Dr. Mantas Lukauskas, Kauno technologijos universiteto Matematikos ir gamtos mokslų fakulteto mokslininkas ir „Hostinger“ dirbtinio intelekto techninės grupės vadovas
Kinijos atvirų dirbtinio intelekto (DI) modelių banga perleido vietą „Google“ pristatytiems trims naujiems „Gemini“ šeimos modeliams. Tarp jų išsiskiria „Gemini 3.5 Flash Cyber“ – specializuotas kibernetinio saugumo modelis, skirtas programinės įrangos spragoms aptikti, tikrinti ir taisyti. Įdomiausia, kad šio modelio nebus galima įsigyti nei plačiajai rinkai, nei įprastiems verslo klientams – prieigą turės tik vyriausybės ir patikimi partneriai.
Tai jau antras panašus atvejis per kelis mėnesius: balandį „Anthropic“ taip pat pristatė kibernetiniam saugumui skirtą modelį ir apribojo jo prieinamumą. Kai dvi didžiausios pasaulio DI laboratorijos laiko tam tikras technologijas pernelyg pavojingomis atvirai prieigai, tai signalizuoja apie esminį lūžį kibernetinio saugumo srityje, pakeitusį dešimtmečius galiojusią logiką.
Laiko langas, kuris tapo neigiamas
Kibernetinis saugumas tradiciškai buvo lenktynės tarp atakojančiųjų ir besiginančiųjų: atakuotojai ieškojo spragų, o gynėjai jas taisė. Ilgus metus šis procesas trukdavo apie mėnesį, kas atsispindėjo ir „Microsoft“ saugumo atnaujinimų praktikoje, leidžiant juos kartą per mėnesį. Tačiau pastaruoju metu šis modelis subiro. „Google“ priklausančios kibernetinio saugumo bendrovės „Mandiant“ metinė ataskaita, analizuojanti daugiau nei pusę milijono valandų incidentų tyrimų, rodo, kad vidutinis laikas nuo spragos atsiradimo iki jos išnaudojimo tapo neigiamas – minus septynios dienos. Tai reiškia, kad atakos vidutiniškai prasideda savaite anksčiau nei pasirodo oficialus pataisymas. Tuo metu organizacijos kritines spragas vidutiniškai taiso per 74 dienas, o beveik pusė didelėse įmonėse aptiktų spragų lieka neištaisyta.
Pagrindinė priežastis – dirbtinis intelektas. DI modeliai geba greitai ir pigiai skenuoti didelius kiekius kodo, randa pažeidžiamumų efektyviau nei žmonių komandos. Saugumo ekspertai skaičiuoja, kad DI gali per mažiau nei valandą „išardyti“ paskelbtą pataisymą ir paversti jį nauju įrankiu atakoms prieš tuos, kurie dar nespėjo atnaujinti sistemų. Kiekvienas saugumo atnaujinimas tampa ir instrukcija potencialiems puolėjams.
Modeliai, kurių viešai negausi
Šio lūžio mastą iliustruoja „Anthropic“ patirtis. Balandį bendrovė pristatė modelį, kuris, gavęs vienintelę užduotį – rasti saugumo spragą, – aptiko 17 metų nepastebėtą kritinę klaidą „FreeBSD“ operacinėje sistemoje ir pats sukūrė veikiantį įsilaužimo kodą. Seniausia rasta spraga buvo paslėpta kode 27 metus seniai. Vietoj to, kad modelį paleistų į rinką, „Anthropic“ įkūrė uždarą programą, kurioje apie 50 organizacijų, įskaitant „Apple“ ir „Microsoft“, tikrina kritinę pasaulio programinę įrangą. Iki šiol rasta daugiau nei dešimt tūkstančių didelio pavojingumo spragų.
„Google“ žengia panašų, bet strategiškai kitokį žingsnį. „Gemini 3.5 Flash Cyber“ stiprybė – efektyvumas, pasiektas naudojant lengvąją „Flash“ architektūrą. Modelis kainuoja tiek pat, kiek įprastas DI modelis, tačiau specializuotose srityse jį gerokai lenkia. „Chrome“ naršyklės variklio kode jis aptiko 55 patvirtintas problemas, tarp jų – dešimt spragų, kurių nepastebėjo kiti modeliai. „Google“ viduje modelis jau tikrina „Chrome“, „Android“ ir debesų infrastruktūros kodą, o vienu atveju kritines nuotolinio kodo vykdymo spragas viešose sąsajose aptiko per dvi valandas.
