Волна уязвимостей в программном обеспечении, на котором держится интернет, — результат многолетних компромиссов, а не следствие искусственного интеллекта. Такую точку зрения изложил обозреватель Business Insider Алистер Барр.
Нейросети массово находят ошибки, которые годами оставались незамеченными или сознательно не исправлялись. Раньше эксплуатация таких дыр требовала высокой квалификации и времени, теперь ИИ справляется с поиском быстрее — и риски, с которыми компании мирились, становятся заметнее.
Барр ссылается на партнёров Andreessen Horowitz Джоэла де ла Гарсу и Зейна Лэки. В своей статье они утверждают, что за последнее десятилетие процедуры принятия рисков в компаниях превратились из инструмента управления безопасностью в способ оправдывать отказ от исправления уязвимостей.
Отдельная проблема — устройство экосистемы открытого ПО. Критически важные компоненты интернета нередко поддерживают небольшие команды или добровольцы, хотя ими пользуются крупнейшие технологические компании. Барр описывает это как «трагедию общин»: все получают выгоду от общего ресурса, но у отдельных участников мало стимулов вкладываться в его содержание.
Пример — недавние критические уязвимости в PHP, на котором работает большая часть интернета. Ошибки существовали годами, а PHP Foundation признала, что ограниченные ресурсы и разногласия по поводу исправлений способствовали задержкам. Винить добровольцев, по мнению обозревателя, неправильно: ответственность должны нести компании, которые зарабатывают на использовании этих разработок.
Возможный выход предложил директор по продуктам Vercel Том Оккино. В его компании обсуждают создание фонда или коалиции для поиска уязвимостей и замены небезопасного ПО более надёжными решениями — участники могли бы предоставлять вычислительные ресурсы и ИИ-инструменты. Как действующий пример Барр приводит инициативу OpenAI Patch the Planet, где ИИ используют для поиска и исправления ошибок в открытом ПО.
Для белорусских разработчиков и владельцев сайтов это практический сигнал: безопасность зависит не только от новизны инструментов, но и от того, обновляются ли зависимости и кто отвечает за поддержку открытых библиотек в проекте. Стоит проверить, какие версии PHP и сторонних компонентов используются на ваших ресурсах и когда они последний раз получали исправления.
Обозреватель заключает, что вместо паники из-за найденных уязвимостей индустрии стоит направить возможности нейросетей на устранение накопившихся проблем. «ИИ не создавал десятилетиями заброшенное программное обеспечение. Это сделали мы», — пишет Барр.
