570 rupa i jedan tužni utorak

Petsto sedamdeset sigurnosnih rupa zakrpano je u jednom danu, što je gotovo trostruko više nego prošli mjesec, koji je također bio rekordan, što znači da je Microsoft sada u stanju u kojem je bolesnik koji je došao liječniku na pregled zbog prehlade, a dijagnosticiran mu je rak u četvrtom stadiju — u tri odvojena organa. Kompanija to naziva napretkom. AI je, kažu, pomogao pronaći rupe. Nije li to kao hvaliti se da ti je pametni usisavač pronašao dlake koje je sam razvukao po stanu?

Tri desetljeća radim s mrežama, od Kvarner Neta do prvih Windows NT servera, i mogu ti reći da ovaj broj ne znači da je Microsoft postao bolji u sigurnosti. Znači da je postao bolji u pronalaženju vlastitih grešaka — što je, priznat ćeš, čudan način da dokažeš kvalitetu svog proizvoda. Kao da ti mesar dokaže svježinu mesa tako što ti pokaže koliko je muha već uspio otjerati s njega. Jebote, pa nije li cilj da muha uopće ne doleti?

Naravno, postoji i druga strana medalje, ona koju će Microsoftovi PR-ovci rado isticati: više otkrivenih rupa znači da ih više i zatvoriš prije nego što ih netko zlorabi. To je tehnički točno. To je isto onako tehnički točno kao reći da je čovjeku koji je izgubio obje noge lakše kupiti cipele jer mu trebaju samo jedan par — jeftinije je, nema što. Logika je besprijekorna. Problem je što je cijela situacija u kojoj ti treba petsto sedamdeset zakrpa mjesečno, uz AI asistenciju, zapravo priznanje da je temelj na kojem gradiš sve — klimav.

Pogledajmo brojke malo bolje, jer brojke ne lažu, iako ih ljudi koji ih prezentiraju itekako znaju uljepšati. Petsto sedamdeset rupa u jednom mjesecu. Pretpostavimo da je prosječan tim sigurnosnih inženjera u Microsoftu velik, recimo, dvije stotine ljudi koji rade isključivo na pronalaženju i zakrpavanju rupa. To znači da svaki inženjer mora riješiti gotovo tri rupe mjesečno, što uključuje analizu, reprodukciju, pisanje zakrpe, testiranje i distribuciju. Tri ozbiljne sigurnosne rupe mjesečno po čovjeku. To je tempo koji ne ostavlja prostora za temeljitost. To je tempo koji ostavlja prostora za nove rupe. Začarani krug, ali srećom — AI je tu.

AI je, navodno, ubrzao otkrivanje ranjivosti. To je kao kad ti konobar kaže da je juha brže stigla jer su je zagrijali u mikrovalnoj. Brže ne znači bolje. Brže znači da je netko negdje štedio na procesu, a proces u sigurnosti nije papirologija — proces je ono što te dijeli od toga da ti netko preko noći ne isprazni bankovni račun ili ne pročita sve tvoje poruke. I dok se Microsoft hvali svojim rekordima, negdje u hodnicima te iste kompanije postoji odjel koji prodaje alate za zaštitu od rupa koje su — pogodi — otkrivene u Microsoftovim proizvodima. Business model koji se vrti sam od sebe, kao perpetuum mobile, ali umjesto energije troši povjerenje korisnika.

Sjećam se vremena kad je zakrpa bila događaj. Servis pack je izlazio jednom godišnje, ljudi su planirali vikende oko instalacije, administratori su pisali procedure, testirali na razvojnim okruženjima, pa tek onda puštali na produkciju. Danas je to svakomjesečna rutina koja je postala toliko normalna da je više nitko ne dovodi u pitanje. A upravo bi to trebali. Petsto sedamdeset rupa mjesečno nije normalno. To nije ni loše — to je katastrofalno. Pitaj bilo kojeg administratora koji je proveo noć popravljajući Exchange server nakon što je zakrpa srušila mail protokol. Pitaj bilo kojeg malog poduzetnika koji nema IT odjel pa mora platiti vanjsku firmu da mu održava sustave, a sad ta firma naplaćuje dodatne sate zbog "hitnih sigurnosnih zakrpa". To je porez na povjerenje u monopol.

