ШІ може позбавити спецслужби головного способу зламувати смартфони

Штучний інтелект уже активно змінює сферу кібербезпеки. Великі мовні моделі здатні допомагати дослідникам знаходити помилки в програмному коді, аналізувати складні системи та автоматизувати частину роботи, на яку раніше витрачали значно більше часу. Про це пише Techcrunch.

Чи може ШІ зробити злам пристроїв надто складним?

Проте масове використання ШІ може мати несподіваний наслідок. Якщо технології дозволять компаніям знаходити та виправляти вразливості набагато швидше, програмне забезпечення поступово може стати настільки захищеним, що урядовим структурам буде значно складніше отримувати доступ до чужих пристроїв навіть за наявності законних підстав.

Саме таку перспективу в серпні описав професор криптографії Метью Грін. Його допис у соціальній мережі X та велика публікація в особистому блозі викликали активну дискусію серед фахівців із кібербезпеки. Грін давно стежить за суперечкою навколо використання державами хакерських інструментів для боротьби зі злочинністю та необхідності сильного шифрування для захисту приватності звичайних людей.

Учений поставив провокаційне питання: що станеться, якщо ШІ зробить програмні помилки настільки рідкісними, що правоохоронні органи та розвідувальні служби фактично втратять можливість зламувати пристрої людей, за якими ведеться спостереження?

Я стурбований тим, що ШІ зробить програмне забезпечення надто захищеним, – написав Метью Грін.

За його словами, уряд США потенційно може втратити доступ до критично важливих вразливостей, якщо технологічні компанії почнуть виявляти та виправляти безпрецедентну кількість помилок у своїх продуктах. Ця ситуація може докорінно змінити баланс між тими, хто захищає цифрові системи, і тими, хто намагається їх зламувати.

Давня проблема "цифрової темряви"

Суперечки між технологічними компаніями, правозахисниками та правоохоронними органами щодо шифрування тривають уже багато років.

У 2014 році тодішній директор ФБР Джеймс Комі активно популяризував концепцію "going dark", яку можна перекласти як "занурення в цифрову темряву". Він попереджав, що розвиток сучасного шифрування може позбавити правоохоронців можливості перехоплювати розмови або отримувати доступ до інформації на пристроях підозрюваних.

Приблизно в цей період наскрізне шифрування стало масовою технологією. Signal, WhatsApp та iMessage почали використовувати системи, які значно ускладнили традиційне перехоплення дзвінків і текстових повідомлень. Інформація передавалася таким чином, що отримати доступ до її змісту під час передачі стало значно складніше.

Виробники пристроїв також посилили захист даних. Зокрема, Apple почала активніше використовувати шифрування за замовчуванням, що ускладнило доступ до інформації на iPhone, захищених надійним PIN-кодом або паролем. Правоохоронні органи стверджували, що такі технології можуть заважати розслідуванню тяжких злочинів і боротьбі з тероризмом.

Однак, як зазначає Метью Грін, у результаті виник своєрідний компроміс.

Держави не отримали універсальних "бекдорів" – спеціально створених прихованих механізмів доступу до пристроїв. Натомість урядові структури почали витрачати значні кошти на придбання спеціальних інструментів для зламу та шпигунського програмного забезпечення.

Саме існування програмних вразливостей дозволяло таким системам обходити захист конкретних пристроїв без необхідності навмисно послаблювати безпеку всіх користувачів. За словами Гріна, цей нестабільний баланс може зруйнувати саме розвиток штучного інтелекту.

Чому вразливості можуть стати дефіцитом?

Одна з головних причин для занепокоєння полягає в тому, що великі мовні моделі поступово стають ефективнішими у пошуку проблем у програмному забезпеченні.

Якщо ШІ зможе масово виявляти помилки, компанії отримають можливість значно швидше виправляти потенційно небезпечні вразливості. Перші результати вже демонструють, наскільки сильно штучний інтелект може прискорити роботу фахівців. Наприклад, раніше Google повідомляла, що завдяки використанню ШІ компанія змогла виправити за один місяць більше помилок у браузері Chrome, ніж за попередні два роки.

