„OpenAI“ paskelbė GPT-6 Cyber: aptiktos 81 nauja rimta „Firefox“ spraga

Sekite TechNaujienos Google

Dirbtinis intelektas vis dažniau naudojamas ne tik programuoti, bet ir ieškoti sudėtingų saugumo spragų. Lapkričio 5 d. „OpenAI“ pristatė specializuotą modelį GPT-6 Cyber, skirtą autorizuotoms kibernetinio saugumo užduotims. Bendrovė praneša, kad jo pagalba buvo aptiktas 81 anksčiau nežinomas didelio rimtumo „Firefox“ pažeidžiamumas, o „Linux“ branduolio tyrimuose sukurta šimtai veikiančių saugumo spragų atkūrimo pavyzdžių.

Šis pranešimas svarbus ne vien dėl modelio pavadinimo. Saugumo tyrėjams vis sunkiau rankomis patikrinti milžinišką atvirojo kodo programinę įrangą: tūkstančiai priklausomybių, sudėtingos skirtingų komponentų sąsajos ir daugybė galimų klaidų. „OpenAI“ teigia, kad GPT-6 Cyber leidžia automatizuoti dalį tokios analizės, bet nepanaikina žmogaus atsakomybės už leistiną testavimo apimtį bei galutinių pataisų patikrinimą.

Bendrovė modelį priskyrė aukščiausiam savo kibernetinių galimybių vertinimo lygiui „Critical“. Ši klasifikacija reiškia itin dideles potencialias galimybes saugumo srityje, bet nėra savaiminis įrodymas, kad visos galimos atakos bus sėkmingos. Tokios klasės modelis taip pat reikalauja griežtų naudojimo apribojimų, nes technologijos gali būti pritaikomos ir žalingais tikslais.

Ką iš tiesų pavyko aptikti

„OpenAI“ nurodo, kad tyrimų kampanijoje buvo aptikta 81 nauja didelio rimtumo „Firefox“ pažeidžiamumo vieta. Bendrovė teigia apie rezultatus informavusi „Mozilla“, kartu pateikdama galimų taisymų variantus. Pasak pranešimo, daliai problemų pataisos jau pradėtos diegti. Tačiau kiekvienas toks radinys dar turi būti peržiūrėtas ir atskirai patvirtintas programos kūrėjų.

Naujausi straipsniai

3 min. skaitymo • prieš 2 val

Lietuvoje apie 46 tūkst. žmonių baigė pasirengimo krizei mokymus: ką būtina žinoti šeimoms?

3 min. skaitymo • prieš 2 val

Lietuvoje 40 organizacijų išbandė gynybą nuo DI išnaudojančių įsilaužėlių: dalyvavo 200 specialistų

3 min. skaitymo • prieš 2 val

JAV kariuomenė Lenkijoje išbandė FD-1 dronus perėmėjus: ieško pigesnės apsaugos nuo atakų

Visi naujausi straipsniai →

Kitas pavyzdys – „Linux“ branduolio analizė. Naudojant GPT-6 Cyber, pavyko atkurti 1 724 pažeidžiamumus ir parengti veikiančius išnaudojimo pavyzdžius 948 atvejams. Tai tyrimų aplinkos rezultatai, nereiškiantys, kad visos šios spragos dabar yra viešai išnaudojamos realiame internete. Pranešama, kad 304 svarbūs radiniai perduoti programos prižiūrėtojams su siūlomomis pataisomis.

Modelio našumas vertintas ir „ExploitGym“ teste: GPT-6 Cyber pasiekė 48,5 proc., palyginti su 32,1 proc. ankstesniam GPT-5.6 Cyber. Tai konkretūs bandymų aplinkos rezultatai, kuriuos svarbu atskirti nuo plačios išvados apie viso interneto saugumą. „OpenAI“ taip pat teigia gerinusi modelio gebėjimą veikti tik tyrėjo iš anksto nustatytose leistinose ribose.

Kodėl modelis neprieinamas visiems

„OpenAI“ pranešė, kad GPT-6 Cyber iš pradžių bus pasiekiamas tik atrinktoms ir patvirtintoms „Daybreak Red“ programos organizacijoms per API bei programavimo aplinkas. Tokia prieigos kontrolė skirta suderinti teisėtų saugumo tyrimų poreikį su galimo piktnaudžiavimo rizika. Įmonė nurodo taikanti papildomas piktnaudžiavimo stebėjimo, prisijungimo apribojimo ir darbo aplinkos izoliavimo priemones.

Praktinė nauda Lietuvos verslui gali būti labai tiesioginė: kuo daugiau programinės įrangos spragų atsakingai aptinkama prieš įsilaužėlius, tuo lengviau paslaugų tiekėjams išleisti pataisas. Kita vertus, vien automatiškai sugeneruotas saugumo pranešimas neturėtų būti laikomas pakankamu įrodymu. Jis turi būti atkuriamas saugioje bandomojoje aplinkoje, o pataisa – ištestuota nepakenkiant sistemos darbui.

Portale jau rašėme apie „OpenAI“ partnerystę su saugumo tyrėjais, „Google“ DI bandymus aptikti pažeidžiamumus ir aktyvias „WordPress“ saugumo spragas. Šie procesai rodo, kad DI tampa vis svarbesniu pagalbiniu įrankiu tiek atakai imituoti, tiek apsaugai stiprinti.

Didžiausias šio pristatymo klausimas – kaip greitai technologijų bendrovės sugebės naujų modelių atradimus paversti saugiais programų atnaujinimais. Kol kas „OpenAI“ pateikė įspūdingus atskirų tyrimų duomenis, tačiau jų patikimumą ilgainiui turi vertinti ir nepriklausomos saugumo bendruomenės.

Pranešimas taip pat iškelia naują darbo organizavimo klausimą saugumo komandose. Jei automatinis įrankis pateikia kelis šimtus įtariamų klaidų, žmogui tenka nuspręsti, kurios jų svarbiausios, kaip atskirti pasikartojančias ir kokia tvarka teikti pataisas. Didelis rastų spragų skaičius savaime nėra kokybės garantija, jei kūrėjai negali patikimai patikrinti rezultatų. Todėl prie kiekvieno radinio svarbūs atkuriami bandymai, aiškiai aprašyta poveikio sritis ir koordinuotas informavimas prieš viešą atskleidimą. Būtent toks procesas leidžia padaryti technologiją naudingą gynybai, o ne tapti papildomu pavojumi sistemoms, kurias siekiama apsaugoti.

Šaltiniai: pirminis oficialus pranešimas arba tyrimas; papildoma informacija.