Tyrimo rezultatai rodo, kad dirbtinio intelekto padedamos įmonės 120% padidina klaidų atskleidimą ir nenustato remonto sulėtėjimo
Lapkričio 4 d. paskelbtame iš anksto nustatyta, kad programinės įrangos trūkumų atskleidimas įmonėse, kurioms buvo suteikta išankstinė prieiga prie Anthropic AI modelio Claude Mythos Preview, išaugo maždaug 120 %, palyginti su pasikeitimu Kinijos įmonėse, kurios neturi prieigos. Išmatuotas remonto laikas nerodė jokio pastebimo sulėtėjimo.
Thomaso Mosko tyrime nustatyta, kad AI padedama klaidų medžioklė buvo susijusi su didesniu viešu atskleidimu be pastebimo tirtų taisymo kanalų sulėtėjimo. Jo išvados apima viešai atskleistas pažeidžiamumas ir konkrečius taisymo kanalus, todėl neatskleistas darbo krūvis ir vartotojų pataisų įdiegimas yra neįvertinti.
„Anthropic“ paskelbė „Project Glasswing“ balandžio 7 d., suteikdamas tam tikroms įmonėms prieigą prie modelio. Pagrindinėje atskleidimo analizėje 13 dalyvių lyginami su 267 Kinijos įmonėmis nuo 2025 m. spalio mėn. iki 2026 m. rugsėjo mėn. Kinijos įmonės galėjo naudoti kitus AI įrankius. Pasirinkimas į „Glasswing“ nebuvo atsitiktinis, o nacionalinė atskleidimo praktika skiriasi, o tai riboja priežastinį aiškinimą.
Be 120 % santykinio atskleidimo padidėjimo, dokumente numatoma, kad didelio poveikio atskleidimas bus maždaug 150 % didesnis. Ši kategorija reiškia didesnį nei vidutinį pažeidžiamumo sunkumo balo poveikio komponentą.
Ankstesnė Epoch AI analizė, paskelbta liepos 2 d., užfiksavo didelio ir kritinio sunkumo atskleidimų šuolį po „Mythos Preview“. Ji taip pat perspėjo, kad viešieji skaičiavimai neįtraukia neatskleistų atradimų ir gali atspindėti padidėjusį susidomėjimą vabzdžių medžiokle.
„Mosk“ atskirai nagrinėja taisymo galimybes, palygindamas „Glasswing“ pažeidžiamumą su kitais ne Kinijos pažeidžiamumais trumpesniuose pavyzdžiuose. Viena analizė apima 658 trūkumus, apie kuriuos pardavėjams pranešė „Zero Day Initiative“ iki 2026 m. birželio mėn. Kita analizė apima 14 855 pažeidžiamumus, paskelbtus iki liepos mėn. ir stebimus Linux platinimų, įskaitant Debian, Ubuntu, Red Hat ir SUSE.
Nė vienas remonto kanalas neparodė statistiškai aptinkamo sulėtėjimo. Atskleistų trūkumų atveju vidutinis paskirstymo laikas iki pataisymo buvo viena diena. Pardavėjo vertinimais, sulėtėjimas didesnis nei apie 13%, nors mažesni pakeitimai vis dar galimi. Remiantis tolesniais skaičiavimais, per 90 dienų nustatyta dalis vis dar gali sumažėti maždaug 11 procentinių punktų.
Kalbant apie kriptovaliutų infrastruktūrą, praktinis skirtumas yra tarp trūkumo suradimo, pataisymo išleidimo ir jo įdiegimo. „CryptoSlate“ spalio 29 d. pranešė, kad „Bitcoin Core“ atskleidė tris AI aptiktus trūkumus po patvirtinimo ir pataisų išleidimo. Diegimas tarp mazgų lieka atskiras klausimas.
Eksploatacijos rezultatai taip pat reikalauja atsargumo. Palyginus su didelėmis ne Kinijos įmonėmis, veikiančiomis gegužę, prieš „Glasswing“ plėtrą birželį, Moskas nenustatė statistiškai reikšmingų išnaudotų pažeidžiamumo pokyčių vieno, dviejų ir trijų mėnesių laikotarpiu.
Kai kuriais palyginimais sumažėjo atskleistų trūkumų, kurie buvo žinomi, dalis. Tačiau didesnis atskleidimo skaičius gali sumažinti šią dalį nesumažinant išnaudojamų pažeidžiamumų skaičiaus. Moskas tikimybės mažėjimą traktuoja kaip įtaigų; skaičiavimai išlieka per netikslūs, kad būtų galima atmesti nedidelius pokyčius bet kuria kryptimi.
Mažesnė išnaudota dalis gali atspindėti daugiau atskleidimo, o ne mažiau išnaudotų pažeidžiamumų.
Neatsitiktinės prieigos ir nacionalinio atskleidimo skirtumai riboja priežastines išvadas. Straipsnyje nepateikta statistiškai reikšmingo skaičiaus pokyčio, nėra tikslios lygybės. Ji stebi žinomą išnaudojimą ankstyvuosiuose languose, ne visas atakas, neatskleidžiamus trūkumus ar vartotojo pataisos diegimą.
Pastebėtas atskleidimo padidėjimas įvyko be pastebimo fiksavimo greičio praradimo. Nesvarbu, ar dėl to bus mažiau atakų, ar saugesnė naudojama programinė įranga, lieka neišspręsta.
