Штучний інтелект суттєво спростив пошук критичних помилок у програмному забезпеченні, зробивши цей процес швидшим і доступнішим. Однак технологічний прорив створив нову проблему: тепер головним викликом для кібербезпеки є не стільки виявлення вразливостей, скільки їхнє своєчасне усунення. На цьому тлі переваги можуть отримати країни, де налагоджена взаємодія між незалежними дослідниками, технологічними компаніями та розробниками.
Як зазначає автор The New Yorker Чанг Че, централізована модель управління кібербезпекою в Китаї може виявитися менш пристосованою до нових умов, ніж американська система, яка значною мірою спирається на співпрацю приватного сектору та дослідницької спільноти.
ШІ прискорює пошук програмних вразливостей
Одним із показових прикладів нових можливостей штучного інтелекту стало виявлення критичної помилки в PHP — мові програмування, яку використовують приблизно 70% вебсайтів у світі, зокрема Wikipedia та WordPress.
У серпні дослідники каліфорнійської компанії з кібербезпеки залучили модель OpenAI для пошуку програмних недоліків і виявили серйозну вразливість. Розробників оперативно попередили, після чого вони почали готувати відповідне оновлення. Проте ще до його офіційного оприлюднення зловмисники вже намагалися використати знайдену помилку для кібератак.
Ще донедавна пошук подібних недоліків потребував високої кваліфікації, значних фінансових ресурсів і тривалого часу. Іноді дослідники витрачали місяці або роки, перш ніж знаходили невідому вразливість. Це давало перевагу тим, хто першим отримував інформацію про неї.
Штучний інтелект докорінно змінює ситуацію, оскільки дає змогу значно ширшому колу фахівців аналізувати програмний код і знаходити потенційні загрози. У результаті кількість людей і організацій, здатних виявляти слабкі місця програмного забезпечення, зростає.
За інформацією команди реагування на кіберінциденти Google, спроби експлуатації нових вразливостей нерідко починаються ще до того, як розробники випускають офіційні виправлення. У середньому такі атаки можуть розпочинатися за сім днів до появи оновлення.
Особливо небезпечними є так звані вразливості нульового дня (zero-day) — помилки, про існування яких розробники ще не знають або для яких не встигли підготувати захисні оновлення. Поки проблема залишається невирішеною, користувачі та організації наражаються на ризик кібератак.
США швидше усувають виявлені загрози, ніж Китай
Різницю між підходами двох держав демонструє ситуація з вразливістю PHP. За інформацією платформи Censys, через тиждень після публічного розкриття проблеми у США було виправлено понад чверть із 14 мільйонів потенційно вразливих сервісів. У Китаї цей показник становив лише 4%.
На думку Чанга Че, такі результати вказують на слабке місце китайської системи кібербезпеки. Пекін створив механізми для мобілізації ресурсів і накопичення інформації про програмні вразливості, однак значно гірше справляється з оперативним усуненням проблем у масштабах усієї цифрової інфраструктури.
Американська система формувалася за іншим принципом. Вона поступово розвивалася завдяки взаємодії незалежних дослідників, технологічних корпорацій і розробників програмного забезпечення.
У 1990-х роках ситуація була складнішою: компанії нерідко ігнорували повідомлення про знайдені помилки, а деякі дослідники навіть отримували погрози судового переслідування. Через це частина фахівців вирішувала самостійно оприлюднювати інформацію про виявлені проблеми.
Згодом у галузі сформувалися правила координованого розкриття вразливостей. Відповідно до них дослідник спочатку повідомляє розробника про проблему, надаючи йому час для підготовки виправлення, і лише після цього інформація стає публічною.
Одним із прикладів є команда Project Zero компанії Google, яка зазвичай надає розробникам 90 днів для усунення виявленої вразливості.
Важливим елементом американської моделі також стали програми Bug Bounty — системи фінансової винагороди за пошук програмних помилок. Практика, започаткована компанією Netscape у 1995 році, згодом поширилася серед провідних технологічних корпорацій.
Дослідження 2026 року свідчить, що такі програми мають дев'ять із десяти найбільших технологічних компаній США. У Китаї відповідний показник становить шість із десяти. Крім того, американські Apple і Google можуть пропонувати мільйонні винагороди за виявлення критичних вразливостей нульового дня. Водночас виплати в одній із провідних китайських програм Tencent обмежуються 15 тисячами доларів.
Чанг Че порівнює становлення американської системи з концепцією «спонтанного порядку», яку розробив економіст Фрідріх Гаєк. Ідеться про механізм, що виникає не внаслідок централізованого планування, а завдяки взаємодії незалежних учасників із власними інтересами.
