Чому небезпечно ігнорувати оновлення ПЗ: пояснення експерта

Оновлення програмного забезпечення часто сприймають як незручність, що забирає час і місце, але насправді це критичний елемент кібербезпеки. Кожен такий апдейт зазвичай закриває вразливість, яку виробник виявив у власному коді. Опублікувавши оновлення, компанія фактично повідомляє світові, де саме була прогалина, і ті, хто не встановив патч, залишаються під загрозою.

Донедавна головним захисником цифрового світу була не складність шифрування, а дефіцит кваліфікованих хакерів. Знайти вразливість можуть автоматичні системи, але перетворити її на повноцінну атаку здатні лише одиниці фахівців, вартість роботи яких є високою. Однак ситуація змінюється через розвиток штучного інтелекту.

У травні цього року дослідники з Каліфорнійського університету в Берклі, Інституту Макса Планка, а також компаній Anthropic, OpenAI та Google провели експеримент. Вони надали сучасним ШІ-системам майже 900 реальних вразливостей у популярному програмному забезпеченні, зокрема в браузері Chrome та ядрі серверних операційних систем. Завданням було отримати доступ до захищених документів.

Найуспішніша система впоралася з 157 вразливостями, що становить менше 20% від загальної кількості. Однак повний контроль над системами машина здобула 226 разів, оскільки часто ігнорувала вказану вразливість і знаходила альтернативні шляхи проникнення, інколи виявляючи навіть невідомі раніше слабкі місця. Дослідники зараховували лише ті випадки, де ШІ використовував саме надану вразливість, тому офіційний показник становить 157.

Особливе занепокоєння викликає швидкість і вартість таких атак. В одному з протоколів машина перетворила нешкідливе повідомлення про помилку в браузері на повний контроль над комп'ютером за 71 хвилину. Вартість операції склала лише 15 доларів — це плата за електроенергію. Для порівняння, тиждень роботи живого спеціаліста такої кваліфікації коштує тисячі доларів, якщо такого фахівця взагалі вдасться знайти.

Експерти наголошують, що проблема не в перевазі ШІ над людиною, а в його дешевизні та масштабованості. Кібератаки, які раніше були точковими, тепер можуть стати масовими. При цьому дослідники обмежували час спроб двома годинами, але навіть після продовження до шести годин успіхи продовжували накопичуватися, що свідчить про відсутність межі можливостей системи.

Для пересічних користувачів головна порада — вчасно оновлювати програмне забезпечення на всіх пристроях. Усі вразливості, використані в дослідженні, мали готові виправлення, але системи були зламані саме через невстановлені оновлення. Рекомендується увімкнути автоматичне оновлення, регулярно перезавантажувати пристрої, видаляти невикористовувані застосунки та розширення браузера.

Окрема увага — застарілим пристроям, які більше не отримують оновлень від виробника. Такі гаджети залишаються незахищеними, тому не варто використовувати їх для банківських операцій чи робочого листування. Також слід звернути увагу на роутери та «розумні» пристрої, які часто мають заводські паролі.

Кібербезпека стає побутовою навичкою, подібною до звички замикати двері. Жодна державна закупівля захисного обладнання не замінить своєчасного оновлення на особистому пристрої, адже саме цей проміжок між випуском патча та його встановленням є вирішальним для безпеки.