Изкуственият интелект може да открива уязвимости за минути, но хората запазват предимството си в преценката какво означава една слабост за бизнеса. В това интервю за Help Net Security Кара Спраг, изпълнителен директор на HackerOne, говори за грешките в бизнес логиката, за влиянието на ИИ върху модела на колективните проверки (crowd model) и за причините рутинните находки със средна тежест да се заплащат по-ниско.
Тя засяга и растящия поток от подавани с помощта на ИИ доклади, начина, по който програмите отделят полезните доклади от спама, и частите от работата на изследователите, които са най-трудни за автоматизиране, като се позовава на данни от Доклада на HackerOne за изследванията в областта на сигурността за 2026 г.
Хората все още имат предимство при преценката какво означава една уязвимост за засегнатата организация. ИИ може да помогне да се открият повече грешки, но за да се реши кои заслужават внимание, е нужно разбиране как се използва системата и какво би могло да се обърка.
ИИ е добър в откриването в голям мащаб на познати типове грешки. Той е по-малко надежден, когато слабостта зависи от начина, по който работи бизнесът: процес по възстановяване на суми, който може да бъде злоупотребен, одобрение, което може да бъде заобиколено, или няколко привидно безобидни поведения, които заедно позволяват превземане на акаунт. Разпознаването на такива проблеми изисква разбиране на предвидения процес и въображение как атакуващ би могъл да го използва по различен начин.
Изследователите вече насочват работата си в тази посока. В Доклада на HackerOne за изследванията в областта на сигурността за 2026 г. 85% от анкетираните казват, че активно развиват уменията си с ИИ, 68% твърдят, че ИИ ги е насочил към по-сложни грешки с по-високи награди, а 72% посочват уязвимостите в бизнес логиката като най-бързо растящата си категория.
Не бих посочила срок докога ще продължи това предимство. С подобряването на моделите изследователите ще трябва непрекъснато да адаптират начина, по който ги използват, и областите, върху които се фокусират. Разбирането на организацията, оценката на последиците от дадена слабост и изготвянето на обосновано предложение какво да се поправи ще остават съществена част от работата.
ИИ прави модела на колективните проверки по-силен, макар да намалява стойността на рутинните находки.
Ползата от „многото очи“ винаги е била в различните гледни точки, които изследователите внасят. Хората имат различни умения и различни идеи как да атакуват една система. Добавянето на повече модели не предлага непременно същото разнообразие, особено когато те са обучени върху сходни данни и им е възложено да изследват едни и същи цели.
Заплащането на изследователите за валидни находки продължава да работи, когато те използват ИИ. Наблюдавахме ръст на изплатените на изследователи суми с 26% на годишна база през първата половина на 2026 г., който се ускори още през третото тримесечие. Има и повече за изследване. Според проучването броят на програмите с ИИ активи в обхвата им се е удвоил за две години, а валидните доклади за уязвимости в ИИ са нараснали с 222%.
Рутинните находки, базирани на шаблони, ще носят все по-трудно приходи. Тъй като автоматизираните инструменти улесняват откриването на такива грешки, програмите имат по-малко основания да плащат на изследователи, за да ги докладват.
Аргументът в полза на колективния модел продължава да се основава на хора, които подхождат към проблема по различен начин и откриват нещо, пропуснато от другите. ИИ им помага в тази работа, а способността му да произвежда повече находки прави тяхната преценка кои от тях имат значение още по-ценна.
Рутинните грешки със средна тежест вероятно ще се заплащат по-ниско. Находките, които изискват по-задълбочено разследване и преценка, може да запазят стойността си или да се заплащат по-добре.
Програмите плащат награди, за да намалят риска. Ако ИИ прави познат тип грешка по-евтина за откриване, програмите имат по-малко основания да предлагат същото възнаграждение. Изследователите също са изправени пред по-голяма конкуренция да подадат доклада първи. Това намалява шансовете им да получат плащане, дори когато обявената награда не се е променила.
Платформите за bug bounty показват признаци на тази промяна. От януари 2025 г. подадените доклади са нараснали 2,8 пъти, а валидните доклади – 1,9 пъти. Програмите плащат повече за критични и нови находки и по-малко или нищо за проблеми с ниска тежест, дубликати и находки, които могат да бъдат автоматизирани. Общите изплатени суми все пак са се увеличили.
Но по-евтиното откриване помага и на атакуващите, което може да направи оставянето на уязвимост със средна тежест без поправка по-скъпо. Отстраняването на вече докладваните проблеми остава предизвикателство: около 70% от ръководителите по сигурността казват, че валидираните находки стигат до натрупаните им задачи по-бързо, отколкото екипите им могат да ги обработят. Когато докладите стават по-многобройни, все повече стойност се крие в потвърждаването на риска и в помощта към екипите да го отстранят.
Не мога да дам надеждно разпределение. Трудно е да се каже дали един доклад е написан от човек, генериран от модел или създаден с комбинация от двете. Много добри доклади вече включват ИИ. Можем да измерим общия обем и резултатите.
Платформите за bug bounty отчитат ръст на подадените доклади 2,8 пъти от януари 2025 г., докато валидните доклади са нараснали 1,9 пъти. Получаваме повече валидни находки от всякога, но те съставляват по-малък дял от подадените. Повечето от останалите доклади са дубликати, информационни, извън обхвата или спам. Нарастващ дял очаква и допълнителна информация от изследователите или окончателно решение от програмата.
Тези числа не показват каква част от двата ръста се дължи на ИИ. За програмите, които преглеждат доклади, въпросът е дали доказателствата показват реално въздействие върху сигурността. ИИ прави лесно създаването на убедително изглеждащ доклад, но проверката на твърденията в него все още може да отнеме значително време.
Програмите реагират с ограничения за подаване, базирани на досегашните постижения на изследователите, и с частни нива на достъп. Те трябва и да преглеждат докладите по-бързо. Това ще изисква както хора, така и автоматизация; в противен случай полезните находки ще чакат по-дълго наред с доклади, които не заслужават действие.
Бих поставила на първо място бизнес логиката, следвана от свързването на уязвимости във верига за атака.
Свързването във верига включва търсене на начини, по които слабостите могат да работят заедно, а моделите стават все по-добри в това. Бизнес логиката зависи повече от разбирането какво системата е предвидена да позволява. Кодът може да не ви каже защо едно възстановяване на сума изисква одобрение, кой трябва да може да разрешава плащане или кога едно изключение създава възможност за злоупотреба. Моделът може да помогне за тестването на такива ситуации, но някой трябва да предостави съответния контекст. Да знаеш кои детайли имат значение, изисква опит.
Доказателствата са по-скоро показателни, отколкото категорични. 72% от анкетираните изследователи посочват уязвимостите в бизнес логиката като най-бързо растящата си категория. Това ни казва къде изследователите намират възможности; то не установява докога хората ще запазят предимството си пред моделите.
Бих добавила и преценката при решаването кои находки изискват внимание веднага. В същия доклад 58% от ръководителите по сигурността казват, че доставката на продукти или бизнес приоритетите забавят поправките на критични уязвимости и такива с висока тежест. Разрешаването на тези конкуриращи се изисквания налага разговор с хората, отговорни за продукта, и ясно разбиране на последиците. Някой трябва да поеме отговорност за решението.