У сфері кібербезпеки таким стимулом для дослідників стали фінансові винагороди та професійне визнання, а для компаній — можливість завчасно отримати інформацію про загрози й усунути їх до публічного розголосу.
Як Китай встановив державний контроль над інформацією про вразливості
На формування китайської політики кібербезпеки суттєво вплинули викриття Едварда Сноудена у 2013 році. Опубліковані матеріали продемонстрували, що Агентство національної безпеки США (АНБ) використовувало інформацію про програмні вразливості для проведення розвідувальних операцій і таємно купувало відповідні дані в хакерів.
Ці викриття посилили недовіру китайських дослідників до західних програм винагород і сприяли створенню власної системи контролю над інформацією про кіберзагрози.
У 2021 році Китай ухвалив законодавчі норми, які обмежили можливість місцевих дослідників публічно повідомляти про вразливості нульового дня або передавати відповідну інформацію іноземним посередникам.
Відтепер вони повинні повідомляти про знайдені проблеми розробників програмного забезпечення або Міністерство промисловості та інформаційних технологій Китаю. Компанії, своєю чергою, зобов'язані передавати такі відомості міністерству протягом 48 годин.
Фактично держава отримала централізований доступ до інформації про потенційні кіберзагрози, яку за певних обставин можна використовувати для розвідувальних цілей. Водночас такий підхід обмежив можливості незалежних дослідників отримувати фінансову винагороду за свою роботу та здобувати міжнародне професійне визнання.
Одним із прикладів наслідків цієї політики стала ситуація з дослідником Alibaba. У 2021 році він виявив серйозну вразливість у відкритому програмному забезпеченні Apache Software Foundation і повідомив про неї розробників. Після цього китайське міністерство призупинило партнерство з Alibaba, попри те, що дослідник діяв відповідно до міжнародної практики відповідального розкриття помилок.
У звіті про китайську кіберекосистему за 2024 рік також звертали увагу на недостатню привабливість місцевих програм винагород. Зокрема, виплати дослідникам часто залишаються низькими або невизначеними.
На думку Чанга Че, прагнення Пекіна накопичувати інформацію про програмні вразливості як стратегічний ресурс зрештою могло послабити загальну систему кіберзахисту країни.
Колишня журналістка The New York Times Ніколь Перлрот, яка досліджувала ринок кіберзброї, зазначає, що після запровадження відповідних китайських обмежень кількість експлойтів нульового дня, пов'язаних із китайськими хакерами, помітно зросла. За її оцінкою, авторитарна система та нові законодавчі механізми дали Китаю значну перевагу в накопиченні кіберінструментів.
Штучний інтелект ставить під загрозу стратегію кіберзброї
До поширення сучасних моделей штучного інтелекту держави могли тривалий час зберігати інформацію про невідомі програмні помилки та використовувати її у власних інтересах. Одним із прикладів такої стратегії була американська концепція NOBUS — «ніхто, крім нас».
Її суть полягала в тому, що АНБ могло залишати певні вразливості невиправленими, якщо вважало, що лише американські спецслужби знають про них і здатні скористатися ними для розвідувальних операцій.
Згодом подібний підхід почав використовувати й Китай, розглядаючи інформацію про програмні помилки як стратегічний ресурс національної безпеки.
Однак розвиток штучного інтелекту поступово руйнує цю модель. Тепер одну й ту саму вразливість можуть незалежно знайти різні дослідники, компанії або зловмисники за допомогою ШІ. Тому гарантувати секретність такої інформації стає дедалі складніше.
Ніколь Перлрот вважає, що нові технології можуть докорінно змінити й ринок кіберзброї. Раніше уряди та посередники платили хакерам значні суми за інформацію про невідомі вразливості, однак тепер частину таких помилок можна знаходити за допомогою відносно недорогих моделей штучного інтелекту.
На її думку, це поступово зменшуватиме потребу в посередниках, які купували інформацію про вразливості та перепродавали її державним структурам. Перлрот називає ці зміни фактичним завершенням стратегії NOBUS, оскільки приховування програмних помилок більше не гарантує виняткової переваги однієї держави.
За нових умов ключовим завданням стає максимально швидке усунення знайдених недоліків, поки ними не скористалися зловмисники.
Чанг Че вважає, що Сполучені Штати мають кращі передумови для адаптації до нової реальності завдяки конкуренції між технологічними компаніями, активності незалежних дослідників і механізмам суспільного контролю.
Американські корпорації можуть зіткнутися з репутаційними втратами та колективними судовими позовами, якщо не забезпечуватимуть належного захисту користувачів. У Китаї ж державні інтереси нерідко мають пріоритет над потребами приватного сектору.