ИИ находит бреши всё быстрее

4 ноября OpenAI описала прогон ИИ-агентов по ядру Linux, программному обеспечению, на котором держатся телефоны на Android, облачная инфраструктура и суперкомпьютеры. Примерно за десять дней, начиная с середины октября, агенты создали работающие эксплойты для 948 различных уязвимостей, каждая из которых позволяла превратить обычную учётную запись пользователя в полный контроль над машиной, и написали предлагаемый патч для каждой из них. Неделей раньше Google анонсировала Gemini 4 Carbon и в первую очередь предоставила её проверенным специалистам по киберзащите. Время между появлением уязвимости и её обнаружением сокращается, и лаборатории хотят, чтобы защитники успевали первыми.

Что запустила OpenAI

Конвейер состоял из пяти этапов и работал на модели для кибербезопасности, которую OpenAI выпустила 5 ноября под названием GPT-6 Cyber. Агенты-разведчики выбрали 5'034 части ядра, которые стоило проверить, это около 7 процентов его кода. Агенты-аналитики за 12 часов превратили их в 2'308 возможных находок. Агенты сортировки пытались воспроизвести каждую из них на изолированной машине и преуспели в 1'724 случаях, примерно в трёх четвертях, а по словам OpenAI, лишь 3,1 процента находок основывались на ошибочном анализе. Следующие этапы проверяли, какие уязвимости можно эксплуатировать, и писали патчи, а люди просматривали результаты, прежде чем о чём-либо сообщить.

Прогон обошёлся в 1'213'430 долларов в кредитах API, или примерно в 1'279 долларов за эксплойт. На целевых машинах работал стандартный десктопный Linux с обычными включёнными защитами. Прогон в июле с более ранней моделью, GPT-5.6 Sol, выявил 166 таких уязвимостей. Новая модель нашла более чем в пять раз больше, хотя за прошедшие три месяца ядро успели укрепить.

Что лаборатории говорят об ограничениях

OpenAI откровенно рассказывает о своих ошибках. В одном из ранних прогонов конвейер сообщил о 200 успешных эксплойтах, а проверка людьми показала, что 20 из них получили полный контроль через другую, неизвестную уязвимость, а не через ту, что была им назначена. OpenAI написала: «Это говорит о том, что даже успешная эксплуатация агентами требует надлежащей проверки», и добавила независимую проверку того, что каждый эксплойт использовал назначенную ему уязвимость. Её урок применим к любой автоматизированной работе: «проверяйте путь к результату, а не только сам результат».

Патчи тоже потребовали доработки. Первые из них работали, но иногда добавляли лишний код, игнорировали принятые в проекте соглашения или упускали варианты той же уязвимости, пока дополнительные инструкции и итерации их не улучшили. Свои цифры затрат OpenAI называет «скорее верхней границей». Все эти цифры принадлежат самой OpenAI. К 5 ноября мы не нашли ни независимого аудита этих данных, ни публичного заявления мейнтейнеров ядра об этой партии.

Сначала защитники

Анонс Google от 28 октября следует той же схеме. Компания называет Gemini 4 Carbon «нашей самой сильной моделью с передовыми возможностями в кибербезопасности и в длительных задачах» и сообщает о 88,2 процента на SEC-bench Pro в поиске уязвимостей, 54,8 процента на ExploitGym и 71,0 процента на CWE-bench в создании исправлений. Всё это собственные цифры Google, полученные без защитных ограничений. Доступ сначала получает часть специалистов по киберзащите, а затем он поэтапно расширяется через Fairwind Program, в которой, по данным SecurityWeek, более 650 участников, среди них правительства и операторы критической инфраструктуры. Выпуск для разработчиков, бизнеса и потребителей обещан «как можно скорее», без даты.

