Директор Broadcom предупредил о растущем разрыве между скоростью искусственного интеллекта при обнаружении уязвимостей и медленным применением исправлений в компаниях
10 ноября 2026 г. · 2 мин чтения
Также опубликовано на Español, Português (Brasil), ไทย
На конференции по безопасности искусственного интеллекта 3 ноября в Сеуле директор Broadcom Korea Ли Йохан выступил с докладом о том, как заброшенные уязвимости в открытом исходном коде становятся идеальной мишенью для атак, усиленных искусственным интеллектом. Он подчеркнул, что хотя искусственный интеллект сокращает время на обнаружение уязвимостей и подготовку кода атаки, процедуры применения исправлений в компаниях остаются неизменными и медленными.
Ли указал, что более 75 процентов типичной корпоративной кодовой базы состоит из фреймворков и библиотек открытого исходного кода. Даже если собственный код работает правильно, уязвимости в зависимых компонентах могут создать риск для всего сервиса. Он привел пример Spring, где количество опубликованных идентификаторов уязвимостей выросло с 157 за период с 2013 по 2025 год до 211 только за март-август 2026 года. RabbitMQ показал еще более резкий рост: с 8 накопленных уязвимостей до октября 2025 года до 112 за май-октябрь 2026 года.
Проблема усугубляется тем, что компании продолжают использовать версии с завершенной поддержкой. Ли отметил, что более 60 процентов загрузок Spring Boot приходятся на версии, поддержка которых уже прекращена. Он также предупредил об опасности сосредоточения внимания только на уязвимостях высокой степени серьезности, поскольку искусственный интеллект может связывать отдельные низкосерьезные уязвимости в цепочки атак.
Ли проанализировал организационные препятствия для применения исправлений, включая практику использования систем в течение 5-10 лет с минимальным обслуживанием после завершения внешних проектов разработки, приоритизацию времени безотказной работы сервиса и разделение ответственности между отделами. Он отметил, что операционные сотрудники часто откладывают обновления из-за опасений перебоев в работе сервиса, за которые они несут ответственность.
Он выразил скептицизм относительно надежды на то, что искусственный интеллект решит проблему путем написания кода исправлений. Согласно исследованию, на которое он ссылался, два передовых модели достигли устойчивого исправления только в 17 процентах из 6080 попыток исправления для шести основных недавних уязвимостей. Остальные попытки либо не удались, либо создали новые ошибки и уязвимости.
В качестве отправной точки для защиты Ли предложил использовать спецификацию материалов программного обеспечения и анализ состава программного обеспечения для определения компонентов. Он рекомендовал начать с обновления основных фреймворков и сред выполнения, таких как Spring, Java, Tomcat, NGINX и PostgreSQL, чтобы они могли получать исправления безопасности.
Он также описал горизонтальную безопасность как дополнительную защиту, включая микросегментацию для ограничения связи между внутренними системами только необходимыми соединениями. Виртуальное исправление, которое блокирует известные паттерны атак на уровне сети до применения фактического исправления, было представлено как временная мера, требующая регулярного пересмотра и удаления правил после применения реальных исправлений.
Ли заключил, что угрозы безопасности, обнаруженные искусственным интеллектом, характеризуются быстрым обнаружением уязвимостей и их быстрым использованием, и что компании должны сосредоточиться на быстром применении исправлений для закрытия брешей в безопасности.