SentinelOne: модели OpenAI делают за 8 часов реверс-инжиниринг на 4–6 недель

Грегор Стюарт из SentinelOne заявил, что киберспособности моделей OpenAI достигают уровня человека в реверс-инжиниринге: на работу, которая у топового исследователя занимает от четырех до шести недель, ИИ тратит около восьми часов. Если считать рабочее время при 40-часовой неделе, это 160–240 часов против восьми, то есть ускорение примерно в 20–30 раз. Источник одновременно и вендор, и партнер: видео опубликовано на канале OpenAI.

Что именно ускоряется

Речь о реверс-инжиниринге, то есть о разборе вредоносного кода, когда аналитик по скомпилированному файлу восстанавливает, что он делает, как прячется и с чем общается. Это одна из самых трудоемких задач в безопасности. Ее выполняют немногие специалисты, и каждый час их работы дорог. Поэтому команды вынужденно выбирают, какие образцы стоят глубокого разбора, а остальные остаются в очереди или вообще не изучаются.

Стюарт формулирует это через экономику: «Это тот вид интеллекта, который мы раньше просто не могли себе позволить». Здесь важна не скорость сама по себе. Когда глубокий анализ дешевеет в десятки раз, порог «стоит ли тратить время на этот образец» сдвигается, и в работу попадает то, что раньше отсеивалось.

Что это дает команде безопасности

SentinelOne называет три эффекта:

• больше разобранных образцов малвари при тех же людях;
• возможность связывать родственные угрозы: общий код, инфраструктуру, приемы разных семейств;
• более ясная картина того, как атаки эволюционируют со временем.

Третий пункт следует из первых двух. Чем больше образцов разобрано до уровня логики, тем проще заметить, что три «разных» инструмента написаны одной командой или растут из одной кодовой базы. Раньше такие связи нередко ускользали просто потому, что до половины образцов никто не доходил.

Чего в материале нет

Источник скуден: короткое описание к видео и ссылка на кейс на сайте OpenAI. Несколько вопросов остаются открытыми:

• какая именно модель или система использовалась;
• на каких образцах и по какому критерию определено «человеческое качество» результата;
• восемь часов — это чистое машинное время или с учетом проверки аналитиком;
• какова доля ошибок и сколько человеческого контроля нужно после ИИ.

Последний пункт принципиален. В реверс-инжиниринге неверный вывод об образце хуже, чем отсутствие вывода: он может увести расследование не туда или создать ложное чувство закрытой угрозы. Сравнение «8 часов против 4–6 недель» корректно, только если результаты сопоставимы по глубине и точности, а проверить это по опубликованному материалу нельзя.

Практика для команд

Если вы руководите threat research или SOC, имеет смысл не переносить цифру на свою работу, а проверить ее на собственных данных. Возьмите несколько образцов, которые ваши аналитики уже разобрали, и прогоните их через ИИ-ассистента. Сравните результат с эталоном: полноту, ошибки, время на верификацию.

Отдельно оцените, что накопилось в очереди неразобранных образцов. Именно там ИИ может дать больше всего, потому что человеческого времени на эту работу не было вовсе. И закладывайте в процесс обязательную проверку человеком: ускорение в 20–30 раз полезно, пока выводы можно быстро подтвердить.

Для рынка сигнал такой: поставщики безопасности начинают говорить об ИИ в категориях стоимости экспертизы, а не удобства интерфейса. Независимых замеров пока нет, и до их появления цифру SentinelOne стоит читать как заявку, а не как измеренный результат.