Нецифровая экономика

Ошибки доступа и ИИ-атаки: какие уязвимости находят в компаниях За год специалисты BI.ZONE нашли 823 уязвимости в корпоративных системах, и большая часть проблем оказалась связана не с технологиями, а с настройками доступа и архитектурой. На red team-проекты приходится 5% всех проверок, при этом их количество растёт год от года. Количество уязвимостей на один веб-продукт за год снизилось на 15%. В общем же число проблем с критическим уровнем риска сократилось на 5%, высоким — на 4%, а со средним — выросло на 8%. Годом ранее на уязвимости с критическим риском приходилось 7%, с высоким — 18%, средним — 49%, а с низкими рисками — 26%. Чаще всего в веб-приложениях специалисты находили Broken Access Control, связанную с ошибками управления доступом. Следом идут Account Takeover (захват аккаунта мошенникамии) и XSS (межсайтовый скриптинг). Год назад в тройку входили Broken Access Control, Open Redirect (перенаправление пользователя на другой сайт) и различные виды инъекций. Инъекции и редиректы стали встречаться реже, но ошибки с разграничением доступа остаются. В финансовом секторе чаще встречались уязвимости ADCS (службы сертификатов Active Directory) и XSS, в IT и SaaS — SQL-инъекции и слабые пароли к базам данных (PostgreSQL weak password), в сфере услуг — брутфорс и нарушения контроля доступа. В мобильных приложениях 54% уязвимостей имели средний уровень риска, ещё 20% — высокий или критический уровень риска. Чаще всего специалисты находили race condition, перебор локальных учётных данных и отсутствие проверки цифровой подписи приложения во время работы. Годом ранее лидировали небезопасная передача данных (Insecure Communication), уязвимости межпроцессного взаимодействия (IPC) и слабая криптография. Сейчас разработчики реже допускают ошибки при передаче данных, однако архитектурные проблемы остаются. Race condition и отсутствие проверки подписи закладываются на этапе проектирования, поэтому их сложнее исправить после выпуска приложения. В проверках встраиваемых систем BI.ZONE также сталкивается с ограничениями, связанными с архитектурой устройств. Большинство таких решений используют зарубежные микроконтроллеры, а производители часто не предоставляют исходный код низкоуровневого ПО. Поэтому часть уязвимостей невозможно устранить обновлением. Если проблема связана с аппаратной реализацией или масочной памятью SoC, компаниям приходится менять оборудование или использовать административные меры. Отдельную проблему создают ИИ-системы. LLM prompt injection заняла 6-е место в общем рейтинге уязвимостей. Специально сформированный запрос позволяет атакующему изменить поведение модели, добиться раскрытия данных или обойти ограничения. ИИ одновременно упрощает и сами атаки. Агентные системы могут автоматизировать разведку, поиск уязвимостей и подготовку сценариев атак, снижая затраты злоумышленников. Поэтому компаниям приходится учитывать не только традиционные методы взлома, но и возможность их масштабирования с помощью ИИ.