退屈なことが危険になった

出典: Yuri Arcurs / Alamy Stock Photo経由

オピニオン

パニックになっていますか？業界全体が、2つの巨大なセキュリティ圧力の衝突に頭を失っているように感じます。まず、すべての開発チームが突然、AIコーディングツールの使用を義務付けられました。これにより、数千の新しいバグと設定エラーが発生しました。これは、Claude Mythosが解放された場合、すべての未知の脆弱性を悪用するだろうという発表と一致していました。これはトリアージャーとCISO全員に諦めたいと思わせるのに十分です。

両方のシナリオがどのように展開され、脆弱性検出、脆弱性管理、および実際のリスク低減にとって何を意味するのかを考えてみましょう。

Claude Code Securityが今年初めに発表されたとき、安全でないコードの銀の弾丸となることへの大いなる期待がありました。サイバーセキュリティ株は下落し、評論では私たちが皆失業するかどうかが問われました。ただし、企業はモデルが提供する大幅な改善と可能性に興奮していました。過去数週間、企業全体で、すべての開発者にAIコーディングツールを使用することを要求する命令が広がっています。今、これらのツールが優れていることは否定できません。そして、彼らが作成するコードは高品質で本質的に安全です。しかし、セキュリティの問題があるのはそこではありません。リスクが存在するのは実装です。APIが入力を検証する方法についての壊れた仮定、または同じ設定エラーのパターンが、開発者が速く働いているため、「コード配送」と「脆弱性検出」の間のフィードバックループが絶えず縮小しているため、どこでも繰り返されるアクセス許可パターン。開発者は信じられないほどの速度で配送しており、CISO は単にリスクを管理することが期待されています。問題は、開発プロセスにより多くのセキュリティを組み込むにはどうすればよいか、開発者により多くの圧力をかけることなく実装プロセスに組み込むにはどうすればよいかです。

Anthropicのプロジェクトグラスウイングへようこそ

以前は、エンタープライズセキュリティの暗黙の仮定は、不明瞭さが部分的な保護を提供するということでした。攻撃者は退屈な発見に時間を無駄にしていませんでした。ターゲットのサードパーティエコシステムをマップするのに数日の退屈な偵察が必要でした。たとえば、どの地域のSaaSプロバイダーがコンプライアンスを処理しているか、どの内部ツールが本番環境に読み取りアクセス権を持っているか、またはどのオープンソースライブラリが依存関係ツリーの6レベル深いところにあります。その摩擦は、偶然の保険として機能しました。Anthropicのプロジェクトグラスウイングがその障壁を取り除きます。

Mythosのようなモデルは創造的な天才を必要としません。彼らはリーチが必要なだけです。彼らはそれを持っています。それは、魅力的なターゲットとしてカウントされるものを変えます。エージェントは、疲労なく、気を散らすことなく、信頼グラフを体系的に追跡できます。忘れられたベンダーを通る退屈な道は、特に誰もそれを見ていないため、非常に悪用されやすくなります。攻撃者は、エージェントがサードパーティエコシステムをマップし、既知の脆弱なフレームワークバージョンを実行するプロバイダーを特定し、本番環境への信頼パスを解決し、それを一緒にチェーンできる場合、ゼロデイを必要としません。

つまり、新しくて不完全に実装されたコードの爆発を持つこの完全な嵐があり、最も不明瞭な脆弱性を見つけることができるエージェントがあり、最大の影響を提供するためにそれらをチェーンします。組織にとってこれは何を意味しますか？これまで、彼らは最も重要なアプリケーションをロックダウンすることに焦点を当てていた一方で、レガシー統合とベンダーツール化は、背景で幅広いアクセスを静かに保ち続けていました。これはもう長くはありません。

セキュリティチームが、これまで以上に脆弱性レポートで圧倒されるという状況があります。彼らは本質的に同じ問題を抱えています。何に優先順位を付けるべきかをどうやって知るのか。ただし、100倍に掛け算されています。

報告されたすべての脆弱性を工学チームに持ってくることはできません。すべてが緊急の場合、彼らは信頼性を失います。彼らもすべてを修正する時間と忍耐がないとき。私から組織への助言は、最も心配していることに焦点を当てることから始めることです。PII を保持していないか、特権的なアクセスを提供しないシステムの重大な脆弱性は、実際の高いビジネス上の影響をもたらす低レベルの脆弱性の組み合わせほど重要ではありません。何に対して保護する必要がありますか？次に、それを脅かすすべてを探します。共通の反復的なテーマを識別し始めた場合、このインテリジェンスをこれらのAIコーディングツールにフィードバックして、開発者が実装時にこのポイントで一般的な問題が発生することをプロンプトされ、それに対して軽減できるようにします。全体的に、これはセキュリティチームと工学チーム間の摩擦を減らします。

リスクの所在を把握する際に考慮すべき3つのことがあります。

これは、実際のリスクをターゲットにし、セキュリティチームが信頼を必要としている時点で工学部を圧倒することを避けるのに役立ちます。

最新のダークリーディング限定版ポッドキャストを見逃さないでください。USBペネトレーション・テストのストーリーがウイルスになった方法。20年前、ダークリーディングは最初のブロックバスター記事を掲載しました。ペンテスターが仕込まれた親指ドライブをクレジット組合駐車場周辺に散りばめたコラムとそれを残りの好奇心旺盛な従業員に任せました。このエピソードは、その著者であるSteve Stasiukonisとの歴史的な作品を振り返ります。今すぐお聞きください！