Чому небезпечно ігнорувати оновлення ПЗ: нові загрози від ШІ

Оновлення програмного забезпечення — це не лише покращення інтерфейсу чи нові функції. У більшості випадків вони закривають вразливості, які виробник виявив у власному коді. Проблема в тому, що, публікуючи патч, компанія фактично повідомляє світу про місце «дірки», тож усі, хто зволікає з інсталяцією, залишаються під загрозою.

Тривалий час головним захистом цифрового світу був дефіцит фахівців, здатних скористатися знайденими вразливостями. Але ситуація змінилася: дослідження, проведене вченими з Каліфорнійського університету в Берклі, Інституту Макса Планка, а також фахівцями Anthropic, OpenAI та Google, показало, що сучасні ШІ-системи вже вміють самостійно перетворювати вразливості на повноцінні атаки.

Під час експерименту машинам дали завдання зламати пристрої, використовуючи майже 900 реальних недоліків у популярному програмному забезпеченні, зокрема в браузері Chrome та ядрі операційної системи, що використовується на більшості серверів. Найуспішніша система впоралася зі 157 завданнями, що становить менше 20% від загальної кількості. Проте загалом повний контроль над чужими системами було здобуто 226 разів — різниця пояснюється тим, що ШІ часто знаходив альтернативні шляхи проникнення, а не використовував саме вказану вразливість.

Особливо показовим став один із епізодів: машина перетворила нешкідливе повідомлення про помилку в браузері на повний контроль над комп'ютером за 71 хвилину. Вартість такої атаки склала лише 15 доларів — плата за електроенергію. Для порівняння, тиждень роботи живого спеціаліста подібної кваліфікації коштує тисячі доларів, якщо його взагалі вдасться знайти.

Головна загроза не в тому, що ШІ розумніший за людину — він поки що помітно поступається їй у цьому. Проблема в масштабуванні: машина не втомлюється, може працювати в тисячі копій одночасно і коштує значно дешевше. Дослідники обмежували час спроб двома годинами, а потім продовжили до шести — успіхи продовжували накопичуватися, що свідчить про те, що опубліковані цифри відображають не межу можливостей ШІ, а лише бюджет експерименту.

Для пересічного користувача це означає, що зволікання з оновленнями стає критично небезпечним. Усі вразливості, використані в дослідженні, мали готові виправлення від виробників — атаки вдавалися лише тому, що хтось не встановив патч вчасно. Раніше проміжок між виявленням проблеми та її використанням міг тривати тижні, тепер цей час скоротився до годин.

Фахівці радять увімкнути автоматичне оновлення на всіх пристроях і не відкладати перезавантаження, оскільки частина патчів застосовується лише після нього. Браузери також потребують регулярного повного закриття. Варто перевірити вік гаджетів: пристрої, які більше не отримують оновлень, стають уразливими, тож для банківських операцій та робочого листування їх краще не використовувати.

Також рекомендується видалити застосунки, якими не користуєтеся, перейти на надійніші методи автентифікації, завести менеджер паролів та зробити резервні копії важливих даних. Особливу увагу варто приділити роутерам і розумним пристроям, які часто мають заводські паролі, та домовитися про контрольне слово для розмов про гроші.

Кібербезпека поступово перетворюється з вузькоспеціалізованого ремесла на побутову навичку, подібно до звички замикати двері. Жодна державна закупівля захисного обладнання не замінить своєчасно встановленого оновлення на вашому пристрої.