OpenAI открыла ChatGPT Cyber для исследователей уязвимостей
OpenAI предоставила специализированную модель ChatGPT Cyber участникам программы Daybreak Red, занимающимся наступательными исследованиями безопасности. Компания сообщила, что модель помогла найти 948 потенциальных проблем в ядре Linux и 81 новую уязвимость в браузере Firefox.
Модель для поиска и исправления дефектов
Daybreak Red предназначена для исследователей, которые ищут уязвимости и разрабатывают методы их проверки. Одновременно OpenAI заявила о планах расширять Daybreak для организаций любого масштаба, независимых специалистов и сопровождающих проекты с открытым исходным кодом.
Компания также выделила $1 млрд на поддержку специалистов программы, работающих с критической инфраструктурой, включая электросети и системы водоснабжения. Сотрудник технического отдела OpenAI Эрик Уоллес сообщил, что компания направляет значительную часть передовых вычислительных ресурсов на бесплатный поиск и устранение уязвимостей в открытом коде.
При этом поиск проблем в Linux, по оценке OpenAI, обошёлся в $1,2 млн. Эта цифра показывает, что применение моделей к большим кодовым базам требует не только доступа к инструментам, но и существенных вычислительных ресурсов.
Практический пример с Ubuntu
Макс Юстиц, технический директор и сооснователь Charge Robotics, рассказал TechCrunch, что использовал GPT-5.6 Sol в программе Daybreak Blue для поиска серьёзной ошибки в коде, связанном с Ubuntu. По его словам, он попросил модель найти дефекты не менее опасные, чем исправленная несколько лет назад уязвимость в той же кодовой базе.
Через два часа модель предложила сложную уязвимость, которая при эксплуатации могла позволить атакующему получить контроль над серверами под управлением Ubuntu. Юстиц передал сведения Debian Project, поддерживающему затронутое ПО, и проект выпустил патч. О признаках использования этой ошибки в атаках не сообщалось.
Случай дополняет меры контроля кибер-ИИ OpenAI, Google и Anthropic, где меры контроля кибер-ИИ рассматриваются вместе с ростом возможностей моделей и необходимостью ограничивать опасные сценарии применения.
Доступ и нагрузка на защитников
Юстиц отметил, что потратил около $5 тыс. на подписки и токены, чтобы найти несколько эксплойтов. Он также обратил внимание, что Daybreak Blue, по его наблюдениям, стал менее полезен для поиска уязвимостей. Ограничения могут снижать риск злоупотреблений, однако исследователи безопасности указывают на другую проблему: злоумышленники способны применять открытые модели с отключёнными защитными ограничениями.
OpenAI говорит, что в Daybreak участвуют лишь тысячи специалистов. Для бизнеса практический вывод состоит в том, что обновления для используемого открытого ПО и процедуры обработки сообщений об уязвимостях должны оставаться приоритетом: ИИ ускоряет как обнаружение ошибок, так и поток информации, который нужно проверять и закрывать патчами.