OpenAI представила модель ChatGPT Cyber для участников программы Daybreak Red, занимающихся наступательными исследованиями в кибербезопасности. Компания утверждает, что с её помощью уже нашла 948 потенциальных проблем в ядре Linux и 81 новую уязвимость в Firefox — цифры, от которых у мейнтейнеров open source одновременно прибавится работы и нервного тика.
Повод для релиза вполне предметный. Как сообщает TechCrunch, сооснователь и технический директор Charge Robotics Макс Юстиц использовал GPT-5.6 Sol, доступную защитникам в программе Daybreak Blue, чтобы обнаружить серьёзную ошибку в коде, связанном с Ubuntu. При успешной эксплуатации она могла дать атакующему контроль над сервером. Исследователь отправил модели уже знакомую кодовую базу, попросил искать ошибки не слабее найденной им несколько лет назад — и получил результат примерно через два часа.
Уязвимость передали проекту Debian, который сопровождает затронутое ПО; патч уже выпущен. Данных о её использовании злоумышленниками нет. Но история важна не только из-за одной исправленной дыры: она показывает, насколько снизился порог входа в поиск сложных дефектов. Юстиц описал баг как крайне запутанный для ручного анализа, при этом на поиск нескольких эксплойтов он, по собственным словам, потратил около 5 тыс. долларов на подписки и токены.
Для команды безопасности это меняет экономику работы. Раньше аудит большого старого компонента означал недели реверс-инжиниринга, ручной проверки гипотез и неизбежного выбора, что именно не успеют посмотреть. Модель ChatGPT Cyber не отменяет экспертизу: потенциальная находка ещё не является подтверждённой уязвимостью, а патч надо проверить на регрессии. Зато она может быстро сформировать очередь подозрительных участков кода — и эта очередь окажется заметно длиннее, чем возможности небольшой команды по её разбору.
OpenAI пытается дать тот же инструмент защитникам раньше, чем он массово станет доступен атакующим. Daybreak Red предназначена для исследователей, которые ищут уязвимости и разрабатывают связанные с ними инструменты; Blue ориентирована на защиту. Параллельно компания объявила инициативу объёмом 1 млрд долларов для специалистов программы, работающих с критической инфраструктурой — в том числе электросетями и водоснабжением.
Однако доступ остаётся узким. В Daybreak участвуют лишь «тысячи» специалистов, тогда как потенциальных злоумышленников существенно больше. Юстиц также говорил, что возможности Daybreak Blue недавно ограничили, из-за чего искать баги стало сложнее. Логика понятна: чем мощнее модель, тем опаснее отдавать её любому желающему. Но защитники указывают на неудобную асимметрию: их инструменты проходят проверку и получают ограничения, а атакующие могут запускать открытые модели без защитных барьеров.
Отдельный вопрос — масштаб усилий. По словам сотрудника технической команды OpenAI Эрика Уоллеса, компания выделяет значительную долю передовых вычислительных ресурсов на бесплатный поиск и исправление уязвимостей в open source. По оценке OpenAI, кампания по Linux обошлась в 1,2 млн долларов. TechCrunch сопоставляет эту сумму с примерно 6 млн долларов, которые компания потратила на токены при поиске решения известной задачи гидродинамики. Сравнение не доказывает неправильное распределение бюджета, но хорошо иллюстрирует приоритеты, которые теперь будут обсуждать сообщества разработчиков и владельцы критичной инфраструктуры.
Для российских команд практический вывод довольно приземлённый: ждать «идеального ИИ-аудитора» не стоит, а вот пересмотреть процесс работы с зависимостями, legacy-кодом и triage уязвимостей — уже стоит. Модель ChatGPT Cyber и похожие системы способны резко увеличить поток сигналов; без людей, понятного SLA на проверку и безопасного процесса раскрытия находок они превратят аудит не в защиту, а в ещё один шумный канал алертов.
Главная гонка теперь идёт не за количеством найденных CVE, а за скоростью их верификации и исправления. Если генеративные модели научатся массово выкапывать дефекты быстрее, чем экосистема способна выпускать патчи, преимущество получит не тот, кто первым подключил ИИ, а тот, кто лучше организовал реакцию на его результаты.
