Die Kunden von Tanium umfassen kritische Infrastruktursektoren, einschließlich einiger der größten Banken, Krankenhaussysteme und Regierungsbehörden der Welt. Sie vertrauen unserem Agenten auf ihre sensibelsten Endpunkte, was bedeutet, dass die Software, die wir versenden, die hohen Standards erfüllen muss, die sie für sich selbst festlegen. Deshalb suchen wir nach unseren eigenen Schwachstellen, bevor jemand anderes dies kann.
Wir haben kürzlich bekannt gegeben , dass Tanium am Projekt Glasswing von Anthropic teilnimmt und Claude Mythos 5 für defensive Sicherheitsarbeiten testet, und wir haben ähnliche Bemühungen mit anderen Partnern in der privaten Vorschau eingeleitet. Während unseres gesamten Entwicklungslebenszyklus experimentieren wir mit KI-Modellen für die Schwachstellenerkennung – und wir möchten mitteilen, was wir lernen, zusammen mit einer praktischen Konsequenz, die unsere Kunden planen sollten.
Die Obergrenze für traditionelle Anwendungssicherheitspraktiken erhöhen
Seit Jahren bewertet Tanium unser Produkt kontinuierlich nach Best Practices der Branche. Tanium führt regelmäßig Anwendungspenetrationstests durch sein internes Sicherheitsteam von Produktexperten sowie angesehene externe Beratungsunternehmen durch. Das F&E-Sicherheitsteam von Tanium hat Fuzzing-, SAST- und DAST-Toolchains in unseren Entwicklungslebenszyklus integriert. Während unser Sicherheitsprogramm ausgereift ist, übernehmen wir auch KI-Technologien, die die Sicherheit unserer Software messbar verbessern.
SAST-Tools können bestimmte Klassen von Schwachstellen finden, die als Muster ausgedrückt werden können, wie z. B. einen beschädigten Wert, der eine Senke erreicht, oder einen bekannten schlechten API-Aufruf. DAST-Tools können Schwachstellen von Textbuch-Webanwendungen wie SQL-Injection oder häufige Fehlkonfigurationen finden. Diese Tools funktionieren jedoch schlecht bei der Suche nach Schwachstellen, die ein tieferes Verständnis des erwarteten Verhaltens erfordern, und haben auch Schwierigkeiten mit der Berücksichtigung der Interaktion zwischen mehreren Komponenten. Das Signal-Rausch-Verhältnis für diese Tools ist sehr gering, und die Verbesserung der Rate der echten positiven Ergebnisse erfordert eine umfangreiche Abstimmung und laufende Wartung.
Bisher wurden komplexe Fehler normalerweise von Ingenieuren entdeckt, die die Architektur, das Bedrohungsmodell und die Codebasis für unsere Software genau verstehen. Die Skalierung der Sicherheitsfunktionen jedoch rein durch die Hinzufügung von Personal ist weder eine nachhaltige noch eine realistische Lösung.
Im letzten Jahr haben Frontier-KI-Modelle ihre Cybersicherheitsfunktionen erheblich verbessert. Sie können nun komplexe Codebasen analysieren und die beabsichtigte Funktionalität begründen, während sie Schwachstellenerkennung durchführen. Während sie immer noch Fehler machen und beaufsichtigungsbedürftig sind, haben unsere Experimente zahlreiche Sicherheitsschwachstellen aufgedeckt, von denen unsere Sicherheitsingenieure bestätigt haben, dass sie Auswirkungen haben. Bei unseren internen Tests war das Signal-Rausch-Verhältnis bedeutend besser als das, was wir bei herkömmlichen Sicherheitstools sehen. Mit diesen verbesserten Funktionen ist die Skalierung der Schwachstellenidentifizierung und Behebung mit Frontier-KI zu einer dringenden Priorität für unser Team geworden.
Verschiedene Tools finden verschiedene Fehler im selben Code
Unsere Sicherheitsingenieure bauten einen benutzerdefinierten Bewertungskabelbaum um ein Allzweck-Grenzflächenmodell herum. Dieser Kabelbaum codiert das Bedrohungsmodell von Tanium, die Vertrauensgrenzen, die in unserer Architektur vorhanden sind, die Verhaltensweisen, die durch das Design beabsichtigt sind, und einen Korpus von Schwachstellendaten, die aus Jahren unserer eigenen Forschungs- und Offenlegungshistorie stammen. Dieser Kabelbaum hat die Arten von Schwachstellen aufgedeckt, die tiefgreifendes Systemwissen und Kontext erfordern – die Art, die herkömmliche Tools nicht identifiziert hätten.
Unabhängig davon führten wir verschiedene Modelle und agentische Scansysteme gegen dieselbe Codebasis aus. Diese fähigen Kabelbaume erhielten keinen Tanium-spezifischen Kontext, und sie fanden jeweils gültige Fehler, die sich von denen anderer Kabelbaume unterschieden.
Über die Ergebnisse, die von diesen Tools berichtet wurden, ist die Überlappung erheblich kleiner als erwartet. Wir sind noch nicht bereit, definitiv zu sagen, ob dies eine Eigenschaft der Modelle, des Kabelbaums, unserer Codebasis ist oder wie früh wir sind, aber die kurzfristige praktische Implikation ist bereits klar genug, um darauf zu reagieren: agentische Sicherheitsworkflows sollten sich nicht auf ein einziges Modell oder einen einzigen Anbieter verlassen und institutionellen Kontext integrieren, um die Leistung zu verbessern.
