Самой продвинутой модели искусственного интеллекта Anthropic потребовалось
около 20 минут, чтобы обнаружить первую ошибку в браузере Firefox во время
внутреннего тестирования её хакерских возможностей.
Команда Anthropic отправила информацию об ошибке и разработчики Firefox быстро
ответили: «Эта ошибка серьёзная».
Могли ли они связаться с нами по телефону? «Что ещё у вас есть? Присылайте нам
ещё», — сказал Брайан Гринстед, инженер Mozilla, материнской компании Firefox.
Anthropic это сделала.
За две недели в январе Claude Opus 4.6 обнаружил в Firefox больше серьёзных
ошибок, чем сообщает остальной мир за два месяца, сообщила Mozilla.
Инструменты на основе ИИ становятся всё более совершенными в обнаружении
уязвимостей и начинают конкурировать с талантами опытных экспертов по
безопасности.
Некоторые эксперты опасаются, что эти же возможности приведут к новой волне
кибератак, поскольку ошибки будут обнаруживаться и затем использоваться
быстрее, чем когда-либо прежде. Поиск уязвимостей, начатый Клодом, начался
после того, как команда безопасности Anthropic решила, что было бы интересно
сосредоточить внимание на широко используемом и сложном браузере, который
годами находился под пристальным вниманием.
Firefox — это современная версия первого коммерческого веб-браузера, Netscape
Navigator.
В настоящее время его код управляется некоммерческим фондом Mozilla
Foundation.
Navigator запустил свою первую программу вознаграждения за обнаружение
уязвимостей более 30 лет назад, предлагая деньги тем, кто выявляет
потенциальные слабые места, которыми могут воспользоваться злоумышленники.
Mozilla платит до 6000 долларов за уязвимости высокой степени серьезности. За
две недели сканирования Клод обнаружил в общей сложности более 100
уязвимостей, 14 из которых были признаны «высокой степени серьезности». Это
означает, что если бы был создан соответствующий «эксплойт-код», его можно
было бы использовать для широкомасштабной атаки на пользователей Firefox.
В прошлом году Firefox исправил 73 уязвимости, которые были оценены как
критические или имеющие высокую степень серьезности.
Инструменты искусственного интеллекта — одновременно и благословение, и
проклятие для разработчиков программного обеспечения.
В январе создатели программного обеспечения Curl отказались от собственной
программы вознаграждения за обнаружение ошибок, сославшись на «взрывной рост
числа сообщений об ошибках, связанных с ИИ». Менее одной из 20 ошибок, о
которых сообщалось в 2025 году, были реальными, сказал Дэниел Стенберг,
ведущий разработчик Curl. «Чат-боты с ИИ по-прежнему легко выдумывают проблемы
безопасности», — сказал Стенберг.
«Но в то же время существуют достаточно мощные анализаторы кода на основе ИИ,
которые находят реальные вещи», — добавил он.
Исследователи Anthropic не отправляли все обнаруженные Клодом ошибки,
сосредоточившись только на воспроизводимых примерах, что значительно упростило
команде Mozilla подтверждение ошибок.
Исследователи Anthropic также попросили Клода разработать эксплойт-код, но, по
словам Логана Грэма, руководителя группы Frontier Red Team компании Anthropic,
которая оценивает Клода на предмет рисков, он оказался гораздо эффективнее в
поиске ошибок, чем в их использовании.
Клод написал два работающих эксплойта, которые сработали на тестовой версии
браузера, но в реальных условиях они были бы остановлены другими механизмами
безопасности Firefox, сказал Грэм.
Тем не менее, многие эксперты по безопасности говорят, что скорость, с которой
системы ИИ находят ошибки и превращают их в код для атак, меняет подход
организаций к защите.
«Нынешние методы киберзащиты не способны справиться со скоростью и частотой
происходящего», — сказал Гади Эврон, генеральный директор компании Knostic,
занимающейся кибербезопасностью с использованием ИИ.
Источник
Комментарии
Отправить комментарий