Ари Герберт-Восс, возглавлявший безопасность в OpenAI и ныне генеральный директор стартапа RunSybil, считает, что широкое внедрение автоматизированного поиска уязвимостей с помощью искусственного интеллекта значительно повысит уровень кибербезопасности, не приводя при этом к потере рабочих мест. По его словам, модели с открытым исходным кодом могут обнаруживать ошибки так же эффективно, как и проприетарная система Mythos от компании Anthropic.
Содержание
Возможности Mythos и «сверхлинейное масштабирование»
Выступая на конференции Black Hat Asia в Сингапуре, Герберт-Восс отметил, что Mythos отлично справляется как с «поверхностными» ошибками — хорошо описанными и легко проверяемыми уязвимостями, так и с более сложными проблемами. Эффективность системы он связал с явлением, которое назвал «сверхлинейным масштабированием» (supralinear scaling). Изначально исследователи полагали, что возможности больших языковых моделей (LLM) улучшаются линейно. Однако текущие данные показывают, что модель, обученная на удвоенном объёме данных, вычислительных ресурсов и времени, демонстрирует в четыре раза большую производительность. Он намекнул, что «сверхлинейное масштабирование» может давать ещё более впечатляющие результаты, но не смог раскрыть детали из-за соглашения о неразглашении. Компания Anthropic, опасаясь злоупотреблений, строго ограничивает доступ к Mythos.
Преимущества открытых моделей
Герберт-Восс утверждает, что как злоумышленники, так и защитники могут достичь сопоставимых результатов с помощью открытых моделей. Для этого необходимо создать своего рода «обвязку» (scaffolding), позволяющую использовать несколько таких моделей в связке. Этот подход также повышает «глубину защиты» (defense in depth), поскольку разные модели способны обнаруживать разные типы уязвимостей, что является надёжной страховкой от «слепых зон» одной конкретной системы. Ещё одним важным фактором является стоимость. Разработка и эксплуатация Mythos обходится дорого, и, возможно, система никогда не будет общедоступной. Это делает открытые альтернативы не просто жизнеспособными, но и жизненно необходимыми для многих организаций.
Роль человеческого фактора и методы тестирования
Хотя Mythos и выявила 271 ошибку в браузере Firefox, по мнению Герберта-Восса, ни одна из них не была недоступна для обнаружения человеком. Эксперт подчёркивает, что человеческий опыт по-прежнему критически важен. Он необходим для «оркестровки» работы открытых ИИ-моделей, чтобы они в совокупности достигали производительности уровня Mythos, а также для оценки отчётов об ошибках, генерируемых искусственным интеллектом. Техника тестирования, известная как фаззинг (fuzzing), при которой в программное обеспечение вводятся случайные или почти случайные данные для выявления сбоев, генерирует так много предупреждений, что зачастую создаёт дополнительную нагрузку для специалистов. ИИ-системы для поиска ошибок уже сталкиваются с аналогичной проблемой, и, как ожидается, она сохранится в будущем.
Перспективы для специалистов по кибербезопасности
В связи с этим Герберт-Восс полагает, что у специалистов по информационной безопасности будет много работы в обозримом будущем. Экономическая выгода от использования искусственного интеллекта — ведь кто-то должен оплачивать все эти графические процессоры и центры обработки данных — станет движущей силой, которая заставит команды по кибербезопасности внедрять ИИ. Это, в свою очередь, улучшит их проактивную и защитную работу.
