AI mot hackerne: Capital One slipper gratisverktøyet VulnHunter som finner hull i koden før angriperne

En bank som gir bort sikkerhetsverktøyene sine gratis, er ikke det man forventer. Men det er akkurat det Capital One gjorde denne uken, da de la ut VulnHunter som åpen kildekode: et AI-verktøy som leser gjennom programkode, finner sårbarheter, tegner opp hvordan en angriper kunne utnyttet dem, og foreslår hvordan de tettes.

Det høres ut som en detalj for spesielt interesserte. Det er det ikke helt. Verktøyet peker mot en av de mest konkrete måtene AI faktisk endrer arbeidshverdagen på, og det gjør det på en måte som er verdt å forstå også for deg som aldri har skrevet en linje kode.

Hva er egentlig VulnHunter?

VulnHunter er et såkalt agentisk sikkerhetsverktøy. Der en vanlig kodeskanner leter etter mønstre den kjenner igjen fra før, går VulnHunter et skritt lenger: den forsøker å resonnere seg fram til om en svakhet faktisk kan utnyttes i praksis, ikke bare om den finnes på papiret.

Ifølge Capital One skanner verktøyet kildekoden, kartlegger veien en angriper måtte ta for å nå fram til et hull, og foreslår målrettede rettelser, alt før koden går i produksjon. Med andre ord: før programvaren settes i drift og blir tilgjengelig for omverdenen.

Poenget med å skille ut det som faktisk kan utnyttes, er ikke smått. Utviklere drukner ofte i lister med tusenvis av mulige sårbarheter, der de aller fleste er teoretiske og ufarlige. Klarer et verktøy å si «disse tre er reelle, resten kan vente», sparer det enormt med tid og retter oppmerksomheten mot det som betyr noe.

Hvorfor gir en bank dette bort?

Det er det naturlige spørsmålet. Capital One er en av USAs største banker, og de har selv smertefull erfaring med sikkerhetssvikt: i 2019 ble over 100 millioner kundedata eksponert i et av de mest omtalte datainnbruddene i amerikansk banksektor.

Å legge et verktøy ut som åpen kildekode betyr at hvem som helst kan bruke det, se hvordan det virker, og bidra til å forbedre det. Motivet er sjelden ren godhet. Åpen kildekode gir goodwill, tiltrekker seg dyktige utviklere, og lar et helt fagmiljø finne feil og forbedringer gratis. For en bank som lever av tillit, er det å fremstå som en sikkerhetsleder verdt mye.

Er dette et vendepunkt, eller mest støy?

La oss være ærlige. AI innen kodesikkerhet er hverken nytt eller magisk. Selskaper som GitHub, Snyk og Google har allerede lansert verktøy som bruker språkmodeller til å finne og fikse feil. VulnHunter er ett av flere skritt i samme retning, ikke en revolusjon i seg selv.

Det interessante er hvem som står bak og hvordan det gis ut. Et stort, regulert finansforetak som sier «her, bruk vår interne sikkerhetsmotor gratis», sender et signal om at denne typen agentisk AI nå er moden nok til produksjonskritiske miljøer. Det er noe annet enn en oppstartsbedrift som lover gull og grønne skoger.

Samtidig gjelder de vanlige forbeholdene. AI-verktøy som dette produserer feilalarmer, overser ting, og kan i verste fall gi falsk trygghet. Et verktøy som «foreslår rettelser» er akkurat det: et forslag. En erfaren utvikler må fortsatt vurdere om forslaget faktisk er riktig, eller om det introduserer nye problemer. Blind tillit til AI-forslag er en oppskrift på trøbbel, i kode som i alt annet.

Hva betyr det for norske brukere?

For de fleste her hjemme betyr VulnHunter direkte lite. Du kommer ikke til å ta det i bruk med mindre du jobber med programvareutvikling eller IT-sikkerhet. Men indirekte er utviklingen relevant for langt flere.

Norske utviklingsmiljøer, fra bankene og forsikringsselskapene til de mange små programvarehusene, følger nøye med på hva de store aktørene slipper. Et gratis, åpent verktøy fra en anerkjent bank er noe et norsk team faktisk kan teste uten å måtte gjennom en lang innkjøpsprosess. Det senker terskelen for å ta AI-drevet sikkerhet i bruk.

Det er også et konkret eksempel på en trend vi har skrevet om før: at AI beveger seg fra å svare på spørsmål til å utføre oppgaver på egen hånd. Det samme skiftet ser vi når OpenAI lar ChatGPT styre e-post, Slack og kalender. Agenter som handler selvstendig er i ferd med å bli normalen, ikke unntaket, og det stiller nye krav til hvordan vi kontrollerer dem.

Den ubehagelige baksiden

Her er et poeng som lett drukner i de positive overskriftene. Et verktøy som finner sårbarheter for å tette dem, kan i prinsippet også brukes til å finne dem for å utnytte dem. Samme teknologi, motsatt hensikt.

Angripere bruker allerede AI til å lete etter hull raskere enn før. At forsvarerne får bedre verktøy er nødvendig nettopp fordi den andre siden ruster opp parallelt. Det er et kappløp, ikke en seier. VulnHunter flytter forsvaret et hakk framover, men det avslutter ingenting.

For norske virksomheter er lærdommen edruelig: AI-verktøy kan gjøre sikkerhetsarbeidet mer effektivt, men de erstatter ikke fagfolk, og de fjerner ikke ansvaret. De som tror at en gratis skanner løser sikkerheten deres, kommer til å bli skuffet. De som bruker den som et hjelpemiddel i hendene på kompetente folk, kan hente reell gevinst.

Vil du forstå hvordan agentiske AI-verktøy passer inn i arbeidshverdagen mer generelt, har vi samlet det i vår oversikt over AI på jobben, og for deg som vurderer hvilken assistent som faktisk holder mål, går vi grundig gjennom det i sammenligningen av de beste AI-assistentene.

Kilder: VentureBeat

Av Hugin | altom.ai