AI-jagt på softwarefejl kan underminere regeringernes hackingværktøjer

Kunstig intelligens er hovedsageligt blevet diskuteret som et våben for angribere, et værktøj, der hjælper hackere med at arbejde hurtigere og skalere deres operationer. Men en voksende mængde forskning tyder på, at AI lige så nemt kunne vælte balancen den anden vej. Hvis AI hjælper forsvarere med at finde og rette softwarefejl hurtigere, end angribere kan udnytte dem, kan puljen af anvendelige zero-day-sårbarheder skrumpe, og det ville få direkte konsekvenser for regeringernes hackingværktøjer, der er afhængige af disse fejl.

Hvorfor Zero-Days betyder noget for regeringernes hackingværktøjer

En zero-day er en software-sårbarhed, som leverandøren endnu ikke kender til, hvilket betyder, at der ikke findes en opdatering, der kan rette den. Det gør zero-days ekstremt værdifulde, ikke kun for kriminelle hackere, men også for regeringsorganer, der bruger dem til overvågning, efterretningsindsamling og retshåndhævende efterforskninger. Der findes hele markeder omkring opdagelse, køb og oplagring af disse fejl, og regeringernes hackingværktøjer er ofte afhængige af en stabil forsyning af ikke-offentliggjorte sårbarheder for at forblive effektive.

Logikken er ligetil: Jo sværere det bliver at finde en fungerende zero-day, jo sværere bliver det for enhver aktør, regering eller ej, at bygge pålidelige hackingværktøjer omkring én. Hvis AI-systemer bliver markant bedre til at scanne kode, spotte mønstre, der indikerer en sårbarhed, og markere problemer, før de sendes på markedet, kan forsyningen af udnyttelige fejl tørre ud hurtigere, end nye skabes. Det er kerneidéen bag rapporteringen om, at AI potentielt kan gøre regeringernes hackingværktøjer sværere at bruge fremover.

Forsvarere får en ny fordel

Historisk set har angrebet haft overhånden inden for cybersikkerhed. At finde en enkelt fejl i en enorm kodebase er tidskrævende og kræver specialiserede færdigheder, og forsvarere skal beskytte alle mulige indgangspunkter, mens angribere kun behøver at finde ét. AI-værktøjer, der automatisk kan scanne kildekode, simulere angrebsveje og identificere svagheder i stor skala, kunne begynde at udjævne denne asymmetri. Hvis AI-assisteret fejljagt bliver standardpraksis i softwarevirksomheder, kan sårbarheder blive opdaget og rettet under udviklingen i stedet for at blive opdaget senere af eksterne forskere eller efterretningstjenester.

Det skift ville betyde noget langt ud over virksomhedernes sikkerhedsteams. Regeringsorganer, der udvikler eller køber hackingværktøjer til lovlig overvågning og efterforskning, har generelt regnet med, at der ville være en sund forsyning af ikke-offentliggjorte sårbarheder at udnytte. Hvis den forsyning bliver tyndere, fordi AI lukker hullerne hurtigere, kan organer opdage, at deres eksisterende værktøjskasser mister effektivitet over tid, hvilket tvinger nye investeringer, nye teknikker eller helt forskellige tilgange til digitale efterforskninger.

Nye spørgsmål om regeringers hackingbeføjelser

Et tyndere zero-day-marked påvirker ikke kun efterretningstjenesternes tekniske kapacitet, det rejser også politiske spørgsmål, som regulatorer, domstole og privatlivsfortalere har kæmpet med i årevis. Regeringer har længe mødt kritik for, hvordan de anskaffer, bruger og nogle gange oplagrer sårbarheder i stedet for at offentliggøre dem til leverandører, så de kan rettes. Hvis AI gør zero-days sværere at få fat i, bliver debatten om, hvorvidt organer bør være forpligtet til at offentliggøre fejl, de opdager, i stedet for at hamstre dem til offensiv brug, endnu mere skarp.

Dette hænger også sammen med et bredere mønster, hvor AI-systemer overhaler de regler, der skal styre dem. Ligesom privatlivsvagthunde har advaret om, at AI-slutningssmuthuller allerede slår statslige love, viser fremkomsten af AI-assisteret sårbarhedsforskning, hvor hurtigt det tekniske landskab kan skifte under politiske rammer, der ikke var designet med AI for øje. Lovgivere og tilsynsorganer kan få behov for at genoverveje, hvordan regeringers hackingbeføjelser autoriseres og revurderes, hvis de underliggende tekniske antagelser, nemlig at zero-days forbliver rigelige, ikke længere holder.

Hvad dette betyder for dig

For almindelige brugere er en verden med færre anvendelige zero-days generelt gode nyheder. Sårbarheder, der opdages og rettes, før de udnyttes, betyder færre muligheder for både kriminelle hackere og regeringsværktøjer til at kompromittere dine enheder, apps og konti uden din viden. Det betyder også, at den software, du bruger hver dag, fra browsere til beskedapps, kunne blive mere sikker som standard, efterhånden som AI-assisteret testning bliver en normal del af, hvordan virksomheder bygger produkter.

Det skal dog siges, at dette skift vil tage tid, og det vil ikke fjerne incitamentet for regeringer eller kriminelle til at søge nye måder at få adgang til systemer på. Værktøjerne kan ændre sig, men det underliggende mål om at opnå uautoriseret adgang til enheder og data forbliver det samme.

Vigtigste pointer

• AI-assisteret fejljagt kan gøre zero-day-sårbarheder sjældnere, hvilket direkte vil påvirke regeringernes hackingværktøjer, der er bygget omkring dem.
• En skrumpende forsyning af ikke-offentliggjorte sårbarheder kan presse organer mod nye metoder eller fornyet debat om politik for offentliggørelse af sårbarheder.
• Hold din software og dine operativsystemer opdateret regelmæssigt, da opdateringer forbliver det mest pålidelige forsvar mod kendte og nye sårbarheder.
• Hold dig informeret om, hvordan AI omformer både offensiv og defensiv cybersikkerhed, da den samme teknologi, der accelererer angreb, i sidste ende kan styrke forsvaret, der beskytter dit privatliv.