Добре дошли в първото издание на Kernel Panic! Седмичен бюлетин от Лили Хей Нюман и Мат Бърджис от вътрешността на новия свят на поверителността и дигиталната сигурност. За да получавате този бюлетин в пощата си всяка седмица, се абонирайте тук.

Песимистите по отношение на изкуствения интелект наскоро замениха един най-лош сценарий с друг, оставяйки настрана потенциалния апокалипсис от софтуерни уязвимости, за да се фокусират върху възможността отметнал се от контрол ИИ да причини масова гибел на хора през следващото десетилетие. Докато лидерите в сферата на ИИ обмислят съвместно забавяне в разработването на най-напредналите модели, един аспект от генералната промяна в киберсигурността вече настъпи благодарение на съществуващите и масово достъпни възможности в стандартните продукти с ИИ, включително моделите с отворени тегла.

Вълната от уязвимости, открити с помощта на ИИ, само се ускори през последните месеци — оказвайки все по-голям натиск върху разполагащите с ограничени ресурси (и съставени от хора) ИТ екипи и екипи за сигурност, както и подлагайки на изпитание доброволците, които поддържат ключов софтуер с отворен код. Изследователите откриваха и оповестяваха широк спектър от уязвимости и преди възхода на търсенето на буболечки, подсилено от ИИ, но неотдавнашният скок е очевиден.

От Microsoft заявиха миналата седмица, че до момента през този месец са издали корекции за сигурност за 974 CVE (CVE, или Common Vulnerabilities and Exposures, е термин в киберсигурността за потвърдени софтуерни дефекти), поставяйки нов рекорд. През юли Oracle пусна 1448 корекции за сигурност в сравнение с 309 през юли 2025 г. Двете основни версии на Google Chrome през юни включваха 1072 корекции за сигурност — повече от всички отстранени уязвимости в предходните 23 големи издания взети заедно. А от Mozilla заявиха през април, че са открили 271 уязвимости във Firefox по време на един спринт за търсене на грешки с помощта на модела Mythos на Anthropic.

Като цяло, към сряда тази седмица са регистрирани изумителните 66 401 CVE, според Джери Гамблин, ръководител на изследванията в Empirical Security и основател на RogoLabs, която управлява проекта за анализ на CVE cve.icu. До 16 септември миналата година cve.icu беше регистрирал общо 33 512 CVE — почти половината от текущата бройка. За цялата 2022 г., годината, в която OpenAI пусна първата си версия на ChatGPT, cve.icu е регистрирал 25 000 CVE.

Както сред изследователите на сигурността, така и сред изследователите на ИИ, експертите са разделени отново относно това дали този скок и други въздействия на ИИ върху киберсигурността ще бъдат катастрофални или вместо това ще увеличат съществуващата динамика и предизвикателства. Някои посочват, щото бавното внедряване на корекции за сигурност и изоставащите инвестиции в киберсигурността като цяло вече даваха на атакуващите много предимства, довели до хакерски катастрофи още преди възхода на ИИ. Но тъй как броят на откритите уязвимости продължава да нараства и дискусията става все по-малко теоретична, двете страни изглежда се приближиха една до друга.

„Не мисля, че е раздуто“, казва Гамблин за явната експлозия при откриването на уязвимости в целия сектор. „Това, с което не съм съгласен, е идеята, че по-голямото число само по себе си е вредата. Повече CVE не означава повече уязвимости. Това са повече известни уязвимости, което в повечето случаи показва, че системата работи.“

Страхът обаче е, че масовото откриване на уязвимости ще означава, че разработчиците ще изостават с отстраняването им, потребителите на софтуер няма да могат да инсталират корекции за сигурност достатъчно бързо, а поредица от ескалиращи кибератаки ще бъде подхранена от все повече атакуващи, откриващи самостоятелно нови уязвимости с помощта на ИИ. Както заявяват от Националния център за киберсигурност на Великобритания: „Самото откриване на уязвимости не прави нищо за подобряване на вашата сигурност.“

Засега много изследователи ни казват, че има поне крехък баланс между ИИ, ускоряващ откриването на грешки, и ИИ, помагащ на защитниците. „Злонамерените субекти, точно както и индустрията, се опитват да разберат „къде да използвам ИИ?““, казва Матю Олни, директор на звеното за разузнаване на заплахите в Cisco Systems.

Тъй като ситуацията продължава да се развива, забавянето на ИИ под каквато и да е форма — било то чрез регулация или споразумение в индустрията — би могло може би/надяваме се да попречи на ИИ да извърши масово унищожение на хора, но не може да спре цунамито от уязвимости, което вече настъпи в резултат на съществуващите инструменти с ИИ.

Както го казва Гамблин от RogoLabs: „Откриването се мащабира с изчислителната мощност. Отстраняването се мащабира с хора — а хората са частта, от която не можете да купите повече в рамките на едно тримесечие.“