ОтветыОпубликовано15 источники
ИИ находит уязвимости быстрее, чем разработчики успевают их исправлять
Palo Alto Networks сообщила о более чем 14 000 ранее не выявленных уязвимостей в открытом ПО, найденных с помощью ИИ за три недели. В эксперименте Epoch AI модель GLM 5.3 использовала общедоступные сведения о ещё не выпущенных исправлениях Firefox, чтобы создать работающие атаки для шести версий браузера.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- Palo Alto Networks сообщила о более чем 14 000 ранее не выявленных уязвимостей в открытом ПО, найденных с помощью ИИ за три недели.
- В эксперименте Epoch AI модель GLM 5.3 использовала общедоступные сведения о ещё не выпущенных исправлениях Firefox, чтобы создать работающие атаки для шести версий браузера.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: As of October 31, 2026, how is AI-driven vulnerability discovery transforming software security, including Palo Alto Networks’ discovery of. Article summary: As of October 31, 2026, AI-driven vulnerability discovery is making security research much faster, while shifting the bottleneck toward human validation, remediation and patch deployment—and creating opportunities to exp. Topic tags: general, general web, user generated, news, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermark
ИИ ускоряет поиск ошибок в программном обеспечении, но быстрее находить уязвимости — не то же самое, что быстрее их устранять. Каждую находку ещё нужно проверить, оценить её серьёзность, подготовить исправление и доставить его пользователям.3
Находок становится больше — проверять их всё равно должны люди
Palo Alto Networks сообщила The Economic Times, что с помощью ИИ выявила более 14 000 ранее не обнаруженных уязвимостей в программном обеспечении с открытым исходным кодом. По словам компании, за три недели система также выполнила объём анализа, сопоставимый с годом ручного тестирования на проникновение.19 Это заявление компании; приведённые данные не являются независимо подтверждённым сравнительным исследованием.
Anthropic тоже сообщила о большом числе находок: за шесть месяцев её модели выявили более 29 000 потенциальных уязвимостей, однако специалисты вручную проверили и отсортировали примерно 6 000. Важно не смешивать эти показатели: кандидат на уязвимость ещё не обязательно окажется подтверждённой проблемой, а проверенная находка — это не то же самое, что исправление, включённое в основной код проекта.
В сервисе OSS Scanner Anthropic предлагает подходящим проектам с открытым кодом бесплатные регулярные проверки моделями, включая Claude Mythos. Проекты должны сами подключиться к сервису, а отчёты могут поступать сопровождающим без предварительной проверки человеком. Так потенциальные проблемы могут быстрее попасть к разработчикам, но при этом особенно важными становятся качество и объём таких сообщений. Доступные данные не подтверждают точные показатели на 2 октября или число исправлений, попавших в основной код, упомянутые в некоторых публикациях.
Узкое место — проверка и выпуск исправлений
Anthropic признаёт, что её возможности ручной проверки ограничены. TechTarget отмечает, что OSS Scanner может перенести большую часть работы по обработке сообщений о проблемах на сопровождающих проекты. Даже полезную находку нужно воспроизвести, оценить её влияние, исправить код, проверить изменения и выпустить обновление. Увеличение числа отчётов само по себе эту работу не завершает.
Поэтому важно, чтобы сообщения были воспроизводимыми и ясно объясняли, какой код затронут и чем может грозить проблема. Организации, которые зависят от открытого ПО, могут также поддерживать тех, кто его обслуживает: Фонд электронных рубежей (EFF) отдельно призывал увеличить финансирование таких проектов. При этом представленные источники не подтверждают конкретные утверждения о выгорании сопровождающих или кадровых изменениях в отдельных командах.
Публичный патч может подсказать атакующему, что искать
ИИ помогает специалистам находить ошибки, но информация об исправлениях иногда даёт подсказки и потенциальным злоумышленникам. Исследовательская группа Epoch AI сообщила, что GLM 5.3 — общедоступная модель компании Z.ai — использовала опубликованные, но ещё не доставленные пользователям исправления Firefox для создания работающих атак на шесть версий браузера. По оценке Epoch AI, предельная стоимость одной успешной атаки составляла около 1 000 долларов.3
Это был контролируемый эксперимент, а не доказательство того, что атаки применялись против пользователей Firefox. Но он показывает риск так называемого разрыва между публикацией патча и его установкой: сведения об исправлении уже доступны, а часть пользователей ещё не получила обновление. Вторичные публикации сообщают, что Mozilla устранила соответствующую уязвимость в Firefox 159.0.2
9
Вывод не в том, что публиковать исправления опасно: именно обновления помогают защитить пользователей. Скорее, защитникам нужно учитывать, что технические детали могут быстро проанализировать, и не затягивать с распространением обновлений.3
Большое число исправлений не объясняет само себя
Октябрьский выпуск обновлений Microsoft показывает, почему цифры важно рассматривать с оговорками. В примечаниях компании перечислены 1 468 CVE — идентификаторов уязвимостей, — тогда как Veracode сообщает о 1 413 исправленных уязвимостях. Доступные материалы не объясняют расхождение. Veracode также указывает, что в обновление вошла уязвимость Windows Shell, которой уже пользовались в реальных атаках. Одно лишь число исправлений не позволяет понять, что вызвало такой объём и сколько проблем обнаружили с помощью ИИ.
Другой пример показывает, сколько времени может занимать реакция даже на критические проблемы: по данным CERT-EU, 20 октября проект PHP объявил о двух таких уязвимостях, а на следующий день выпустил исправления. Reuters пишет, что семь специалистов по кибербезопасности предупредили о возможных новых сбоях из-за уязвимостей, найденных ИИ.17 Это предупреждение о потенциальном риске, а не доказательство того, что обнаружение с помощью ИИ неизбежно приведёт к инциденту.
Ускорение поиска пока не гарантирует более безопасный интернет
ИИ помогает защитникам раньше находить слабые места, но эксперимент с Firefox показывает, что разработка эксплойтов тоже может ускориться.3 Имеющиеся источники не позволяют определить, какая сторона в итоге выиграет больше. Пока главная задача — наладить проверку находок и своевременный выпуск обновлений, чтобы поток сообщений не превращался в растущую очередь для сопровождающих проектов и пользователей.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «ИИ находит уязвимости быстрее, чем разработчики успевают их исправлять»?
Palo Alto Networks сообщила о более чем 14 000 ранее не выявленных уязвимостей в открытом ПО, найденных с помощью ИИ за три недели.
Какие ключевые моменты необходимо проверить в первую очередь?
Palo Alto Networks сообщила о более чем 14 000 ранее не выявленных уязвимостей в открытом ПО, найденных с помощью ИИ за три недели. В эксперименте Epoch AI модель GLM 5.3 использовала общедоступные сведения о ещё не выпущенных исправлениях Firefox, чтобы создать работающие атаки для шести версий браузера.