2844
OpenAI оприлюднила результати масштабного експерименту з кібербезпеки. Автономні агенти на основі штучного інтелекту самостійно просканували ядро Linux, знайшли 948 окремих вразливостей і розробили робочі експлойти для кожної з них. Компанія також заявила, що система згенерувала кандидати на виправлення, але їх перевірка та впровадження лишаються відповідальністю людей.
Як проходив аналіз коду
Агенти проаналізували близько 2,8 мільйона рядків коду ядра, що становить приблизно 7% усього проєкту. Із 2308 підозрілих фрагментів система динамічно відтворила 1724 вразливості та сформувала 948 експлойтів типу local privilege escalation. Такі експлойти дозволяють непривілейованому користувачеві отримати повний контроль над системою.
Примітно, що новіша, ще не випущена кіберспеціалізована модель у жовтні знайшла більш ніж у п’ять разів більше вразливостей, ніж попередня версія GPT‑5.6 Sol, яка виявила їх у липні за 513 690 доларів. При цьому результати з’явилися навіть після місяців виправлень у самому ядрі. Крім того, агенти застосували щонайменше 10 технік експлуатації, невідомих ні розробникам системи, ні залученим зовнішнім експертам.
Витрати та порівняння з ринком
Експеримент, проведений у жовтні, обійшовся у 1 213 430 доларів витрат на API. У середньому це близько 1279 доларів за одну вразливість. Для порівняння, на хакерських змаганнях за схожі знахідки в Linux традиційно виплачували від 20 до 70 тисяч доларів. Якби ті самі результати були отримані вручну, їхня гіпотетична ринкова вартість склала б від 18,9 до 66,3 мільйона доларів.
Окремо варто згадати, що минулого тижня Anthropic повідомила: її нова версія Claude самостійно виявила та використала серйозні вразливості в Chrome і Linux. Частина з них дозволяла дистанційно виконувати шкідливий код. Дослідники з Vidoc Security також показали, що деякі аналогічні знахідки можна відтворити за допомогою публічно доступних моделей менш ніж за 30 доларів за файл.
Попередження та відповідь OpenAI
OpenAI попереджає: зловмисники з обмеженим доступом до застарілих систем дедалі частіше зможуть підвищувати свої привілеї за допомогою штучного інтелекту. У відповідь компанія запустила ініціативу Daybreak Red. Це верифікована програма, яка надає схваленим фахівцям із безпеки доступ до спеціалізованих інструментів для пошуку вразливостей і розробки засобів захисту.
Джерело: noworries.news