Эту схему задала Anthropic с Mythos в апреле, и OpenAI ей следует. GPT-6 Cyber сначала получает избранная группа одобренных клиентов Daybreak Red, программы OpenAI для санкционированного тестирования безопасности, а в рамках собственной Preparedness Framework OpenAI относит модель к уровню Critical в кибербезопасности. Почему, сказано в анонсе: «Ясно, что у нас есть ограниченное окно, чтобы использовать передовые модели для защиты программного обеспечения».

Взгляд мейнтейнеров

Каждая находка попадает к тому, кому предстоит её исправить. В марте Грег Кроа-Хартман, один из ведущих мейнтейнеров ядра, рассказал The Register, что примерно месяцем ранее отчёты, созданные с помощью ИИ, превратились из мусора в настоящие: «Теперь у нас настоящие отчёты». В мае Линус Торвальдс написал, что «непрекращающийся поток отчётов от ИИ по сути сделал список рассылки по безопасности почти полностью неуправляемым», потому что многие люди находят одни и те же баги одними и теми же инструментами. Его совет авторам отчётов: «Если вы нашли баг с помощью инструментов ИИ, скорее всего, его нашёл и кто-то другой». В июле команда ядра опубликовала 432 CVE всего за одно воскресенье и понедельник.

Пока шло сканирование OpenAI, мейнтейнеры и другие участники уже исправляли многие из тех же уязвимостей: через десять дней 61 была исправлена в основной ветке, для 43 патчи ждали рассмотрения, а 299 обсуждались публично. OpenAI говорит, что следовала рекомендациям сообщества ядра и на данный момент раскрыла 304 критические находки с предлагаемыми патчами. На наш взгляд, дефицитным ресурсом теперь стало внимание тех, кто проверяет, тестирует и выпускает исправления.

Что может сделать компания

Большинство компаний просто используют программы, которые получают эти исправления, часто крупными пакетами. OpenAI сама делает вывод: пока что учётную запись с низкими привилегиями в системе, которая «не обновлена до последних доступных патчей, следует считать функционально равнозначной root-доступу для хорошо оснащённого злоумышленника». Из этого, на наш взгляд, следуют четыре вещи.

Устанавливайте исправления быстрее и знайте, что у вас работает. Ян Шауман, главный архитектор информационной безопасности Akamai, написал в июле, что расставлять приоритеты для отдельных изменений ядра больше невозможно, и сказал The Register, что «автоматические, регулярные и частые обновления» кажутся единственным разумным подходом, как бы трудно это ни было крупным организациям. Для этого нужен актуальный список всех серверов, устройств и сервисов, а также того, кто обновляет каждый из них.

Выбирайте поставщиков, которые быстро выпускают исправления, и спрашивайте, сколько времени нужно, чтобы критическое исправление дошло до вас. Спросите поставщиков ПО, как они используют эти модели: сканируют ли они собственный код, как проверяют то, о чём сообщают модели, и участвуют ли в программах вроде Daybreak или Fairwind.

Храните чувствительные данные в системах, которые вы контролируете, с доступом, ограниченным по ролям, чтобы уязвимость в чужом сервисе раскрывала меньше. Контроль не снимает обязанности устанавливать исправления, он делает её вашей. OpenAI также рекомендует песочницы и изоляцию, чтобы ограничить ущерб, если что-то всё же удастся эксплуатировать.

Наша позиция

Мы не создаём сканеры безопасности. Наша часть работы относится к последнему пункту этого списка. Twin, который уже доступен, даёт ассистентам компании единый мозг с доступом по ролям, где каждая операция записи привязана ко входу конкретного пользователя, а каждый шаг попадает в журнал, с хостингом в Швейцарии, ЕС, США или на собственном оборудовании компании. Eigna, которая находится в раннем доступе и создана нашим партнёром Eigna Labs, является частной моделью, которая работает в собственном облаке компании или на её собственных серверах и рассчитана на автономную работу в закрытых сетях. Как и всё остальное, что работает в компании, оба продукта нужно поддерживать в актуальном состоянии.