc. Trong khi kiểm toán chính thức vẫn cần thiết, chúng không còn đủ như một điểm kiểm tra một lần. Giám sát liên tục, chương trình tiền thưởng lỗi với thời gian phản hồi nhanh và sổ tay ứng phó sự cố mạnh mẽ đang trở thành yêu cầu cơ bản. Guillemet nhấn mạnh rằng tiết lộ phối hợp – nơi các nhà nghiên cứu báo cáo vấn đề riêng tư cho nhà cung cấp và cho phép triển khai bản vá trước khi công khai – là chìa khóa để ngăn chặn hỗn loạn. Nếu thiếu sự phối hợp như vậy, việc khai thác được tăng tốc bằng AI có thể vượt qua việc vá lỗi, dẫn đến sự gia tăng các cuộc tấn công zero-day nhằm vào cả các dự án được tài trợ tốt.
Điều này có ý nghĩa gì đối với hệ sinh thái
Đối với người dùng, bài học là hãy thận trọng với các giao thức mới hoặc chưa được kiểm toán, ngay cả những giao thức có tích hợp AI hào nhoáng. Đối với nhà phát triển, thông điệp là hãy đưa bảo mật vào vòng đời phát triển và coi các kênh tiết lộ là một phần quan trọng của sản phẩm. Các cơ quan quản lý cũng đang theo dõi: khi các công cụ AI trở nên dễ tiếp cận hơn, ranh giới giữa nhà nghiên cứu bảo mật và tin tặc độc hại trở nên mờ nhạt, và các khuôn khổ pháp lý cho việc tiết lộ có trách nhiệm có thể cần được cập nhật.
Nhìn về phía trước: Cuộc đua giữa phòng thủ AI và tấn công AI
Cảnh báo của Guillemet là một lời kêu gọi hành động. Ngành công nghiệp phải đầu tư vào các công cụ phòng thủ được hỗ trợ bởi AI có thể theo kịp tốc độ của các cuộc tấn công do AI điều khiển. Chúng ta có thể sớm thấy việc vá lỗ hổng tự động, xác minh chính thức có sự hỗ trợ của AI và chia sẻ thông tin tình báo mối đe dọa theo thời gian thực trở thành thông lệ tiêu chuẩn. Các dự án phát triển mạnh sẽ là những dự án coi bảo mật như một quá trình năng động, hợp tác – không phải là một báo cáo kiểm toán tĩnh. Trong thời đại AI, tiết lộ phối hợp không chỉ là một phép lịch sự; đó là một cơ chế sinh tồn.
