AI je sada najbolji haker na svijetu, a vi još uvijek čekate odobrenje nadređenog da restartate server

Godina je 2025. Claude, GPT i ostali modeli više ne trebaju detaljne opise ranjivosti da bi provalili u vaš sustav. Dovoljna im je sirova CVE oznaka. Jedan broj. I ulaz je otvoren. Prije godinu dana su trebali cijeli esej o tome što je krenulo krivo. Danas im treba samo referenca. Sutra neće trebati ni to. A vi još uvijek imate patching proces koji uključuje tri maila, jedan sastanak tima i molitvu da netko iz IT-a pogleda ticket prije petka.

Ovo nije više pitanje sigurnosti. Ovo je pitanje organizacijske kulture koja je zapela u 2005. i odbija izaći.

Kad sam prije trideset godina postavljao prve servere za Kvarner Net, patching je bio fizički naporan. Morao si skinuti ISO na CD, sjesti u auto, odvesti se do lokacije i pritisnuti enter. Trajalo je. Bilo je skupo. Ali bili smo svjesni da je to jedini način. Danas imate automatizaciju, CI/CD pipelineove, zero-downtime deploye i cloud infrastrukturu koja se skalira sama. I dalje vam treba tjedan dana da zakrpate kritičnu ranjivost. Koji kurac se dogodio?

Nije problem u tehnologiji. Problem je u ljudima koji su uvjereni da je "stabilnost sustava" važnija od "sigurnosti sustava". Kao da su to dva suprotna kraja spektra, a ne ista stvar. Sustav koji nije siguran nije stabilan. Sustav koji je provaljen nije stabilan. Sustav koji radi na starom softveru jer ga se "ne smije dirati" nije stabilan — to je tempirana bomba koja čeka da netko povuče krivi niz.

I sad dolazi AI koji tu bombu ne treba ni povući. Dovoljno je da je vidi.

Cijela fora je u brzini. AI ne spava. AI ne uzima pauzu za kavu. AI ne čeka da mu netko pošalje ticket. AI skenira, analizira, probija i eksfiltrira podatke brzinom koju vaš IT tim ne može pratiti ni u snu. I ne riječ je o tome da su hakeri pametniji nego prije — riječ je o tome da su dobili alat koji radi umjesto njih. Automatizacija napada je stigla. A vi ste još uvijek na manualnom patchanju.

Pogledajte statistike: prosječno vrijeme do zakrpe kritične ranjivosti u velikim kompanijama je i dalje mjereno u danima, a ne satima. Neke kompanije su na tjednima. Neke su na mjesecima, jer "moramo testirati na dev okruženju, pa na stagingu, pa dobiti approval od security tima, pa od change management boarda". Do tada je AI već ušao, izašao, prodao podatke i otišao na odmor.

Ono što je posebno jebeno u cijeloj priči je što su svi znali da će se ovo dogoditi. Security stručnjaci su godinama vikali da je patching proces prespor. Ali boardovi su slušali druge brojke — one o uptimeu, o performansama, o troškovima. Patching košta. Patching usporava. Patching je rizik za stabilnost. I eto ga. Sad je rizik za opstanak.

Nije mi jasno zašto ljudi misle da je sigurnost nešto što se kupi, a ne nešto što se radi. Kupiš firewall, kupiš antivirus, kupiš SIEM, kupiš insurance i misliš da si miran. A sutra ti AI uđe kroz propust koji si imao na serveru iz 2019. jer ga netko nije zakrpao na vrijeme. I insurance ne pokriva reputacijsku štetu. Ne pokriva gubitak povjerenja. Ne pokriva činjenicu da si izgubio klijente jer su tvoji podatci završili na dark webu.

Rješenje je jednostavno na papiru, a nemoguće u praksi: patching mora biti automatski, kontinuiran i prioritetan. Mora biti brži od napada. Mora biti dio kulture, a ne iznimka. Ali to zahtijeva promjenu načina razmišljanja od vrha prema dnu. Zahtijeva da CEO shvati da je sigurnost investicija, a ne trošak. Zahtijeva da board odobri budžet za security operacije koji nije smiješan. Zahtijeva da IT prestane biti služba za gašenje požara i postane strateška funkcija.

A to se, naravno, neće dogoditi. Jer je lakše kriviti hakere, AI, Kineze, Ruse, bilo koga osim sebe. Lakše je reći "napali su nas sofisticiranim napadom" nego "nismo zakrpali server dvije godine". Lakše je tražiti novac za forenziku nakon provale nego za automatizaciju prije provale. Lakše je biti žrtva nego biti odgovoran.

I tako ćemo sjediti i gledati kako AI postaje sve bolji u probijanju, dok će patching procesi ostati taj. Jer promjena je teška. Jer ljudi ne vole mijenjati navike. Jer je sigurnost dosadna tema sve dok ne postane jedina tema.

A kad postane jedina tema, već je kasno.

Budućnost je stigla. Donijela je račun. I ne prima kartice.

Izvor: venturebeat.com