«Ми більше не зможемо виправити всі помилки»: експерти попередили про кризу в кібербезпеці через ШІ

Керівники провідних технологічних компаній попереджають про нову загрозу кібербезпеці: штучний інтелект дає змогу знаходити критичні вразливості в програмному забезпеченні з безпрецедентною швидкістю. Під час так званого «Чорного жовтня» дослідники виявили серйозні недоліки в PHP — мові програмування, на якій працюють мільйони вебсайтів. Експерти побоюються, що зловмисники використовуватимуть ШІ для пошуку й експлуатації таких вразливостей швидше, ніж розробники та фахівці з кібербезпеки зможуть їх усувати, передає The Guardian.

«Я більше не думаю, що ми зможемо виправити всі помилки», — заявив генеральний директор OpenAI Сем Альтман. 

Заступник директора з інформаційної безпеки Anthropic Джейсон Клінтон назвав ситуацію «цунамі вразливостей» і попередив, що часу на виправлення критичної інфраструктури може не вистачити. Генеральний директор Salesforce Марк Беніофф, зі свого боку, охарактеризував ситуацію як «червоний рівень загрози» (code red). 

«Здаватиметься, ніби небо падає на землю. Здаватиметься, що ми нічого не можемо вдіяти. Наступні два роки будуть надзвичайно, просто неймовірно насичені появою нових інструментів, які мають безмежне терпіння для пошуку вразливостей по всьому інтернету», — наголосив керівник Cloudflare Метью Прінс. 

Експерти попереджали про хвилю кібератак з ШІ вже кілька місяців. Однак події «Чорного жовтня» привернули особливу увагу, оскільки дослідникам вдалося за допомогою ШІ виявити критичні недоліки в PHP, про які оголосили 21 жовтня. За оцінками деяких експертів, через знайдені вразливості під загрозою могли опинитися до 70% усіх сайтів в інтернеті.

Дослідники платформи кібербезпеки Wiz назвали виявлені проблеми одними з найсерйозніших в історії PHP і, можливо, усього програмного забезпечення. За їхніми словами, самі вразливості існували десятиліттями, але довести можливість їх експлуатації було надзвичайно складно навіть для фахівців-людей.

Після оприлюднення інформації про вразливості державні та приватні вебсайти у США та Великій Британії тимчасово припиняли роботу, щоб установити виправлення. Агентство національної безпеки США (АНБ) закликало власників сайтів, які використовують PHP, негайно оновити програмне забезпечення.

«Такий вектор доступу може дозволити зловмисникам викрасти конфіденційні дані, порушити роботу сервісів або проникнути глибше в мережу», — додали в АНБ.

За даними Cloudflare, спроби експлуатації вразливостей почалися ще до офіційного оголошення про них. Компанія зафіксувала тисячі таких спроб за десять годин до публічного повідомлення, а після його оприлюднення активність зловмисників різко зросла.

«Протягом 45 хвилин після оголошення кількість таких спроб зросла до десятків тисяч, за дві години — до сотень тисяч, а зараз ідеться вже про мільйони», — написав Прінс у соціальній мережі X.

Головне занепокоєння експертів полягає в тому, що ШІ може прискорити не лише виявлення вразливостей, а й атаки на системи, які їх містять. Якщо раніше пошук складних недоліків міг вимагати значних зусиль від досвідчених дослідників, то нові інструменти здатні автоматизувати частину цієї роботи та масштабувати її. Технологічні компанії побоюються, що захисники не матимуть достатньо часу для перевірки систем, випуску виправлень і встановлення оновлень до того, як знайденими слабкими місцями скористаються хакери. 

Лідери провідних ШІ-лабораторій, зокрема OpenAI та Anthropic, у закритому режимі вже моделюють наслідки можливої масштабної катастрофи, пов'язаної зі штучним інтелектом. В індустрії очікують серйозного інциденту — насамперед руйнівної кібератаки на фінансову систему чи критичну інфраструктуру або збою автономних агентів — уже протягом найближчих 6–12 місяців.