Почему правительство использует свой самый большой риск безопасности для устранения своих самых больших дыр в безопасности

Хотя в общественном сознании искусственный интеллект часто представляется как простой инструмент для написания электронных писем или создания изображений, реальность гораздо более масштабна. Агентство по кибербезопасности и защите инфраструктуры, известное как CISA, в настоящее время использует мощную модель ИИ от Anthropic для сканирования правительственного программного обеспечения на наличие ошибок. Этот шаг является резким отходом от недавней истории напряженности между стартапом из Сан-Франциско и федеральными регуляторами. Всего несколько месяцев назад Пентагон назвал Anthropic риском для цепочки поставок — шаг, который фактически приравнял компанию к иностранным организациям, подозреваемым в шпионаже. Сегодня та же самая компания является невидимым стержнем усилий по защите федерального кода от иностранных шпионов.

Если смотреть на картину в целом, это внедрение показывает, что правительство ценит возможности выше политических разногласий. CISA использует специальную модель ИИ под названием Mythos для аудита репозиториев кода в различных ведомствах. Эти репозитории представляют собой цифровые склады, где правительство хранит программное обеспечение, обеспечивающее работу всего: от обработки налогов до логистики. Mythos действует как неутомимый стажер, который за секунды прочитывает миллионы строк кода, выискивая крошечные ошибки, которые программист-человек мог бы пропустить после долгой смены. Эти ошибки — открытые окна, которые киберпреступники и иностранные спецслужбы используют для получения доступа к конфиденциальным американским данным.

Неутомимый стажер для федерального репозитория кода

По сути, процесс аудита кода исторически является медленным и дорогостоящим. Исследователь безопасности может просмотреть лишь несколько сотен строк кода в час с высокой точностью. Правительство США управляет миллиардами строк кода, большая часть которого была написана десятилетия назад на языках, которые современные программисты используют редко. Это создает огромный объем невыявленных потенциальных уязвимостей. Mythos меняет математику этого процесса, поскольку это прорывной инструмент, разработанный специально для анализа кибербезопасности. Он не просто ищет опечатки; он понимает, как различные части программного обеспечения взаимодействуют, создавая системные риски.

По словам людей, знакомых с вопросом, группу, возглавляющую это направление, составляет команда CISA по оценке поверхности атак (Attack Surface Evaluation). Эта команда проводит оценки цифровой безопасности и упражнения по взлому, чтобы найти слабые места раньше, чем это сделают реальные злоумышленники. Используя Mythos, команда уже обнаружила большое количество уязвимостей. Хотя конкретный характер этих ошибок не разглашается, скорость обнаружения позволяет предположить, что ИИ работает на уровне, недоступном человеческим командам. Такая эффективность необходима, поскольку объем кода, который должно защищать правительство, растет с каждым днем.

Сложные отношения между Anthropic и Белым домом

У Anthropic сложная история отношений с властями, которым она теперь помогает. В настоящее время компания находится в процессе конфиденциального первичного публичного размещения акций, но ее путь к фондовому рынку был нестабильным. В феврале отношения между Anthropic и Белым домом достигли низшей точки. Компания отказалась удалить внутренние защитные механизмы, которые предотвращали использование ее ИИ для автономного оружия или внутренней слежки. Этот отказ привел к тому, что Пентагон официально присвоил компании статус риска для цепочки поставок. Это суровое клеймо, которое обычно применяется к компаниям, которые, по мнению правительства, способствуют иностранному шпионажу.

Этот экстраординарный «черный список» просуществовал недолго. Судья заблокировал постановление в марте, и напряженность ослабла после закрытого выпуска Mythos. Любопытно, что даже когда официальная политика была подозрительной, Агентство национальной безопасности уже использовало эту модель. Отчеты конца июня указывают на то, что аналитики АНБ тестировали Mythos в секретных условиях и нашли его возможности беспрецедентными. Агентство является основным органом электронной разведки правительства, и его одобрение Mythos свидетельствует о том, что инструмент высокоэффективен как в поиске, так и в использовании цифровых слабостей.

