Генеральний директор та співзасновник Charge Robotics Макс Джастіц використав модель від OpenAI, щоб виявити серйозну вразливість: якщо її використати, хакери зможуть отримати контроль над серверами, що працюють під Ubuntu. Ubuntu — це широко використовувана відкрита, Linux-орієнтована операційна система.
Джастіць має хобійний інтерес до кібербезпеки і раніше виявляв уразливості в тій самій кодовій базі. Він розповів TechCrunch, що цього разу він виявив цю проблему за допомогою GPT 5.6 Sol, опублікованого OpenAI у липні цього року, використовуючи проект компанії під назвою Daybreak Blue. Цей проект дозволяє фахівцям з кібербезпеки використовувати потужні передові моделі.
«Я просто направив ChatGPT на той самий код і сказав: „Раніше я виявив баг, який було виправлено кілька років тому, допоможіть мені знайти такий самий серйозний або ще більш серйозний баг“, — сказав Justicz. — «Ця вразливість надзвичайно складна, її важко виявити вручну, але вона дійсно існує!»
Він повідомив про цю проблему проекту Debian, відповідальному за підтримку відповідного програмного забезпечення, який пізніше випустив патч для виправлення цієї вразливості. На даний момент немає відомих доказів того, що ця вразливість була використана. Однак те, що він так легко знайшов цю проблему, свідчить про те, що навіть початківці-хакери можуть використовувати моделі ШІ для виявлення та експлуатації потенційних вразливостей, а цей ризик може бути лише вершиною айсберга.
Я можу лише уявити, що люди зможуть зробити, якби у них було більше часу та доступ до моделей з менш обмеженнями. Ми повинні очікувати, що протягом наступних кількох місяців будуть виявлені та використані дуже дивні вразливості, — написав Justicz у соціальному медіа-пості, присвяченому цьому відкриттю. «Можливо, це зрозуміло для більшості з нас, але зараз, коли ви просто передаєте потужній AI-моделі шматок коду або бінарний файл, який ще не був аудитований, це дає величезну перевагу.»
OpenAI, звичайно, звернула увагу на це. Сьогодні компанія оголосила, що надасть нову модель, зосереджену на кібербезпеці, ChatGPT Cyber, користувачам найвищого рівня своєї програми кібербезпеки Daybreak Red. Daybreak Red дозволяє дослідникам у галузі атакуючої кібербезпеки використовувати інструменти для виявлення та розробки вразливостей.
Вчора OpenAI повідомила, що та сама модель використовувалася для сканування ядра Linux і підготовки патчів для вразливостей, виявивши 948 потенційних проблем. OpenAI також виявила 81 «нову» вразливість у веб-переглядачі Firefox.
Ця передова лабораторія заявила у своєму заяві: «Наша мета — значно розширити Daybreak, щоб надати передові дослідження безпеки організаціям будь-якого розміру, незалежним дослідникам та супроводжувачам відкритого коду».
OpenAI підкреслює, що у захисників цифрової інфраструктури є дуже вузький часовий вік для дій, оскільки моделі ШІ стануть ще кращими у хакерських атаках і будуть легше доступні. Для мережевих захисників це відчувається як випуск великої кількості нових завдань з передових лабораторій, що перевищує їхні ресурси. Джастіц каже, що він витратив близько 5 000 доларів США на підписки та токени, щоб знайти кілька вразливостей.
Крім доступу до моделей Daybreak, OpenAI оголосила про програму на 1 мільярд доларів США для підтримки кібербезпекових фахівців, які беруть участь у проекті та працюють над критичною інфраструктурою, такою як електромережі або системи водопостачання.
Проект Daybreak також зіткнувся з критикою. Justicz зазначив, що ця передова лабораторія останнім часом, схоже, «послабила» Daybreak Blue, зробивши його менш корисним для виявлення вразливостей. З одного боку, обмеження доступу потенційних зловмисників може бути добре — Justicz каже, що коли він приєднався до проекту, він просто завантажив свою фотографію водійського посвідчення. З іншого боку, фахівці з кібербезпеки стверджують, що якщо вони не зможуть використовувати передові технології, тоді як зловмисники зможуть розгорнути відкриті моделі з видаленими захисними бар’єрами, вони залишаться без засобів захисту.
Тим не менш, OpenAI зазначила, що лише «тисячі» кібербезпекових фахівців брали участь у проекті Daybreak, тоді як кількість потенційних хакерів набагато більша.
Наразі невідомо, чи вкладає Frontier Labs достатньо ресурсів у вирішення цієї проблеми. Дослідник команди з технологій OpenAI Ерік Уоллес сказав: «Зараз ми використовуємо значну частину своїх передових обчислювальних ресурсів на пошук і виправлення вразливостей у відкритих кодових базах — повністю на громадських засадах».
Однак витрати на пошук вразливості в Linux становлять 1,2 мільйона доларів США, що явно менше, ніж приблизно 6 мільйонів доларів США, витрачені компанією на пошук потенційного рішення відомої проблеми гідродинаміки.
Якщо цифрова інфраструктура, від якої залежить світ, дійсно має лише вузький вікно для виправлення, то, можливо, потрібна більша строковість.