Dr. Mantas Lukauskas, Kauno technologijos universiteto Matematikos ir gamtos mokslų fakulteto mokslininkas ir „Hostinger“ dirbtinio intelekto techninis grupės vadovas
Praėjusią savaitę pasaulį drebino Kinijos atvirų dirbtinio intelekto (DI) modelių banga, o šią – „Google“ pristatė tris naujus „Gemini“ šeimos modelius. Įdomiausias iš jų nėra nei didžiausias, nei universaliausias. Tai „Gemini 3.5 Flash Cyber“ – specializuotas kibernetinio saugumo modelis, sukurtas programinės įrangos spragoms rasti, patikrinti ir užlopyti. Tačiau labiausiai dėmesį patraukia ne jo galimybės, o platinimo būdas: modelio negaus nei plačioji rinka, nei įprasti verslo klientai. Prieigą prie jo turės tik vyriausybės ir patikimi partneriai.
Tai jau antras toks atvejis per kelis mėnesius – balandį taip pat pasielgė ir „Anthropic“, pristačiusi kibernetiniam saugumui skirtą modelį. Kai dvi didžiausios pasaulio DI laboratorijos nusprendžia, kad tam tikros technologijos yra pernelyg pavojingos atvirai prieigai, verta stabtelėti ir suprasti, kas iš tikrųjų vyksta. O vyksta esminis lūžis: DI apvertė dešimtmečius galiojusią kibernetinio saugumo aritmetiką.
Laiko langas, kuris tapo neigiamas
Kibernetinis saugumas visada buvo lenktynės tarp atakuojančiųjų ir besiginančiųjų. Atakuotojai ieško spragų ir kuria būdus jomis pasinaudoti, o gynėjai skuba jas užlopyti. Ilgus metus šis laikotarpis siekė maždaug mėnesį – neatsitiktinai „Microsoft“ saugumo atnaujinimus dešimtmečius leido kartą per mėnesį, antrąjį antradienį.
Šiemet šis modelis subyrėjo. „Google“ priklausančios kibernetinio saugumo bendrovės „Mandiant“ metinė ataskaita, paremta daugiau nei puse milijono valandų incidentų tyrimų, fiksuoja precedento neturintį rodiklį: vidutinis laikas nuo spragos atsiradimo iki jos išnaudojimo tapo neigiamas – minus septynios dienos. Kitaip tariant, atakos vidutiniškai prasideda savaite anksčiau, nei pasirodo oficialus pataisymas. Tuo metu organizacijos kritines spragas vidutiniškai užlopo per 74 dienas, o beveik pusė didelėse įmonėse aptiktų sistemų spragų apskritai niekada nesutvarkomos.
Priežastis – DI. Modeliai išmoko skenuoti milžiniškus kodo masyvus ir rasti pažeidžiamumus greičiau ir pigiau nei bet kuri žmonių saugumo tyrėjų komanda. Saugumo ekspertai skaičiuoja, kad paskelbtą pataisymą DI gali per mažiau nei valandą „išardyti“ ir paversti veikiančiu atakos įrankiu prieš tuos, kurie atnaujinimo dar neįsidiegė. Kiekvienas saugumo atnaujinimas tampa ir instrukcija atakuotojams.
Modeliai, kurių viešai negausi
Šio lūžio mastą geriausiai iliustruoja „Anthropic“ patirtis. Balandį bendrovė pristatė modelį, kuris, savarankiškai gavęs vienintelę užduotį – rasti saugumo spragą, – aptiko 17 metų nepastebėtą kritinę klaidą „FreeBSD“ operacinėje sistemoje ir pats parašė veikiantį įsilaužimo kodą. Seniausia modelio rasta spraga slėpėsi kode 27 metus – sistemoje, kuri laikoma vienu iš saugumo etalonų.
Užuot paleidusi tokį modelį į rinką, „Anthropic“ subūrė uždarą programą, kurioje apie 50 organizacijų – nuo „Apple“ ir „Microsoft“ iki „Linux Foundation“ – šiuo modeliu tikrina kritiškiausią pasaulio programinę įrangą. Rasta jau daugiau nei dešimt tūkstančių didelio pavojingumo spragų.
„Google“ žengia panašų, bet strategiškai kitokį žingsnį. „Gemini 3.5 Flash Cyber“ stiprybė – ne maksimali galia, o efektyvumas: modelis sukurtas naudojant lengvąją „Flash“ architektūrą ir kainuoja tiek pat, kiek įprastas modelis, nors specializuotose užduotyse jį gerokai lenkia. Teste su „Chrome“ naršyklės variklio kodu jis rado 55 patvirtintas problemas – daugiau nei gerokai didesni ir brangesni konkurentai, įskaitant dešimt spragų, kurių nepastebėjo joks kitas modelis. Bendrovės viduje modelis jau tikrina „Chrome“, „Android“ ir debesijos infrastruktūros kodą, o vienu atveju kritines nuotolinio kodo vykdymo spragas viešose sąsajose aptiko per dvi valandas.
