Lühidalt: 1Password’i uuringu kohaselt tegid tehisintellektimudelid nagu ChatGPT-5.5 ja Claude Opus 4.8 keerukate CVE-parandusfailide koostamisel 53,9 protsendil juhtudest vigaseid lahendusi, mistõttu inimjärelevalve turvakriitilise koodi puhul jääb hädavajalikuks.
1Password’i sisemine uuring näitab, et tehisintellektimudelite loodud parandusfailid värsketele ja keerukatele CVE-dele on 53,9 protsendil juhtudest vigased, kuigi kood on süntaktiliselt korrektne. CISO-de jaoks tähendab see, et inimlik ülevaatus jääb turvakriitilise koodi puhul asendamatuks.
1Password’i teadlased uurisid, kui usaldusväärselt loovad suured keelemudelid (LLM-id) parandusfaile hiljuti avalikustatud keerukatele haavatavustele. Testiti kuut aktuaalset CVE-d, sealhulgas CVE-2026-31431 (“Copy Fail”), CVE-2026-34197 (ActiveMQ RCE), CVE-2026-8512, CVE-2026-45185 (EXIM RCE), CVE-2026-22738 (SpringAI SpEL RCE) ning Gemini CLI haavatavust GHSA-wpqr-6v78-jr5g. Kokku analüüsiti 6080 parandusfaili, mille genereerisid ChatGPT-5.5 ja Claude Opus 4.8. 1Password’i teadlase Keith Hoodleti sõnul tootsid mudelid 53,9 protsendil juhtudest nn “Fix-Like Artifacts with Embedded Defects” (FLAWED) – parandusfaile, mis näivad lahendusena, kuid sisaldavad puudusi.
Vaid 26 protsenti parandusfailidest kõrvaldas haavatavuse täielikult, muutmata seejuures rakenduse käitumist. 20,1 protsenti lahendas probleemi, kuid muutis samal ajal rakenduse käitumist. 49,3 protsenti jättis avatuks vähemalt ühe ärakasutatava ründetee, 2,3 protsenti kõrvaldas algse haavatavuse, kuid tõi sisse uue, ja 2,2 protsenti ei suutnud ei algset haavatavust kõrvaldada ega uute haavatavuste teket vältida. 1Password ei hinnanud seejuures ainult seda, kas kood kompileerus või läbis automatiseeritud testid, vaid kontrollis iga parandust käsitsi, pidades silmas haavatavuse täielikku kõrvaldamist, käitumise stabiilsust ja uute riskide puudumist.
Eriti kõnekas on asjaolu, et enam kui kolmandik esialgu edukaks hinnatud parandusfailidest osutus “hapraks”. Need blokeerisid vaid testis kasutatud konkreetse tõenditeostuse (proof-of-concept) ründe, kõrvaldamata tegelikku algpõhjust. SpringAI CVE näitel selgus, et nii GPT- kui ka Claude’i mudelid lõid parandusfaile, mis püüdsid kinni ainult üksikud tähemärgid PoC-s kasutatud sisendstringist. Kui mõjutatud kood muutub kättesaadavaks teistsuguse sisendi kaudu, taastub Hoodleti sõnul algne haavatavus uuesti.
Ka Anthropicult küsiti tulemuste kohta arvamust ning ettevõte soovitas hoida inimesed kontrolliprotsessis: parandusfailide loomine on ületanud parandusfailide kontrollimise võimekuse, mistõttu peab kontroll tuginema rohkem tegelikule käivitamisele kui pelgalt koodi ülevaatamisele – praeguste mudelivõimete juures peavad valdkonna eksperdid jääma viimaseks kontrolliastmeks. 1Password seab kahtluse alla ka eelduse, et tehisintellekti loodud parandusfailid on praktiliselt tasuta: ühe paranduse ja valideerimise tsükli keskmine maksumus oli ChatGPT-5.5 puhul umbes 2,11 USA dollarit ja Claude Opus 4.8 puhul 2,81 USA dollarit – Hoodleti sõnul tekivad tegelikud kulud alles siis, kui kontrollitakse, kas parandusfail on tootmisvalmis ja turvaline.
Turvajuhtide jaoks tähendab see, et automatiseeritud parandushaldus keerukate ja turvaliselt olulise mõjuga haavatavuste puhul kannab endas märkimisväärset jääkriski, kui puudub sõltumatu, käivitamispõhine kontroll ja inimese heakskiit – seda eriti juhul, kui teste tehakse ainult tuntud PoC-de, mitte algpõhjuse vastu.
Allikas: www.csoonline.com · Avaldatud 7. augustil 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 abil.