OpenAI киберқауіпсіздік моделін шығарады: бұл жеткілікті ме?

По данным TechCrunch, Макс Джастиц, технический директор и соучредитель стартапа Charge Robotics, с помощью модели OpenAI нашёл серьёзную уязвимость, которая при эксплуатации могла бы позволить хакерам захватить серверы под управлением Ubuntu, широко используемой операционной системы на базе Linux с открытым кодом. Джастиц, который увлекается кибербезопасностью на любительском уровне и ранее уже находил уязвимость в той же кодовой базе, сообщил изданию, что обнаружил ошибку с помощью модели GPT 5.6 Sol, выпущенной в июле, через программу Daybreak Blue. Она предоставляет специалистам по защите от киберугроз доступ к мощным передовым моделям. По его словам, он просто направил ChatGPT на тот же массив кода и попросил найти ошибки не хуже уже исправленной несколько лет назад. Через два часа модель выдала результат. «Это чрезвычайно запутанная ошибка, которую человеку трудно найти, но она работает!» — сказал Джастиц. Он сообщил о проблеме проекту Debian, который поддерживает это программное обеспечение и выпустил патч для устранения уязвимости. Известных случаев эксплуатации этой уязвимости нет. Тем не менее простота, с которой он её нашёл, говорит о том, что проявления потенциальных эксплойтов, которые могут использовать даже начинающие хакеры с помощью ИИ-моделей, пока видны лишь частично. В социальной сети, где Джастиц обсуждал свою находку, он написал: «Я могу только представить, что можно сделать, имея больше времени и доступ к менее ограниченным моделям. В ближайшие несколько месяцев стоит ожидать находок и эксплуатации действительно безумных ошибок». Он добавил, что большинству специалистов это, вероятно, очевидно, но сейчас огромное преимущество даёт взять код или двоичный файл, который ещё никто не проверял, и направить на него мощную ИИ-модель. OpenAI, судя по всему, это заметила. Компания объявила о новой модели для кибербезопасности ChatGPT Cyber, которая будет доступна пользователям высшего уровня программы Daybreak Red. Программа предоставляет исследователям наступательной кибербезопасности инструменты для поиска уязвимостей и разработки эксплойтов. Накануне OpenAI сообщила, что та же модель использовалась для сканирования ядра Linux и подготовки патчей, в результате чего было выявлено 948 потенциальных проблем. Кроме того, компания нашла 81 «новую» уязвимость в веб-браузере Firefox. В заявлении компании говорится: «Наша цель — значительно расширить Daybreak, сделав передовые исследования в области безопасности доступными для организаций любого размера, независимых исследователей и мейнтейнеров проектов с открытым кодом». OpenAI настаивает, что у тех, кто защищает цифровую инфраструктуру, есть узкое окно возможностей для действий, прежде чем ИИ-модели станут ещё лучше в хакерстве и ещё доступнее. Однако для специалистов по киберзащите это может выглядеть так, будто передовые лаборатории обрушили на них лавину новой работы, которая превышает их ресурсы. Джастиц сообщил, что лично потратил около 5000 долларов на подписки и токены для поиска нескольких эксплойтов. Помимо доступа к модели Daybreak, OpenAI также объявила о инициативе на 1 миллиард долларов для поддержки специалистов по кибербезопасности, которые работают над критически важной инфраструктурой, например электросетями или системами водоснабжения. У самой программы Daybreak есть и критика. Джастиц отмечает, что лаборатория, судя по всему, недавно ослабила возможности Daybreak Blue, из-за чего она стала менее полезной для поиска уязвимостей. С одной стороны, ограничение доступа для потенциальных злоумышленников может быть правильным, и Джастиц сказал, что для участия в программе ему пришлось загрузить фото водительских прав. С другой стороны, специалисты по безопасности говорят, что им связывают руки, если они не могут пользоваться передовыми технологиями, в то время как злоумышленники могут применять модели с открытыми весами и снятыми ограничениями. OpenAI заявляет, что в программе Daybreak участвуют лишь «тысячи» специалистов по кибербезопасности, тогда как потенциальных хакеров существенно больше. Не ясно, выделяют ли передовые лаборатории достаточно ресурсов на эту задачу. Исследователь из технического штата OpenAI Эрик Уоллес заявил: «Сейчас мы выделяем значительную часть наших передовых вычислительных мощностей на поиск и исправление уязвимостей в проектах с открытым кодом, полностью безвозмездно». При этом поиск ошибок в Linux обошёлся в 1,2 миллиона долларов, что заметно меньше примерно 6 миллионов долларов, которые компания потратила на токены для поиска решения известной задачи в области гидродинамики. По мнению издания, если окно для защиты инфраструктуры, от которой зависит мир, действительно узкое, может понадобиться больше срочности. Материал подготовлен нейросетью на основе оригинальной публикации. ИИ может ошибаться в деталях (цифры, имена, даты, цитаты) — для важной информации сверяйтесь с первоисточником.