Искусственный интеллект существенно упростил поиск критических ошибок в программном обеспечении, сделав этот процесс более быстрым и доступным. Однако технологический прорыв создал новую проблему: теперь главным вызовом для кибербезопасности является не столько обнаружение уязвимостей, сколько их своевременное устранение. На этом фоне преимущества могут получить страны, где налажено взаимодействие между независимыми исследователями, технологическими компаниями и разработчиками.
Как отмечает автор The New Yorker Чанг Че, централизованная модель управления кибербезопасностью в Китае может оказаться менее приспособленной к новым условиям, чем американская система, опирающаяся в значительной степени на сотрудничество частного сектора и исследовательского сообщества.
ИИ ускоряет поиск программных уязвимостей
Одним из показательных примеров новых возможностей искусственного интеллекта стало обнаружение критической ошибки в PHP — языке программирования, используемого примерно 70% вебсайтов в мире, в том числе Wikipedia и WordPress.
В августе исследователи калифорнийской компании по кибербезопасности привлекли модель OpenAI для поиска программных недостатков и проявили серьезную уязвимость. Разработчики оперативно предупредили, после чего они начали готовить соответствующее обновление. Однако еще до официального обнародования злоумышленники уже пытались использовать найденную ошибку для кибератак.
Еще до недавнего времени поиск подобных недостатков требовал высокой квалификации, значительных финансовых ресурсов и длительного времени. Иногда исследователи тратили месяцы или годы, прежде чем обретали неизвестную уязвимость. Это давало преимущество тем, кто первым получал информацию о нем.
Искусственный интеллект коренным образом изменяет ситуацию, поскольку позволяет значительно более широкому кругу специалистов анализировать программный код и находить потенциальные угрозы. В результате количество людей и организаций, способных обнаруживать слабые места программного обеспечения, растет.
По информации команды реагирования на киберинциденты Google, попытки эксплуатации новых уязвимостей нередко начинаются еще до того, как разработчики выпускают официальные поправки. В среднем, такие атаки могут начинаться за семь дней до появления обновления.
Особенно опасны так называемые уязвимости нулевого дня (zero-day) — ошибки, о существовании которых разработчики еще не знают или для которых не успели подготовить защитные обновления. Пока проблема остается нерешенной, пользователи и организации подвергаются риску кибератак.
США скорее устраняют выявленные угрозы, чем Китай
Разницу между подходами двух государств демонстрирует ситуация с уязвимостью PHP. По информации платформы Censys, через неделю после публичного раскрытия проблемы в США было исправлено более четверти из 14 миллионов потенциально уязвимых сервисов. В Китае этот показатель составил всего 4%.
По мнению Чанга Че, подобные результаты указывают на слабое место китайской системы кибербезопасности. Пекин создал механизмы для мобилизации ресурсов и накопления информации о программных уязвимостях, однако значительно хуже справляется с оперативным устранением проблем в масштабах всей цифровой инфраструктуры.
Американская система формировалась по другому принципу. Она постепенно развивалась благодаря взаимодействию независимых исследователей, технологических корпораций и разработчиков программного обеспечения.
В 1990-х годах ситуация была более сложной: компании нередко игнорировали сообщения о найденных ошибках, а некоторые исследователи даже получали угрозы судебного преследования. Поэтому часть специалистов решала самостоятельно обнародовать информацию о выявленных проблемах.
Впоследствии в отрасли сформировались правила координированного раскрытия уязвимостей. Согласно им, исследователь сначала сообщает разработчику о проблеме, предоставляя ему время для подготовки исправления, и только после этого информация становится публичной.
Одним из примеров является команда Project Zero компании Google, которая обычно предоставляет разработчикам 90 дней для устранения обнаруженной уязвимости.
Важным элементом американской модели также стали программы Bug Bounty – системы финансового вознаграждения за поиск программных ошибок. Практика, начатая компанией Netscape в 1995 году, впоследствии распространилась среди ведущих технологических корпораций.
Исследование 2026 свидетельствует, что такие программы имеют девять из десяти крупнейших технологических компаний США. В Китае соответствующий показатель составляет шесть из десяти. Кроме того, американские Apple и Google могут предлагать миллионные вознаграждения за выявление критических уязвимостей нулевого дня. В то же время выплаты в одной из ведущих китайских программ Tencent ограничиваются 15 тысячами долларов.
Чанг Че сравнивает становление американской системы с концепцией спонтанного порядка, которую разработал экономист Фридрих Гаек. Речь идет о механизме, возникающем не в результате централизованного планирования, а благодаря взаимодействию независимых участников с собственными интересами.
