Нейросети нашли тысячи уязвимостей, но проверить их некому

Искусственный интеллект резко ускорил поиск уязвимостей, но вместе с настоящими находками вырос поток ложных срабатываний и нерабочих эксплойтов. Специалисты тратят время на мелкие ошибки и поддельные демонстрации атак, а по-настоящему опасная брешь может остаться незамеченной. О новых проблемах автоматизированного поиска угроз рассказал технический директор центра мониторинга RED Security SOC Владимир Зуев.

В октябре в ядре PHP нашли 2 критические ошибки под общим названием PHP2Shell. Они позволяли запускать вредоносный код на чужом сервере без авторизации, и тем, кто не мог быстро установить обновление, советовали временно отключать затронутые системы. Оценка составила 9,2 из 10 баллов, и для российских компаний, у которых на PHP работает множество сайтов, угроза была вполне реальной. React2Shell получила максимальные 10 баллов, но PHP2Shell стала самой опасной уязвимостью, найденной при помощи ИИ, сообщает Forbes.

Уязвимости множатся быстрее, чем их успевают проверять

Ошибок в популярных проектах стало заметно больше:

• в cURL за первое полугодие 2026 года зарегистрировали 36 уязвимостей, тогда как за весь предыдущий год 9;
• в январском обновлении OpenSSL исправили 12 ошибок, и все их нашёл ИИ;
• весной нейросеть обнаружила в nginx дефект 2008 года с оценкой 9,2 из 10.

Исследователи Anthropic проверили свои модели на открытом коде и получили 29 439 потенциальных уязвимостей. Более 6 тысяч отчётов передали сопровождающим проектов, но исправления внесли лишь для 516 проблем, а около 23 тысяч подозрительных мест остались без проверки. Машины работают без остановки, а проверять их результаты приходится людям.

Опасность найденных дефектов нередко скромнее громких цифр:

• для эксплуатации nginx требовалось определённое сочетание настроек сервера и защиты памяти;
• 6 ошибок, найденных ИИ в cURL, получили низкие оценки, хотя команде проекта пришлось потратить немало ресурсов на их разбор.

В корпоративной инфраструктуре специалист по ИБ рискует утонуть в новых CVE (Common Vulnerabilities and Exposures), идентификаторах публично известных уязвимостей, и вынужден делить время между сотнями сообщений о потенциально критичных проблемах. Опасная ошибка легко теряется среди малозначимых находок, а промежуток между раскрытием уязвимости и первыми атаками на неё стремительно сокращается.

Нерабочие эксплойты создают собственную проблему

Нейросети пишут и Proof-of-Concept (PoC), демонстрационные программы для эксплуатации уязвимости, но код нередко не воспроизводит описанную проблему. Уверенная выдача ошибок, знакомая по генеративному ИИ, добралась и до киберзащиты:

• после появления React2Shell опубликовали более 100 демонстраций эксплуатации, и значительная часть оказалась нерабочей;
• специалисты Threat Intelligence центра RED Security SOC почти сразу нашли несколько образцов для PHP2Shell, которые не воспроизводили заявленную атаку;
• в проекте PoC-Gym из 116 образцов, подготовленных ИИ для 20 реальных уязвимостей Java, проверку прошли только 65.

Если образец не работает, команда может решить, что проблема устранена, хотя способ проникновения остаётся доступным злоумышленникам. Возможна и обратная ситуация, когда рабочий PoC тонет среди подделок, а сотрудники, привыкнув к недоверию, пропускают настоящий сигнал.

Бизнесу придётся пересмотреть оценку киберзащиты

Главная трудность, как заявил Владимир Зуев, состоит в ограниченности человеческого внимания, а не в числе найденных ошибок. Производительность ИИ-инструментов растёт почти без предела, а число специалистов, способных качественно проверять их результаты, остаётся прежним. Одни организации тратят ресурсы на закрытие дефектов, которые почти не влияют на их инфраструктуру, а в других по-настоящему опасная брешь теряется из-за лавины уведомлений. Оценивать защиту по числу закрытых уязвимостей уже мало, нужны Threat Intelligence, Threat Hunting и цифровая форензика, которые показывают интерес злоумышленников к конкретной уязвимости, ищут следы вторжения внутри сети и восстанавливают действия атакующих.

Российским компаниям, у которых nginx, OpenSSL и PHP лежат в основе значительной части веб-инфраструктуры, стоит заранее решить, кто и как будет разбирать подобный поток находок. Владимир Зуев посоветовал руководителям подразделений ИБ и заказчикам сервисов задать своим CISO и провайдерам 3 вопроса:

• как отличить уязвимость, которой реально можно воспользоваться, от дефекта, опасного лишь теоретически;
• кто независимо проверяет демонстрационные эксплойты и насколько эта проверка отделена от нейросети, подготовившей образец;
• как быстро удастся проверить системы на признаки проникновения, случившегося до выхода исправления.

Закрыть все известные CVE нереально, но незакрытая уязвимость не оставляет компанию беззащитной, ведь грамотно настроенный мониторинг заметит попытки перемещения между системами и закрепления в сети, и специалисты смогут вмешаться.

Эксперты CISOCLUB заявили, что нейросети превратили поиск уязвимостей в конвейер, на выходе которого скапливаются тысячи непроверенных отчётов. Узким местом стал триаж, то есть сортировка находок по реальной опасности для конкретной компании, а не сам поиск. Вендорам и сопровождающим открытых проектов придётся ставить фильтры качества до передачи отчёта человеку, например требовать независимо подтверждённый PoC. Компаниям стоит расставлять приоритеты по наличию уязвимой версии на периметре, возможности эксплуатации и данным Threat Intelligence, а не по одной оценке CVSS. Нагрузку на команды снизят автоматизация рутинной проверки и сильный мониторинг, который ловит атаку даже при незакрытой уязвимости. Выигрывают те, кто быстрее отделяет угрозу от шума, а не те, кто закрывает больше ошибок.

Ранее сообщалось, что искусственный интеллект способен находить типовые уязвимости за считаные минуты, но пока уступает специалистам при выявлении сложных ошибок бизнес-логики и цепочек взаимосвязанных слабых мест. Об этом рассказала генеральный директор HackerOne Кара Спраг в интервью Help Net Security. По её словам, автоматизация снижает стоимость обнаружения стандартных уязвимостей в рамках программ bug bounty, одновременно повышая спрос на исследователей, способных глубоко разбираться в бизнес-процессах и устройстве компаний.