Теоретично це може привести до появи значно меншої кількості програмних помилок, які можна використати для атак. А саме такі помилки часто є основою для складних інструментів зламу, які купують державні структури.

Дослідниця Луна Тонг, яка раніше працювала у двох великих компаніях, що шукали вразливості та створювали експлойти для урядових клієнтів, погоджується з оцінкою Метью Гріна.

За її словами, зараз у сфері пошуку вразливостей відбувається справжня "золота лихоманка".

Зараз відбувається золота лихоманка вразливостей, але це тимчасове явище, і незабаром помилки знову стануть дефіцитом, – заявила Тонг.

Ще один дослідник, який понад десять років працював у сфері наступальної кібербезпеки, також висловив побоювання щодо майбутнього професії. За його словами, ШІ потенційно може поступово витіснити людей, які професійно шукають помилки в системах. Він вважає, що з часом знаходити вразливості стане значно складніше, а перевага перейде до тих, хто захищає цифрові системи.

Іншими словами, баланс між "атакою" та "захистом" може змінитися на користь захисників.

Чи повернуться уряди до вимог створити "бекдори"?

Саме цей сценарій найбільше турбує Метью Гріна та деяких інших експертів. Якщо державні структури втратять можливість купувати або знаходити достатню кількість вразливостей для зламу пристроїв, вони можуть знову почати вимагати від технологічних компаній створення спеціальних механізмів доступу.

Тобто замість використання окремої помилки в конкретному пристрої уряди можуть вимагати створити можливість доступу, закладену в саму систему.

Паоло Станьо, технічний директор Crowdfense – компанії, яка займається розробкою, придбанням і продажем невідомих вразливостей урядам, – вважає, що держави навряд чи добровільно відмовляться від можливостей для цифрового спостереження.

Очевидно, що жодна держава не відмовиться від можливості здійснювати спостереження, – сказав Станьо.

Його компанія працює, зокрема, з так званими вразливостями нульового дня. Це помилки, які ще не були відомі розробнику або для яких виробник ще не випустив виправлення. Станьо назвав нинішню систему, за якої державам необхідно використовувати окремі вразливості для отримання доступу до пристроїв, "найдемократичнішою системою, яку ми маємо".

Однак він визнав, що такий статус-кво може не зберегтися, якщо цінні вразливості стане надто складно знаходити. Саме тут і виникає головний парадокс.

Чим безпечнішими стануть смартфони, комп'ютери та інші пристрої, тим сильнішим потенційно може бути політичний тиск на технологічні компанії з вимогою послабити цей захист.

Інші експерти не поспішають із прогнозами

Втім, далеко не всі представники індустрії погоджуються з тим, що ШІ незабаром зробить вразливості рідкістю.

Троє людей, які зараз працюють у сфері наступальної кібербезпеки, а також ще один колишній фахівець цієї галузі висловили іншу точку погляду. Їхня позиція зводиться до кількох аргументів.

По-перше, прості вразливості справді можуть стати легшими для виявлення завдяки штучному інтелекту. Але найскладніші помилки, які мають найбільшу цінність для державних структур, нікуди автоматично не зникнуть.

По-друге, ШІ може допомагати не лише захисникам. Ті самі технології можуть використовувати дослідники, які шукають вразливості для наступальних операцій. Тобто штучний інтелект потенційно стане інструментом для обох сторін цифрового протистояння.

Хамід Кашфі, засновник компанії з наступальної кібербезпеки DarkCell, який також працює у стартапі Xbow, що займається ШІ та кібербезпекою, вважає, що реальна кількість небезпечних помилок може бути значно більшою, ніж показує офіційна статистика.

На кожну знайдену ШІ та повідомлену вразливість, імовірно, припадає ще 20, про які ніхто не повідомляє, – сказав Кашфі.

