"Am îndreptat pur și simplu ChatGPT către același cod și am zis: 'Am găsit anterior acest bug care a fost remediat acum câțiva ani, te rog să găsești bug-uri la fel de grave sau mai rele', și a revenit în 2 ore cu acesta", a declarat Justicz pentru TechCrunch. "Este extrem de convolut și greu de găsit de un om, dar funcționează!". Vulnerabilitatea a fost raportată proiectului Debian, care a emis rapid o remediere, iar până acum nu există dovezi de exploatare în mediu salvatic. Totuși, ușurința cu care a fost descoperită sugerează că nu facem față decât vârful icebergului.
Cursa de tăiere: Atac vs. Apărare
OpenAI pare să fi înțeles mesajul. Astăzi, compania a anunțat lansarea unui model specializat, ChatGPT Cyber, disponibil pentru cel mai înalt nivel de acces din programul Daybreak, numit Daybreak Red. Acest nivel este destinat cercetătorilor de securitate ofensivă, oferindu-le instrumente pentru vânătoarea și dezvoltarea vulnerabilităților. Ieri, OpenAI a revelat că același model a fost folosit pentru a scana și pregăti patch-uri pentru nucleul Linux, identificând 948 de probleme potențiale, precum și 81 de vulnerabilități "noi" în browserul Firefox.
"Obiectivul nostru este să extindem dramatic Daybreak, aducând cercetarea avansată de securitate organizațiilor de orice mărime, cercetătorilor independenți și menținătorilor open-source", a declarat laboratorul de frontieră într-un comunicat. Dar există o problemă fundamentală: OpenAI insistă că există o "fereastră de timp îngustă" pentru cei care apără infrastructura digitală să acționeze înainte ca modelele să devină și mai bune la hacking și mai ușor de accesat.
Pentru apărători, totuși, simțământul este altul. Pară că laboratoarele de frontieră au eliberat o munte de lucru nou care depășește resursele lor. Justicz a confesat că a cheltuit personal aproximativ 5.000 de dolari pe abonamente și token-uri pentru a găsi mai multe exploate. Pe lângă accesul la modele prin Daybreak, OpenAI a anunțat și o inițiativă de 1 miliard de dolari pentru a sprijini profesioniștii din program care lucrează la infrastructuri critice: rețeaua electrică, sistemele de apă, spitale.
Dilema "Nerf-ului" și asymetria puterii
Programul Daybreak nu este fără critici. Justicz notează că OpenAI pare să fi "nerfat" (îslăbit intenționat) recent Daybreak Blue, făcându-l mai puțin util pentru găsirea vulnerabilităților. Pe de o parte, e bun să limitezi accesul actorilor rău intenționați — Justicz a spus că a încărcat doar o foto a permisului de conducere pentru a intra în program. Pe de altă parte, profesioniștii din securitate cibernetică spun că au o mână legată dacă nu pot folosi tehnologia de frontieră, în timp ce actorii răi pot deploy-a modele cu greutăți deschise (open-weight) care au gardările de siguranță eliminate (abliterated).
"Putem să ne imaginăm ce se poate face cu mai mult timp și acces la modele mai puțin căstrate. Trebuie să ne așteptăm la bug-uri extrem de nebune găsite și exploatate în următoarele luni", a scris Justicz într-un thread pe rețelele sociale. "Acest lucru poate pare evident pentru majoritatea oamenilor de aici, dar există în acest moment un 'alpha' uriaș (avantaj competitiv) în a lua cod sau binare pe care nimeni nu le-a auditat încă și a îndrepta un model puternic de IA spre ele."
OpenAI declară că doar "mii" de profesioniști participă la Daybreak, în comparație cu un număr mult mai mare de potențiali hackeri. Rămâne neclar dacă laboratoarele de frontieră dedică suficiente resurse acestei probleme. Eric Wallace, cercetător în echipa tehnică OpenAI, a susținut că "alocăm acum o cantitate semnificativă din compute-ul nostru de frontieră pentru descoperirea și remedierea vulnerabilităților în codebaze open-source, complet pro bono". Dar vânătoarea de bug-uri în Linux a costat 1,2 milioane de dolari — o sumă derisorie pentru un gigant tehnologic, dar o barieră intransabilă pentru majoritatea organizațiilor.
Noua geopolitică a codului
Ce se întâmplă acum nu este doar o cursă de armamente tehnice; este o redefinire a suprafaței de atac globală. Decenii de cod C și C++ nesigur, scrise înainte ca securitatea să fie o prioritate, constituie acum un câmp minat pe care IA-l poate parcurge cu viteză superumană. Modelul nu se satură, nu se plictisește, nu are nevoie de cafea. El citește documentația kernel-ului Linux, înțelege interacțiunile subtile între subsisteme și găsește căile de exploatare care necesită o înțelegere holistică a sistemului — ceva la care oamenii, confinați în silos de specializare, ajung greu.
Implicațiile sunt profunde pentru România și pentru Europa. Infrastructura noastră critică — de la sistemele de transport și energie la administrația publică digitalizată — rulează pe software open-source. Nu avem luxul să așteptăm ca OpenAI sau Google să ne salveze. Trebuie să construim propria capacitate de audit asistat de IA, să investim în cercetători care știu să "îndrepte" modelele spre codul nostru, să participăm la programe precum Daybreak nu ca beneficieni pasivi, ci ca contributori activi.
Concluzie: Nu este despre model, este despre fluxul de lucru
Lansarea ChatGPT Cyber este un pas necesar, dar nu suficient. Un model, cât de puternic ar fi, este inutil dacă nu este integrat într-un flux de lucru continuu: integrare continuă (CI), fuzzing automat, analiza statică și dinamică, managementul vulnerabilităților (VEX/SBOM). OpenAI oferă motorul, dar mașina trebuie să o construim noi. Dacă apărătorii nu automatizează remedierea la viteza cu care atacatorii automatizează descoperirea, fereastra de timp menționată de OpenAI se va închide înainte ca noi să ajungem la ea.
Viitorul securității cibernetice nu aparține celor care au cel mai mare model, ci celor care au cel mai bun proces de a-l folosi. Și acel proces, azi, este încă în fază de prototipare.
De ce este important:
Această știre marchează punctul de cotitură în care IA devine un actor autonom în descoperirea vulnerabilităților la scară industrială. Nu mai este vorba de asistență programatorului, ci de agent care găsește bug-uri zero-day în nucleul sistemelor de operare care țin internetul funcțional. Pentru România, care digitalizează administrația și infrastructura critică sub egida programelor europene, ignorarea acestui schimb de paradigmată înseamnă a accepta un risc sistemic incontrolabil. Trebuie să trecem de la securitatea reactivă (patch-uri la anunț) la securitatea predictivă (audit continuu cu IA), și trebuie să facem asta acum, cât fereastra de oportunitate deschisă de Daybreak și programele similare este încă accesibilă.
