Deset tisuća kritičnih ranjivosti u mjesec dana

Pedeset godina smo gradili digitalnu infrastrukturu kao da se utrkujemo s vremenom, a ne s posljedicama. Svaki framework, svaka biblioteka, svaki "pametni" dodatak dodan je na hrpu bez da je itko pogledao ispod haube. I sada, kad je netko napokon uzeo svjetiljku i bacio svjetlo u podrum, ispostavilo se da su temelji napukli, instalacije trune, a nosivi zidovi su od šperploče i nade. Anthropic je pustio Claude Mythos na svijet i u mjesec dana našao više rupa nego što ih cijela sigurnosna industrija zatvori u godini. To nije dokaz da je AI genijalan. To je dokaz da je softver, koji smo desetljećima prodavali kao "robustan", "enterprise-ready" i "mission-critical", zapravo kula od karata koja čeka prvi jači vjetar. Pas mater, pa mi plaćamo pretplatu za alate koji nam pokazuju koliko smo nesposobni.

Kad sam 1996. spajao Rijeku na internet preko Kvarner Neta, svijet je bio jednostavniji. Dial-up, 56k modemi, jedan server, pet korisnika, i svaka linija koda se pisala kao da će je netko čitati. Danas se kod piše kao da ga nitko nikad neće vidjeti — mikroservisi, containeri, dependency hell u kojem jedna zastarjela biblioteka iz 2017. može srušiti pola clouda. I onda se čudimo što AI nalazi deset tisuća rupa u mjesec dana. Pa nije ni čudo. Ti su programi pisani od strane ljudi koji su dobili rok, smanjili budget i rekli "pushaj u produ, sredimo kasnije". Kasnije nikad nije došlo. Došao je samo Mythos i pokazao da je "kasnije" postalo "sad, i košta te".

Ali ono što je istinski apsurdno nije broj ranjivosti. Apsurdno je da ih se 1726 potvrdilo, a patchevi ne stižu. Ne zato što su developeri lijeni, nego zato što je lanac opskrbe softverom postao toliko složen da bi popravak jedne rupe mogao zahtijevati promjenu u pet različitih repozitorija, tri različita tima, i odobrenje nekog arhitekta koji je firmu napustio prije dvije godine. I dok oni sjedaju na sastanak da dogovore tko će platiti pivo za overtime, netko drugi već iskorištava tu rupu da izvadi podatke o kreditnim karticama, pacijentima, ili, ne daj bože, elektranama. Koji kurac smo napravili od industrije koja je trebala biti čista, brza i sigurna? Napravili smo digitalni divlji zapad gdje je zakon "tko prvi pusha, taj i griješi", a popravci dolaze kao milostinja, a ne kao obaveza.

Pitaj naivno pitanje: ako je AI toliko pametan da u mjesec dana nađe deset tisuća rupa, zašto ga ne pustimo da ih i zatvori? Zato što je odgovor previše jeziv. Zato što bi to značilo dati AI-u pristup da mijenja kod koji vodi svijet. I onda se vraćamo na stari problem: tko jamči da AI neće, u procesu krpanja, napraviti nove rupe, ili, još gore, namjerno ostaviti backdoor za sebe? Paranoja? Možda. Ali u industriji gdje su sigurnosne kopije često jedini dokaz da nisi hakiran, paranoja je profesionalna deformacija. Mythos je postao najbolji hakera na svijetu, a mi mu plaćamo pretplatu da to i ostane. I sad se pitamo: je li to rješenje ili samo novi problem koji ćemo riješiti za deset godina, kad bude prekasno?

Jedina konstanta u tech industriji je sposobnost ljudi da budu iznenađeni očekivanim. Deset tisuća rupa. Tisuću sedamsto potvrđenih. Nula popravljenih na vrijeme. I sutra će netko pokrenuti novi startup koji će obećati "AI-first security", dobiti milijun dolara investicije, i propasti jer je zaboravio da je prvi korak sigurnosti — priznati da ne znaš što si napravio. A mi ćemo i dalje sjediti, piti kavu, i čekati da netko drugi riješi problem koji smo sami stvorili. Budućnost je stigla. Donijela je račun. I nije mali.

Izvor: thenextweb.com