Vis dėlto abu gigantai priėjo prie tos pačios išvados: įrankis, kuris randa spragas gynybai, lygiai taip pat gerai jas randa ir atakai. Todėl prieiga ribojama, o tai kelia naują ir nepatogų klausimą – kas nusprendžia, kuri valstybė ir kuri organizacija yra patikima?
Nauja nelygybė skaitmeninėje gynyboje
Čia slypi mažiau pastebima, bet ilgalaikė šios istorijos pusė. Jei galingiausi gynybos įrankiai pasiekiami tik atrinktiesiems, kibernetinis saugumas tampa privilegija, priklausančia nuo santykių su keliomis JAV bendrovėmis. Didžiosios valstybės ir korporacijos prieigą gaus. O kur lieka mažesnės valstybės, savivaldybės, ligoninės, vidutinis verslas – visi tie, kurie atakuojami dažniausiai ir ginasi sunkiausiai?
Situaciją dar labiau komplikuoja praėjusios savaitės kontekstas. Kinijos laboratorijos atviru principu platina vis galingesnius bendrosios paskirties modelius, kurie, nors ir nėra specializuoti kibernetiniam saugumui, ilgainiui įgis vis daugiau tų pačių gebėjimų – tik be jokių prieigos apribojimų. Susidaro paradoksali padėtis: gynybai skirti specializuoti įrankiai saugomi už uždarų durų, o atakoms tinkami universalūs įrankiai laisvai plinta internete. Saugumo bendruomenėje ši įtampa vadinama tiksinčiu laikrodžiu – klausimas nebe, ar tokios galimybės pasieks piktavalius, o kada.
Ką tai reiškia Lietuvai
Lietuvai ši tema nėra teorinė. Nacionalinis kibernetinio saugumo centras pernai užregistravo beveik tris tūkstančius kibernetinių incidentų, o savo grėsmių ataskaitoje tiesiai įvardija, kad piktavaliai atakoms vis aktyviau pasitelkia DI ir kad vien techninių apsaugos priemonių nebepakanka. Kartu Lietuvoje, įsigaliojus naujajam Kibernetinio saugumo įstatymui, valstybės prižiūrimų organizacijų ratas išaugo beveik penkis kartus – reikalavimai griežtėja būtent tuo metu, kai atakų tempas spartėja.
Praktinės išvados organizacijoms gana aiškios, nors ir nepatogios. Pirma, mėnesinis atnaujinimų ritmas nebeatitinka realybės – kritinius pataisymus reikia diegti per dienas, o ne savaites, todėl būtina automatizacija. Antra, kai spragų srautas viršija komandos pajėgumus, lemiamu gebėjimu tampa prioritetų nustatymas: ne lopyti viską iš eilės, o pirmiausia tai, kas realiai pasiekiama atakuotojams. Trečia, DI turi atsirasti ne tik atakų, bet ir gynybos pusėje – nuo automatizuotos kodo peržiūros iki anomalijų stebėsenos. Tai nebe ateities investicija, o higienos reikalavimas.
Valstybės lygmeniu vertėtų kelti dar vieną klausimą: kaip Lietuva užsitikrins prieigą prie geriausių gynybos įrankių, kai jie dalijami ne rinkos, o pasitikėjimo principu? Narystė NATO ir ES, glaudūs ryšiai su technologijų sektoriumi ir stipri kibernetinio saugumo reputacija čia yra realus kapitalas. Bet juo reikia sąmoningai naudotis – siekti, kad Lietuvos institucijos ir kritinės infrastruktūros valdytojai patektų tarp tų patikimų partnerių, kuriems suteikiama prieiga prie tokių programų.
Gynyba turi judėti DI greičiu
Ilgą laiką kibernetinis saugumas buvo sritis, kurioje technologija keitėsi greitai, o žaidimo taisyklės – lėtai. DI pakeitė ir taisykles. Spragos randamos greičiau, nei spėjame jas užlopyti, pataisymai tampa atakų žemėlapiais, o galingiausi įrankiai dalijami už uždarų durų.
Gera žinia ta, kad tas pats DI, kuris paspartino atakas, gali paspartinti ir gynybą – „Google“ ir „Anthropic“ programos rodo, kad mašinos jau šiandien randa ir padeda užlopyti spragas, kurių žmonės nepastebėjo dešimtmečius. Blogesnė žinia – šis pranašumas neateis savaime. Jis atiteks toms organizacijoms ir valstybėms, kurios gynybą pertvarkys taip, kad ji judėtų DI greičiu. Lietuva jau ne kartą įrodė, kad kibernetinio saugumo srityje gali būti tarp lyderių. Dabar svarbiausia šiuo įdirbiu pasinaudoti dar kartą – kol galimybių langas galutinai neužsivėrė.
About the Author
