La découverte des vulnérabilités de l'IA dépasse les délais de déploiement des correctifs.

Le problème de vitesse dans la sécurité pilotée par l'IA

Un professionnel de la sécurité lié à l'écosystème Mythos soulève des inquiétudes concernant le décalage de déploiement entre les vulnérabilités découvertes par l'IA et les correctifs appliqués. L'argument principal : même si les outils d'IA comme Mythos peuvent trouver et corriger les vulnérabilités à des vitesses sans précédent, la chaîne de déploiement en aval ne peut pas suivre.

Points clés de la discussion

• Davantage de vulnérabilités à venir : Les modèles d'IA comme Mythos sont censés détecter les vulnérabilités plus efficacement, et avec l'élan actuel, beaucoup d'autres seront découvertes.
• L'enchaînement d'exploits change la donne : La capacité significative n'est pas seulement de trouver des vulnérabilités, mais de les enchaîner séquentiellement pour développer des chaînes d'exploitation créatives.
• Déséquilibre entre détection et correction : L'auteur doute que Mythos puisse fournir des correctifs aussi efficacement qu'il détecte des vulnérabilités, prédisant qu'il "DÉTECTERA plus qu'il ne pourra CORRIGER".
• Goulots d'étranglement du déploiement : Même avec des correctifs instantanés, les correctifs subissent des retards dans l'acceptation en amont, les tests, les processus d'approbation et l'emballage en aval.

Données sur les délais de déploiement

La source fournit des échéances générées par l'IA pour une vulnérabilité critique :

• Correctif en amont : 24 à 48 heures après confirmation par l'équipe principale du projet
• Emballage en aval : 12 à 48 heures pour les principales distributions (Ubuntu LTS, RHEL, Debian Stable) pour rétroporter et tester
• Disponibilité pour l'utilisateur : 2 à 5 jours après la divulgation publique initiale

Statistiques réelles de correction

En utilisant Log4j comme exemple :

• Jour 10 : Les organisations n'avaient corrigé que 45 % des ressources cloud vulnérables
• Délai moyen de correction : 17 jours pour les systèmes détectés et suivis
• Correction prioritaire : Les systèmes exposés à l'extérieur ont mis en moyenne 12 jours ; les systèmes internes ont pris du retard
• Marque d'un an : 72 % des organisations avaient encore au moins une instance vulnérable de Log4j
• Perspective à long terme : Le CSRB du département américain de la Sécurité intérieure a prédit qu'il faudrait une décennie ou plus pour éliminer complètement Log4j de la chaîne d'approvisionnement logicielle mondiale

Le défi fondamental

Le problème de timing persiste même si les taux de détection et de correction étaient égaux (ce qu'ils ne seront pas). L'ensemble du système en aval—des projets en amont au déploiement par l'utilisateur final—ne peut pas se déplacer à la vitesse requise pour atténuer les vulnérabilités découvertes par l'IA avant leur exploitation. Cela crée un stress pour les développeurs et des changements de mode d'urgence qui consomment du temps et des ressources.