NCSC — о волне обновлений уязвимостей, вызванной внедрением ИИ

Технический директор Национального центра кибербезопасности (NCSC) Олли Уайтхаус заявил, что ожидает «вынужденной коррекции» для решения проблемы технического долга, накопившегося за годы в проприетарном и открытом софте. Регулятор призвал британские организации подготовиться к всплеску новых обновлений ПО, вызванному использованием поставщиками новых мощных ИИ-инструментов для поиска и устранения уязвимостей.

До настоящего времени LLM, такие как Mythos Preview от Anthropic и GPT-5.4 от OpenAI, оставались недоступными для общественности (и злоумышленников), в то время как поставщики эксплуатировали их мощные возможности поиска ошибок для исправления своих продуктов.

«Именно поэтому мы призываем все организации уже сейчас готовиться к “волне обновлений”, которые необходимо будет применять ко всему технологическому стеку для устранения обнаруженных новых уязвимостей», — пояснил Уайтхаус. Он посоветовал специалистам уделять приоритетное внимание внешним поверхностям атаки. Это означает устранение брешей в периметровых устройствах до перехода к работе «внутри» для защиты облачного и локального оборудования.

По мнению чиновника, одного обновления ПО недостаточно: может существовать некоторый технический долг в устаревших или вышедших из эксплуатации (неподдерживаемых) технологиях. В этом случае организациям рекомендуется заменить технологии или вернуть их в систему поддержки, особенно если они представляют собой внешнюю поверхность для атак.

Главный советник по безопасности Beyond Trust Мори Хабер по этому поводу заметил: «К сожалению, большинство предприятий не имеет постоянного контроля над своей поверхностью атаки, не говоря уже о возможности приоритизировать и устранять уязвимости практически в реальном времени. Технический долг, устаревшие системы и фрагментированные модели владения создают трение, которое никакое предписание не может устранить в одночасье, а госучреждения и без того ограничены в ресурсах из-за недавних сокращений персонала, нехватки финансирования и экспертных знаний… Именно здесь политика сталкивается с реальной практикой».

Усам Оздемиров