За його словами, дослідники, які не хочуть передавати інформацію про знайдені помилки виробникам програмного забезпечення, все ще можуть знаходити складні та цінні вразливості.

Двоє дослідників, які зараз заробляють на пошуку вразливостей для компаній, що працюють із вразливостями нульового дня, заявили, що їх більше турбує не розвиток штучного інтелекту. На їхню думку, серйознішою проблемою для творців інструментів зламу стає поява нових систем захисту в сучасних пристроях.

Смартфони та комп'ютери поступово отримують дедалі більше механізмів безпеки, які ускладнюють використання навіть знайденої вразливості.

Тобто знайти програмну помилку – це лише частина завдання. Ще потрібно перетворити її на ефективний інструмент для отримання доступу до конкретного пристрою.

Єва Галперін, директорка з кібербезпеки правозахисної організації Electronic Frontier Foundation і експертка з урядового шпигунського програмного забезпечення, вважає, що зараз перевага все ще залишається на боці атакувальників. За її словами, цьому сприяють одразу два фактори.

Перший – ШІ вже демонструє високу ефективність у пошуку програмних помилок. Другий – активне поширення так званого "vibe coding", коли програмний код створюється за допомогою інструментів штучного інтелекту. Такий підхід може призводити до появи нових вразливостей у програмному забезпеченні.

Водночас більше знайдених помилок не означає, що всі вони будуть швидко виправлені. Галперін нагадує, що процес створення та поширення оновлень може бути складним. Тому навіть відома вразливість не завжди зникає одразу після її виявлення.

На думку експертки, рано чи пізно спроби отримати спеціальний доступ до зашифрованих систем усе одно можуть відновитися. Авторитарні режими, за її словами, завжди прагнуть отримати "винятковий доступ" до цифрових систем.

Коли пристрої можуть стати майже бездоганними?

Кеті Муссуріс, яка протягом десятиліть допомагала великим і малим компаніям працювати зі знайденими вразливостями та виправляти їх, також не вважає, що сучасні смартфони й ноутбуки найближчим часом стануть повністю захищеними від програмних помилок.

Нам ще потрібно пройти певний шлях, перш ніж новітні телефони та ноутбуки стануть повністю вільними від вразливостей, – сказала Муссуріс.

Водночас вона погоджується, що в майбутньому може настати момент, коли знаходити нові помилки стане значно складніше. І саме тоді, на її думку, може посилитися тиск із вимогою створювати спеціальні механізми доступу до пристроїв.

Настане момент, коли знаходити вразливості стане значно важче, і це може спровокувати тиск із вимогою вбудовувати "бекдори", – зазначила засновниця та генеральна директорка Luta Security.

При цьому Муссуріс не вважає, що така ситуація виникне найближчим часом. За її оцінкою, розвідувальні структури США навряд чи відчують настільки серйозні обмеження, щоб активно вимагати створення "бекдорів", принаймні до наступних президентських виборів.

Я думаю, що ми маємо щонайменше час до наступних президентських виборів, перш ніж можливості розвідувальної спільноти будуть настільки суттєво обмежені, що вона серйозно почне вимагати "бекдори", – сказала Муссуріс.

Розвиток штучного інтелекту таким чином створює незвичайну ситуацію для світу кібербезпеки. Та сама технологія може одночасно допомагати швидше захищати програмне забезпечення та створювати нові можливості для тих, хто шукає способи його зламати. Чи призведе ШІ до майбутнього, в якому критично важливі вразливості стануть рідкістю, поки що невідомо. Але дискусія вже показує інший важливий ризик.

Якщо технології справді зроблять сучасні пристрої значно складнішими для зламу, уряди можуть знову поставити питання про те, чи повинні виробники навмисно залишати для них можливість доступу.

І тоді головна суперечка навколо штучного інтелекту полягатиме вже не лише в тому, чи зможе ШІ знайти більше програмних помилок, а в тому, чи не стане успішна боротьба з ними причиною для послаблення приватності всіх користувачів.