Projekt Athena, wykorzystujący modele AI do skanowania oprogramowania, zidentyfikował ponad 40 000 podatności w ponad 500 projektach. Aż 42% z nich ma charakter krytyczny lub wysoki. Największym wyzwaniem okazują się tzw. silent fixes, czyli błędy, które zostały naprawione w najnowszych wersjach kodu, ale nie otrzymały numeru CVE, przez co stare, wciąż używane wersje pozostają nieświadomie podatne na ataki.
Autorzy zauważają, że modele AI potrafią błyskawicznie przekształcić publiczne poprawki w gotowe exploity na starsze wersje oprogramowania. Aby temu przeciwdziałać, Chainguard rozpoczyna proces odpowiedzialnego ujawniania tych luk. Plan obejmuje publikację gotowych łatek w formie plików .patch oraz tworzenie precyzyjnych komunikatów o podatnościach (advisory), które pozwolą skanerom na dokładniejszą detekcję.
Firma Chainguard, we współpracy z CISA, dąży do uzyskania statusu CVE Numbering Authority (CNA). Ma to umożliwić nadawanie identyfikatorów lukom w projektach open source, które zostały już naprawione w głównych gałęziach, ale nie posiadają dokumentacji. Celem jest dostarczenie obrońcom sygnału do aktualizacji, zanim napastnicy wykorzystają automatyzację AI do masowych ataków na przestarzałe systemy.
