L’avvento di modelli di intelligenza artificiale avanzati come Claude Mythos di Anthropic sta rivoluzionando il modo in cui vengono scoperte e gestite le vulnerabilità informatiche. Mentre molti temono attacchi autonomi, il vero rischio risiede nella capacità delle organizzazioni di gestire l’aumento esponenziale di vulnerabilità che vengono identificate.
In questo contesto, il UK National Cyber Security Centre (NCSC) ha avvertito le organizzazioni di prepararsi a una vulnerability patch wave un’ondata di correzioni che richiedono una rapida priorizzazione e implementazione. La domanda cruciale è se le aziende siano pronte ad affrontare questa nuova sfida.
L’impatto di Claude Mythos sulla scoperta delle vulnerabilità
Il UK AI Security Institute (AISI) ha condotto test controllati su modelli avanzati come Claude Mythos, rivelando che questi sistemi possono ora incatenare più fasi di un attacco informatico, completando simulazioni complesse che richiederebbero ore di lavoro a esperti umani. Tuttavia, questi test sono stati condotti in ambienti controllati senza difese attive.
L’analisi più ampia dell’AISI mostra che le capacità di sicurezza informatica dell’AI stanno migliorando rapidamente, con la complessità dei compiti che i modelli possono completare autonomamente che raddoppia in pochi mesi. Questo significa che la finestra tra la scoperta di una vulnerabilità e il suo sfruttamento si sta riducendo drasticamente.
La transizione da ‘patch backlog’ a ‘patch surge’
La vera disruzione risiede nel cambiamento di ritmo. Le organizzazioni hanno tradizionalmente gestito le vulnerabilità attraverso processi di governance, valutazioni del rischio e finestre di cambiamento. Tuttavia, l’AI sta aumentando drasticamente il tasso di scoperta delle vulnerabilità. Ad esempio, le organizzazioni potrebbero dover affrontare centinaia di nuove vulnerabilità in pochi giorni, superando la capacità di cambiamento esistente.
Questo crea due sfide immediate: gap di visibilità e colli di bottiglia di governance. Le organizzazioni spesso non hanno una comprensione completa dei loro asset, dipendenze e esposizione al rischio, rendendo difficile la priorizzazione. Inoltre, i processi di valutazione e rimozione delle vulnerabilità non sono progettati per gestire un alto volume di rimozioni.
La sfida della priorizzazione
Migliaia di vulnerabilità vengono segnalate ogni anno, ma solo una piccola proporzione viene attivamente sfruttata. La priorizzazione efficace è quindi critica, concentrandosi su ciò che è sfruttabile in un contesto organizzativo. Tuttavia, l’AI complica questa priorizzazione aumentando il numero di vulnerabilità identificate, consentendo l’incatenamento di vulnerabilità in percorsi di attacco multi-step e riducendo il tempo necessario per determinare cosa è più importante.
Le organizzazioni potrebbero ancora lottare con domande fondamentali: quali sistemi sono più critici? Quali sono esposti a Internet? I nostri fornitori critici sono pronti per l’ondata di patch? Senza risposte chiare, la priorizzazione fallisce e i team si trovano sopraffatti.
La prova di stress della governance
Claude Mythos e modelli simili dovrebbero essere visti meno come una minaccia diretta e più come una prova di stress delle capacità organizzative. Il NCSC ha fornito linee guida chiare: le organizzazioni possono mantenere un vantaggio difensivo concentrandosi sui fondamentali: ridurre l’esposizione, applicare aggiornamenti rapidamente e monitorare efficacemente.
In pratica, questi dipendono dalla distribuzione delle patch a velocità e scala specialmente per i sistemi esposti a Internet, dalla gestione accurata degli asset e delle dipendenze per supportare la priorizzazione, dalla governance del cambiamento semplificata in grado di operare in condizioni di aggiornamento continuo e dalla proprietà chiara delle decisioni di rischio quando i compromessi devono essere fatti rapidamente.
Chris Atkinson, esperto di digital trust e cyber security presso PA Consulting sottolinea che l’AI non rende obsoleti i fondamentali della cyber security. La vera sfida è se le organizzazioni possono assorbire, prioritizzare e rimediare alle vulnerabilità al ritmo che l’AI sta ora stabilendo.
