Dimenticate il rallentamento dell’AI: l’esplosione delle vulnerabilità è già in atto

Nel nuovo panorama della privacy e della sicurezza digitale, l’intelligenza artificiale (IA) sta ridefinendo le dinamiche, non attraverso scenari catastrofici futuri, ma con un impatto immediato e tangibile. La capacità dell’IA di scovare difetti nel software sta innescando un’autentica valanga di vulnerabilità, mettendo sotto pressione i team IT e i volontari del software open source, spesso già con risorse limitate.

Mentre gli “apocalittici dell’IA” hanno recentemente spostato la loro attenzione da possibili vulnerabilità software a minacce esistenziali poste da intelligenze artificiali “canaglia”, un cambiamento significativo nel settore della cybersecurity è già qui. Grazie alle capacità ampiamente disponibili nei prodotti IA mainstream, inclusi i modelli open-weight, l’accelerazione nella scoperta di difetti è diventata una realtà concreta, superando le previsioni più audaci.

I dati recenti testimoniano questa impennata. Microsoft ha annunciato la scorsa settimana di aver rilasciato patch per 974 CVE (Common Vulnerabilities and Exposures, ovvero difetti software confermati) solo questo mese, stabilendo un nuovo record. A luglio, Oracle ha distribuito 1.448 patch, rispetto alle 309 di luglio 2023. Le due principali release di Google Chrome a giugno hanno incluso 1.072 patch, superando la somma di tutte le correzioni di vulnerabilità delle precedenti 23 grandi release. Mozilla, ad aprile, ha rilevato 271 vulnerabilità in Firefox durante uno “sprint” di bug hunting utilizzando il modello Mythos di Anthropic.

Il quadro generale è sorprendente: 66.401 CVE sono stati registrati a partire da mercoledì di questa settimana, secondo Jerry Gamblin, capo della ricerca presso Empirical Security e fondatore di RogoLabs, che gestisce il progetto di analisi CVE cve.icu. Nello stesso periodo dell’anno precedente, il 16 settembre, cve.icu aveva registrato un totale di 33.512 CVE, quasi la metà del totale attuale. Per tutto il 2022, anno in cui OpenAI ha lanciato la sua prima versione di ChatGPT, cve.icu ha registrato 25.000 CVE.

La comunità di esperti, sia nel campo della sicurezza che dell’IA, è divisa sull’interpretazione di questa impennata e degli altri impatti dell’IA sulla cybersecurity: si tratta di una catastrofe imminente o semplicemente di un’amplificazione di dinamiche e sfide esistenti? Alcuni sottolineano che la lenta adozione delle patch e i ritardi negli investimenti in cybersecurity avevano già conferito agli aggressori molti vantaggi, portando a disastri informatici ben prima dell’avvento dell’IA. Tuttavia, con l’aumento continuo dei numeri di scoperta delle vulnerabilità e la discussione che si fa meno teorica, le due posizioni sembrano essersi leggermente avvicinate.

“Non credo che sia esagerato”, afferma Gamblin riguardo all’evidente esplosione di scoperte di vulnerabilità nel settore. “Quello su cui vorrei mettere in guardia è l’idea che un numero maggiore sia di per sé il danno. Più CVE non significa più vulnerabilità. Significa più vulnerabilità conosciute, il che, per lo più, è il sistema che funziona.”

Il timore, tuttavia, è che la vasta scoperta di vulnerabilità possa significare che gli sviluppatori vengano superati dal ritmo delle patch, che gli utenti del software non riescano ad aggiornare abbastanza velocemente e che si verifichi una serie crescente di attacchi informatici, alimentati da sempre più aggressori che scoprono nuove vulnerabilità autonomamente usando l’IA. Come sottolinea il National Cyber Security Centre britannico: “Solo trovare vulnerabilità non fa nulla per migliorare la vostra sicurezza.”