«Vibe-хакінг» відкриває новий раунд перегонів озброєнь у кібербезпеці

У найближчому майбутньому навіть зловмисники без спеціального досвіду зможуть масово проводити атаки за допомогою генеративного ШІ. За словами спеціалістів, йдеться не лише про автоматизацію створення шкідливого ПЗ, а про повноцінну трансформацію підходів у галузі кібербезпеки.

Приклад — XBOW. Це автономна система, яка вже вийшла в лідери рейтингів HackerOne і, за даними розробників, успішно експлуатує вразливості у 75% веб-бенчмарків.

За словами представників індустрії, генеративні моделі типу ChatGPT чи Claude активно використовуються зловмисниками. Попри обмеження, введені розробниками, спільноти в мережі масово поширюють техніки обходу фільтрів (jailbreaks). Деякі зловмисники видають себе за фахівців із тестування безпеки, щоб отримати шкідливий код на запит.

«Достатньо сказати, що ви учасник Capture The Flag або тестуєте захист, і ШІ охоче згенерує вам PowerShell-скрипт із шкідливим кодом», — наголосила очільниця Luta Security Кеті Муссуріс у коментарі для Wired.

Вона зазначила, що на ринку вже були кейси запуску спеціалізованих моделей для атак — зокрема, WormGPT і FraudGPT. Хоча більшість із них виявилися модифікованими версіями ChatGPT, тенденція очевидна.

Завдяки LLM вже виник новий тренд створення коду користувачами без технічних навичок — «vibe-програмування». З розвитком можливостей ШІ-систем спеціалісти спостерігають появу нового феномену — «vibe-хакінгу». Люди без спеціального бекграунду можуть створювати шкідливий код, просто формулюючи бажаний результат у промпті.

Однак ключова загроза — не в початківцях. Як підкреслюють експерти з RANE та Hunted Labs, більшу небезпеку становлять досвідчені хакери, які використовують ШІ для пришвидшення складних атак, зокрема створення поліморфного ПЗ, що самостійно переписує себе під час виконання.

У такому середовищі класичні засоби захисту втрачають ефективність, тож потрібна «симетрична» відповідь.

«Найкращий захист від зловмисника з ШІ — хороший фахівець із ШІ», — підсумовує аналітик RANE Гейлі Бенедикт.

Втім, на думку Муссуріс, це лише етап у перегонах озброєнь, що тривають протягом останніх 30 років. Ті, хто навчиться керувати ШІ раніше, диктуватимуть умови цього «раунду».

Нагадаємо, Google представила застосунок для офлайн-роботи з ШІ моделями, здатний спростити обхід вбудованих обмежень.