Чому небезпечно ігнорувати оновлення ПЗ на гаджетах

Оновлення програмного забезпечення давно перестало бути лише покращенням інтерфейсу. У більшості випадків це виправлення цифрової вразливості, яку виробник щойно виявив у власному коді. Опублікувавши патч, компанія фактично повідомляє світові, де саме була прогалина в безпеці. Той, хто не встановив оновлення, залишається з відкритою вразливістю, тоді як інші вже захищені.

Донедавна головним захисником цифрового світу була не складність шифрування, а дефіцит кваліфікованих хакерів. Знайти вразливість нескладно — це роблять автоматизовані системи. Але перетворити її на реальну атаку могли лише одиниці, які вчаться роками й коштують дорого. Ця нестача рук тримала більшість потенційних загроз на теоретичному рівні.

Ситуація різко змінилася після дослідження, опублікованого в травні. Науковці з Каліфорнійського університету в Берклі, Інституту Макса Планка та ще трьох університетів спільно з Anthropic, OpenAI і Google перевірили, чи здатний сучасний штучний інтелект самостійно виконати повний цикл кібератаки — від знайденої вразливості до отримання контролю над системою. У тесті використали майже 900 реальних недоліків у популярному програмному забезпеченні, зокрема в браузері Chrome та серверних операційних системах.

Найсильніша система впоралася зі 157 завданнями — це менше ніж 20% від загальної кількості. Однак загалом машина здобула повний контроль над чужими пристроями 226 разів. Різниця пояснюється тим, що ШІ часто ігнорував задану вразливість і знаходив інший шлях до зламу, інколи виявляючи невідомі раніше слабкі місця.

Експерти називають це поворотним моментом. В одному з протоколів дослідження машині показали вразливість, яка виглядає як нешкідлива помилка в браузері. За 71 хвилину ШІ перетворив її на повний контроль над комп'ютером, витративши на це лише 15 доларів — плату за електроенергію. Людина такої кваліфікації коштувала б кілька тисяч доларів на тиждень. Ключова проблема не в тому, що машина розумніша за фахівця, а в тому, що вона в сотні разів дешевша, не втомлюється й може запускатися тисячами копій одночасно.

Для пересічних користувачів це означає, що кібербезпека стає побутовою навичкою. Дослідники обмежували час кожної спроби двома годинами, а потім продовжили до шести — успіхи продовжували накопичуватися, тож опубліковані цифри показують не межу можливостей машини, а межу дослідницького бюджету.

Що варто зробити вже зараз: увімкнути автоматичне оновлення на всіх пристроях і не відкладати перезавантаження; перевірити вік гаджетів — пристрої, які більше не отримують патчів, особливо вразливі; видалити невикористовувані застосунки та розширення браузера; перейти на підтвердження входу через застосунок або біометрію замість SMS; завести менеджер паролів і зробити паролі унікальними для кожного сайту; регулярно створювати резервні копії; оновити паролі на роутері та розумних пристроях; домовитися про контрольне слово для термінових розмов про гроші.

Оновлення ПЗ — це не зручність, а необхідність. Проміжок між випуском патча та його встановленням стає вікном для атак, і це вікно скорочується до годин. Жодна державна закупівля захисного обладнання не поставить оновлення на ваш телефон замість вас.