Wir investieren weiterhin in den Aufbau und die Abstimmung des Kontexts, den wir mit diesen Tools versorgen, und schieben das, was hier möglich ist, anstatt uns auf den ersten Ansatz zu einigen, der funktioniert.
Tanium erhöht sein Sicherheitspatch-Volumen und seine Geschwindigkeit
Unsere Verpflichtung zur Bereitstellung von Wartungsfreigaben für unsere On-Premises-Kunden in mindestens einer monatlichen Trittfrequenz bleibt unverändert. Was sich ändern wird, ist die Häufigkeit von Out-of-Band-Releases und das Volumen der Schwachstellen, die für jede Version offengelegt werden. Wir halten uns an aggressive SLAs zur Behebung von Schwachstellen, die wir als ausnutzbar bewerten, gemessen in Tagen für die kritischsten Probleme, und wir beabsichtigen, sie weiterhin zu erfüllen, auch wenn sich unsere Erkennungsfähigkeit verbessert.
Das bedeutet, dass Sie in den kommenden Monaten mit einer Zunahme von Sicherheitshinweise, CVE-Datensätzen und Sicherheitspatches von uns rechnen sollten, während wir diese Techniken in unserem gesamten Stack weiter anwenden und weiterentwickeln. Wir möchten diese Erwartung klar festlegen, da eine steigende CVE-Zahl leicht falsch zu lesen ist. Es ist kein Signal dafür, dass sich unsere Software verschlechtert. Vielmehr werden wir besser darin, latente Sicherheitsprobleme aufzudecken, die schwer zu finden sind.
Dies ist ein Muster, das unsere Kollegen in der Softwarebranche beobachtet haben: Mozilla hat 271 Schwachstellen als Ergebnis ihrer ersten Bewertung von Mythos gepatcht (öffnet in einer neuen Registerkarte) und Microsoft hat am Patch Tuesday vom 9th’s . September mehr als 900 Sicherheitsschwachstellen gepatcht (öffnet in einer neuen Registerkarte).
Zusätzlich zur proaktiven Suche unserer Codebase nach Schwachstellen und deren sofortigem Patchen informieren wir unsere Kunden transparent über bekannte Sicherheitsprobleme. Wir werden weiterhin unseren Verpflichtungen als CVE-Nummerierungsbehörde nachkommen und diese Schwachstellen verantwortungsvoll offenlegen (siehe https://security.tanium.com für veröffentlichte Hinweise), da diese Informationen es Kunden ermöglichen, die Exposition zu bewerten und die Behebung entsprechend zu planen. Wir sind uns bewusst, dass Patching betriebliche Herausforderungen für unsere Kunden mit sich bringen kann, und das nehmen wir nicht leicht. Die Realität ist jedoch, dass das Tempo der Schwachstellenerkennung und Exploit-Entwicklung für Verteidiger und Angreifer gleichermaßen beschleunigt wird und Patchzyklen in der Branche auch schneller werden müssen, um unsere Systeme zu schützen.
Tanium verpflichtet sich, unsere Kunden bei der Optimierung von Patching für ihre Tanium-Bereitstellungen zu unterstützen. Alle Kunden haben Zugriff auf die Endpunktkonfiguration von Tanium, die sichere, nahtlose und häufige Upgrades für den Tanium Client und Endpunkttools ermöglicht. Vor-Ort-Kunden müssen auch ihr Tanium-Backend aktualisieren, um von all diesen Sicherheitspatches zu profitieren. Unsere halbjährlichen Wartungsversionen umfassen begrenzte Codeänderungen, die auf kritische und Sicherheitsfehler abzielen, um die Vorhersehbarkeit und Stabilität zu bieten, die unsere Kunden benötigen, um schnelle Upgrade-Zyklen zu implementieren.
Was kommt als Nächstes?
Das F&E-Sicherheitsteam von Tanium wird weiterhin Frontier-KI-Cyberfunktionen für unsere Softwareprodukte und unseren Sicherheitsbetrieb entwickeln und anwenden. Wenn wir mehr über das Kabelbaumdesign, den Triage-Workflow und darüber erfahren, wie die Abdeckungslücke mehrerer Modelle aussieht, beabsichtigen wir, unsere Forschung öffentlich zu teilen und weiterhin das Richtige für die Sicherheit der Kunden von Tanium zu tun. Unsere Kunden verlassen sich bei ihren IT- und Sicherheitsvorgängen auf Tanium, damit sie sich auf ihre kritischen geschäftlichen Herausforderungen konzentrieren können – und die Suche nach unseren eigenen Schwachstellen ist es, wie wir uns dieses Vertrauen weiterhin verdienen, bevor es jeder andere kann.
Die Aussagen und Inhalte von Tanium in Bezug auf seine Pläne, Anweisungen und Absichten sind vertraulich und können nach alleinigem Ermessen von Tanium ohne Vorankündigung geändert werden. Informationen über potenzielle zukünftige Produkte oder Funktionen sollen die allgemeine Produktrichtung von Tanium darstellen und sollten nicht bei einer Kaufentscheidung herangezogen werden, noch werden sie in einen Vertrag aufgenommen. Es handelt sich nicht um eine Verpflichtung, ein Versprechen oder eine rechtliche Verpflichtung. Die Entwicklung, Freigabe und der Zeitpunkt aller zukünftigen Produkte oder Funktionen verbleiben im alleinigen Ermessen von Tanium
