Modeliai, kurių viešai negausi
Šio lūžio mastą geriausiai iliustruoja „Anthropic“ patirtis. Balandį bendrovė pristatė modelį, kuris, savarankiškai gavęs vienintelę užduotį – rasti saugumo spragą, – aptiko 17 metų nepastebėtą kritinę klaidą „FreeBSD“ operacinėje sistemoje ir pats parašė veikiantį įsilaužimo kodą. Seniausia modelio rasta spraga slėpėsi kode 27 metus – sistemoje, kuri laikoma vienu iš saugumo etalonų.
Užuot paleidusi tokį modelį į rinką, „Anthropic“ subūrė uždarą programą, kurioje apie 50 organizacijų – nuo „Apple“ ir „Microsoft“ iki „Linux Foundation“ – šiuo modeliu tikrina kritiškiausią pasaulio programinę įrangą. Rasta jau daugiau nei dešimt tūkstančių didelio pavojingumo spragų.
„Google“ žengia panašų, bet strategiškai kitokį žingsnį. „Gemini 3.5 Flash Cyber“ stiprybė – ne maksimali galia, o efektyvumas: modelis sukurtas naudojant lengvąją „Flash“ architektūrą ir kainuoja tiek pat, kiek įprastas modelis, nors specializuotose užduotyse jį gerokai lenkia. Teste su „Chrome“ naršyklės variklio kodu jis rado 55 patvirtintas problemas – daugiau nei gerokai didesni ir brangesni konkurentai, įskaitant dešimt spragų, kurių nepastebėjo joks kitas modelis. Bendrovės viduje modelis jau tikrina „Chrome“, „Android“ ir debesijos infrastruktūros kodą, o vienu atveju kritines nuotolinio kodo vykdymo spragas viešose sąsajose aptiko per dvi valandas.
Vis dėlto abu gigantai priėjo prie tos pačios išvados: įrankis, kuris randa spragas gynybai, lygiai taip pat gerai jas randa ir atakai. Todėl prieiga ribojama, o tai kelia naują ir nepatogų klausimą – kas nusprendžia, kuri valstybė ir kuri organizacija yra patikima?
Nauja nelygybė skaitmeninėje gynyboje
Čia slypi mažiau pastebima, bet ilgalaikė šios istorijos pusė. Jei galingiausi gynybos įrankiai pasiekiami tik atrinktiesiems, kibernetinis saugumas tampa privilegija, priklausančia nuo santykių su keliomis JAV bendrovėmis. Didžiosios valstybės ir korporacijos prieigą gaus. O kur lieka mažesnės valstybės, savivaldybės, ligoninės, vidutinis verslas – visi tie, kurie atakuojami dažniausiai ir ginasi sunkiausiai?
Situaciją dar labiau komplikuoja praėjusios savaitės kontekstas. Kinijos laboratorijos atviru principu platina vis galingesnius bendrosios paskirties modelius, kurie, nors ir nėra specializuoti kibernetiniam saugumui, ilgainiui įgis vis daugiau tų pačių gebėjimų – tik be jokių prieigos apribojimų. Susidaro paradoksali padėtis: gynybai skirti specializuoti įrankiai saugomi už uždarų durų, o atakoms tinkami universalūs įrankiai laisvai plinta internete. Saugumo bendruomenėje ši įtampa vadinama tiksinčiu laikrodžiu – klausimas nebe, ar tokios galimybės pasieks piktavalius, o kada.
Ką tai reiškia Lietuvai
Lietuvai ši tema nėra teorinė. Nacionalinis kibernetinio saugumo centras pernai užregistravo beveik tris tūkstančius kibernetinių incidentų, o savo grėsmių ataskaitoje tiesiai įvardija, kad piktavaliai atakoms vis aktyviau pasitelkia DI ir kad vien techninių apsaugos priemonių nebepakanka. Kartu Lietuvoje, įsigaliojus naujajam Kibernetinio saugumo įstatymui, valstybės prižiūrimų organizacijų ratas išaugo beveik penkis kartus – reikalavimai griežtėja būtent tuo metu, kai atakų tempas spartėja.
Praktinės išvados organizacijoms gana aiškios, nors ir nepatogios. Pirma, mėnesinis atnaujinimų ritmas nebeatitinka realybės – kritinius pataisymus reikia diegti per dienas, o ne savaites, todėl būtina automatizacija. Antra, kai spragų srautas viršija komandos pajėgumus, lemiamu gebėjimu tampa prioritetų nustatymas: ne lopyti viską iš eilės, o pirmiausia tai, kas realiai pasiekiama atakuotojams. Trečia, DI turi atsirasti ne tik atakų, bet ir gynybos pusėje – nuo automatizuotos kodo peržiūros iki anomalijų stebėsenos. Tai nebe ateities investicija, o higienos reikalavimas.
Valstybės lygmeniu vertėtų kelti dar vieną klausimą: kaip Lietuva užsitikrins prieigą prie geriausių gynybos įrankių, kai jie dalijami ne rinkos, o pasitikėjimo principu? Narystė NATO ir ES, glaudūs ryšiai su technologijų sektoriumi ir stipri kibernetinio saugumo reputacija čia yra realus kapitalas. Bet juo reikia sąmoningai naudotis – siekti, kad Lietuvos institucijos ir kritinės infrastruktūros valdytojai patektų tarp tų patikimų partnerių, kuriems suteikiama prieiga prie tokių programų.
Gynyba turi judėti DI greičiu
Ilgą laiką kibernetinis saugumas buvo sritis, kurioje technologija keitėsi greitai, o žaidimo taisyklės – lėtai. DI pakeitė ir taisykles. Spragos randamos greičiau, nei spėjame jas užlopyti, pataisymai tampa atakų žemėlapiais, o galingiausi įrankiai dalijami už uždarų durų.
Gera žinia ta, kad tas pats DI, kuris paspartino atakas, gali paspartinti ir gynybą – „Google“ ir „Anthropic“ programos rodo, kad mašinos jau šiandien randa ir padeda užlopyti spragas, kurių žmonės nepastebėjo dešimtmečius. Blogesnė žinia – šis pranašumas neateis savaime. Jis atiteks toms organizacijoms ir valstybėms, kurios gynybą pertvarkys taip, kad ji judėtų DI greičiu. Lietuva jau ne kartą įrodė, kad kibernetinio saugumo srityje gali būti tarp lyderių. Dabar svarbiausia šiuo įdirbiu pasinaudoti dar kartą – kol galimybių langas galutinai neužsivėrė.
