Η Broadcom διορθώνει 89 «νέες ευπάθειες» που εντόπισε με AI μέσω της πλατφόρμας TrueSource
Η Broadcom διένειμε δεκάδες διορθώσεις για ευπάθειες που εντοπίστηκαν με τεχνητή νοημοσύνη σε επιλεγμένους χρήστες του TrueSource Spring Enterprise, καθώς οι προμηθευτές λογισμικού στρέφονται όλο και περισσότερο στην AI για τον εντοπισμό ελαττωματικού κώδικα.
Η Broadcom προχώρησε αυτή την εβδομάδα στη διάθεση δεκάδων διορθώσεων για ευπάθειες που εντοπίστηκαν με τη βοήθεια τεχνητής νοημοσύνης, απευθυνόμενη σε επιλεγμένους χρήστες της πλατφόρμας της TrueSource Spring Enterprise. Η κίνηση, όπως αναφέρει το SDxCentral, υπογραμμίζει μια αυξανόμενη τάση των προμηθευτών πλατφορμών λογισμικού να αξιοποιούν την AI για τον εντοπισμό και την αποκατάσταση προβληματικού κώδικα.
Σύμφωνα με την εταιρεία, διατέθηκαν πρόσφατα διορθώσεις για 89 «νέες ευπάθειες» (novel vulnerabilities), οι οποίες προωθήθηκαν σε πελάτες κρίσιμων υποδομών και σε άλλους που πληρούν τις προϋποθέσεις πρώιμης πρόσβασης, πριν τη δημόσια γνωστοποίησή τους. Η Broadcom σημείωσε ότι μέσω της πλατφόρμας TrueSource έχει πλέον εντοπίσει και διανείμει διορθώσεις για 408 ευπάθειες, παρέχοντας περισσότερες από 1.090 «fixes», έχοντας αξιολογήσει πάνω από 2.600 αναφορές και φιλτράρει περισσότερους από 3.000 ψευδείς συναγερμούς.
Μια ενιαία πηγή για το open-source λογισμικό
Η πλατφόρμα TrueSource παρουσιάστηκε στο πλαίσιο του πρόσφατου event VMware Explore, ως συνέχεια της κίνησης της Broadcom νωρίτερα φέτος να ενισχύσει την ασφάλεια της αλυσίδας εφοδιασμού του οικοσυστήματος Spring. Η πλατφόρμα περιλαμβάνει το χαρτοφυλάκιο λογισμικού ανοιχτού κώδικα της εταιρείας για επιχειρήσεις, το οποίο —όπως αναφέρεται— είναι «επαληθευμένο από μηχανικούς και παρεχόμενο από μία αξιόπιστη πηγή».
Η Broadcom χρησιμοποιεί προηγμένα μοντέλα τεχνητής νοημοσύνης για να σαρώνει και να κατασκευάζει patches για τις ευπάθειες. Οι πελάτες του TrueSource Spring Enterprise λαμβάνουν άμεσες διορθώσεις σε όλες τις υποστηριζόμενες εκδόσεις της πλατφόρμας, εξασφαλίζοντας άμεση πρόσβαση ακόμη και για παλαιότερες (legacy) εκδόσεις, ενώ για τις τρέχουσες εκδόσεις παρέχονται patches αποκλειστικά ασφαλείας ώστε να επιταχύνεται η ανάπτυξή τους. Οι αναλυτικές πληροφορίες για κάθε ευπάθεια δημοσιεύονται όταν οι διορθώσεις φτάνουν στην κοινότητα και εκδίδονται τα σχετικά CVE.
Η Purnima Padmanabhan, VP και GM για το Tanzu της Broadcom, είχε εξηγήσει νωρίτερα φέτος ότι το TrueSource αποτελεί «μία επωνυμία για όλα όσα κάνουμε, ώστε να προσφέρουμε στους πελάτες ασφαλείς, καθαρές βιβλιοθήκες και εικόνες ανοιχτού κώδικα». Όπως σχολίασε, πρόκειται για «έναν υπεύθυνο» στον οποίο μπορεί να απευθυνθεί ο πελάτης, παρομοιάζοντας τη διαδικασία με συνταγή μαγειρικής: πριν ξεκινήσει η δημιουργία μιας εφαρμογής, πρέπει να διασφαλιστεί ότι τα «συστατικά» είναι καθαρά.