Глобальное отключение Fable и его последствия

Ситуация усложнилась, когда Anthropic выпустила публичную версию Mythos под названием Fable. Эта версия включала специальные меры кибербезопасности, предназначенные для общего использования. Однако Белый дом снова вмешался, потребовав от Anthropic запретить всем иностранным пользователям доступ к модели. Это требование привело к полному глобальному отключению Fable, которое продлилось до прошлой недели. Логика правительства заключается в том, что инструмент, способный исправлять ошибки, также способен помочь злоумышленнику найти их. Ограничивая доступ американцами, администрация надеется удержать эту «цифровую нефть» внутри своих границ.

С точки зрения потребителя, это перетягивание каната подчеркивает центральный парадокс современных технологий. Мы хотим, чтобы ИИ был безопасным и ограниченным, но нам также нужно, чтобы он был достаточно мощным для защиты наших самых чувствительных систем. Правительство, по сути, пытается усидеть на двух стульях, используя частную, неограниченную версию модели для собственной обороны, одновременно ограничивая доступ общественности к той же технологии. Это создает многоуровневую систему, в которой самые надежные инструменты безопасности зарезервированы для федерального использования, в то время как частный сектор вынужден полагаться на более ограниченные версии.

Что это значит для безопасности ваших личных данных

Для обычного пользователя тот факт, что CISA использует Mythos, является чистым плюсом для конфиденциальности. Большинство людей не взаимодействуют с правительственным кодом напрямую, но их данные — взаимодействуют. Ваш номер социального страхования, налоговая история и медицинские записи хранятся в репозиториях, которые сейчас сканирует Mythos. Когда ИИ находит ошибку в системе Налогового управления или Министерства по делам ветеранов, эта система исправляется до того, как злоумышленник сможет ею воспользоваться. Это практическое применение ИИ, которое оказывает ощутимое влияние на безопасность вашей личной информации.

С практической точки зрения этот сдвиг указывает на то, что эра ручного аудита безопасности заканчивается. В ближайшие годы все больше компаний в частном секторе, вероятно, примут такие инструменты, как Mythos или Fable, для защиты своих сетей. Это приведет к созданию более устойчивой цифровой экономики, в которой программное обеспечение будет изначально более безопасным с момента его написания. Однако это также означает, что порог входа для хакеров повысится. По мере автоматизации защиты злоумышленники также обратятся к ИИ, чтобы найти еще более тонкие способы обхода мер безопасности. Результатом станет циклическая гонка вооружений, в которой победителя определяет скорость ИИ.

Смена взглядов на правительственные технологии

В конечном счете, использование Mythos агентством CISA является признаком того, что правительство готово игнорировать корпоративные трения ради безопасности своей инфраструктуры. Тот факт, что компания может пройти путь от черного списка до основного партнера по безопасности за несколько месяцев, показывает, насколько сильно правительство полагается на инновации частного сектора. Для пользователей это напоминание о том, что невидимые механизмы интернета все чаще управляются алгоритмами, а не людьми. Мы движемся к децентрализованной модели безопасности, где самая важная работа происходит в фоновом режиме, вдали от пользовательского интерфейса наших устройств.

Когда вы пользуетесь государственными услугами или приложениями цифрового банкинга, обратите внимание, как редко вы сталкиваетесь с серьезными сбоями в работе систем по сравнению с тем, что было пять лет назад. Эта стабильность часто является результатом работы автоматизированных инструментов, подобных тому, который сейчас использует CISA. Пока в Вашингтоне продолжается политическая битва за безопасность ИИ, техническая реальность такова, что эти инструменты уже вовсю работают. Суть в том, что ваша цифровая жизнь становится безопаснее, потому что правительство решило, что некогда запрещенный ИИ слишком ценен, чтобы его игнорировать. Этот прагматичный подход к технологиям является фундаментальным изменением в том, как страна защищает свои цифровые границы.

Источники:

• Внутренние оценки Агентства по кибербезопасности и защите инфраструктуры (CISA)
• Корпоративные документы и публичные заявления Anthropic
• Отчеты о техническом анализе Агентства национальной безопасности (АНБ)
• Записи Министерства обороны о назначении рисков цепочки поставок
• Решения федеральных судов по делу Anthropic против Министерства обороны