בשבוע שעבר קרה משהו שהיה נשמע לפני כמה שנים כמו תסריט של סרט מדע בדיוני, ועבר כמעט בלי שנשים לב למשמעות שלו. מודלים של בינה מלאכותית, בידיים של חוקרי אבטחה, מצאו שתי חולשות קריטיות ב-PHP, שפת התכנות שמפעילה חלק עצום מאתרי האינטרנט. החולשות, שקיבלו את השם PHP2Shell, מאפשרות להריץ קוד על שרת מרוחק בלי סיסמה. עדכוני חירום פורסמו, מנהלי מערכות רצו לתקן, והעולם המשיך הלאה.
אבל כדאי לעצור לרגע. הסיפור האמיתי כאן הוא לא עוד חולשה ועוד עדכון. הסיפור הוא שהבינה המלאכותית הפכה לכלי מצוין לגילוי חולשות אבטחה, וזה משנה את כללי המשחק בסייבר. השאלה החשובה היא כבר לא מי ימצא את הפרצה הבאה. השאלה היא מי יתקן אותה, וכמה מהר.
המכונה לא מתעייפת
במשך עשורים, גילוי חולשות היה עבודה של מומחים מעטים. חוקר אבטחה טוב יכול לבלות שבועות על קטע קוד אחד, לנסות כיוונים, להיתקע ולהתחיל מחדש. מודל שפה מתקדם לא מתעייף, לא משתעמם ויכול לבחון אלפי נתיבים במקביל. במקרה של PHP2Shell, לפי הדיווחים, החוקרים בחברות Wiz ו-Calif נעזרו במודלים של OpenAI ושל גוגל כדי לאתר בעיות בקוד שנבדק כבר אינספור פעמים.
זו בשורה טובה. כל חולשה שנמצאת על ידי חוקרים אחראים ומדווחת למפתחים היא חולשה שתוקף לא ינצל בשקט. אבל צריך להיות כנים: אותם כלים זמינים גם לצד השני. אם מודל יכול לעזור לחוקר מ-Wiz, הוא יכול לעזור גם לקבוצת תקיפה ממומנת היטב. והנתון המטריד ביותר מהפרשה הזו הוא שתועד ניסיון ניצול ארבעה ימים לפני הפרסום הרשמי. מישהו ידע, או מצא בעצמו, לפני שהתיקון היה זמין לכולם.
צוואר הבקבוק עבר צד
כאן נמצאת הנקודה שהתעשייה עוד לא הפנימה. במשך שנים צוואר הבקבוק באבטחת מידע היה הגילוי: חולשות ישבו בקוד שנים כי אף אחד לא מצא אותן. עכשיו הגילוי הופך זול ומהיר, וצוואר הבקבוק עובר לצד השני, אל התיקון.
ותיקון הוא תהליך אנושי, איטי ומסורבל. ארגון ממוצע לא יודע בדיוק איפה רצה אצלו כל גרסה של כל תוכנה. יש שרתים שנשכחו, קונטיינרים שנבנו מתמונת בסיס בת שלוש שנים, ספקי אחסון שמעדכנים בקצב שלהם, ומערכות קריטיות שאף אחד לא מעז לגעת בהן באמצע הרבעון. לפי הסיכומים של PHP2Shell, גרסאות PHP 8.1 וישנות יותר בכלל לא יקבלו תיקון רשמי. מי שעדיין מריץ אותן, וזה לא מעט אתרים, נשאר חשוף עד שישדרג.
כשהמודלים ימצאו עשר חולשות קריטיות בחודש במקום אחת, הפער הזה ייהפך לתהום. לא יעזור שנמצא כל פרצה תוך שעות, אם עדכוני אבטחה ימשיכו להיות מותקנים תוך חודשים.
וזו לא רק בעיה טכנית, זו בעיה של סדרי עדיפויות. באותו שבוע שבו מנהלי מערכות רצו לעדכן שרתים, מטא הודיעה שהיא מגייסת עד 95 מיליארד דולר כדי לבנות עוד תשתיות לבינה מלאכותית. התעשייה מוכנה להשקיע סכומים דמיוניים כדי שהמודלים יהיו חכמים יותר. אני לא בטוח שהיא מוכנה להשקיע אפילו שבריר מזה כדי שהתוכנה שכולנו נשענים עליה תהיה מעודכנת. ספריות קוד פתוח שמחזיקות חצי מהאינטרנט מתוחזקות לא פעם על ידי קומץ מתנדבים, ועכשיו הם מקבלים דוחות חולשה בקצב שאף צוות קטן לא יכול לעמוד בו.
מה צריך לקרות עכשיו
קודם כול, ארגונים צריכים להתייחס לעדכוני אבטחה כמו לתשתית, ולא כמו למשימה שנדחית לסוף השבוע. מי שלא יודע מה רץ אצלו לא יכול לעדכן אותו. מיפוי מלא של התוכנות והגרסאות הוא כבר לא מותרות, הוא תנאי בסיס.
שנית, אותה בינה מלאכותית שמוצאת פרצות צריכה לעזור גם לתקן אותן. אם מודל יודע להסביר למה קטע קוד פגיע, הוא יכול גם להציע תיקון, לבדוק אותו ולהכין אותו להטמעה. ההשקעה בכלי AI לסייבר לא יכולה להתמקד רק בצד ההתקפי והמחקרי. הכסף הגדול צריך ללכת לאוטומציה של התיקון.
ושלישית, צריך לחשוב מחדש על תוכנה ישנה. גרסה שאין לה תמיכה היא לא "עוד עובדת". היא חשבון פתוח שמישהו יגבה ממנו בסוף.
ורביעית, גם לרגולטורים יש תפקיד. כללי הגילוי האחראי נכתבו לעולם שבו מציאת חולשה הייתה אירוע נדיר. כשהגילוי הופך לתעשייה אוטומטית, צריך לקבוע מחדש כמה זמן מקבלים המפתחים לתקן, מי מממן את התיקונים בפרויקטים של קוד פתוח, ומה החובה של ספקי אחסון ושירותי ענן לעדכן את הלקוחות שלהם, ולא רק לפרסם הודעה ולקוות לטוב.
לישראל, עם תעשיית הסייבר החזקה שלה, יש כאן הזדמנות אמיתית. החברות שיצליחו לסגור את הפער בין גילוי לתיקון, ולא רק לגלות מהר יותר, הן אלה שיגדירו את הדור הבא של אבטחת המידע. יש לנו את הכישרון, את הניסיון הצבאי והאזרחי ואת התרבות של בניית מוצרי אבטחה. מה שחסר הוא ההבנה שהשוק הבא בסייבר הוא לא עוד כלי שמתריע על בעיות, אלא כלי שפותר אותן.
הבינה המלאכותית כבר ניצחה במרוץ למציאת הפרצות. המרוץ שנשאר פתוח הוא המרוץ לסגור אותן, ובמרוץ הזה אנחנו עדיין הולכים ברגל.
