2869
Штучний інтелект суттєво спростив пошук критичних помилок у програмному забезпеченні, але тепер головним викликом для кібербезпеки стає не стільки їх виявлення, скільки своєчасне усунення. За таких умов перевагу можуть отримати країни, де налагоджено співпрацю незалежних дослідників, технологічних компаній і розробників.
ШІ прискорює пошук програмних вразливостей
Ще донедавна знайти подібні недоліки було складно: для цього потрібні були висока кваліфікація, значні фінансові ресурси і тривалий час. Іноді дослідники витрачали місяці або роки, щоб виявити невідому вразливість, тому перевагу мав той, хто першим дізнавався про проблему. Штучний інтелект змінює цю картину, адже дає змогу значно ширшому колу фахівців аналізувати код і шукати потенційні загрози.
Яскравим прикладом став пошук критичної помилки в PHP, мові програмування, яку використовують приблизно 70% вебсайтів у світі, зокрема Wikipedia та WordPress. У серпні дослідники каліфорнійської компанії з кібербезпеки залучили модель OpenAI до пошуку програмних недоліків і знайшли серйозну вразливість. Розробників оперативно попередили, і вони почали готувати оновлення, однак зловмисники вже намагалися використати помилку для кібератак ще до його офіційного оприлюднення.
За даними команди реагування на кіберінциденти Google, спроби експлуатації нових вразливостей часто починаються ще до появи офіційних виправлень. У середньому такі атаки можуть розпочинатися за сім днів до випуску оновлення. Особливої небезпеки становлять вразливості нульового дня (zero-day), про які розробники ще не знають або для яких не встигли підготувати захист. Доки проблема залишається невирішеною, користувачі та організації наражаються на ризик.
США швидше усувають загрози, ніж Китай
Різницю між підходами двох держав добре видно на прикладі PHP. За даними платформи Censys, через тиждень після публічного розкриття проблеми в США виправили понад чверть із 14 мільйонів потенційно вразливих сервісів, тоді як у Китаї цей показник становив лише 4%. Чанг Че вважає, що це вказує на слабке місце китайської системи: Пекін створив механізми для мобілізації ресурсів і накопичення інформації про вразливості, але гірше справляється з їх оперативним усуненням у масштабах усієї цифрової інфраструктури.
Американська система розвивалася інакше, завдяки взаємодії незалежних дослідників, технологічних корпорацій і розробників. У 1990-х роках компанії нерідко ігнорували повідомлення про помилки, а деякі дослідники навіть отримували погрози судового переслідування, тож частина з них оприлюднювала проблеми самостійно. Згодом сформувалися правила координованого розкриття: дослідник спершу повідомляє розробника і дає йому час на виправлення, і лише потім інформація стає публічною. Команда Project Zero компанії Google, наприклад, зазвичай надає розробникам 90 днів.
Важливою частиною американської моделі стали програми Bug Bounty, тобто фінансової винагороди за пошук програмних помилок. Практику започаткувала компанія Netscape у 1995 році. Дослідження 2026 року показало, що такі програми є у дев’яти з десяти найбільших технологічних компаній США, а в Китаї — у шести з десяти. Чанг Че порівнює цей механізм із концепцією «спонтанного порядку» економіста Фрідріха Гаєка, тобто з системою, що виникає не через централізоване планування, а завдяки взаємодії незалежних учасників із власними інтересами.
Китай пішов іншим шляхом. Викриття Едварда Сноудена у 2013 році показали, що Агентство національної безпеки США (АНБ) використовувало інформацію про програмні вразливості для розвідувальних операцій і таємно купувало відповідні дані в хакерів, що посилило недовіру китайських дослідників до західних програм винагород. У 2021 році Китай ухвалив норми, які обмежили можливість місцевих дослідників публічно повідомляти про вразливості нульового дня або передавати їх іноземним посередникам. Тепер такі відомості мають надсилати розробникам або Міністерству промисловості та інформаційних технологій Китаю, а компанії зобов’язані передавати їх міністерству протягом 48 годин.
Наслідки цієї політики, за словами Чанга Че, відчули і місцеві дослідники. Зокрема, дослідник Alibaba у 2021 році виявив серйозну вразливість у відкритому програмному забезпеченні Apache Software Foundation і повідомив про неї розробників, однак китайське міністерство призупинило партнерство з Alibaba, попри те, що він діяв відповідно до міжнародної практики відповідального розкриття помилок.
Джерело: apostrophe.ua
