От HFT к кибербезопасности: гонку ускоряет ИИ

Автор материала на «Хабре» проводит параллель между эволюцией высокочастотной торговли (HFT) и гонкой в сфере информационной безопасности, которую ускоряет ИИ. По его мнению, HFT прошёл путь от простых алгоритмов к сложным FPGA-решениям и арбитражу между десятками бирж, а сам заработок на скорости практически умер — все участники достигли сопоставимых показателей, и результат стал зависеть от случайных факторов. Эта аналогия нужна, чтобы показать, как ИИ меняет расстановку сил в кибербезопасности.

Автор описывает классическую модель противостояния разработчика и хакера: Роб пишет FTP-сервер, тестирует его и выпускает патчи, а Дэйв ищет уязвимости, пишет эксплойты и проверяет их на своей копии сервера. Раньше между выходом новой версии и появлением рабочего эксплойта проходили недели и даже месяцы — это была своего рода пошаговая стратегия. Скрипт-кидди подхватывали опубликованные эксплойты и атаковали незащищённые серверы.

Ситуация меняется, когда обе стороны начинают использовать ИИ. Роб с помощью модели быстро генерирует патчи, но, как отмечает автор, ИИ пока плохо ищет сами уязвимости. Зато Дэйв может скормить ИИ дифф между версиями и попросить найти исправленные баги — модель охотно выполнит запрос, даже если речь идёт о локальных версиях без ограничений по безопасности. По патчу, где добавили проверку длины строки пароля, хакер за пару минут понимает, где была дыра, и пишет эксплойт.

Автор подчёркивает, что ИИ не нужны исходники: он способен работать с бинарным кодом, распаковывать и обфусцированные сборки, прогонять их через IDA с ИИ-плагином и находить характерные паттерны патчинга. Речь не о полном понимании кода, а о поиске знакомых признаков исправлений — проверок размерности, защиты от SQL-инъекций и подобного. Это делает автоматический поиск уязвимостей по разнице версий вполне реальным.

Возникает дилемма: публиковать патч — значит подсказывать хакерам, где была дыра; не публиковать — оставлять уязвимость неизвестной, но потенциально опасной. Автор напоминает про EternalBlue и последствия MS17-010, когда сотни тысяч компьютеров по всему миру были атакованы шифровальщиками. По его оценке, время между выпуском новой версии и появлением рабочего эксплойта сжалось до часов, а механический процесс можно автоматизировать и довести до нескольких секунд.

Автор задаётся вопросом, можно ли написать бота, который будет следить за десятками популярных инструментов и автоматически создавать эксплойты и сканеры. Он считает, что это очевидно возможно, и сравнивает грядущий период с «диким западом» раннего интернета, когда расшаренные принтеры печатали «обои в клеточку», а простой OOB-запрос выводил Windows из строя. Раньше для атаки нужен был человек, который найдёт, разберётся, напишет и проверит эксплойт, теперь этого человека не требуется.

В качестве практического вывода автор советует разработчикам обязательно делать backport патчей, чтобы закрывать уязвимости в старых поддерживаемых версиях. Он не призывает никого повторять описанные сценарии и подчёркивает, что это лишь фантазия, но она показывает, насколько сильно ИИ может ускорить гонку между защитой и атакой. По его мнению, серверы могут оказаться под атакой 24/7, а окно между публикацией обновления и массовым сканированием старой версии сократится до секунд.