„GPT-6 Cyber“ gali aptikti pavojingas spragas: kodėl naujasis DI modelis skirtas tik patikrintiems specialistams?

„OpenAI“ lapkričio 5 dieną pristatė „GPT-6 Cyber“ – specializuotą dirbtinio intelekto modelį, skirtą įgaliotiems kibernetinio saugumo tyrėjams. Bendrovės teigimu, jis geba geriau aptikti, patikrinti ir padėti taisyti sudėtingas programinės įrangos spragas. Tačiau modelis neprieinamas visiems vartotojams: dėl galimų piktnaudžiavimo rizikų prieiga pirmiausia suteikiama tik patikrintiems „Daybreak Red“ programos dalyviams. Tai gali pakeisti saugumo auditų rinką, bet nereiškia, kad kiekviena įmonė nuo šiol galės be specialistų automatiškai patikrinti savo sistemas.

Kuo modelis skiriasi nuo įprasto pokalbių roboto?

„OpenAI“ apibūdina jį kaip kibernetinio saugumo užduotims papildomai mokytą „GPT-6 Astra“ variantą. Jis skirtas konkretiems, teisėtai autorizuotiems bandymams: aptikti pažeidžiamumus, išanalizuoti jų reikšmę ir pasiūlyti pataisas. Oficialiuose vertinimuose „ExploitGym“ užduotyse modelio rezultatas siekė 48,5 proc., palyginti su 32,1 proc. ankstesnio „GPT-5.6 Cyber“ modelio atveju. Šiuos procentus būtina suprasti kaip bandymo metodikos rezultatus, o ne kaip pažadą aptikti tokią dalį visų realių įmonės sistemų spragų. Našumas konkrečioje infrastruktūroje gali labai skirtis. Technologijos svarba slypi gebėjime automatizuoti sudėtingų programos komponentų analizę ir sumažinti rutininio tikrinimo sąnaudas.

Kodėl prieiga ribojama?

Galingi saugumo testavimo įrankiai turi dvejopą paskirtį: jie padeda gynybai, bet gali būti panaudoti ir neteisėtam įsilaužimui. Todėl „OpenAI“ modelį priskyrė kritinio kibernetinio pajėgumo lygiui ir nurodė papildomas prieigos sąlygas. Organizacijoms numatytas tapatybės patikrinimas, paskyrų apsauga, aiškus bandymo leidimas ir veiklos stebėsena. Bendrovė taip pat skelbia stiprinanti ribojimus, susijusius su svarbia infrastruktūra, pavyzdžiui, energetikos ar vandentiekio sistemomis. Įmonės, kurios ateityje naudosis panašiais įrankiais, turės aiškiai apibrėžti testavimo ribas. Leidimas patikrinti savo serverį nereiškia teisės tikrinti trečiųjų šalių sistemas.

Ką rodo bandymai su „Firefox“ ir „Linux“?

Oficialiuose pranešimuose aprašoma, kad technologija pasitelkta ieškant saugumo problemų didelėse programinės įrangos sistemose. Minimi tyrimai susiję su „Firefox“ naršykle ir „Linux“ branduoliu; dalis nustatytų problemų perduota atsakingiems kūrėjams kartu su siūlomomis pataisomis. Tai svarbus praktinio pritaikymo pavyzdys, tačiau vieši rezultatai nereiškia, kad konkrečių sistemų versijose visos problemos jau ištaisytos. Verslui geriausia vadovautis oficialiais saugumo atnaujinimais ir specialistų rekomendacijomis. Net pažangiausias DI negali pakeisti teisingo prieigos valdymo, atsarginių kopijų ir įprastos programinės įrangos priežiūros.

Kokia galimybė saugumo paslaugų rinkai?

Augant DI gebėjimams, kibernetinio saugumo bendrovėms atsiranda galimybė greičiau apdoroti didelius kodų kiekius ir skirti daugiau dėmesio rizikų vertinimui. Tačiau darbo kokybė priklausys nuo to, ar rezultatus patikrins kompetentingi specialistai ir ar rekomenduojamos pataisos nesukels naujų sutrikimų. Smulkioms įmonėms aktualu ne sudėtingiausio modelio pavadinimas, o apčiuopiama paslaugos nauda: greitesnis saugumo trūkumų nustatymas, aiškus pataisų planas ir mažesnė incidento tikimybė. Svarbu iš paslaugos teikėjo prašyti aiškios bandymų apimties ir ataskaitos, ne vien reklaminio pažado „viską patikrins DI“.

Ką verta stebėti toliau?

Svarbu, kokioms patikrintoms organizacijoms bus plečiama prieiga, kaip tobulės saugumo saugikliai ir ar pažangūs modeliai iš tikrųjų sumažins realių incidentų skaičių. Naujiena rodo, kad DI tampa ne tik produktyvumo, bet ir skaitmeninės gynybos įrankiu. Kartu ji primena, jog didesnės technologinės galios reikalauja daugiau atsakomybės. Lietuvos verslui verta tęsti paprastus, bet svarbius darbus: diegti saugumo atnaujinimus, riboti administratoriaus teises, turėti incidentų planą ir rinktis aiškiai autorizuotus testavimo partnerius.

Kas svarbiausia priimant sprendimus?

Vertinant šią naujieną verta atskirti viešai patvirtintus faktus nuo ateities scenarijų. Bendrovės pranešimas ar institucijos ataskaita pateikia svarbų pradinį pagrindą, tačiau faktiniai finansiniai rezultatai, įgyvendinimo terminai ir rinkos reakcija paaiškės vėliau. Verslininkams geriausia iš anksto apsibrėžti, kokia informacija iš tiesų pakeistų jų sprendimą: investavimo sąlygos, klientų paklausa, teisinės prievolės ar veiklos sąnaudos. Vien ryški antraštė neturėtų pakeisti individualios analizės.

Kodėl šią technologiją verta sekti vadovams?

Kibernetinio saugumo pažeidimas gali sustabdyti elektroninę prekybą, klientų aptarnavimą arba gamybą, todėl prevencija turi ir aiškią finansinę vertę. Vadovas neprivalo išmanyti kiekvienos techninės detalės, tačiau gali reikalauti, kad IT paslaugų teikėjas įvardytų didžiausias spragas, jų taisymo terminus ir galimus veiklos trikdžius. DI galėtų paspartinti tokios analizės dalį, bet atsakomybė už sprendimų priėmimą išliktų žmonėms. Renkantis saugumo auditą naudinga paklausti, ar jis atliekamas autorizuotoje aplinkoje, kaip tvarkomi klientų duomenys, kokia išvadų tikrinimo procedūra ir ar siūlomos pataisos testuojamos prieš įdiegiant. Tokie klausimai išlieka svarbūs nepriklausomai nuo to, kokį modelį ar programą naudoja saugumo specialistai.

Šaltiniai: openai.com; deploymentsafety.openai.com.