В сфере кибербезопасности таким стимулом для исследователей стали финансовые вознаграждения и профессиональное признание, а для компаний возможность заранее получить информацию об угрозах и устранить их до публичной огласки.
Как Китай установил государственный контроль над информацией об уязвимости
На формирование китайской политики кибербезопасности существенно повлияли разоблачения Эдварда Сноудена в 2013 году. Опубликованные материалы продемонстрировали, что Агентство национальной безопасности США (АНБ) использовало информацию о программных уязвимостях для проведения разведывательных операций и тайно покупало соответствующие данные у хакеров.
Эти разоблачения усилили недоверие китайских исследователей к западным программам вознаграждений и способствовали созданию собственной системы контроля над информацией о киберугрозах.
В 2021 году Китай принял законодательные нормы, ограничившие возможность местных исследователей публично сообщать об уязвимости нулевого дня или передавать соответствующую информацию иностранным посредникам.
Теперь они должны сообщать о найденных проблемах разработчиков программного обеспечения или Министерства промышленности и информационных технологий Китая. Компании, в свою очередь, обязаны передавать такие сведения министерству в течение 48 часов.
Фактически государство получило централизованный доступ к информации о потенциальных киберугрозах, которую при определенных обстоятельствах можно использовать для разведывательных целей. В то же время, такой подход ограничил возможности независимых исследователей получать финансовое вознаграждение за свою работу и получать международное профессиональное признание.
Одним из примеров последствий этой политики стала ситуация с исследователем Alibaba. В 2021 году он проявил серьезную уязвимость в открытом программном обеспечении Apache Software Foundation и сообщил о ней разработчикам. После этого китайское министерство приостановило партнерство с Alibaba, несмотря на то, что исследователь действовал в соответствии с международной практикой ответственного раскрытия ошибок.
В отчете о китайской киберекосистеме за 2024 год также обращалось внимание на недостаточную привлекательность местных программ вознаграждений. В частности, выплаты исследователям часто остаются низкими или неопределенными.
По мнению Чанга Че, стремление Пекина накапливать информацию о программных уязвимостях как стратегическом ресурсе могло ослабить общую систему киберзащиты страны.
Бывшая журналистка The New York Times Николь Перлротт, исследовавшая рынок кибероружия, отмечает, что после введения соответствующих китайских ограничений количество эксплойтов нулевого дня, связанных с китайскими хакерами, заметно возросло. По ее оценке авторитарная система и новые законодательные механизмы дали Китаю значительное преимущество в накоплении киберинструментов.
Искусственный интеллект ставит под угрозу стратегию кибероружия
До распространения современных моделей искусственного интеллекта государства могли долго сохранять информацию о неизвестных программных ошибках и использовать ее в собственных интересах. Одним из примеров такой стратегии была американская концепция NOBUS — «никто кроме нас».
Ее суть заключалась в том, что АНБ могло оставлять определенные уязвимости неисправленными, считая, что только американские спецслужбы знают о них и способны воспользоваться ими для разведывательных операций.
Впоследствии подобный подход начал использовать и Китай, рассматривая информацию о программных ошибках как стратегическом ресурсе национальной безопасности.
Однако развитие искусственного интеллекта постепенно разрушает эту модель. Теперь одну и ту же уязвимость могут независимо найти разные исследователи, компании или злоумышленники с помощью ИИ. Поэтому гарантировать секретность такой информации становится все сложнее.
Николь Перлротт считает, что новые технологии могут коренным образом изменить и рынок кибероружия. Ранее правительства и посредники платили хакерам значительные суммы за информацию о неизвестных уязвимостях, однако теперь часть таких ошибок можно находить с помощью относительно недорогих моделей искусственного интеллекта.
По ее мнению, это будет постепенно уменьшать потребность в посредниках, которые покупали информацию об уязвимости и перепродавали ее государственным структурам. Перлрот называет эти изменения фактическим завершением стратегии NOBUS, поскольку сокрытие программных ошибок больше не гарантирует исключительного преимущества одного государства.
В новых условиях ключевой задачей становится максимально быстрое устранение найденных недостатков, пока ими не воспользовались злоумышленники.
Чанг Че считает, что у Соединенных Штатов есть лучшие предпосылки для адаптации к новой реальности благодаря конкуренции между технологическими компаниями, активности независимых исследователей и механизмам общественного контроля.
Американские корпорации могут столкнуться с репутационными потерями и коллективными судебными исками, если не будут обеспечивать надлежащую защиту пользователей. В Китае государственные интересы нередко имеют приоритет над потребностями частного сектора.