ИИ может лишить спецслужбы главного способа взлома смартфонов

Искусственный интеллект уже активно меняет сферу кибербезопасности. Большие языковые модели способны помогать исследователям находить ошибки в программном коде, анализировать сложные системы и автоматизировать часть работы, на которую раньше уходило значительно больше времени. Об этом пишет TechCrunch.

Может ли ИИ сделать взлом устройств слишком сложным?

Однако массовое использование ИИ может иметь неожиданные последствия. Если технологии позволят компаниям находить и устранять уязвимости гораздо быстрее, программное обеспечение постепенно может стать настолько защищенным, что правительственным структурам будет значительно сложнее получать доступ к чужим устройствам даже при наличии законных оснований.

Именно такую перспективу в августе описал профессор криптографии Мэтью Грин. Его пост в социальной сети X и большая публикация в личном блоге вызвали активную дискуссию среди специалистов по кибербезопасности. Грин давно следит за спором вокруг использования государствами хакерских инструментов для борьбы с преступностью и необходимости сильного шифрования для защиты частной жизни обычных людей.

Ученый задал провокационный вопрос: что произойдет, если ИИ сделает программные ошибки настолько редкими, что правоохранительные органы и разведывательные службы фактически утратят возможность взламывать устройства людей, за которыми ведется наблюдение?

"Я обеспокоен тем, что ИИ сделает программное обеспечение слишком защищенным", – написал Мэтью Грин.

По его словам, правительство США потенциально может лишиться доступа к критически важным уязвимостям, если технологические компании начнут выявлять и исправлять беспрецедентное количество ошибок в своих продуктах. Эта ситуация может коренным образом изменить баланс между теми, кто защищает цифровые системы, и теми, кто пытается их взломать.

Давняя проблема "цифровой тьмы"

Споры между технологическими компаниями, правозащитниками и правоохранительными органами по поводу шифрования продолжаются уже много лет.

В 2014 году тогдашний директор ФБР Джеймс Коми активно продвигал концепцию "going dark", которую можно перевести как "погружение в цифровую тьму". Он предупреждал, что развитие современного шифрования может лишить правоохранителей возможности перехватывать разговоры или получать доступ к информации на устройствах подозреваемых.

Примерно в этот период сквозное шифрование стало массовой технологией. Signal, WhatsApp и iMessage начали использовать системы, которые значительно затруднили традиционный перехват звонков и текстовых сообщений. Информация передавалась таким образом, что получить доступ к ее содержанию во время передачи стало значительно сложнее.

Производители устройств также усилили защиту данных. В частности, Apple стала активнее использовать шифрование по умолчанию, что затруднило доступ к информации на iPhone, защищенных надежным PIN-кодом или паролем. Правоохранительные органы утверждали, что такие технологии могут мешать расследованию тяжких преступлений и борьбе с терроризмом.

Однако, как отмечает Мэтью Грин, в результате сложился своеобразный компромисс.

Государства не получили универсальных "бэкдоров" – специально созданных скрытых механизмов доступа к устройствам. Вместо этого правительственные структуры начали тратить значительные средства на приобретение специальных инструментов для взлома и шпионского программного обеспечения.

Само существование программных уязвимостей позволяло таким системам обходить защиту конкретных устройств без необходимости намеренно ослаблять безопасность всех пользователей. По словам Грина, этот неустойчивый баланс может разрушить именно развитие искусственного интеллекта.

Почему уязвимости могут стать дефицитом?

Одна из главных причин для беспокойства заключается в том, что большие языковые модели постепенно становятся все более эффективными в поиске проблем в программном обеспечении.

Если ИИ сможет массово выявлять ошибки, компании получат возможность значительно быстрее исправлять потенциально опасные уязвимости. Первые результаты уже демонстрируют, насколько сильно искусственный интеллект может ускорить работу специалистов. Например, ранее Google сообщала, что благодаря использованию ИИ компания смогла исправить за один месяц больше ошибок в браузере Chrome, чем за предыдущие два года.