Tačiau abu technologijų gigantai priėjo prie tos pačios išvados: įrankis, galintis rasti gynybines spragas, lygiai taip pat gali būti panaudotas atakoms. Dėl to prieiga prie šių modelių yra ribojama, kas iškelia naują klausimą – kas nusprendžia, kurios valstybės ir organizacijos yra patikimos?
Nauja nelygybė skaitmeninėje gynyboje
Jei galingiausi gynybos įrankiai pasiekiami tik atrinktiesiems, kibernetinis saugumas tampa privilegija, priklausančia nuo santykių su keliomis JAV bendrovėmis. Didžiosios valstybės ir korporacijos prieigą gaus, tačiau atsiranda atotrūkis mažesnėms valstybėms, savivaldybėms, ligoninėms ir vidutiniam verslui – tiems, kurie dažniausiai tampa atakų taikiniais ir sunkiausiai apsigina.
Praėjusios savaitės įvykiai Kinijoje, kur laboratorijos atvirai platina vis galingesnius bendrosios paskirties DI modelius, dar labiau komplikuoja situaciją. Nors šie modeliai nėra specializuoti kibernetiniam saugumui, ilgainiui jie įgis reikiamus gebėjimus be jokių prieigos apribojimų. Susidaro paradoksas: gynybai skirti specializuoti įrankiai saugomi už uždarų durų, o atakoms tinkami universalūs įrankiai laisvai plinta internete. Saugumo bendruomenėje tai vadinama „tiksinčiu laikrodžiu“ – klausimas ne „ar“, o „kada“ tokios galimybės pasieks piktavalius.
Ką tai reiškia Lietuvai
Lietuvai ši problema nėra teorinė. Nacionalinis kibernetinio saugumo centras pernai užfiksavo beveik tris tūkstančius kibernetinių incidentų ir savo ataskaitoje nurodo, kad piktavaliai vis aktyviau naudoja DI atakoms, o techninių apsaugos priemonių nebepakanka. Naujasis Kibernetinio saugumo įstatymas padidino valstybės prižiūrimų organizacijų ratą beveik penkis kartus, todėl reikalavimai griežtėja augant atakų tempui.
Organizacijoms praktinės išvados yra aiškios, nors ir nepatogios. Pirma, mėnesinis atnaujinimų ciklas yra per ilgas; kritinius pataisymus reikia diegti per dienas, o tam būtina automatizacija. Antra, kai spragų srautas viršija komandos pajėgumus, svarbiausia tampa prioritetų nustatymas – ne viską taisyti iš eilės, o sutelkti dėmesį į realiai pasiekiamas atakuotojams spragas. Trečia, DI turi būti integruotas į gynybą – nuo automatizuotos kodo peržiūros iki anomalijų stebėsenos. Tai ne ateities investicija, o būtinybė.
Valstybės lygmeniu kyla klausimas, kaip Lietuva užsitikrins prieigą prie geriausių gynybos įrankių, kai jie dalijami ne pagal rinkos, o pagal pasitikėjimo principą. Narystė NATO ir ES, glaudūs ryšiai su technologijų sektoriumi ir stipri kibernetinio saugumo reputacija yra svarbus kapitalas, kurį reikia sąmoningai panaudoti, siekiant, kad Lietuvos institucijos ir kritinės infrastruktūros valdytojai patektų tarp patikimų partnerių, turinčių prieigą prie tokių įrankių.
Gynyba turi judėti DI greičiu
Ilgą laiką kibernetinis saugumas buvo sritis, kurioje technologijos keitėsi greitai, o žaidimo taisyklės – lėtai. DI pakeitė šias taisykles: spragos randamos greičiau nei spėjame jas taisyti, pataisymai tampa atakų žemėlapiais, o galingiausi įrankiai dalijami už uždarų durų.
Tiesa, tas pats DI, suaktyvinęs atakas, gali sustiprinti ir gynybą. „Google“ ir „Anthropic“ programos rodo, kad mašinos jau dabar padeda rasti ir taisyti spragas, kurių žmonės nepastebėjo dešimtmečius. Tačiau šis pranašumas nebus savaiminis – jis atiteks toms organizacijoms ir valstybėms, kurios gynybą pertvarkys taip, kad ji judėtų DI greičiu. Lietuva jau ne kartą įrodė savo lyderystę kibernetinio saugumo srityje. Dabar svarbiausia pasinaudoti šiuo įdirbiu dar kartą, kol galimybių langas galutinai neužsivėrė.
