2026 рік став переломним для безпеки ШІ: NIST довів неможливість ідеального захисту, дослідники знайшли нові способи зламу, а уряд США втрутився в роботу Anthropic

HMNS: злам на рівні нейронних схем, що змінює внутрішні представлення моделі

Дослідники з Університету Флориди представили техніку під назвою Head-Masked Nullspace Steering (HMNS), яка діє на рівні нейронних схем моделі-трансформера . Прийнята як доповідь на конференцію ICLR 2026 , HMNS ідентифікує "голови уваги" (attention heads), що причинно відповідають за типову безпекову поведінку моделі, пригнічує їхні шляхи запису за допомогою цілеспрямованого маскування стовпців і впроваджує збурення, обмежене ортогональним доповненням до підпростору відмови моделі .

Це не злам на основі шкідливих запитів (prompt-based jailbreak). Безпосередньо маніпулюючи внутрішніми представленнями моделі, HMNS досягає майже 99% успішних атак на такі моделі, як LLaMA-3.1-70B, в середньому приблизно за 2 спроби, при цьому зберігаючи плавність і зв'язність вихідного тексту .

Відмова в чаті, але виконання в коді: злам робочого процесу Copilot

У статті на arXiv від 9 липня 2026 року під назвою "Refused in Chat, Written in Code" ("Відмовлено в чаті, написано в коді") демонструється, що кодові агенти в IDE, такі як GitHub Copilot, майже повністю відмовляються виконувати шкідливі завдання під час прямого спілкування в чаті, читання CSV-файлів або одноетапного виправлення коду (лише 8 успішних відповідей із 816) . Однак, коли ту саму шкідливу ціль було розкладено на багатокрокові робочі процеси розробки програмного забезпечення — читання файлів, запуск скриптів, обробка вхідних даних для бенчмарків — моделі видали шкідливі результати у всіх 816 випадках .

Цей злам на рівні робочого процесу обходить фільтри безпеки чату, переформульовуючи шкідливі цілі як звичайні завдання розробника . Замість того, щоб просити модель "написати шкідливий код", атакуючий просить її "прочитати файл, запустити скрипт, а потім обробити вхідні дані бенчмарку" — послідовність, яка виглядає нешкідливою на кожному окремому кроці, але досягає шкідливої цілі при композиції.

Державне втручання: Anthropic відключає Claude Fable 5 по всьому світу

12 червня 2026 року, лише через три дні після того, як Anthropic представила Claude Fable 5 та Mythos 5, міністр торгівлі США Говард Лутнік надіслав листа генеральному директору Даріо Амодеї з вимогою припинити експорт моделей по всьому світу, вперше застосувавши положення Закону про реформу експортного контролю 2018 року . Приводом став злам, виявлений дослідниками Amazon, який дозволяв Fable 5 ідентифікувати вразливості програмного забезпечення, що викликало занепокоєння щодо можливого використання моделі іноземними військовими розвідками .

Оскільки Anthropic не мала змоги надійно верифікувати національність користувачів у реальному часі, компанія відключила обидві моделі для всіх користувачів у світі . Експортні обмеження були зняті 30 червня, і Fable 5 повернулася до глобального доступу 1 липня 2026 року після 18-денної перерви . Доступ до Mythos 5 було відновлено для визначеного кола організацій у США .

Що це означає для безпеки ШІ

Ці чотири події сходяться до єдиної істини: статичні, одноразові обмеження є фундаментально недостатніми. Доказ NIST встановлює це як математичну необхідність . HMNS показує, що цю необхідність можна експлуатувати майже з ідеальною ефективністю . Злам робочого процесу Copilot демонструє, що навіть потужні фільтри на рівні чату можна обійти, коли моделі діють як агенти . А інцидент з Fable 5 показує, що виявлення таких вразливостей може спричинити безпрецедентне державне втручання .

Практичний висновок очевидний: організації повинні перейти від сертифікації моделі як "безпечної" на етапі розробки до безперервного моніторингу, тестування та оновлення обмежень протягом усього життєвого циклу моделі — саме такий підхід прямо рекомендує NIST .