Бесплатные китайские ИИ-модели пугающе хорошо справляются со взломом

Как проверяли модели

Vals испытала модели в двух сценариях. В первом им нужно было выполнять задания в имитации корпоративной сети, доступной через общедоступный сайт. Во втором были две отдельные сети: чтобы попасть во вторую, модель должна была сначала скомпрометировать первую.

В среднем по двум испытаниям Daybreak, передовая кибермодель OpenAI, доступная только доверенным партнёрам, выполнила 81% поставленных задач. Открытая модель DeepSeek, разработанная в Китае, достигла результата в 73%. Исследователи Vals отметили, что в некоторых заданиях модели показали одинаковые результаты.

По словам исследователя Vals Никеля Рави, открытые модели начинают конкурировать с передовыми системами, доступными только через лаборатории и программы для проверенных пользователей. Это ставит под вопрос, насколько ограничения доступа способны сдерживать распространение продвинутых кибервозможностей.

Разница в стоимости

Vals оценивает затраты на токены для одной атаки с помощью GPT-6-Sol в $17–46, а с DeepSeek — в $2–3. Открытые модели обычно дешевле, поскольку их можно запускать на собственном оборудовании. Генеральный директор Vals Раян Кришнан считает, что это даёт специалистам по защите дополнительный стимул выбирать открытые модели вместо проприетарных.

OpenAI не ответила на запрос WIRED о комментарии.

Ограничения доступа и риски

Лаборатории, разрабатывающие передовые модели, ограничивали доступ к новым системам, рассчитывая выиграть время до того, как продвинутые возможности взлома станут широко доступны. В США эту стратегию особенно связывали с Anthropic: в апреле компания начала ограниченный выпуск Claude Mythos Preview. Руководитель команды передового тестирования Anthropic на прочность Логан Грэм тогда рассказал WIRED, что проект Project Glasswing предоставляет доверенным пользователям полный доступ к новым моделям, чтобы дать специалистам по защите фору.

Грэм также говорил, что готовиться к широкому распространению таких возможностей нужно уже сейчас — в горизонте 6, 12 и 24 месяцев. По прошествии семи месяцев, отмечает источник, этот переход, похоже, произошёл в ожидаемые сроки.

На протяжении года ИИ автоматизировал основные задачи взлома: с его помощью и атакующие, и специалисты по защите находили больше уязвимостей в коде и быстрее проверяли сети на слабые места. Увеличились скорость и масштаб поиска, а также темпы исправления обнаруженных программных ошибок. При этом эксперты продолжают спорить, меняет ли ИИ основы киберзащиты или усиливает уже знакомые проблемы. Пока неясно, создают ли такие инструменты угрозу нового типа.

Открытые модели, догоняющие закрытые, важны для понимания того, как преступные группы могут применять ИИ и как на это должны реагировать компании и разработчики. Однако наблюдения за действиями киберпреступников и связанных с государствами групп в последние месяцы показывают, что многие из них экономят ресурсы и в основном используют старые, менее способные модели — как проприетарные, так и открытые. Кроме того, даже при строгих ограничениях защитникам приходится исходить из того, что наиболее обеспеченные и мотивированные атакующие уже хотя бы отчасти получали доступ к закрытым моделям.

Алекс Зенла, сооснователь и технический директор компании облачной безопасности Edera, согласен, что открытые модели уже способны помогать создавать сложные атаки и находить уязвимости. Он отдельно упомянул модели с отключённым обучением безопасности, для чего изменяют веса. Однако, по его словам, закрытые лаборатории, вероятно, обучили дополнительные модели, которые ещё не выпустили и которые превосходят проверенные системы. Зенла описывает ситуацию как постоянное соревнование: лаборатории стремятся опередить открытые модели и успеть защитить уязвимости раньше, чем те их обнаружат. Он считает, что это может быть началом опасного периода для кибербезопасности.

По оценке Dataist, результаты Vals показывают, что ограниченный доступ сам по себе уже не гарантирует долгого преимущества закрытых моделей: открытая DeepSeek близка к Daybreak и обходится дешевле. Но проверка проводилась на имитациях сетей, а данные о реальных атаках показывают, что преступники часто выбирают более старые и менее способные инструменты. Поэтому уравнивание моделей в тестах ещё не означает, что так же изменились масштабы и методы атак в реальных сетях.