Открытые китайские нейросети сравнялись с закрытыми в тестах на взлом корпоративных сетей

Компания Vals, специализирующаяся на оценке возможностей ИИ, протестировала несколько моделей на способность выполнять сложные многошаговые инструкции по взлому учебных корпоративных сетей. Результаты показали, что открытые модели, которые может скачать любой желающий, начинают догонять закрытые системы, доступные лишь избранным партнёрам. «Лучшие фронтирные модели, запертые в лабораториях и доступные только через программы доверенного доступа, теперь повторяются открытыми моделями», — заявил исследователь Vals Никил Рави.

По его словам, это означает, что усилия разработчиков по ограничению распространения подобных технологий могут оказаться напрасными. Особенно показательно это на фоне стратегии Anthropic, которая с апреля ограничила доступ к новой модели Claude Mythos Preview именно из расчёта, что выигрыш во времени позволит подготовиться к моменту, когда продвинутые хакерские возможности станут общедоступными. Руководитель группы красных команд Anthropic Логан Грэм говорил WIRED, что их проект Project Glasswing нацелен на то, чтобы дать защитникам фору.

«Нам нужно готовиться к миру, где эти возможности будут широко доступны через 6, 12, 24 месяца», — сказал он тогда. Спустя семь месяцев этот переход, похоже, наступил по графику. В ходе тестирования Vals смоделировала два сценария.

В первом испытуемые модели должны были проникнуть в корпоративную сеть через публичный веб-сайт. Во втором — скомпрометировать одну сеть, чтобы через неё получить доступ ко второй. Исследователи давали моделям конкретные задачи и замеряли долю успешно выполненных.

Самой способной оказалась специализированная кибермодель OpenAI Daybreak, доступная только доверенным партнёрам, — она выполнила в среднем 81% заданий. Китайская модель с открытыми весами DeepSeek практически не уступила, справившись с 73% задач. При этом на некоторых заданиях обе модели показали одинаковый результат.

Исследование также выявило значительную разницу в стоимости. По оценке Vals, проведение атаки с использованием GPT-6-Sol обходится в токенах от $17 до $46, тогда как DeepSeek — всего в $2–3. Открытые модели дешевле, поскольку их можно запускать на собственном оборудовании.

Генеральный директор Vals Райан Кришнан отметил, что это создаёт сильный стимул для защитников использовать открытые, а не проприетарные решения. Весь год в кибербезопасности развивался по предсказанному сценарию: ИИ автоматизирует базовые хакерские задачи, помогая и атакующим, и защитникам находить огромное число новых уязвимостей и быстро зондировать сети. Однако эксперты до сих пор спорят, изменил ли ИИ фундаментальные основы защиты или лишь усилил давно существующие проблемы.

Тот факт, что открытые модели теперь не уступают закрытым, критически важен для понимания того, как преступники могут использовать ИИ и как компаниям следует реагировать. Впрочем, наблюдения за реальной активностью киберпреступников и хакерских групп, поддерживаемых государствами, показывают, что злоумышленники по-прежнему экономят ресурсы и в основном обходятся более старыми и менее способными моделями — как открытыми, так и проприетарными. При этом даже при строгих ограничениях защитники должны исходить из того, что наиболее мотивированные и хорошо финансируемые атакующие уже имели доступ к закрытым моделям.

Алекс Зенла, сооснователь и технический директор компании Edera, занимающейся облачной безопасностью, согласен, что открытые модели способны создавать продвинутые атаки, особенно если речь идёт о так называемых abliterated-моделях, где защитные механизмы отключены путём модификации весов. Зенла сравнивает ситуацию с игрой в кошки-мышки: лаборатории пытаются двигаться быстрее, чтобы опередить открытые модели и устранить уязвимости до того, как те их найдут. «К сожалению, я думаю, это может быть началом опасного ландшафта безопасности», — добавил он.