Astra gør en ende på staters zero-day-monopol

Hvad OpenAI siger, Astra rent faktisk gjorde

OpenAI siger, at Astra blev det første system til at krydse den "kritiske" cyberkapacitetstærskel, som er defineret i selskabets eget Preparedness Framework, hvilket betyder, at det kan finde og udnytte zero-day-sårbarheder i hærdede, virkelige systemer uden menneskelig hjælp. Selskabet rapporterede en perfekt score i ExploitBench, en benchmark for exploit-udvikling, og sagde, at Astra i en separat evaluering på egen hånd fandt to reelle zero-day-sårbarheder.

OpenAI har endnu ikke frigivet Astra offentligt. Selskabet siger, at lanceringen kommer "snart", men først når yderligere sikkerhedsforanstaltninger er på plads, uden at angive hvilke eller hvornår de er klar.

Hvorfor 'kritisk' er OpenAIs målestok, ikke Europas

OpenAIs Preparedness Framework er et frivilligt internt risikosystem, som selskabet selv har opstillet, og at krydse en af dets tærskler har ingen retlig vægt efter EU- eller UK-ret. Ingen myndighed har krævet, at OpenAI måler cyberkapacitet på denne måde, ingen tilsynsmyndighed har godkendt, hvor grænsen til "kritisk" ligger, og ingen EU- eller UK-lov nævner overhovedet rammeværket.

Den forskel betyder noget, fordi de regler, der reelt er bindende for europæiske og britiske organisationer, EU's NIS2-direktiv, EU's Cyber Resilience Act og de britiske NIS Regulations, blev skrevet uden Astra i tankerne og opdaterer ikke sig selv, når et amerikansk selskabs interne scoretavle ændrer sig. Den, der behandler OpenAIs udmelding som en compliance-begivenhed, kigger på det forkerte dokument.

Trusselsgrundlaget flytter sig fra stater til en venteliste

De fleste europæiske trusselsmodeller antager, at det at finde en ægte zero-day-sårbarhed i et hærdet, opdateret system kræver den slags vedvarende, finansierede indsats, som kun en håndfuld efterretningstjenester kan opretholde. At Astra findes, selv bag yderligere sikkerhedsforanstaltninger, bryder den antagelse: en kapacitet, der for nylig krævede en stats budget og hold af specialister, sidder nu, i det mindste som prototype, bag et selskabs interne udgivelsesport og en fremtidig kommerciel venteliste.

Bag lås betyder ikke irrelevant. Ethvert frontier-laboratorium, der konkurrerer med OpenAI, har nu en offentlig målestok at matche, og det kommercielle pres for at levere et sammenligneligt værktøj til betalende kunder, herunder pentest-firmaer og med tiden mindre omhyggelige købere, er reelt. Mandag morgen-spørgsmålet for en forsvarer ændrer sig fra "kunne en stat målrette os" til "hvor mange aktører kan nu plausibelt finde vores zero-days", og det ærlige svar er flere end for et år siden.

Patch-cyklusser blev bygget til langsommere angribere

De fleste europæiske patch-styringspolitikker antager stadig uger mellem en sårbarheds opståen og dens udnyttelse, fordi det at finde en udnyttelig fejl i produktionssoftware historisk har krævet fåtallige, kvalificerede menneskelige forskere, der arbejder manuelt. Den antagelse satte tempoet for de 30-, 60- og 90-dages patch-vinduer, der er almindelige i EU- og UK-retningslinjer for kritisk infrastruktur.

Et automatiseret system, der finder ægte zero-days uden hjælp, behøver ikke sove, holder ikke ferie og skal ikke vælge, hvilket mål der er dets tid værd, og det kan køre samme exploit-udviklingsproces parallelt mod mange systemer. En CISOs praktiske svar er ikke at panik-patche alt på én gang, men at omprioritere patch-køerne efter eksponering og tilgængelighed frem for kun efter alvorlighedsscore, og at forkorte standardvinduet for alt, der er eksponeret mod internettet, før et sammenligneligt værktøj når en bredere pulje af angribere.

Bug bounty-programmer konkurrerer nu med en maskine

Bug bounty-programmer prissætter udbetalinger efter tid og dygtighed hos de menneskelige forskere, de vil tiltrække, og den prismodel antager, at forskerpuljen forbliver nogenlunde samme størrelse og pris. En model, der kan udvikle exploits på maskinhastighed, ændrer begge sider af den ligning: den kan fortrænge langsommere menneskelige jægere, der jagter de samme let fundne fejl, og den giver velfinansierede angribere et værktøj, der ikke engang behøver at blive betalt til bug bounty-satser.

Den praktiske ændring for en europæisk leverandør med et bounty-program er at gennemgå udbetalingsniveauerne nu, før mængden eller kvaliteten af indsendelser flytter sig, og at holde op med at behandle bounty-udgifter som en fast post. Et program, der stadig er prissat efter 2024's forskerøkonomi, betaler for lidt for den risiko, det skal dække, og platforme, der ikke justerer, vil se deres bedste menneskelige forskere flytte til dem, der gør.

NIS2s meldeur forudsatte en opdagelsestid

EU's NIS2-direktiv giver operatører af væsentlige og vigtige enheder faste frister, så snart de opdager en betydelig hændelse: en tidlig advarsel inden for 24 timer, en fyldigere anmeldelse inden for 72 timer og en slutrapport inden for en måned, frister som de britiske NIS Regulations i ånden afspejler. De vinduer blev fastsat ud fra en antagelse om et mærkbart gab mellem opdagelsen af en sårbarhed og dens omdannelse til et fungerende exploit i stor skala, et gab, der gav forsvarere plads til at patche, før offentliggørelse blev et kapløb.

Automatiseret, uassisteret zero-day-opdagelse indsnævrer det gab for den, der først har kapaciteten, uanset om det er en forsvarers eget red team eller en angriber med et sammenligneligt værktøj. Nationale myndigheder som det danske Center for Cybersikkerhed, det tyske BSI og det britiske NCSC har alle fremmet koordineret sårbarhedsoffentliggørelse som god praksis; argumentet for at behandle NIS2s lovbestemte frister som et gulv frem for et mål bliver stærkere, hver gang opdagelsestrinnet bliver hurtigere, og Astra er beviset på, at det lige er sket.

Servola Journal

Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger det, og de mennesker, det sker for. Servola Journal findes, så det vi lærer, tilhører dem alle.

Ingen betaler os for dette. Ingen reklamer, ingen betalingsmur, gratis for alle. Vi tror simpelthen, at det at forstå, hvad der sker for os alle, ikke bør afhænge af, hvem der har råd til at betale for det.

Hvis det gav dig noget i dag, så sig til os, at vi skal blive ved. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser hver eneste en, og de er det, der holder os i gang.

Læs videre: EU-Sikkerhedshold Har Ingen Indflydelse På Astra  |  AI-cyberbrevet er også et ansvarsbevis