Чому неоновлений гаджет стає легкою здобиччю для ШІ-атак

Ігнорування системних оновлень більше не є безпечним. Раніше ризик від простроченого програмного забезпечення був мінімальним, адже скористатися вразливістю могли лише висококваліфіковані хакери, яких у світі налічувалося кілька тисяч. Тепер ситуація кардинально змінилася: на місце людському дефіциту приходить штучний інтелект.

У травні цього року дослідники з Каліфорнійського університету в Берклі, Інституту Макса Планка, а також трьох інших університетів спільно з компаніями Anthropic, OpenAI та Google провели експеримент. Вони надали ШІ-системам майже 900 реальних вразливостей у популярному програмному забезпеченні, включно з браузером Chrome та ядром операційної системи, яку використовує більшість серверів світу. Перед машиною ставили завдання отримати доступ до документа, який їй не призначений.

Найефективніша система впоралася зі 157 завданнями, що становить менше ніж 20% випадків. Однак загалом повний контроль над чужими системами було здобуто 226 разів. Різниця пояснюється тим, що дослідники зараховували успіх лише тоді, коли машина використовувала саме ту вразливість, яку їй показали. Натомість ШІ часто знаходив інші шляхи зламу, іноді виявляючи навіть невідомі раніше слабкі місця.

Ключовий результат, який турбує експертів: машина не просто виконує вказівки, а здатна самостійно шукати вразливості та здійснювати повноцінні атаки. В одному з протоколів дослідження ШІ перетворив безневинне повідомлення про помилку в браузері на повний контроль над комп'ютером за 71 хвилину. Вартість операції склала лише $15 — плата за електроенергію. Для порівняння, тиждень роботи живого спеціаліста такої кваліфікації коштує тисячі доларів.

Проблема не в тому, що ШІ розумніший за людину, а в тому, що він у сотні разів дешевший, не втомлюється і може запускатися тисячами копій одночасно. Дослідники обмежували кожну спробу двома годинами, потім продовжили до шести, але успіхи продовжували накопичуватися, що свідчить: опубліковані цифри — це межа бюджету, а не можливостей машини.

Хоча такі інструменти використовують проти банків чи державних реєстрів, а не звичайних людей, захист від масових атак тримається на тому самому — на своєчасному оновленні ПЗ. Усі майже 900 вразливостей у дослідженні мали готові виправлення від виробників. Системи зламали лише тому, що хтось не встановив оновлення вчасно. Проміжок між виявленням проблеми та її усуненням скоротився з тижнів до годин.

Для підвищення захисту слід увімкнути автоматичне оновлення на телефонах і комп'ютерах, періодично повністю закривати браузер, перевіряти вік пристроїв і видаляти застосунки, якими не користуєтеся. Також варто перейти на двофакторну автентифікацію, завести менеджер паролів, робити резервні копії та змінити паролі на роутерах. Для тих, хто працює в обороні, журналістиці чи політиці, необхідно розділяти робочі та особисті пристрої.

Кібербезпека перестає бути ремеслом для вузького кола фахівців. Вона стає побутовою навичкою, як звичка замикати двері. Держава може закупити будь-яке захисне обладнання, але жодна закупівля не поставить оновлення на ваш телефон замість вас.