Джустич, увлекающийся кибербезопасностью и ранее обнаруживший уязвимость в том же коде, рассказал TechCrunch, что нашел эту проблему с помощью GPT 5.6 Sol, выпущенной в июле, через программу AI maker’s Daybreak Blue, которая предоставляет специалистам по кибербезопасности доступ к мощным передовым моделям.
«Я буквально направил ChatGPT на тот же массив кода и сказал: „Я нашел эту ошибку ранее, которая была исправлена несколько лет назад, найди ошибки такие же или хуже“, и он выдал это за 2 часа», — сказал Джустич. «Это чрезвычайно запутанно и сложно для человека, но это работает!»
Он сообщил о проблеме проекту Debian, который поддерживает рассматриваемое программное обеспечение и выпустил исправление для устранения уязвимости. Доказательств эксплуатации не обнаружено. Тем не менее, легкость, с которой он ее нашел, предполагает, что мы видели лишь верхушку айсберга потенциальных эксплойтов, которые даже начинающие хакеры могут использовать с помощью ИИ-моделей.
«Я могу только представить, что можно было бы сделать, имея больше времени и доступ к менее ограниченным моделям. В ближайшие несколько месяцев мы должны ожидать обнаружения и использования чрезвычайно сумасшедших ошибок», — написал Джустич в ветке в социальной сети, обсуждая свою находку. «Для большинства здесь это, вероятно, очевидно, но в настоящее время существует огромный потенциал в том, чтобы взять какой-либо код или бинарный файл, который кто-то еще не проверил, и просто направить на него мощную ИИ-модель».
OpenAI, похоже, заметила это. Сегодня ИИ-гигант объявил о новой модели, ориентированной на кибербезопасность, ChatGPT Cyber, которая будет доступна пользователям высшего уровня программы кибербезопасности Daybreak Red, предоставляющей исследователям в области наступательной кибербезопасности инструменты для поиска уязвимостей и разработки. Вчера OpenAI сообщила, что та же модель использовалась для сканирования и подготовки исправлений для уязвимостей в ядре Linux, обнаружив 948 потенциальных проблем. OpenAI также обнаружила 81 «новую» уязвимость в браузере Firefox.
«Наша цель — значительно расширить Daybreak, предоставив передовые исследования безопасности организациям любого размера, независимым исследователям и сопровождающим открытый исходный код», — говорится в заявлении передовой лаборатории.
OpenAI настаивает на том, что у тех, кто защищает цифровую инфраструктуру, есть узкое окно времени для действий, прежде чем ИИ-модели станут еще лучше в хакерстве и проще в доступе. Однако для специалистов по кибербезопасности может показаться, что передовые лаборатории создали гору новой работы, которая превосходит их ресурсы. Джустич сказал, что лично потратил около 5000 евро на подписки и токены для поиска нескольких эксплойтов.
Помимо доступа к моделям Daybreak, OpenAI также объявила об инициативе стоимостью 1 миллиард долларов для поддержки специалистов по кибербезопасности в программе, которые работают над критически важной инфраструктурой, такой как электросети или системы водоснабжения.
Программа Daybreak также подвергается критике. Джустич отмечает, что передовая лаборатория, похоже, недавно «ослабила» Daybreak Blue, сделав ее менее полезной для поиска уязвимостей. С одной стороны, ограничение доступа для потенциальных злоумышленников может быть хорошим решением — Джустич сказал, что просто загрузил фотографию своих водительских прав, чтобы присоединиться к программе. С другой стороны, специалисты по кибербезопасности говорят, что им связывают одну руку, если они не могут использовать передовые технологии, в то время как злоумышленники могут развертывать открытые модели с уничтоженными защитными механизмами.
Тем не менее, OpenAI утверждает, что в программе Daybreak участвуют всего «тысячи» специалистов по кибербезопасности, в то время как число потенциальных хакеров значительно больше.
Неясно, выделяют ли передовые лаборатории достаточно своих ресурсов на эту проблему. Эрик Уоллес, исследователь технического отдела OpenAI, заявил, что «мы сейчас выделяем значительную часть наших передовых вычислительных ресурсов на обнаружение и исправление уязвимостей в коде с открытым исходным кодом, полностью на безвозмездной основе».
Однако охота за ошибками в Linux обошлась в 1,2 миллиона евро, что значительно меньше, чем примерно 6 миллионов евро, потраченных компанией на поиск потенциального решения известной проблемы гидродинамики.
Если существует узкое окно времени для исправления цифровой инфраструктуры, от которой зависит мир, может потребоваться большая срочность.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Tim Fernholz