Теоретически это может привести к появлению значительно меньшего количества программных ошибок, которые можно использовать для атак. А именно такие ошибки часто служат основой для сложных инструментов взлома, которые приобретают государственные структуры.

Исследовательница Луна Тонг, ранее работавшая в двух больших компаниях, занимавшихся поиском уязвимостей и созданием эксплойтов для правительственных клиентов, согласна с оценкой Мэтью Грина.

По ее словам, сейчас в сфере поиска уязвимостей происходит настоящая "золотая лихорадка".

"Сейчас наблюдается золотая лихорадка уязвимостей, но это временное явление, и вскоре уязвимости снова станут дефицитом", – заявила Тонг.

Еще один исследователь, более десяти лет работавший в сфере наступательной кибербезопасности, также выразил опасения относительно будущего профессии. По его словам, ИИ потенциально может постепенно вытеснить людей, профессионально занимающихся поиском уязвимостей в системах. Он считает, что со временем находить уязвимости станет значительно сложнее, а преимущество перейдет к тем, кто защищает цифровые системы.

Другими словами, баланс между "атакой" и "защитой" может измениться в пользу защитников.

Вернутся ли правительства к требованиям создать "бэкдоры"?

Именно этот сценарий больше всего беспокоит Мэтью Грина и некоторых других экспертов. Если государственные структуры утратят возможность покупать или находить достаточное количество уязвимостей для взлома устройств, они могут вновь начать требовать от технологических компаний создания специальных механизмов доступа.

То есть вместо использования отдельной уязвимости в конкретном устройстве правительства могут потребовать создать возможность доступа, заложенную в саму систему.

Паоло Станьо, технический директор Crowdfense – компании, которая занимается разработкой, приобретением и продажей неизвестных уязвимостей правительствам, – считает, что государства вряд ли добровольно откажутся от возможностей для цифровой слежки.

"Очевидно, что ни одно государство не откажется от возможности осуществлять слежку", – сказал Станьо.

Его компания работает, в частности, с так называемыми уязвимостями "нулевого дня". Это ошибки, о которых разработчик еще не знал или для которых производитель еще не выпустил исправление. Станьо назвал нынешнюю систему, при которой государствам необходимо использовать отдельные уязвимости для получения доступа к устройствам, "самой демократичной системой, которая у нас есть".

Однако он признал, что такой статус-кво может не сохраниться, если ценные уязвимости станет слишком сложно находить. Именно здесь и возникает главный парадокс.

Чем безопаснее станут смартфоны, компьютеры и другие устройства, тем сильнее потенциально может быть политическое давление на технологические компании с требованием ослабить эту защиту.

Другие эксперты не спешат с прогнозами

Впрочем, далеко не все представители индустрии согласны с тем, что ИИ в скором времени сделает уязвимости редкостью.

Трое людей, которые сейчас работают в сфере наступательной кибербезопасности, а также еще один бывший специалист этой отрасли высказали иную точку зрения. Их позиция сводится к нескольким аргументам.

Во-первых, простые уязвимости действительно могут стать легче обнаруживаемыми благодаря искусственному интеллекту. Но самые сложные ошибки, представляющие наибольшую ценность для государственных структур, никуда автоматически не исчезнут.

Во-вторых, ИИ может помогать не только защитникам. Те же технологии могут использовать исследователи, ищущие уязвимости для наступательных операций. То есть искусственный интеллект потенциально станет инструментом для обеих сторон цифрового противостояния.

Хамид Кашфи, основатель компании по наступательной кибербезопасности DarkCell, который также работает в стартапе Xbow, занимающемся ИИ и кибербезопасностью, считает, что реальное количество опасных уязвимостей может быть значительно больше, чем показывает официальная статистика.

На каждую обнаруженную ИИ и сообщенную уязвимость, вероятно, приходится еще 20, о которых никто не сообщает, – сказал Кашфи.