Ο φόβος μπροστά στην ισχύ των AI εργαλείων
Η Padmanabhan τόνισε ότι το ζήτημα γίνεται ολοένα πιο κρίσιμο για τις επιχειρήσεις, εν μέσω της έξαρσης ευπαθειών λογισμικού που συνδέονται με τη χρήση της πλατφόρμας Claude Mythos της Anthropic. «Αν ο πελάτης έχει το Mythos, το άγχος του είναι στα ύψη. Οι πελάτες που δεν το έχουν δει, ακόμη δεν συνειδητοποιούν την απίστευτη δύναμη αυτού του πράγματος. Φοβήθηκα», δήλωσε, προσθέτοντας ημι-αστειευόμενη ότι όταν είδε τις δυνατότητες του Mythos, πήγε σπίτι και είπε στον σύζυγό της ότι έπρεπε να αδειάσουν τον τραπεζικό τους λογαριασμό και να επενδύσουν σε χρυσό.
«Είναι το είδος των ευπαθειών — οι προσβάσιμες μέσω δικτύου ευπάθειες, τα exploits, ακόμη και η τροποποίηση kernel modules — μας τρομάζουν, αλλά όποιος δεν έχει δει το Mythos δεν το καταλαβαίνει», πρόσθεσε.
Η ίδια εξήγησε ότι η ομάδα Tanzu αξιοποίησε το Mythos για να σαρώσει 2.000 ευπάθειες σε εννέα εφαρμογές βασισμένες σε microservices, καθεμία από τις οποίες έτρεχε σε περιβάλλον εικονικής μηχανής (VM), σε containerized περιβάλλον και σε περιβάλλον Tanzu. Τα αποτελέσματα έδειξαν ότι οι εφαρμογές που έτρεχαν στο περιβάλλον Tanzu κατάφεραν να περιορίσουν κατά 60% τα exploits.
Τα όρια της προστασίας
Αυτό ωστόσο δεν σημαίνει ότι η Broadcom εξουδετερώνει κάθε ευπάθεια. Η CrowdStrike ανακοίνωσε την ίδια εβδομάδα ότι ομάδα χάκερ συνδεόμενη με την Κίνα εκμεταλλεύτηκε μια ευπάθεια ανεπαρκούς καταγραφής (logging) στο VMware ESX, η οποία εντοπίστηκε αρχικά τον Ιούλιο. Το κενό επέτρεπε στους επιτιθέμενους να παρακάμπτουν την καταγραφή εντολών διαχειριστή και να αποκρύπτουν κακόβουλη δραστηριότητα, ενώ malware αναπτύχθηκε εντός περιβαλλόντων VMware vCenter.
Οι παραβιάσεις σημειώθηκαν πριν η Broadcom διορθώσει τα συγκεκριμένα κενά, τα οποία επηρέαζαν το vCenter και τις συναφείς υπηρεσίες Cloud Foundation (VCF), vSphere Foundation και Telco Cloud.
Ανάλογες κινήσεις από IBM και Red Hat
Η Red Hat, θυγατρική της IBM, ανακοίνωσε νωρίτερα τον ίδιο μήνα ανάλογη διάθεση διορθώσεων μέσω της πρωτοβουλίας Project Lightwell, ύψους 5 δισ. δολαρίων. Το πρόγραμμα, που παρουσιάστηκε στα τέλη Μαΐου, εστιάζει στην παροχή ενός αξιόπιστου κόμβου για την ασφάλεια της αλυσίδας εφοδιασμού λογισμικού ανοιχτού κώδικα. Πρόσφατα εντόπισε, αποκατέστησε και μετέφερε (backported) διορθώσεις σε περισσότερες από 400 άγνωστες έως τότε ευπάθειες σε ευρέως χρησιμοποιούμενες βιβλιοθήκες Java.
«Οι AI agents μετέβαλαν το τοπίο των απειλών μέσα σε μια νύχτα, εκμεταλλευόμενοι παλιές εξαρτήσεις με ταχύτητα μηχανής. Δεν τους ενδιαφέρει αν ένας κώδικας είναι 10 ετών ή θεωρείται σταθερός, γιατί αρκεί μία μικρή ρωγμή για να αλυσιδωθεί μια επίθεση», σημείωσε ο Gunnar Hellekson, VP και GM για το Lightwell στη Red Hat. «Ο εντοπισμός αυτών των σφαλμάτων είναι μόνο η μισή μάχη: η πραγματική δουλειά είναι το backporting των διορθώσεων απευθείας σε ενεργές εφαρμογές παραγωγής, ώστε οι πελάτες να μη χρειάζεται να επιλέγουν ανάμεσα στην ασφάλεια και τη διαθεσιμότητα.»
Με στοιχεία από το SDxCentral.
Πηγή: SDxCentral