En bank som gir bort sikkerhetsverktøyene sine gratis, er ikke det man forventer. Capital One gjorde likevel nettopp det denne uken, da de la ut VulnHunter som åpen kildekode: et AI-verktøy som leser gjennom programkode, finner sårbarheter, tegner opp hvordan en angriper kunne utnyttet dem, og foreslår hvordan de tettes.
Det høres ut som en detalj for spesielt interesserte, men det er det ikke helt. Verktøyet peker mot en av de mest konkrete måtene AI faktisk endrer arbeidshverdagen på, og det gjør det på en måte som er verdt å forstå også for deg som aldri har skrevet en linje kode.
Hva er egentlig VulnHunter?
VulnHunter er et såkalt agentisk sikkerhetsverktøy. Der en vanlig kodeskanner leter etter mønstre den kjenner igjen fra før, går VulnHunter et skritt lenger: den forsøker å resonnere seg fram til om en svakhet faktisk kan utnyttes i praksis.
Ifølge Capital One skanner verktøyet kildekoden, kartlegger veien en angriper måtte ta for å nå fram til et hull, og foreslår målrettede rettelser, alt før koden går i produksjon. Med andre ord: før programvaren settes i drift og blir tilgjengelig for omverdenen.
Å skille ut det som faktisk kan utnyttes, har stor betydning. Utviklere drukner ofte i lister med tusenvis av mulige sårbarheter, der de aller fleste er teoretiske og ufarlige. Klarer et verktøy å si «disse tre er reelle, resten kan vente», sparer det enormt med tid og retter oppmerksomheten mot det som betyr noe.
Hvorfor gir en bank dette bort?
Spørsmålet er naturlig. Capital One er en av USAs største banker, og de har selv smertefull erfaring med sikkerhetssvikt: i 2019 ble over 100 millioner kundedata eksponert i et av de mest omtalte datainnbruddene i amerikansk banksektor.
Å legge et verktøy ut som åpen kildekode betyr at hvem som helst kan bruke det, se hvordan det virker, og bidra til å forbedre det. Motivet er sjelden ren godhet. Åpen kildekode gir goodwill, tiltrekker seg dyktige utviklere, og lar et helt fagmiljø finne feil og forbedringer gratis. For en bank som lever av tillit, er det å fremstå som en sikkerhetsleder verdt mye.
Er dette et vendepunkt, eller mest støy?
Det er verdt å være nøktern her. AI innen kodesikkerhet er hverken nytt eller magisk. Selskaper som GitHub, Snyk og Google har allerede lansert verktøy som bruker språkmodeller til å finne og fikse feil. VulnHunter er ett av flere skritt i samme retning.
Hvem som står bak og hvordan verktøyet gis ut, er mer interessant. Et stort, regulert finansforetak som sier «her, bruk vår interne sikkerhetsmotor gratis», sender et signal om at denne typen agentisk AI nå er moden nok til produksjonskritiske miljøer. Det skiller seg fra en oppstartsbedrift som lover gull og grønne skoger.
Samtidig gjelder de vanlige forbeholdene. AI-verktøy som dette produserer feilalarmer, overser ting, og kan i verste fall gi falsk trygghet. Et verktøy som «foreslår rettelser», gir nettopp bare et forslag. En erfaren utvikler må fortsatt vurdere om forslaget faktisk er riktig, eller om det introduserer nye problemer. Vi mener du bør unngå å stole blindt på AI-forslag, både i kode og ellers.
Hva betyr det for norske brukere?
For de fleste her hjemme betyr VulnHunter direkte lite. Du kommer ikke til å ta det i bruk med mindre du jobber med programvareutvikling eller IT-sikkerhet. Men indirekte er utviklingen relevant for langt flere.
Norske utviklingsmiljøer, fra bankene og forsikringsselskapene til de mange små programvarehusene, følger nøye med på hva de store aktørene slipper. Et gratis, åpent verktøy fra en anerkjent bank er noe et norsk team faktisk kan teste uten å måtte gjennom en lang innkjøpsprosess. Det senker terskelen for å ta AI-drevet sikkerhet i bruk.
Det er også et konkret eksempel på en trend vi har skrevet om før: at AI beveger seg fra å svare på spørsmål til å utføre oppgaver på egen hånd. Det samme skiftet ser vi når OpenAI lar ChatGPT styre e-post, Slack og kalender. Agenter som handler selvstendig er i ferd med å bli normalen, og det stiller nye krav til hvordan vi kontrollerer dem.
Samme verktøy kan også brukes til angrep
Her er et poeng som lett drukner i de positive overskriftene. Et verktøy som finner sårbarheter for å tette dem, kan i prinsippet også brukes til å finne dem for å utnytte dem. Teknologien er den samme, men den brukes da med motsatt hensikt.
Angripere bruker allerede AI til å lete etter hull raskere enn før. At forsvarerne får bedre verktøy er nødvendig nettopp fordi den andre siden ruster opp parallelt. Utviklingen er et kappløp. VulnHunter flytter forsvaret et hakk framover, men kappløpet fortsetter.
Norske virksomheter bør merke seg at AI-verktøy kan gjøre sikkerhetsarbeidet mer effektivt, men de erstatter ikke fagfolk, og de fjerner ikke ansvaret. En gratis skanner løser ikke sikkerheten alene, og de som venter det, blir skuffet. Brukt som et hjelpemiddel av kompetente folk kan den gi reell gevinst.
Vil du forstå hvordan agentiske AI-verktøy passer inn i arbeidshverdagen mer generelt, har vi samlet det i vår oversikt over AI på jobben, og for deg som vurderer hvilken assistent som faktisk holder mål, går vi grundig gjennom det i sammenligningen av de beste AI-assistentene.