По его словам, исследователи, не желающие передавать информацию об обнаруженных уязвимостях производителям программного обеспечения, по-прежнему могут находить сложные и ценные уязвимости.

Двое исследователей, которые сейчас зарабатывают на поиске уязвимостей для компаний, работающих с уязвимостями "нулевого дня", заявили, что их больше беспокоит не развитие искусственного интеллекта. По их мнению, более серьезной проблемой для создателей инструментов взлома становится появление новых систем защиты в современных устройствах.

Смартфоны и компьютеры постепенно получают все больше механизмов безопасности, которые затрудняют использование даже найденной уязвимости.

То есть найти программную ошибку – это лишь часть задачи. Еще нужно превратить ее в эффективный инструмент для получения доступа к конкретному устройству.

Ева Галперин, директор по кибербезопасности правозащитной организации Electronic Frontier Foundation и эксперт по правительственному шпионскому программному обеспечению, считает, что сейчас преимущество по-прежнему остается на стороне атакующих. По ее словам, этому способствуют сразу два фактора.

Первый – ИИ уже демонстрирует высокую эффективность в поиске программных ошибок. Второй – активное распространение так называемого "vibe coding", когда программный код создается с помощью инструментов искусственного интеллекта. Такой подход может приводить к появлению новых уязвимостей в программном обеспечении.

В то же время большее количество обнаруженных ошибок не означает, что все они будут быстро исправлены. Галперин напоминает, что процесс создания и распространения обновлений может быть сложным. Поэтому даже известная уязвимость не всегда исчезает сразу после ее обнаружения.

По мнению эксперта, рано или поздно попытки получить специальный доступ к зашифрованным системам все равно могут возобновиться. Авторитарные режимы, по ее словам, всегда стремятся получить "исключительный доступ" к цифровым системам.

Когда устройства могут стать практически безупречными?

Кэти Муссурис, которая на протяжении десятилетий помогала большим и мелким компаниям работать с обнаруженными уязвимостями и устранять их, также не считает, что современные смартфоны и ноутбуки в ближайшее время станут полностью защищенными от программных ошибок.

"Нам еще предстоит пройти определенный путь, прежде чем новейшие телефоны и ноутбуки станут полностью свободными от уязвимостей", – сказала Муссурис.

В то же время она соглашается, что в будущем может наступить момент, когда находить новые ошибки станет значительно сложнее. И именно тогда, по ее мнению, может усилиться давление с требованием создавать специальные механизмы доступа к устройствам.

"Наступит момент, когда находить уязвимости станет значительно сложнее, и это может спровоцировать давление с требованием встраивать бэкдоры", – отметила основательница и генеральный директор Luta Security.

При этом Муссурис не считает, что такая ситуация возникнет в ближайшее время. По ее оценке, разведывательные структуры США вряд ли столкнутся с настолько серьезными ограничениями, чтобы активно требовать создания "бэкдоров", по крайней мере до следующих президентских выборов.

"Я думаю, что у нас есть как минимум время до следующих президентских выборов, прежде чем возможности разведывательного сообщества будут настолько существенно ограничены, что оно начнет серьезно требовать бэкдоры", – сказала Муссурис.

Развитие искусственного интеллекта таким образом создает необычную ситуацию для мира кибербезопасности. Одна и та же технология может одновременно помогать быстрее защищать программное обеспечение и создавать новые возможности для тех, кто ищет способы его взломать. Приведет ли ИИ к будущему, в котором критически важные уязвимости станут редкостью, пока неизвестно. Но дискуссия уже выявляет другой важный риск.

Если технологии действительно сделают современные устройства значительно более сложными для взлома, правительства могут вновь поставить вопрос о том, должны ли производители намеренно оставлять для них возможность доступа.

И тогда главный спор вокруг искусственного интеллекта будет заключаться уже не только в том, сможет ли ИИ находить больше программных ошибок, а в том, не станет ли успешная борьба с ними причиной для ослабления конфиденциальности всех пользователей.