Главный технический директор и сооснователь Charge Robotics Макс Джаститц использовал модель OpenAI, чтобы обнаружить серьезную уязвимость; если ею воспользуются, хакеры смогут получить контроль над серверами, работающими под Ubuntu. Ubuntu — это широко используемая открытая операционная система на базе Linux.
Джастис имеет любительский интерес к кибербезопасности и ранее обнаруживал уязвимости в той же кодовой базе. Он сообщил TechCrunch, что обнаружил эту проблему с помощью GPT 5.6 Sol, выпущенного OpenAI в июле этого года, используя проект компании под названием Daybreak Blue. Этот проект позволяет специалистам по кибербезопасности использовать мощные передовые модели.
«Я просто направил ChatGPT на тот же самый фрагмент кода и сказал: „Раньше я обнаруживал баг, который уже был исправлен несколько лет назад, помогите мне найти такой же серьезный или более серьезный баг“, — сказал Джастис. — «Эта уязвимость чрезвычайно сложна, ее трудно обнаружить вручную, но она действительно существует!»
Он сообщил об этой проблеме проекту Debian, ответственному за поддержку соответствующего программного обеспечения, после чего был выпущен патч для устранения уязвимости. На данный момент нет известных доказательств того, что уязвимость была использована. Однако то, как легко он обнаружил эту проблему, указывает на то, что даже новички-хакеры могут использовать модели ИИ для обнаружения и эксплуатации потенциальных уязвимостей, и этот риск может быть лишь вершиной айсберга.
Я могу только представить, что еще смогут создать люди, если бы у них было больше времени и доступ к моделям с меньшими ограничениями. Мы должны ожидать, что в ближайшие месяцы будут обнаружены и использованы некоторые по-настоящему безумные уязвимости, — написал Justicz в своем социальном медиа-посте, посвященном этому открытию. «Для большинства из вас здесь это, возможно, очевидно, но сейчас есть огромное преимущество в том, чтобы взять любой еще не прошедший аудит код или бинарный файл и передать его мощной модели ИИ».
OpenAI, очевидно, обратила на это внимание. Сегодня компания объявила, что предоставит новую модель, ориентированную на кибербезопасность — ChatGPT Cyber, пользователям высшего уровня своей программы кибербезопасности Daybreak Red. Daybreak Red позволяет исследователям в области атакующей кибербезопасности использовать инструменты для поиска и разработки уязвимостей.
Вчера OpenAI сообщила, что та же модель была использована для сканирования ядра Linux и подготовки патчей для уязвимостей, обнаружив 948 потенциальных проблем. OpenAI также обнаружила 81 «новую» уязвимость в веб-браузере Firefox.
Эта передовая лаборатория заявила в своем заявлении: «Наша цель — значительно расширить Daybreak, предоставив передовые исследования безопасности организациям любого масштаба, независимым исследователям и сопровождающим открытые проекты».
OpenAI постоянно подчеркивает, что у защитников цифровой инфраструктуры есть лишь узкое окно времени для действий, поскольку модели ИИ будут только становиться более искусными в хакерских атаках и легче доступными. Для киберзащитников это ощущается как выброс огромного объема новой работы из передовых лабораторий, превышающего их ресурсы. Джастис говорит, что он потратил около 5000 долларов на подписки и токены, чтобы найти несколько уязвимостей.
Помимо доступа к модели Daybreak, OpenAI объявила о программе в размере 1 миллиарда долларов США для поддержки кибербезопасности специалистов, участвующих в этом проекте и работающих с критически важной инфраструктурой, такой как электросети или системы водоснабжения.
Сам проект Daybreak также стал объектом критики. Justicz отметил, что эта передовая лаборатория недавно, похоже, «ослабила» Daybreak Blue, сделав его менее полезным для обнаружения уязвимостей. С одной стороны, ограничение доступа потенциальных злоумышленников может быть хорошей идеей — Justicz говорит, что когда он присоединился к проекту, он просто загрузил фотографию своих водительских прав. С другой стороны, специалисты по кибербезопасности заявляют, что если они не могут использовать передовые технологии, в то время как злоумышленники могут развертывать открытые весовые модели без защитных барьеров, они окажутся в невыгодном положении.
Тем не менее, OpenAI заявила, что в проекте Daybreak участвуют лишь «тысячи» специалистов по кибербезопасности, тогда как потенциальное количество хакеров намного больше.
Пока неясно, достаточно ли ресурсов выделено лабораторией Frontier для решения этой проблемы. Исследователь технической команды OpenAI Эрик Уоллес сказал: «Сейчас мы направляем значительную часть передовых вычислительных мощностей на обнаружение и устранение уязвимостей в открытых кодовых базах — исключительно в благотворительных целях».
Однако стоимость поиска уязвимостей в Linux составила 1,2 миллиона долларов, что значительно меньше примерно 6 миллионов долларов, вложенных компанией в токены для поиска потенциального решения известной проблемы гидродинамики.
Если цифровая инфраструктура, от которой зависит мир, действительно имеет лишь узкое окно для ремонта, то, возможно, требуется большее чувство срочности.