A IA de ponta mudou a forma como o software é testado. Ela permite que as equipes de segurança analisem mais código, explorem mais caminhos de ataque e identifiquem condições exploráveis com mais rapidez. Ao mesmo tempo, os agentes mal-intencionados também estão utilizando a IA de ponta para localizar e explorar vulnerabilidades mais rapidamente do que nunca.
O programa de gerenciamento de vulnerabilidades da Commvault utiliza uma variedade de modelos de IA de ponta, e associamos cada descoberta a um processo disciplinado para validar, priorizar e corrigir.
A base de referência para testes mudou com as parcerias em IA
A participação da Commvault no Projeto Glasswing da Anthropic ampliou nosso uso de modelos de IA de ponta, incluindo o Claude Mythos 5.1 em nosso gerenciamento de vulnerabilidades.
Além disso, a Commvault uniu forças com a NVIDIA quando a empresa de IA formou a Open Secure AI Alliance para desenvolver ferramentas de segurança de código aberto para modelos, agentes e infraestrutura de IA.
Essas parcerias cumprem duas funções. O Glasswing amplia os modelos que podemos usar para detectar vulnerabilidades em nosso código. A Aliança oferece aos defensores ferramentas abertas que eles podem inspecionar, adaptar e executar em sua própria infraestrutura. Nenhuma delas substitui o processo. Independentemente do que os modelos encontrarem, uma estrutura de governança decide o que acontecerá a seguir.
O que estamos fazendo na Commvault
Temos lidado com as vulnerabilidades detectadas por IA de ponta da mesma forma que lidamos com qualquer outra vulnerabilidade: especialistas em segurança e engenheiros confirmam cada descoberta, corrigimos o problema por meio de um processo de desenvolvimento aprimorado e só divulgamos a informação depois que a correção estiver implementada.
Os resultados até o momento confirmam a premissa: a descoberta de problemas reais e exploráveis que as ferramentas existentes não haviam identificado – e agora podemos corrigi-los.
O que estamos aprendendo
A descoberta não é mais a parte difícil. Agir com base no que se descobre é que é.
À medida que a IA revela mais descobertas com maior rapidez, a questão passa a ser se as organizações conseguem classificar, priorizar e corrigir as vulnerabilidades com agilidade. Encontrar mais falhas sem acompanhar o ritmo para corrigi-las rapidamente pode deixá-lo mais exposto, e não menos. Por isso, nosso objetivo é equilibrar cada investimento em descoberta com um investimento equivalente em resposta: classificação baseada no risco, cronogramas consistentes de correção e um processo coordenado de divulgação.
Os controles que garantem a segurança
Realizamos varreduras assistidas por IA em hardware isolado ou em infraestrutura de nuvem isolada, com caminhos fisicamente isolados para modelos de código aberto.
Nossos engenheiros confirmam se cada descoberta gerada pela IA é uma vulnerabilidade real, testando-a em um ambiente representativo do cliente antes do início de qualquer correção. A gravidade depende da exposição, da explorabilidade e do impacto — não de como encontramos a falha. Análise estática, testes de fuzz, revisão manual e testes de penetração realizados por terceiros continuam em vigor. A IA aumenta a profundidade da cobertura.
O resultado final
A Commvault possui um processo de gerenciamento de vulnerabilidades suficientemente rigoroso para responder a qualquer novidade que a IA revele – em escala, de forma consistente e sem lacunas. É assim que construímos nosso negócio e é assim que protegemos o seu.
Para saber mais, acesse oCommvault Trust Center.Bill O’Connell é diretor de segurança da Commvault.