I tu dolazimo do suštine problema, a nije u broju rupa nego u arhitekturi povjerenja koju smo izgradili oko jednog proizvođača. Windows je i dalje dominantan operativni sustav na radnim stanicama, a sve što Microsoft radi — ili ne radi — direktno utječe na milijarde ljudi. Kad kompanija s takvom moći objavi petsto sedamdeset zakrpa i to nazove napretkom, zapravo ti govori: naš proizvod je toliko kompleksan i toliko pun grešaka da nam treba umjetna inteligencija da bismo uopće pratili vlastito sranje. I ti to prihvaćaš, jer — koji kurac — što ti drugo preostaje? Linux? Za većinu ljudi to je kao da im kažeš da voze bicikl umjesto auta jer je auto pokvaren. Tehnički točno, praktički nemoguće.

A najljepši dio cijele priče je što se sve to događa u trenutku kad se cijela industrija kunu u sigurnost, kad se pišu zakoni o cyber otpornosti, kad se osnivaju agencije za kibernetičku sigurnost, kad se ulažu milijarde u zaštitu infrastrukture. A onda Microsoft izađe i kaže: evo nam, petsto sedamdeset rupa, ali ne brinite — AI ih je našao. To je kao da vatrogasac zapali kuću, a onda je ugasi i traži nagradu jer je tako brzo reagirao. I svi plješću. I svi kupuju novu verziju. I svi se nadaju da će sljedeći mjesec broj biti manji, iako svi duboko u sebi znaju da će biti veći — jer je AI sve bolji u pronalaženju rupa, a Microsoft je sve bolji u njihovom stvaranju.

Nije drago. Nije slučajno. Nije greška. To je poslovni model.

Zamisli na trenutak da građevinska firma objavi da je u jednom kvartu morala popraviti petsto sedamdeset pukotina na zgradama koje je sagradila, i da su joj pri tome pomogli roboti koji su te pukotine otkrili brže nego ljudi. Bi li itko rekao — bravo, napredak! Ili bi svi rekli — koji kurac radite, pa te zgrade nisu trebale imati pukotine? Naravno da bi potonje. Ali u svijetu softvera, gdje su korisnici navikli na to da im se proizvod isporučuje u vječnoj beta fazi, standardi su drugačiji. Mi smo prihvatili da je softver pokvaren po defaultu, i da je zakrpa mjesečna rutina kao pranje zubi. I onda se čudimo kad se dogodi veliki incident, kad padne pola interneta ili kad netko ukrade milijune korisničkih podataka. Pa naravno da se dogodi — ti si prihvatio da ti je kuća sagrađena od kartona i da je kiša normalna pojava.

Microsoft je, u svojoj obrani, rekao da je porast broja zakrpa posljedica otkrića potpomognutih umjetnom inteligencijom. To je tehnički točno, ali je i potpuno promašena poruka. Jer ako ti AI pomaže pronaći rupe, to znači da je tvoj kôd toliko kompleksan da ga ljudi više ne mogu sami analizirati. To nije napredak. To je priznanje poraza. To je kao da ti kirurg kaže da sad koristi robotsku ruku za operacije jer mu je vlastita ruka prestala biti dovoljno precizna — i da je to dobra vijest jer robot radi bolje. Možda. Ali zašto ti je uopće trebala robotska ruka? Što se dogodilo s prevencijom?

I dok se svi fokusiramo na brojke, na to koliko je rupa zakrpano i koliko ih je još ostalo, gubi se iz vida jedna puno važnija stvar: povjerenje. Svaki put kad Microsoft objavi rekordan broj zakrpa, korisnici dobiju poruku da njihovi sustavi nisu sigurni, da moraju ažurirati, da moraju paziti, da moraju ulagati u sigurnost. A to je poruka koja ide u korist — pogađaš — onima koji prodaju sigurnosna rješenja. I tako se vrti: Microsoft stvara rupe, Microsoft prodaje zakrpe, Microsoft prodaje alate za upravljanje zakrpama, Microsoft prodaje sigurnosne servise. Sve u istoj kući. Sve u istom ekosustavu. Sve s istim ciljem — da ostaneš unutra.

Ako je AI toliko pametan, zašto mu treba petsto sedamdeset rupa mjesečno da bi dokazao svoju vrijednost? Ako je AI toliko dobar u pronalaženju grešaka, zašto ih uopće ima toliko? Možda je odgovor jednostavniji nego što mislimo: AI ne piše bolji kôd. AI piše više kôda. I više kôda znači više rupa. To je kao da angažiraš bržeg zidara koji radi više kvadrata dnevno, ali zato lošije slaže cigle. Na kraju imaš veću kuću, ali se raspada brže nego što je itko stigne popraviti. I onda ti prodaju ljepilo za cigle. I kažu ti da je to napredak.

Izvor: krebsonsecurity.com