ИИ находит множество уязвимостей в ПО, но хакеры не спешат ими пользоваться

[душман]

Несмотря на опасения, что способность передовых моделей искусственного интеллекта находить уязвимости в ПО приведёт к массовой эксплуатации этих ошибок киберпреступниками, на практике всё оказалось иначе. В частности, менее 0,5 % уязвимостей, найденных ИИ компании Anthropic в рамках проекта Glasswing, действительно использовались в атаках.

А точнее, хакеры использовали лишь одну уязвимость из 225 официально зарегистрированных с номером CVE, которые удалось связать с проектом Glasswing по открытым каналам, заявил исследователь Патрик Гэррити из VulnCheck. Он начал отслеживать уязвимости, выявленные и официально зарегистрированные в рамках проекта Glasswing, вскоре после того, как Anthropic в апреле объявила об этой инициативе. 

Тогда в компании заявили, что выпуск передовой модели искусственного интеллекта Mythos в общий доступ грозит высокими рисками, потому что она беспрецедентно эффективна в обнаружении уязвимостей. К предварительной версии этой модели предоставили доступ только проверенным партнёрам Anthropic.

Тем временем Патрик Гэррити внёс в свой реестр только официально зарегистрированные в рамках проекта Glasswing ошибки и сверил их с индексом уязвимостей, реально используемых злоумышленниками. По состоянию на понедельник, 21 сентября, из 225 ошибок эксплуатировалась лишь одна — критическая уязвимость типа «SQL-инъекция» в платформе Ghost (CVE-2026-26980). 

«Есть большая разница между обнаружением уязвимостей и тем, полезны ли они для злоумышленников, и будут ли те ими пользоваться. Основной вывод, на который указывают эти данные, состоит в том, что обнаруженные и обнародованные Anthropic уязвимости оказали не такое большое влияние; судя по всему, они не влекут иных последствий по сравнению со случайной выборкой любых других уязвимостей», — сделал вывод исследователь.