Nieuws
Kamervragen over AI-modellen die zelfstandig kwetsbaarheden vinden
Kamerleden willen opheldering over onderzoek waaruit blijkt dat AI-modellen zelfstandig kwetsbaarheden in software kunnen vinden en misbruiken.
In het onderzoek slaagden modellen erin om in ongeveer een kwart van de testgevallen een werkend exploit te schrijven voor eerder onbekende fouten in webapplicaties.
De vragenstellers willen weten of Nederland voorbereid is op een situatie waarin de tijd tussen het uitkomen van een patch en misbruik verder afneemt.
Onderzoekers wijzen erop dat dezelfde techniek ook verdedigend werkt: het vinden van fouten voordat software wordt uitgebracht.
17 reacties
Dit snijdt aan twee kanten. Wie het snelst schaalt wint, en dat zijn niet per se de verdedigers.
Als je patchcyclus in weken denkt en de aanvaller in uren, heb je een structureel probleem.
Aanvullend: Formeel klopt het, praktisch schiet je er weinig mee op.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
Dat valt in de praktijk tegen. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Dank, dat verklaart wel het een en ander. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Iedereen roept zero trust, maar in de praktijk hangt er nog een plat netwerk achter de firewall.
Dat valt in de praktijk tegen. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Het probleem is niet de techniek maar het beheer. Als niemand eigenaar is van een systeem, patcht ook niemand het.
De vraag is niet of je gehackt wordt, maar hoe snel je het merkt. Detectie is bij de meeste organisaties nog steeds het zwakke punt.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Dat is te kort door de bocht. Ik heb het hier net getest en kan het bevestigen.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Reageren kan na registratie.
Inloggen
Meer nieuws