ШІ змінює правила кібербезпеки: чому Китай може постраждати більше за США

Американська модель винагород за пошук помилок може виявитися стійкішою за державний контроль.

Штучний інтелект зробив пошук небезпечних програмних помилок швидшим і доступнішим, змінивши баланс сил у кібербезпеці. Тепер головним завданням стає не виявлення вразливостей, а здатність оперативно їх усувати. На думку автора The New Yorker Чанга Че, централізована система управління Китаю може виявитися менш ефективною в нових умовах, ніж американська модель співпраці дослідників і технологічних компаній.

У серпні дослідники каліфорнійської компанії з кібербезпеки використали модель OpenAI, щоб знайти критичну помилку в PHP — мові програмування, на якій працює близько 70% вебсайтів світу, зокрема Wikipedia та WordPress. Розробників повідомили про проблему, і вони почали готувати виправлення, однак до його публічного випуску вже почалися спроби використати вразливість для атак.

Від дефіциту вразливостей до їх надлишку

Раніше пошук програмних помилок вимагав спеціальних знань, значних ресурсів і місяців або навіть років роботи. Хакер, який знаходив невідому вразливість, міг тривалий час зберігати перевагу, оскільки інші не обов'язково знали про її існування.

Штучний інтелект змінює цю ситуацію: виявляти слабкі місця програмного забезпечення тепер можуть значно ширше коло фахівців і користувачів. За даними команди реагування на кіберінциденти Google, спроби використати нові вразливості регулярно починаються ще до випуску офіційних виправлень — у середньому за сім днів до цього.

Такі невідомі розробникам помилки називають вразливостями нульового дня (zero-day). Поки компанія не виявить проблему, не підготує оновлення та не забезпечить його встановлення користувачами, програмне забезпечення залишається потенційно вразливим до атак.

Різницю в здатності держав реагувати на такі загрози показує приклад PHP. За даними платформи Censys, через тиждень після публічного розкриття вразливості США виправили її більш ніж на чверть з 14 мільйонів потенційно вразливих сервісів, тоді як Китай — лише на 4%.

На думку Чанга Че, це свідчить про проблему китайської моделі кібербезпеки. Країна навчилася ефективно мобілізувати ресурси для пошуку та накопичення вразливостей, але значно гірше справляється з масовим усуненням помилок.

Чому американська модель працює інакше

У США система розкриття програмних вразливостей формувалася поступово, завдяки взаємодії незалежних дослідників і технологічних компаній. У 1990-х роках хакерів, які повідомляли компаніям про знайдені помилки, часто ігнорували або навіть погрожували їм судовими позовами, тому частина дослідників почала публікувати інформацію самостійно.

Згодом галузь виробила правила скоординованого розкриття вразливостей: дослідник спочатку повідомляє компанію, дає їй час підготувати виправлення, а потім оприлюднює інформацію. Наприклад, команда Project Zero від Google зазвичай надає розробникам 90 днів для усунення проблеми.

Важливу роль відіграють і програми bug bounty — винагороди за виявлення помилок. Започаткована Netscape у 1995 році практика стала галузевим стандартом: компанії платять дослідникам за знайдені вразливості, іноді пропонуючи мільйони доларів за критичні недоліки.

Дослідження 2026 року показало, що такі програми мають дев'ять із десяти найбільших технологічних компаній США, тоді як у Китаї — лише шість із десяти. Крім того, Apple і Google можуть платити мільйони доларів за критичні вразливості нульового дня, тоді як винагорода в одній із провідних китайських програм Tencent обмежується 15 тисячами доларів.

Чанг Че порівнює формування американської системи з теорією «спонтанного порядку» економіста Фрідріха Гаєка. Вона виникла не завдяки державному плануванню, а через взаємодію учасників ринку, які мали власні стимули: дослідники прагнули винагороди та професійного визнання, а компанії — часу для виправлення помилок.

Як Китай перетворив вразливості на ресурс розвідки

Ситуація змінилася після викриттів Едварда Сноудена 2013 року, які показали, що Агентство національної безпеки США (АНБ) таємно купувало в хакерів інформацію про програмні вразливості для шпигунських операцій. Це підірвало довіру китайських дослідників до західних програм винагород і прискорило формування власної системи кібербезпеки Пекіна.

У 2021 році Китай ухвалив закон, який заборонив місцевим дослідникам публічно розкривати інформацію про вразливості нульового дня або передавати її іноземним посередникам. Вони можуть повідомляти про знайдені помилки розробникам програмного забезпечення або Міністерству промисловості та інформаційних технологій Китаю, причому компанії зобов'язані передавати таку інформацію міністерству протягом 48 годин.

Фактично держава отримала контроль над інформацією про потенційні кіберзагрози, які можуть бути використані для розвідувальних операцій. Водночас система обмежила можливості дослідників заробляти на своїх знахідках і здобувати професійне визнання.

Проблему продемонстрував випадок із дослідником Alibaba, який у 2021 році знайшов серйозну вразливість у відкритому програмному коді Apache Software Foundation і повідомив про неї розробників. У відповідь китайське міністерство призупинило партнерство з Alibaba, хоча дослідник діяв відповідно до міжнародних правил розкриття помилок.

У звіті про китайську кіберекосистему за 2024 рік зазначалося, що місцеві програми винагород пропонують хакерам обмежені стимули, а виплати часто залишаються низькими або невизначеними. На думку автора, намагаючись накопичити кіберзброю, Китай послабив власну систему захисту.

Колишня журналістка The New York Times Ніколь Перлрот, яка досліджувала ринок кіберзброї, вважає, що після запровадження китайського закону кількість експлойтів нульового дня, пов'язаних із китайськими хакерами, різко зросла. Вона сказала Чангу Че: «Китай використовував свій авторитаризм і ці нові закони на свою користь. Це був неймовірний крок уперед».

ШІ може зруйнувати стратегію накопичення кіберзброї

До появи сучасних моделей штучного інтелекту держави могли роками зберігати інформацію про невідомі вразливості та використовувати її для шпигунства. У США цей підхід називали NOBUS — «ніхто, крім нас»: АНБ могло залишати певні помилки невиправленими, якщо вважало, що лише американська сторона знає про них і здатна використати.

Китай фактично перейняв цю стратегію, зробивши вразливості ресурсом національної безпеки. Однак, як пише Чанг Че, штучний інтелект руйнує її основу: тепер секретну помилку можуть незалежно виявити інші дослідники або зловмисники, тому зберігати її в таємниці стає дедалі ризикованіше.

Перлрот вважає, що через це поступово зникає і ринок посередників, які купували в хакерів інформацію про вразливості та перепродавали її урядам. Вона додала: «Навіщо уряду платити мільйони доларів за те, що він може просто знайти за допомогою моделі за 450 доларів?»

«Це смерть NOBUS», — заявила Перлрот та пояснила, що тепер будь-яку виявлену вразливість потрібно усувати якомога швидше, адже її можуть знайти й інші моделі.

Чанг Че вважає, що США мають більше можливостей адаптуватися до цих змін завдяки незалежним дослідникам, конкуренції між компаніями та механізмам суспільного контролю. Американські корпорації ризикують отримати колективні позови та репутаційні втрати, якщо не захищатимуть користувачів, тоді як у Китаї державні пріоритети часто переважають інтереси приватного сектору.

Источник: zn.ua