Starší software pod tlakem AI: kde vznikají nová bezpečnostní rizika

Velkou roli v oblasti bezpečnosti hraje umělá inteligence. Nejde o to, že by tvořila nové bezpečnostní díry v softwaru. Útočníkům ale urychluje hledání zranitelnosti, přípravu exploitů i průzkum obětí, i když vaše aplikace AI vůbec nepoužívá.

Vy AI nemáte, útočník ano

Na umělou inteligenci upozornil už Národní úřad pro kybernetickou bezpečnost. Zmiňuje především nové AI frontier modely, které výrazně zlepšily svoje schopnosti při automatizovaném vyhledávání a ověřování softwarových zranitelností.

K podobnému závěru dospělo také britské National Cyber Security Centre. To jde ve svých předpovědích dokonce ještě dál a do roku 2027 očekává především zrychlení průzkumu zranitelností, exploit developmentu, sociálního inženýrství a práce s ukradenými daty. Nejde tedy primárně o nové typy útoků, ale o efektivnější provádění těch současných. 

Třetina průniků do firem začíná chybou v softwaru

Na zranitelnost vašich dat nestačí reagovat „někdy příští měsíc“. Verizon uvádí, že v roce 2025 bylo zneužití softwarové chyby počáteční cestou u 31 % sledovaných incidentů. 

Zkrátil se také čas mezi zveřejněním chyby a jejím zneužitím. Doba zneužití zveřejněných chyb klesla na dny a umělá inteligence tento interval pravděpodobně ještě zkrátí. V zabezpečení firemního softwaru tak rozhoduje především to, jak rychle dokáže bezpečnostní rizika eliminovat.

AI hledá chyby dřív, než je najdou útočníci

Umělá inteligence nepomáhá jen hackerům. Stejné modely používají bezpečnostní týmy k analýze kódu, hledání zranitelností a v některých případech také k návrhu jejich oprav. Rozhodující tak stále více je, kdo najde chybu v softwaru jako první. 

Google například vyvíjí systém Big Sleep, za kterým stojí týmy DeepMind a Project Zero. AI agent už dokázal objevit dosud neznámou chybu v SQLite a Google ho využívá k automatizovanému hledání dalších bezpečnostních chyb v reálném softwaru.

Podobnou cestou jde i Anthropic. Při testování modelu Claude na zdrojovém kódu Firefoxu během dvou týdnů našel desítky bezpečnostních problémů. U jedné z chyb dokázal v kontrolovaném prostředí připravit i funkční exploit (program, který aktivně využívá chybu).

Umělá inteligence zkracuje čas na opravu chyb

Zastaralý software má jednu nevýhodu, která s AI nabírá na významu: opravy jsou pomalé. Aktualizace jedné knihovny může rozbít integraci, změna operačního systému narušit provoz a na některé části systému už nikdo nechce sahat.

Útočníci se přitom pohybují opačným směrem. AI jim umožňuje rychleji hledat a testovat slabiny. Bezpečnost tak stále více závisí na tom, jak rychle provozovatel na bezpečnostní riziko zareaguje.

Jak poznat, že starý software představuje problém?

Samotné stáří softwaru na míru není problém. Riziko vzniká ve chvíli, kdy se k němu přidají roky odkládané aktualizace, neznámé závislosti nebo ztracené know-how. Firma pak často zjistí, že software sice stále funguje, ale nikdo ho neumí bezpečně změnit. 

• Nepodporované technologie: operační systém, databáze nebo framework už nedostávají bezpečnostní opravy.
• Neznámé závislosti: firma neví, jaké knihovny a komponenty aplikace na míru skutečně používá.
• Nepravidelné aktualizace: bezpečnostní záplaty se instalují pozdě nebo nahodile.
• Ztracené know-how: původní IT firma odešla a dokumentace chybí nebo je neaktuální. 
• Rizika nasazování změn: chybí testy, testovací prostředí nebo spolehlivý deployment. 
• Zastaralé přihlašování: systém neumí vícefaktorové ověření nebo moderní správu přístupů.
• Zbytečná dostupnost z internetu: administrace, API nebo vzdálený přístup jsou zbytečně dostupné z internetu.
• Chybějící přehled o složení softwaru: firma nedokáže jasně určit, zda se jí nová bezpečnostní rizika týkají.

Opravit, modernizovat nebo zahodit?

Starší software nemusíte nutně nahrazovat. Pokud jde bezpečně aktualizovat a dál plní svůj účel, může stačit odstranit největší slabiny nebo ho postupně modernizovat. Nový vývoj softwaru na míru dává smysl až tehdy, když začíná být údržba drahá nebo riziková.

U softwaru na míru je výhoda v tom, že se dá rozhodovat podle konkrétní situace. Rozhodující není jeho stáří, ale to, zda dokáže odolávat současným bezpečnostním hrozbám. V době, kdy AI zrychluje hledání chyb, je proto důležitá rychlost, s jakou dokáže firma hrozby opravit.