Чому оновлення програм — це не вибір, а необхідність для кіберзахисту

Оновлення програмного забезпечення, які користувачі часто відкладають, насправді закривають цифрові вразливості, знайдені виробниками. Кожен випущений патч публічно розкриває, де саме була слабкість. Ті, хто не оновився, лишаються вразливими, подібно до мешканців під'їзду, які проігнорували оголошення про заміну замків на чорному ході.

Донедавна захист тримався на дефіциті кваліфікованих хакерів, здатних використати знайдені баги. Але ситуація змінилася після дослідження, проведеного Каліфорнійським університетом у Берклі, Інститутом Макса Планка, трьома іншими університетами, а також компаніями Anthropic, OpenAI і Google. Вони вивчали, чи може сучасний штучний інтелект самостійно пройти шлях від вразливості до повноцінної атаки.

Машинам показали 900 реальних недоліків у популярних програмах, включно з браузером Chrome та ядром операційної системи, що використовується на більшості серверів. Найсильніша система впоралася з 157 завданнями, що менше ніж 20 відсотків. Однак загалом повний контроль над чужими пристроями було здійснено 226 разів. Дослідники зараховували успіх лише тоді, коли атака відбувалася через задану вразливість, але машина часто знаходила інші шляхи, інколи навіть невідомі раніше слабкі місця.

Один із показових випадків: машині дали вразливість, яка у звичайній збірці браузера виглядає як нешкідливе повідомлення про помилку. За 71 хвилину вона перетворила це на повний контроль над комп'ютером, при цьому вартість операції склала лише 15 доларів — плата за електрику. Для порівняння, тиждень роботи живого фахівця такої кваліфікації коштує кілька тисяч доларів, якщо такого взагалі вдасться знайти.

Проблема не в тому, що ШІ розумніший за людину, а в тому, що він значно дешевший, не втомлюється і може запускатися тисячами копій одночасно. Дослідники обмежували кожну спробу двома годинами, потім продовжили до шести, і успіхи весь час накопичувалися. Опубліковані цифри показують не межу можливостей машини, а межу дослідницького бюджету.

Для пересічного користувача головна загроза — не складні атаки, які використовують проти банків чи державних установ, а соціальна інженерія. Однак обидва рівні захисту залежать від того, наскільки оперативно оновлюється програмне забезпечення. Кожна з майже 900 вразливостей у дослідженні мала готове виправлення, і злами стали можливими лише через те, що хтось вчасно не встановив оновлення.

Експерти радять увімкнути автоматичні оновлення на всіх пристроях, регулярно перезавантажувати їх та закривати браузер, щоб оновлення застосовувалися. Пристрої, які більше не отримують оновлень, варто використовувати лише для дзвінків і фотографій, але не для банківських операцій чи робочого листування. Також варто видалити невикористовувані застосунки, перейти на більш надійні методи автентифікації, завести менеджер паролів, робити резервні копії та не забувати про роутер і розумні пристрої вдома.