​# Кибербезопасность на честном слове: чему история с curl учит отделы закупок и ИТ

Мы тут обнаружили любопытную заметку, прикол и доказательства отсутствия промышленного эффекта на хайповых нейросетях с точки зрения кибербеза.

24 августа автор curl Дэниел Стенберг написал, что к следующему релизу готовы всего три уязвимости, а ИИ-системы для поиска дыр больше ничего не находят.

curl — незаметный, но буквально водопровод, интернета, он стоит везде: от смарт-холодильника до спутника. По оценке компании AISLE, это больше 20 млрд экземпляров. Код этого нашего программистского инструмента вылизывают 25 лет, поэтому три дыры за релиз выглядят отличным результатом для такой популярной тулы.

Anthropic Mythos сообщил, что найти больше нечего, у OpenAI Codex Security список оказался пуст. А на следующий день Стенберг опубликовал счёт «Mythos: 0, Aisle: 29».

Есть такой игрок среди ИИ-инструментариев – AISLE. Специализируется на решении конкретных задач через разработки собственных (ну или почти) нейросетей, но по мощности, как у транснациональных решений.

Так вот AISLE тот же код вездесущего CURL прогнала через свою систему и получила 29 проблем. Шесть из них команда curl признала достаточно серьёзными для официально признанных уязвимостей (CVE). А очередь ожидающих CVE выросла с трёх до десяти. Все шесть низкой опасности, потому что в зрелом коде дыры прячутся в редких сочетаниях настроек.

Дальше самое интересное. Грег Кроа-Хартман, мейнтейнер стабильных веток Linux, публично ответил, что видит ровно ту же картину на ядре самое используемой (основная часть всех серверов в мире использует ядро Линукс, а про импортозам в странах под санкциями вообще не стоит упоминать). История получаетя уже не про curl.

Ещё раз: самая мощная, злостная, секретная американская нейросеть Mythos профукала какому-то нишевому игроку.

## Что из этого следует вынести управленцу, бизнесмену, который сам код не читает?

Строчка «проверено ИИ» перестала быть характеристикой качества, потому что результат зависит от того, чей инструмент запускали и в какую неделю. Отчёт подрядчика о нуле найденных уязвимостей теперь имеет срок годности в недели, а не в годы. В закупках разумно требовать конкретику: какая система, какая версия, какая дата прогона. А нулевой результат стоит читать как повод заказать второе мнение, а не как повод расслабиться. Напоминает современные походы по врачам, правда?

Госсектор в той же лодке, потому что критическая инфраструктура и импортозамещённые сборки собраны на том же самом открытом коде, который сегодня забавы ради тестирует весь мир.

_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
Наши площадки:
Telegram | ВКонтакте | Дзен | RuTube | YouTube | Max | Закрытый чат