Výzkumný tým Cybernews analyzoval katalog KEV (Known Exploited Vulnerabilities), který americká agentura CISA průběžně aktualizuje na základě potvrzených případů zneužití v praxi.
Na rozdíl od obecných databází zranitelností, jako je NVD, katalog KEV obsahuje výhradně CVE (Common Vulnerabilities and Exposures – veřejně zdokumentované identifikátory bezpečnostních chyb v softwaru nebo hardwaru), u nichž existují důkazy o aktivním využití útočníky.
Analýza pokrývá šestnáct společností, jejichž produkty tvoří páteř současné AI infrastruktury – mezi nimi Apple, Adobe, Google, Cisco, Samsung a Microsoft. Výzkum přitom nezahrnuje jen zranitelnosti v AI produktech jako takových, ale celé softwarové a hardwarové portfolio každé ze sledovaných firem. Výsledky tedy vypovídají o celkovém bezpečnostním profilu výrobce, nikoli výhradně o jeho AI řešeních.
Microsoft: 377 CVE, z toho 103 ransomwarových
Microsoft odpovídá za 377 ze sledovaných 828 CVE, tedy za 46 procent celého datasetu. Žádná jiná firma se nepřibližuje ani ke stovce: Apple eviduje 93 aktivně zneužitých CVE, Cisco 92, Adobe 79 a Google 72. Zbývající společnosti v datasetu mají každá méně než padesát.
Ze 377 CVE přiřazených Microsoftu bylo 103 z nich – tedy 27 procent – zneužito jako součást ransomwarových kampaní. Útočníci je využili přímo jako vstupní bod pro nasazení ransomwaru: škodlivého softwaru, který data oběti zašifruje a útočník za jejich odemčení požaduje výkupné. Na úrovni konkrétních produktů nese největší zátěž Microsoft Windows se 170 aktivně zneužitými CVE – pro srovnání, Google Chromium V8 vykazuje 39 CVE a Apple napříč svými produkty celkem 53.
Vysoký počet CVE nerovná se nízká bezpečnost
Přímočaré srovnání absolutních čísel by bylo zavádějící. Voldemaras Kadys, vedoucí bezpečnostního a platformního inženýrství ve společnosti Mediatech, vydavateli Cybernews, to komentuje takto: „Počet zneužitých zranitelností silně koreluje s tržním podílem technologické firmy. Největší produkty přitahují největší pozornost útočníků, protože jediná zranitelnost může být zneužita proti nesrovnatelně větší uživatelské základně.“
Chcete dostávat do mailu týdenní přehled článků z Computertrends? Objednejte si náš mailový servis a žádná důležitá informace vám neuteče. Objednat si lze také newsletter To hlavní, páteční souhrn nejdůležitějších článků ze všech našich serverů. Newslettery si můžete objednat na této stránce.
Microsoft Windows běží na více než miliardě zařízení po celém světě. Rozsah nasazení přirozeně zvyšuje atraktivitu pro útočníky a zároveň pravděpodobnost, že každá nalezená zranitelnost bude dříve nebo později aktivně zneužita.
Nejčastější typy zranitelností
Mezi nejrozšířenějšími typy slabostí napříč celým datasetem dominují tři kategorie. OS Command Injection útočníkovi umožňuje spouštět libovolné příkazy přímo na serveru oběti.
Improper Input Validation nastává tehdy, když aplikace přijímá data z externího zdroje, ale před jejich zpracováním je nedostatečně ověřuje. Out-of-bounds Write je základní chyba v práci s pamětí, která může vést k pádu systému nebo ke spuštění škodlivého kódu.
Jde o kategorie, které se v bezpečnostních analýzách opakují napříč odvětvími – jejich přítomnost v produktech AI firem potvrzuje, že ani technologicky vyspělé organizace nejsou imunní vůči dlouhodobě známým třídám chyb.
Dopady na výběr AI dodavatelů
Zjištění přicházejí v době, kdy AI systémy získávají přístup k čím dál citlivějším firemním datům.
„Přechod na SaaS, rostoucí množství business-kritických dat žijících online a rychlá adopce AI zvyšují sázky kolem důvěry a reputace dodavatele. AI agenti mají dnes přístup k citlivějším informacím než kdykoli dřív – část z nich je důvěrná – a útoky na dodavatelský řetězec jsou stále častější a ničivější,“ upozorňuje Kadys.
Pro bezpečnostní ředitele a CIO to znamená, že hodnocení dodavatelského rizika přestává být formálním compliance cvičením a stává se strategickým rozhodnutím.
Regulační požadavky se zpřísňují a laťka toho, co se počítá jako náležitá péče při výběru technologického partnera, každým rokem roste. Otevřenou otázkou zůstává, zda firmy budou ochotny přijmout pomalejší adopci nejnovějších AI nástrojů výměnou za dodavatele s prokazatelnou bezpečnostní historií – nebo zda konkurenční tlak tuto úvahu přebije.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU