«Vulnpocalypse»: почему эксперты опасаются, что ИИ может склонить чашу весов в пользу хакеров

По мере того как ИИ становится всё более способным выявлять уязвимости программного обеспечения, эксперты всё чаще предупреждают о потенциальном катастрофическом сценарии: так называемом «Vulnpocalypse». Исследователи в области безопасности предупреждают, что хакеры могут резко усилить свои атаки с помощью технологий ИИ, предназначенных для выявления брешей в киберзащите. На этой неделе этот сценарий перестал казаться чисто теоретическим. Anthropic, ведущая компания в области ИИ, объявила, что не будет предоставлять общественности доступ к своей новейшей модели Mythos Preview, сославшись на беспрецедентные возможности по обнаружению уязвимостей, которые в чужих руках могут нанести значительный ущерб. Вместо этого компания предоставляет доступ к модели ограниченной группе технологических гигантов и партнеров, чтобы помочь им укрепить свою защиту. Эта проблема дошла до высших эшелонов власти. После объявления Anthropic о Mythos Preview министр финансов Скотт Бессент созвал на этой неделе встречу с крупными финансовыми учреждениями, чтобы обсудить «быстрое развитие событий в сфере ИИ», сообщил представитель ведомства. Некоторые выдвигают теории, что ИИ может помочь хакерам вывести из строя финансовые системы или заблокировать работу больниц и производственных предприятий. Он может помочь таким странам, как Иран, отключить критически важную инфраструктуру США. Или его можно использовать для вызова массовых сбоев в системах, затрагивающих путешественников или пользователей интернета. «У нас гораздо больше уязвимостей, чем большинство людей готовы признать; исправить их все и раньше было сложно, а теперь их гораздо проще использовать гораздо более широкому кругу потенциальных злоумышленников», — сказал Кейси Эллис, основатель Bugcrowd, платформы для исследователей в области кибербезопасности, занимающихся поиском уязвимостей. «ИИ предоставляет инструменты для этого гораздо большему количеству людей». Хакеры часто взламывают системы, находя способы использовать уязвимости в программном обеспечении, что приводит к бесконечному противостоянию, в котором злоумышленники ищут новые возможности, а защитники пытаются обновлять свой код, чтобы их блокировать. Некоторые модели ИИ, особенно те, которые программируют так же хорошо или даже лучше человека, оказались чрезвычайно способными быстро обнаруживать эти уязвимости. Опасения по поводу способности ИИ предоставить хакерам «супероружие», способное подавить системы кибербезопасности, достигли нового пика на этой неделе, когда компания Anthropic объявила, что пока не будет выпускать Mythos для широкой публики. Но независимо от того, оправдает ли Mythos свой ажиотаж, эксперты отрасли в основном сходятся во мнении, что в скором времени наступит период расплаты, когда хакеры смогут использовать ИИ, чтобы получить над своими жертвами больше преимуществ, чем когда-либо прежде. «Защитнику нужно быть правым всегда, тогда как злоумышленнику достаточно быть правым всего один раз», — сказал Эллис. Логан Грэм, возглавляющий отдел исследований в области наступательных кибератак в компании Anthropic, заявил, что даже если Mythos так и не будет представлен публике, он ожидает, что конкуренты компании, в том числе из Китая, выпустят модели с аналогичными хакерскими возможностями в ближайшие месяцы и годы. «Нам следует готовиться к тому, что в течение шести–двенадцати месяцев подобные возможности могут получить широкое распространение или стать общедоступными, причем не только со стороны компаний из США», — сказал Грэм в интервью NBC News. «Если посмотреть на ситуацию со стороны, это довольно безумные сроки, ведь обычно подготовка к подобным вещам занимает много лет», — сказал он. По словам Грэма, Mythos не просто хорошо находит уязвимости, но и объединяет их в сложные эксплойты, которые могут стать разрушительными хакерскими инструментами. Кэти Муссорис, генеральный директор и соучредитель Luta Security, компании, которая связывает исследователей уязвимостей с разработчиками программного обеспечения, сказала, что она ожидает сценариев, подобных тем, когда крупные облачные провайдеры отключаются из-за сбоев и уносят с собой значительные части Интернета. «Мы определенно начнем наблюдать крупные сбои, которые будут иметь последствия для других отраслей, как это произошло с авиационной отраслью во время инцидента с CrowdStrike. Различные другие сферы страдают, когда не работает Cloudflare или Amazon Web Services», — сказала она. Синтия Кайзер, бывший высокопоставленный сотрудник ФБР по вопросам кибербезопасности и старший вице-президент компании Halcyon, занимающейся предотвращением атак с использованием программ-вымогателей, выразила обеспокоенность тем, как искусственный интеллект поможет посредственным хакерам, которых от атак на больницы с целью вымогательства выкупа удерживает лишь отсутствие необходимых навыков. «Эти самозванцы, эта скрытая группа людей, которые еще год назад не были способны проводить такие операции, теперь имеют в своих руках одни из самых мощных инструментов, когда-либо известных человечеству», — сказала она NBC News. «В прошлом году объектами атак программ-вымогателей чаще всего становились здравоохранение и критически важные производственные предприятия. Думаю, эта тенденция сохранится. Они будут нацеливаться на те сферы, где практически недопустимы простои». ИИ также может оказать значительное влияние на кибервойну и атаки на критически важную инфраструктуру США, помогая хакерам, цель которых — простое уничтожение. С момента начала войны США с Ираном хакеры из Тегерана нападали на множество американских целей, но неоднократно преувеличивали свои возможности. Им удалось совершить лишь одну публичную атаку, нанесшую значительный ущерб — на медицинскую технологическую компанию Stryker в Мичигане. Федеральные агентства заявили на этой неделе, что Ирану удалось добиться определенного успеха во взломе компаний, занимающихся критически важной инфраструктурой, включая водоснабжение и водоотведение, а также энергетический сектор, с целью вызвать сбои в работе. Неясно, были ли какие-либо из этих атак серьезными, а имена жертв не разглашаются. Однако искусственный интеллект мог бы облегчить эту задачу. Некоторые промышленные системы управления имеют серьезную киберзащиту, хотя другие — например, некоторые водоочистные станции в малонаселенных районах страны — ею не обладают. Такие системы часто представляют собой серьезную проблему для хакеров, поскольку они построены на основе более сложных механизмов. Джейсон Хили, старший научный сотрудник Колумбийского университета, специализирующийся на киберконфликтах, заявил, что, хотя Иран до сих пор не смог провести сложную кибератаку на США, ИИ может сделать ее более реальной. «Вместо того чтобы готовить поколение хакеров, разбирающихся в водохозяйственных системах, ИИ должен помочь понять эти системы и автоматизировать процесс проникновения», — сказал он. Брайсон Борт, основатель Scythe — платформы, помогающей промышленным системам моделировать потенциальные кибератаки, — отметил, что критически важная инфраструктура часто отключена от интернета, что делает маловероятным настоящий апокалиптический сценарий. «Не все эти вещи приводят к немедленным последствиям, типа того, что все начинают умирать, как в голливудском фильме», — сказал он. Но вполне возможно, что настойчивые хакеры, имеющие нужный доступ, могут продолжать атаковать такие системы, как водоочистные станции, и вынуждать их временно прекращать работу, пока они не смогут восстановить контроль, сказал он. «Если система продолжает подвергаться взломам, мне нужно, чтобы она работала, чтобы в какой-то момент она действительно производила воду», — сказал он.