מודל הבינה המלאכותית של אנתרופיק מגלה תקלות לפני מהנדסי מיקרוסופט

עשרות מהנדסים של תאגיד הטכנולוגיה מיקרוסופט התכנסו במטה החברה בעיר רדמונד שבארה"ב לדיון חירום. משתתפי פגישת פרויקט גלאסווינג בחנו חולשות אבטחה קריטיות. מודל בינה מלאכותית בשם מיתוס מבית חברת אנתרופיק חשף את הכשלים בקצב מהיר.

התאגיד פועל במרוץ נגד השעון לסגירת פרצות הקוד. מטרת המהלך מונעת ניצול של החולשות על-ידי גורמים עוינים ומדינות כמו סין. מנהל בארגון אישר כי המודל עמד בציפיות ואיתר כשלים בקצב חסר תקדים.

גרסת התצוגה מציפה באגים מהר יותר מיכולת התיקון של הצוותים. מצגת פנימית חשפה 90 כשלים קריטיים ו-141 באגים משמעותיים בתוכנת שרפוינט (פלטפורמה לארגון נתונים ומסמכים) בחודש אפריל בלבד. המחצית הראשונה של חודש מאי הציגה נתונים גבוהים אף יותר.

חלון הזדמנויות הולך ונסגר

מנהל ההנדסה הנס אנדרסן הפציר בצוותים לטפל בתקלות של חודש אפריל. צוותי הפיתוח קיבלו שבועיים בלבד למצות את הגישה למערכת החדשה. סוף חודש מאי סומן כתאריך היעד בו שאר העולם ידביק את הפער.

מהנדסים בחברה הביעו חשש כי תוקפים ישיגו גישה למידע זה בתחילת יוני. מדינות ברית חמש העיניים פרסמו אזהרה נדירה בנושא איום הסייבר. הברית הבינלאומית צופה את סגירת חלון ההזדמנויות בתוך חודשים ספורים.

התאגיד מתמקד כעת בתיקון החולשות המסוכנות ביותר על-פי דיווחיו הפומביים. האסטרטגיה מבוססת על שיטת המיון המקובלת בתעשיה לטיפול במקרי חירום. המסמכים הפנימיים מראים כוונה עתידית לטפל בפגמים ברמת חומרה בינונית.

צילום: דאגה גדולה במיקרוסופט [צילום: ג'ייסון רדמונד/AP]

שרשור פגמים וסיכוני אבטחה

הדוחות הפנימיים אינם מזכירים כלל באגים המוגדרים ברמת סיכון נמוכה. הכלים המבוססים על בינה מלאכותית מאתרים היקף שיא של חולשות במוצרים יומיומיים. מערכת מיתוס מסוגלת לשרשר באגים קטנים לכדי מתקפה הרסנית אחת.

היועץ הטכני הבכיר לאנתרופיק וין נגוין מתריע מפני הסכנה שבגישה הנוכחית. נגוין טוען כי שילוב של ארבעה פגמים שוליים מייצר סיכון חמור. בכיר הרשות לביטחון לאומי לשעבר מזהיר מתמחור חסר של רמת הסיכון.

חברת מיקרוסופט מגנה על תהליך קבלת ההחלטות שלה בתגובתה הרשמית. התאגיד משקלל פרמטרים של יכולת ניצול וכן השפעה ישירה על הלקוחות. דובר החברה מדגיש כי טכניקת השרשור מהווה חלק מהערכת הסיכונים המסורתית.

זינוק חריג בעידכוני התוכנה

הדובר המעיט בחשיבות התאריך שנקבע וציין כי האצת פריצות אינה תופעה חדשה. אנדרסן ציין במפגש כי רוב הפגמים שנמצאו הם מעשיים וניתנים לניצול בפועל. צוותי העבודה יטפלו בכ-300 באגים בינוניים לאחר סיום תיקון התקלות הקריטיות.

החברה איתרה מאות כשלים חשובים בפלטפורמות עבודה מרכזיות כמו טיימס והכלי קופילוט. רוב הפגמים הללו נותרו פתוחים ללא פתרון נכון לאמצע חודש מאי. הנהלת הארגון סירבה לחשוף את כמות הבאגים שטופלו מאז המצגת.

חברת אנתרופיק בחרה שלא למסור תגובה רשמית לגבי הממצאים האחרונים. מספר דיווחים מצביעים על קבוצות תקיפה העושות שימוש בטכנולוגיות דומות כיום. מומחים מזהים סימנים למאבק הפנימי בארגון דרך קצב שחרור העידכונים.

אפוקליפסת סייבר ומצוקת כוח אדם

חודש יוני הביא עמו שחרור טלאים (עידכוני תוכנה לסגירת פרצות) ליותר מ-200 באגים שונים. תאריך 14 ביולי שבר את השיא המדובר עם תיקונים ליותר מ-600 פגמים. שבעה פגמים בלבד קוטלגו ברמת סיכון נמוכה או בינונית מתוך אסופה זו.

מנהל תוכנית תגמול הבאגים דסטין צ'יילדס התייחס למצב בחומרה רבה. צ'יילדס ציין בפרסומו כי "אפוקליפסת הבאגים ירדה עלינו במלוא עוזה". הנהלת מיקרוסופט מודה כי כמות הבאגים הגבוהה צפויה להישאר קבועה.

החברה ביצעה השקעות כבדות בכוח אדם ובפתרונות מיון מבוססי מערכות אוטומטיות. נגוין קורא לחברות להקצות צוותים ייעודיים לבדיקת מלוא קשת פריצות האבטחה. המרכז לתגובת אבטחה בארגון סובל ממחסור כרוני בכוח אדם כבר תקופה ארוכה.

היועץ לשעבר לנשיא ארה"ב ג'יי מייקל דניאל מדגיש את חומרת הבעיה. דניאל מסביר כי תעשיית התוכנה משלמת כעת את המחיר על חוב טכנולוגי. קוד מיושן יוצר חולשות מבניות בתוך מערכות חיבור תשתית לאינטרנט ברחבי העולם.

אתגרי קוד פתוח ופערי תקציב

חוקר הנתונים בן אדוארדס השווה את המצב החדש לשתייה מצינור כיבוי אש. אדוארדס מפקפק ביכולת הצוותים להתמודד עם זרם המידע המאסיבי הנוכחי. הפילוסופיה הארגונית רואה בתיקוני אבטחה הוצאה לעומת פיתוח מוצרים הנחשב לרווחי.

החברה מעדיפה לשמר מהנדסים מובילים לטובת יצירת פתרונות חדשים המייצרים הכנסות. אנתרופיק העניקה לכ-50 עובדי מיקרוסופט במשרה מלאה גישה ישירה לטכנולוגיית מיתוס. עובד מסוים הניח כי לגורמים העוינים אין עותק של קוד המקור.

עמיתיו של העובד תיקנו אותו מיד והבהירו כי חלקים מהקוד זלגו החוצה. התאגיד מצידו מתעקש כי תהליכי האבטחה מעוצבים תחת הנחת העבודה של חשיפה. תוכנות קוד פתוח מגדילות את סכנת הפריצה במערכות חינמיות המתוחזקות בידי מתנדבים.