OpenAI представила ChatGPT Cyber, модель для задач кибербезопасности, после того как передовые системы нашли серьезные дефекты в широко используемом открытом ПО. Поводом стала тяжелая уязвимость серверов на Ubuntu, которую технический директор Charge Robotics Макс Джастиц нашел с помощью GPT-5.6 Sol примерно за два часа. OpenAI также сообщила о 948 потенциальных проблемах в ядре Linux и 81 новой уязвимости в Firefox. Это событие важно, потому что защитники столкнулись с ускоренным поиском ошибок при ограниченных кадрах и бюджетах.
Как нашли дефект в Ubuntu и появился ChatGPT Cyber
Джастиц, сооснователь Charge Robotics и энтузиаст информационной безопасности, изучал уже знакомый ему код. Ранее он уже находил уязвимость в той же кодовой базе, исправленную несколько лет назад. Получив доступ через Daybreak Blue, программу для защитников, он попросил ChatGPT найти ошибки не менее серьезные. После двух часов анализа модель вернула работоспособную цепочку эксплуатации. Сам автор находки назвал дефект крайне запутанным и сложным для обнаружения человеком.
ChatGPT Cyber занимает иное место, чем доступ для защитников, которым пользовался Джастиц. OpenAI сообщила, что новая модель будет доступна участникам высшего уровня Daybreak Red, направления для исследователей наступательной безопасности, которые занимаются поиском уязвимостей и разработкой. По данным компании, та же модель просканировала ядро Linux и помогла подготовить исправления. Она также выявила 81 ранее неизвестную уязвимость в браузере Firefox. Данных об эксплуатации проблемы, связанной с Ubuntu, не поступало.
Раскрытие уязвимости прошло по принятой практике открытых проектов. Джастиц сообщил о проблеме проекту Debian, который поддерживает это ПО и выпустил исправление. OpenAI описывает свою работу как безвозмездное сканирование открытых кодовых баз с использованием передовых мощностей. Сотрудник OpenAI Эрик Уоллес заявил, что компания направляет значительный объем передовых вычислений на поиск и исправление таких дефектов. Поиск ошибок в Linux обошелся в 1,2 млн долларов, что меньше примерно 6 млн долларов токенных затрат на исследование в области гидродинамики.
Что это меняет для бизнеса, использующего ПО
Для компаний практический сдвиг связан со скоростью и стоимостью поиска уязвимостей. По словам Джастица, он потратил около 5000 долларов на подписки и токены для обнаружения нескольких эксплойтов. Такая сумма делает качественный аудит кода доступным небольшим технологическим фирмам, подрядчикам и независимым исследователям, а не только крупным поставщикам защиты. Крупные организации, использующие Ubuntu, системы на базе Debian, серверы Linux или Firefox, раньше получают исправления, но вынуждены быстрее тестировать и устанавливать обновления.
Ограничения касаются доступа, проверки и риска злоупотреблений. Daybreak Blue создан для защитников, а Daybreak Red поддерживает наступательные исследования, причем Джастиц отметил, что Blue недавно стал слабее находить уязвимости. Контроль при регистрации выглядит мягким: по его словам, для участия хватило фотографии водительских прав. Специалисты предупреждают, что злоумышленники могут применять открытые модели со снятыми ограничениями, тогда как в Daybreak участвуют лишь тысячи защитников. OpenAI также объявила инициативу на 1 млрд долларов для участников программы, работающих с критической инфраструктурой, включая электросети и водоснабжение.
Показателем станет то, приведут ли расширение Daybreak и программа поддержки на 1 млрд долларов к росту числа исправлений в критических открытых проектах в ближайшие месяцы. Если объем patches для Linux, пакетов Debian и браузеров вырастет без сообщений об эксплуатации, окно возможностей для защитников подтвердится. Если раньше появятся новые эксплойты, компаниям потребуется быстрее вести учет активов и ставить обновления.
