Злоумышленник хотел использовать его для масштабной атаки
Аналитики Google Threat Intelligence Group (GTIG) — подразделение Google по вопросам кибербезопасности — обнаружили первый случай, когда злоумышленник использовал предположительно разработанный с помощью ИИ эксплойт нулевого дня для проведения «масштабной атаки». Об этом говорится в сообщении GTIG. Эксплойт нулевого дня — это вредоносный код для атаки на те уязвимости в софте, которые еще не известны разработчикам.
В сообщении GTIG уточняется, что преступник хотел использовать уязвимость, которая позволяет обходить двухфакторную аутентификацию в популярном веб-инструменте администрирования систем на открытом исходном коде. В GTIG не называют в каком конкретно веб-инструменте злоумышленники нашли брешь в безопасности, однако подчеркивают, что разработчик уже устранил ее.
Предположение о том, что для обнаружения уязвимости и создания эксплойта использовался ИИ, аналитики киберподразделения Google сделали на основании того, что «скрипт содержал множество пояснительных строк, включая сгалюцинированный показатель CVSS, и использовал структурированный, как из учебника Python-формат, характерный для обучающих данных LLM».
- В начале апреля компания Anthropic выпустила ИИ-инструмент Mythos. Он обучен находить уязвимости в программном обеспечении и, по заявлениям разработчика, справляется с этим быстрее и лучше человека. Из-за потенциальной опасности того, что возможностями Mythos могут воспользоваться злоумышленники, доступ к модели был предоставлен лишь нескольким десяткам крупных технологических компаний.
- Например, только в прошлом месяце с помощью Mythos была найдена и исправлена 271 уязвимость в браузере Firefox компании Mozilla. Для сравнения: за весь 2025 год программисты обнаружили 258 уязвимостей в браузере.
- При этом в апреле Минфин США провел закрытую встречу с руководителями крупнейших банков, включая Citigroup, Morgan Stanley, Bank of America, Wells Fargo и Goldman Sachs. На встрече присутствовал глава Федеральной резервной системы Джером Пауэлл. Участники мероприятия обсуждали риски, связанные с Mythos и аналогичными моделями, а также способы защиты от них банковских ИТ-систем, сообщал Reuters.