Штучний інтелект ускладнює доступ урядових структур до інструментів для кібератак

На початку серпня професор криптографії Меттью Грін опублікував суперечливу тему в X та довший допис у блозі, який набув вірусного поширення в спільноті кібербезпеки.

Грін, який довгий час уважно стежив за дискусією щодо використання урядами хакерських інструментів для боротьби зі злочинністю та необхідності надійного шифрування для захисту приватності невинних людей, висунув провокаційну думку: що, якби ШІ зробив програмні помилки настільки рідкісними, що правоохоронні та розвідувальні органи більше не могли б законно зламувати злочинців?

«Я стурбований тим, що ШІ зробить програмне забезпечення надто безпечним», — написав Грін, попереджаючи, що уряд США може втратити доступ до вразливостей безпеки для злому цілей, які їм потрібно відстежувати, оскільки компанії виправлятимуть безпрецедентний обсяг помилок.

Правоохоронні органи довгий час стверджували, що шифрування ускладнює вилов злочинців та терористів. Концепція «темряви» (going dark) стала популярною у 2014 році, коли тодішній директор ФБР Джеймс Комі попереджав, що шифрування може перешкодити владі прослуховувати розмови або отримувати доступ до даних на пристроях.

Приблизно в той час такі додатки, як Signal, WhatsApp та iMessage від Apple, запровадили наскрізне шифрування для мас, що зробило практично неможливим традиційне прослуховування дзвінків та текстових повідомлень у реальному часі. Технологічні гіганти, такі як Apple, також почали шифрувати дані на своїх пристроях за замовчуванням, ускладнюючи зламування iPhone, захищених надійним PIN-кодом або парольною фразою.

Відтоді влада все ще змогла виловлювати злочинців — зокрема, зламуючи їхні пристрої — а невинні люди змогли насолоджуватися високим рівнем приватності завдяки шифруванню. Частково, як пояснює Грін, це сталося через «незручне перемир’я». Тобто, замість того, щоб вбудовувати бекдори в пристрої для допомоги владі, уряди натомість інвестували гроші в купівлю хакерських інструментів та шпигунського програмного забезпечення, які можуть підривати безпеку пристроїв та їхніх власників.

Для Гріна це перемир’я ось-ось буде порушене ШІ, тому що, як обіцяють прихильники, і деякі ранні дані свідчать, великі мовні моделі (LLM) стають кращими та швидшими у виявленні вразливостей безпеки в масштабі. Це, теоретично, означає, що ми досягнемо точки, коли компанії зможуть зробити своє програмне забезпечення та системи значно менш схильними до помилок — і атак.

Кінцевим результатом, за словами Гріна, є те, що уряди можуть знову вимагати бекдори, роблячи пристрої всіх менш безпечними за дизайном.

Золота лихоманка на баги

Ми попросили кількох людей висловитися щодо аргументів Гріна: від експертів з питань приватності та кібербезпеки до хакерів, які мають досвід розробки хакерських інструментів для урядів. Дехто погодився з Гріном, дехто не погодився, а дехто побачив обидві сторони.

Луна Тонг, дослідниця, яка раніше працювала у двох відомих компаніях, що займаються пошуком багів та розробкою експлойтів для допомоги урядам у зламуванні систем, погодилася з Гріном, заявивши, що «зараз відбувається золота лихоманка на баги, але це тимчасове явище, і баги знову стануть рідкісними».

Інший дослідник, який має понад десятирічний досвід роботи в компаніях, що займаються наступальною безпекою, заявив, що стурбований тим, що ШІ може зробити людських дослідників безпеки застарілими, оскільки буде набагато складніше знаходити баги, і захисники врешті-решт матимуть перевагу над наступальними дослідниками. Ця особа попросила не називати її ім’я, щоб мати змогу говорити більш вільно.

«Зрозуміло, що жодна держава не відмовиться від можливості спостереження», — сказав Паоло Станьо, технічний директор Crowdfense, відомої компанії, яка розробляє, закуповує та продає невідомі вразливості — також відомі як нульові дні — урядам. Станьо пояснив, що нинішній процес, який вимагає від урядів використання вразливостей безпеки для зламування пристроїв, є «найбільш демократичною системою, яку ми маємо», але статус-кво може не тривати, якщо баги стане надто важко знайти.

Троє інших людей, які наразі працюють у сфері наступальної кібербезпеки, та один, хто працював раніше, не погодилися. Їхні аргументи зводяться до наступного: легкі баги буде легше знайти; більш складні баги, які, як правило, є більш цінними та корисними для урядів, не зникнуть; і ШІ може активно допомагати дослідникам, які продають баги державним органам.

Хамід Кашфі, засновник компанії DarkCell, що займається наступальною безпекою, а також працює в стартапі Xbow, що займається ШІ в кібербезпеці, сказав, що «на кожен баг, знайдений і повідомлений ШІ, припадає, ймовірно, 20, про які не повідомляють». Кашфі пояснив, що дослідники, які не хочуть повідомляти про баги постачальникам, все ще можуть знаходити складні та цінні баги.

Двоє дослідників, які зараз заробляють на життя пошуком багів для фірм, що займаються нульовими днями, розповіли TechCrunch, що їх менше турбує зростання ШІ, ніж низка нових захисних механізмів у сучасних пристроях, які ускладнюють їх зламування.

Єва Гальперін, директорка з кібербезпеки організації Electronic Frontier Foundation, що займається цифровими правами, та експертка зі шпигунського програмного забезпечення, що використовується урядами, сказала, що наступальна сторона має перевагу сьогодні завдяки поєднанню високої здатності ШІ знаходити баги та збільшенню кількості вразливостей, спричинених «кодним стилем» (vibe-code), що розвивається за допомогою інструментів ШІ.

З іншого боку, Гальперін стверджувала, що знаходження більшої кількості багів не обов’язково означає, що вони будуть виправлені достатньо швидко, або взагалі, враховуючи, що виправлення може бути складним процесом. Гальперін зазначила, що в якийсь момент буде новий поштовх до створення бекдорів, оскільки авторитарні режими завжди хочуть «виняткового доступу».

Кеті Муссуріс, яка десятиліттями допомагала компаніям, великим і малим, справлятися з повідомленими багами та їх виправленням, сказала, що «нам ще далеко до того, щоб найновіші телефони та ноутбуки були повністю без помилок».

«Настане момент, коли знайти баги буде набагато складніше, і це може спричинити тиск на створення бекдорів», — сказала Муссуріс, засновник і генеральний директор Luta Security.

«Я думаю, що нам знадобиться щонайменше до наступних президентських виборів, перш ніж розвідувальна спільнота настільки суттєво постраждає, щоб серйозно наполягати на бекдорах», — сказала Муссуріс.

Джерело новини: techcrunch.com