Microsoft łata rekordową liczbę luk bezpieczeństwa, w tle debata o AI w cyberbezpieczeństwie

Microsoft opublikował we wrześniu rekordową aktualizację bezpieczeństwa, eliminując 972 luki, z czego 112 uznano za krytyczne. To znaczący wzrost w porównaniu do poprzednich miesięcy, kiedy to w lipcu naprawiono 570, a w sierpniu 620 podatności. Trend ten nie dotyczy wyłącznie giganta z Redmond – Google i inne firmy również odnotowały rekordową liczbę zgłoszonych i załatanych luk w ostatnich miesiącach.

Branża cyberbezpieczeństwa intensyfikuje swoje działania, reagując na rosnące obawy przed nadchodzącą falą ataków wspomaganych przez sztuczną inteligencję. Dwa tygodnie temu OpenAI, Anthropic, Amazon Web Services, Google, Microsoft oraz sto innych firm i organizacji wystosowało otwarty list, ostrzegając przed kurczącym się oknem czasowym na łatanie luk, zanim zostaną one aktywnie wykorzystane przez narzędzia AI.

Nowa normalność w cyberbezpieczeństwie

Dustin Childs, badacz z Zero Day Initiative, określa obecne wzrosty liczby łatek jako „nową normalność”. Ostrzega jednocześnie, że pomimo intensywnych działań naprawczych, potencjalne szkody wynikające z ataków wspomaganych przez AI mogą być znaczne. Childs zauważa: „Z jednej strony, gratulacje dla 'bezpieczników' w Microsofcie za zdolność do łatania błędów w takim tempie. Z drugiej strony, odkrywanie luk wspomagane przez AI nie wykazuje oznak spowolnienia. Nie zaobserwowaliśmy jednak korelującego wzrostu aktywnych exploitów – jeszcze”.

Precyzyjne liczenie luk w miesięcznych aktualizacjach Microsoftu nigdy nie jest proste, ponieważ niektóre błędy mogły być już wcześniej załatane lub dotyczyły produktów innych firm. Według wyliczeń Childsa, wrześniowa aktualizacja obejmuje 972 luki, a liczba ta wzrasta do 997, jeśli uwzględnić poprawki przeniesione z przeglądarki Chromium do Edge. Spośród nowych podatności, 112 ma status krytyczny, a pozostałe są oznaczone jako ważne. W tym roku Microsoft naprawił już 2760 luk, co stanowi ponad dwukrotność liczby z ubiegłego roku. Przy obecnym tempie, firma zakończy rok z większą liczbą załatanych błędów niż w latach 2023, 2024 i 2025 razem wziętych.

Znaczące luki i zagrożenia

Wśród najbardziej znaczących luk w tegorocznej aktualizacji znalazły się dwie podatności typu zero-day: CVE-2026-81963 w usłudze aktualizacji Windows oraz CVE-2026-85880 w Windows Advanced Local Procedure. Brak jest publicznych informacji na temat tego, kto je wykorzystuje i na jaką skalę. Childs zwrócił również uwagę na liczne luki typu „wormable”, czyli takie, które nie wymagają interakcji użytkownika do rozprzestrzeniania się i mogą samodzielnie infekować kolejne maszyny, wywołując trudną do zatrzymania reakcję łańcuchową. Badacz przyznał, że przestał liczyć takie podatności po osiągnięciu liczby 20.

Kontrowersje wokół AI w wykrywaniu luk

Skuteczność wykorzystania sztucznej inteligencji w poszukiwaniu luk bezpieczeństwa budzi kontrowersje. Krytycy kwestionują wysokie koszty i dużą liczbę fałszywych pozytywów generowanych przez duże modele językowe (LLM). Podnoszą również pytania o motywy firm inwestujących miliardy dolarów w rozwój silników AI, które następnie są wykorzystywane do znajdowania i łatania tych samych błędów.

Zwolennicy argumentują, że wyniki mówią same za siebie – wspomagane przez AI narzędzia odkrywają rekordową liczbę poważnych błędów w całej branży. Na przykład Mozilla poinformowała w maju, że jej badacze, używając narzędzia Mythos, znaleźli rekordowe 271 luk, z niemal zerową liczbą fałszywych pozytywów.

Prawdziwa, długoterminowa skuteczność wspomaganego przez AI poszukiwania błędów będzie znana dopiero za rok lub dłużej. Już teraz jednak jasne jest, że krytycy powinni zachować ciekawość i otwartość na możliwość, że proces odkrywania luk wkroczył w nową i bezprecedensową fazę. Lekceważenie tego zjawiska może okazać się ryzykowne dla sceptyków.

Intensyfikacja działań w zakresie łatania luk bezpieczeństwa, napędzana częściowo przez rozwój sztucznej inteligencji, wskazuje na dynamiczną zmianę w krajobrazie cyberbezpieczeństwa. Firmy technologiczne, w tym Microsoft, reagują na nowe zagrożenia, starając się wyprzedzić potencjalnych atakujących. Ta sytuacja podkreśla rosnące znaczenie proaktywnego podejścia do bezpieczeństwa i nieustannego inwestowania w technologie, które mogą zarówno tworzyć, jak i eliminować nowe ryzyka w cyfrowym świecie.

Źródło: arstechnica.com