AI-gegenereerde beveiligingsrapporten zetten druk op het bug bounty-systeem

09:30

Google heeft tijdelijk een van zijn belangrijkste bug bounty-initiatieven opgeschort na een scherpe toename van beveiligingsrapporten die met behulp van kunstmatige intelligentie zijn gegenereerd, waardoor het programma steeds moeilijker te beheren werd.

Het opgeschorte initiatief richt zich op het identificeren van ernstige kwetsbaarheden in open-source software. Bug bounty-programma's zijn al lange tijd een belangrijk onderdeel van het cybersecurity-ecosysteem, waarmee bedrijven en softwareontwikkelaars onafhankelijke onderzoekers belonen die beveiligingsfouten identificeren en op verantwoorde wijze openbaar maken.

Deze programma's zijn ontworpen om organisaties te helpen kwetsbaarheden te ontdekken voordat kwaadwillenden deze kunnen misbruiken. In ruil voor gedetailleerde en geloofwaardige rapporten kunnen beveiligingsonderzoekers financiële beloningen ontvangen, wat een stimulans creëert om zwaktes te rapporteren in plaats van deze voor schadelijke doeleinden te gebruiken.

De groeiende beschikbaarheid van AI-tools verandert echter de manier waarop deze programma's functioneren. Onderzoekers en geautomatiseerde systemen kunnen nu in relatief korte tijd een groot aantal kwetsbaarheidsrapporten genereren, maar veel van die inzendingen komen mogelijk niet overeen met echte beveiligingsproblemen.

Google zei dat de beslissing om het programma te pauzeren volgde op een significante toename van automatisch gegenereerde rapporten, waarbij de overgrote meerderheid niet in staat was om geldige kwetsbaarheden te identificeren. De ervaring van het bedrijf benadrukt een groeiende uitdaging voor beveiligingsteams die betekenisvolle bevindingen moeten onderscheiden van grote hoeveelheden onnauwkeurige inzendingen.

Het probleem is niet alleen het aantal rapporten. Elke inzending kan vereisen dat ingenieurs tijd besteden aan het beoordelen van de technische claims, het reproduceren van de vermeende kwetsbaarheid en het bepalen of er een echt beveiligingsrisico bestaat. Een vloed van rapporten van lage kwaliteit kan daarom middelen verbruiken die anders zouden worden gebruikt om legitieme bedreigingen te onderzoeken.

De ontwikkeling illustreert ook een minder voor de hand liggend cybersecurityrisico dat samenhangt met kunstmatige intelligentie. Veel van de recente discussies rond AI en cybercriminaliteit hebben zich gericht op hoe geavanceerde modellen aanvallers zouden kunnen helpen kwetsbaarheden te identificeren of delen van cyberaanvallen te automatiseren. De ervaring van bug bounty-programma's suggereert dat AI ook defensieve beveiligingsoperaties kan verstoren door de systemen die zijn ontworpen om zwaktes te identificeren en op te lossen, te overweldigen.

Google staat niet noodzakelijkerwijs alleen in het aangaan van deze uitdaging. Beveiligingsteams in de technologiesector hebben steeds vaker te maken gehad met inzendingen die met beperkte menselijke verificatie of inspanning zijn geproduceerd. Wanneer grote aantallen twijfelachtige rapporten gelijktijdig binnenkomen, wordt het moeilijker om te bepalen welke bevindingen onmiddellijke aandacht verdienen.

Het probleem is ook binnen de open-sourcegemeenschap aan de orde gesteld. Linux-maker Linus Torvalds heeft eerder zijn bezorgdheid geuit over het groeiende volume aan AI-gegenereerde beveiligingsrapporten en de last die ze kunnen leggen op onderhouders en ingenieurs.

Intel heeft ook naar verluidt een soortgelijk beloningsinitiatief voor kwetsbaarheden beëindigd, hoewel het bedrijf niet expliciet heeft verklaard dat AI-gegenereerde inzendingen verantwoordelijk waren voor de beslissing. Het programma bood onderzoekers financiële beloningen voor het identificeren van in aanmerking komende beveiligingskwetsbaarheden, waarbij sommige potentiële uitbetalingen aanzienlijke bedragen konden bereiken.

Naarmate generatieve AI steeds capabeler wordt, moeten cybersecurity-organisaties mogelijk heroverwegen hoe kwetsbaarheidsdisclosureprogramma's inzendingen verifiëren. Geautomatiseerde screening, sterkere bewijsvereisten en een grotere nadruk op reproduceerbare bevindingen kunnen steeds belangrijker worden om ervoor te zorgen dat beveiligingsteams hun beperkte middelen op echte bedreigingen kunnen richten.

De situatie benadrukt een bredere spanning die door AI wordt gecreëerd: tools die zijn ontworpen om de productiviteit te verhogen, kunnen ook nieuwe operationele uitdagingen genereren wanneer ze informatie produceren op een schaal die menselijke teams niet efficiënt kunnen verifiëren. Voor de cybersecurity-industrie kan het behoud van de waarde van bug bounty-programma's steeds meer afhangen van het vinden van manieren om dat onevenwicht te beheersen.