Sztuczna inteligencja może znacząco przyspieszyć wykrywanie luk w oprogramowaniu — ale także przygotowywanie sposobów ich wykorzystania. OpenAI twierdzi, że jej system znalazł 948 podatności w jądrze Linuksa i opracował działający atak dla każdej z nich. To istotna informacja również dla branży kryptowalut, której infrastruktura w dużej mierze opiera się na tym systemie.
Od błędu do przejęcia kontroli
Według OpenAI wykryte luki pozwalały osobie mającej już ograniczony dostęp do komputera, na przykład zwykłe konto użytkownika, uzyskać pełną kontrolę nad maszyną. Firma podaje, że ataki działały na standardowym komputerze z Linuksem, przy włączonych typowych zabezpieczeniach.
System AI analizował kod w kilku etapach: wyszukiwał podejrzane fragmenty, sprawdzał je w odizolowanym środowisku, a następnie testował, czy da się wykorzystać znaleziony błąd. Jeśli podatność okazywała się praktyczna, model przygotowywał również propozycję poprawki. Wyniki miały być później weryfikowane przez ludzi przed przekazaniem zespołowi odpowiedzialnemu za rozwój Linuksa.
Wyniki OpenAI pokazują, jak szybko AI może zmienić tempo pracy nad bezpieczeństwem oprogramowania. Ta sama technologia może wspierać zarówno obrońców, jak i osoby szukające sposobów na wykorzystanie luk. Dlatego równie ważne jak wykrywanie błędów będzie sprawne sprawdzanie i wdrażanie poprawek.
Koszt wykrywania i znaczenie dla obrony
OpenAI szacuje koszt analizy na około 1279 dolarów za przypadek, a uruchomienie całego procesu miało kosztować około 1,2 mln dolarów. Firma porównała tę kwotę z hipotetyczną wartością znalezionych podatności, wycenianą na 18,9–66,3 mln dolarów na podstawie nagród spotykanych w konkursach hakerskich. Zaznaczyła przy tym, że celem narzędzia jest wspieranie obrony przez odnajdywanie błędów, zanim wykorzystają je przestępcy.
Wyniki pochodzą od OpenAI, a model, który je wygenerował, nie został udostępniony. Nie ma więc możliwości niezależnego sprawdzenia wszystkich deklaracji firmy na podstawie opublikowanego narzędzia.
Fani GTA VI, uwaga – eksperci: fale fałszywych stron obiecują „wczesny dostęp”, kradną dane bankowe. To kolejny przykład zagrożeń, w których oszuści wykorzystują zainteresowanie popularnymi technologiami i usługami.
Co to oznacza dla kryptowalut?
Choć OpenAI nie omawiało bezpośrednio rynku krypto, podatności w Linuksie mogą dotyczyć także systemów obsługujących sieci blockchain. Przykładem jest Ethereum: według danych serwisu ethernodes.org około dwóch trzecich jego węzłów działa na Linuksie.
Przedstawiciele branży zwracają jednak uwagę, że rozproszenie infrastruktury może ograniczać skutki pojedynczej awarii. Mudit Gupta, dyrektor ds. technologii w Polygon Labs, wskazał, że różnorodność i redundancja systemów zwiększają odporność sieci kryptowalutowych na błędy.
Podobną opinię wyraził badacz bezpieczeństwa znany jako Caducus. Jego zdaniem częste ataki i silne bodźce finansowe do szukania luk sprawiły, że sektor krypto musiał wcześniej rozwinąć praktyki odpornościowe.
Decentralizacja nie usuwa jednak ryzyka związanego z podatnościami w oprogramowaniu. Jeśli narzędzia AI pozwolą wykrywać i wykorzystywać błędy na większą skalę, kluczowe będzie szybkie testowanie poprawek oraz ich wdrażanie przez operatorów infrastruktury.
Brzmi jak kolejny wyścig zbrojeń, tylko teraz zamiast skrypt kiddies mamy modele, które robią recon i exploit chain szybciej niż człowiek nadąży z patchem. Najgorsze jest to, że jeśli to działa choć w części tak dobrze jak opisują, to tempo reakcji distro maintainerów i operatorów węzłów robi się krytyczne. W krypto i tak sporo ludzi stawia node’y na defaultowych konfiguracjach, więc tu nie trzeba wielkiej fantazji, żeby zobaczyć problem.
948 podatnosci i niby każdy z nich miał działający atak? Trochę brzmi jak liczba wyciągnięta pod PR niż realny wynik, zwłaszcza że nie pokazali modelu ani metodologii. Bez niezależnej weryfikacji to jest bardziej „trust me bro” niż twardy research. Na Linux kernelu jest masa bugów, ale przejście od „znalazłem” do „mam stabilny exploit” to nie jest taki prosty skok.
Mam wrażenie, że większość ludzi patrzy na to tylko przez pryzmat samego exploita, a przecież w praktyce największy problem to czas i dystrybucja patchy. W infra krypto zwykle masz mieszankę: węzły, load balancery, serwery do RPC, stary kernel na VPS-ie, czasem jeszcze kontenery z kiepskim hardeningiem. Jeśli AI skraca znalezienie luki z tygodni do godzin, to okno ataku robi się po prostu za szerokie.
W artykule brakuje mi jednego ważnego elementu: czy te podatności były 0daye, czy AI po prostu masowo odkopalo stare, znane klasy błędów. Bez tego trudno ocenić realną wartość. Jeśli to głównie znane wzorce typu UAF, OOB i race condition, to bardziej dowód na automatyzację fuzzingu niż przełom. Samo „AI znalazło” nie mówi jeszcze nic o jakości tych wyników.