Dziś firmy uruchamiają kolejne wdrożenia narzędzi opartych na sztucznej inteligencji, a z przywoływanych szacunków wynika, że około 99,9% podatności, które dałoby się załatać, wciąż pozostaje bez poprawek. Do tego dochodzi techniczna mieszanka usług chmurowych, agentów wykonujących zadania oraz własnych aplikacji budowanych na gotowych modelach i bibliotekach. Każdy taki element dokłada coś do powierzchni ataku.
To już nie jest temat niszowy ani sprawa wyłącznie dla zespołów bezpieczeństwa.
Coraz więcej organizacji przenosi nowe obciążenia do chmury, uruchamia agentów i składa własne aplikacje z gotowych modeli oraz bibliotek. Największy problem pojawia się gdzie indziej: w aktualizacjach. Systemy wykrywają średnio około 25 potwierdzonych podatności dziennie, a deweloperzy usuwają mniej więcej 1,5 dziennie. Samo pełne wdrożenie opublikowanej poprawki w środowisku firmy zajmuje zwykle od 3 do 5 miesięcy.
Zaległości więc rosną. Nowe wdrożenia przybywają szybciej, niż organizacje porządkują stare problemy we własnym kodzie, pakietach open source, integracjach chmurowych i narzędziach dostarczanych przez zewnętrznych partnerów.
Ponad połowa organizacji uruchomiła już agentów cyfrowych. Podobny odsetek używa tych technologii do budowy własnych aplikacji. Kłopot w tym, że wiele takich wdrożeń nadal działa bez podstawowych zabezpieczeń, choćby szyfrowania danych i dostępu ograniczonego zgodnie z zasadą najmniejszych uprawnień.
W chmurze czasem wystarczy źle skonfigurowany pojedynczy zasób, by otworzyć drogę do danych, modeli albo interfejsów programistycznych. A im więcej automatyzacji, tym większa skala ewentualnego błędu.
Atakujący też nie stoją w miejscu. Zautomatyzowali metody, które już wcześniej działały: phishing, złośliwe oprogramowanie dopasowujące się do ofiary, a także próby wykorzystania świeżo ujawnionych luk niemal w czasie rzeczywistym. Jedna z analiz przewidziała, że w 2025 roku takich incydentów może być nawet 28 milionów. To oznaczałoby wzrost o 72% rok do roku.
Są już pierwsze reakcje po stronie instytucji i dużych firm. Anthropic, Amazon Web Services (AWS), IBM i Microsoft powołały koalicję Akrites, która ma poprawić wykrywanie i usuwanie luk w projektach open source. Z kolei amerykańskie instytucje, między innymi Departament Skarbu USA i agencja CISA, opublikowały wytyczne dotyczące cyberbezpieczeństwa przy nowych wdrożeniach.
cyfrowi agenci to po prostu zautomatyzowani asystenci do wykonywania zadań. Jeśli wdrażasz takie rozwiązania, nowe elementy pojawiają się szybciej, niż udaje się uporządkować starsze problemy. W takiej sytuacji klasyczne opóźnienia w aktualizacjach zaczynają kosztować coraz więcej.
Na razie poziom gotowości jest bardzo nierówny. Najsłabiej wypadają mniejsze firmy, instytucje z ograniczonym budżetem oraz regiony, w których tempo wdrażania nowych narzędzi rośnie szybciej niż kompetencje związane z bezpieczeństwem.
To podnosi ryzyko w całych łańcuchach dostaw i w sektorach infrastruktury krytycznej. Jeśli korzystasz z takich rozwiązań, sam zakup nowoczesnego systemu jeszcze nie daje odporności. Potrzebne są szybkie poprawki, rozsądne konfiguracje i kontrola dostępu. Reszta użytkowników i firm musi na razie poczekać, aż poziom zabezpieczeń po prostu dogoni tempo wdrożeń.
