Открытый DeepSeek взламывает сети почти как закрытый Daybreak: 73% против 81%

Полгода назад американские лаборатории объясняли закрытые релизы просто: ограничим доступ к моделям, которые умеют взламывать, и дадим защитникам фору. Тогда Логан Грэм из Anthropic говорил, что через 6, 12 или 24 месяца такие способности станут доступны всем. Прошло семь месяцев, и прогноз сбылся почти по графику.

Что показал тест

Компания Vals, которая измеряет возможности ИИ, построила два сценария на учебных корпоративных сетях. В первом модель атакует сеть через публичный сайт. Во втором нужно сначала скомпрометировать одну компанию, а затем через неё добраться до второй. Это не тест на одну уязвимость, а цепочка шагов, как в реальной атаке.

Лучшей оказалась Daybreak от OpenAI, кибермодель, доступная только доверенным партнёрам: 81% задач в среднем за два прогона. Открытый DeepSeek выполнил 73%. На некоторых задачах результаты моделей совпали. Никил Рави из Vals формулирует так: лучшие модели, запертые внутри лабораторий, начинают догонять открытые, которые может скачать кто угодно.

Деньги решают

Разрыв в цене заметнее разрыва в качестве. По данным Vals, прогон атаки на GPT-6-Sol обходится в $17–46 за токены, а на DeepSeek — в $2–3. Открытую модель можно запустить на своём железе, поэтому цена падает ещё сильнее. Гендиректор Vals Раян Кришнан считает, что это стимул и для защитников: пентест и поиск уязвимостей на открытых моделях проще масштабировать на весь парк сервисов.

Что это меняет

Главный вывод: закрытый доступ больше не гарантирует преимущество. Если вы строите продукт на идее, что опасные возможности ограничены лабораторией, эта защита слабеет. Модель угроз нужно писать исходя из того, что у атакующего есть сильный автономный инструмент почти бесплатно.

При этом паника преждевременна. Наблюдения за реальными группировками, и киберпреступными, и государственными, показывают, что большинство атакующих экономят ресурсы и пользуются старыми, менее мощными моделями. А самые богатые и мотивированные, скорее всего, уже имели доступ к закрытым моделям. Для них новость не меняет ничего.

Алекс Зенла, CTO компании Edera, напоминает о двух нюансах. Во-первых, существуют abliterated-модели, у которых правками весов отключено обучение безопасности, и они пригодны для атак. Во-вторых, закрытые лаборатории, вероятно, уже обучили более сильные внутренние модели. Он описывает ситуацию как кошки-мышки: лаборатории пытаются находить уязвимости раньше, чем их найдут открытые модели.

Ограничения

Стоит помнить, что тест проводился на смоделированных сетях, а не на живой инфраструктуре с мониторингом и сотрудниками. Результат основан на среднем по двум прогонам, и выборка небольшая. OpenAI на момент публикации не прокомментировала данные. Эксперты также спорят, создаёт ли ИИ принципиально новый класс угроз или просто усиливает старые.

Что делать

Разработчикам и командам безопасности стоит сделать несколько вещей:

• Считать, что автоматизированный поиск уязвимостей дёшев и доступен любому.
• Ускорить установку патчей и сократить время реакции: скорость находок будет расти.
• Попробовать открытые модели для собственного внутреннего пентеста, пока их не использовали против вас.
• Не рассчитывать на фильтры безопасности как на единственный барьер, поскольку их можно снять.

Гонка идёт не между закрытыми и открытыми моделями, а между тем, кто быстрее найдёт дыру в вашем коде: вы или кто-то другой.