Исследовательская организация Epoch AI зафиксировала резкий рост числа выявленных уязвимостей в программном обеспечении после внедрения больших языковых моделей (LLM) в процессы автоматизированного поиска ошибок. По их оценке, количество обнаруженных критических и высокоопасных CVE увеличилось в 3,5 раза.
Согласно подсчётам, за один месяц 21 организация сообщила о примерно 1500 найденных уязвимостях. Аналитики связывают этот скачок с тем, что ИИ-модели начали активно использоваться для анализа кода и поиска потенциально эксплуатируемых ошибок.
В отчёте подчёркивается роль программ, связанных с моделями Anthropic и OpenAI. В частности, упоминаются инициативы вокруг модели Claude Mythos и программа Daybreak, в рамках которых доверенные партнёры получают доступ к моделям для поиска уязвимостей до их публичного раскрытия. По оценке Epoch AI, совокупный вклад этих программ уже измеряется тысячами найденных инцидентов, часть из которых пока не опубликована в открытых базах CVE.
Данные основаны на реестре CVE Program (cvelistV5), который фиксирует опубликованные уязвимости с 2020 года. При этом в анализе учитываются даты публикации CVE, а не момент их обнаружения, что может влиять на интерпретацию динамики роста.
Система CVE (Common Vulnerabilities and Exposures) классифицирует уязвимости по шкале CVSS от 0 до 10, где значения выше 9 считаются критическими. В исследование включаются записи от различных центров назначения уязвимостей (CNA), включая крупнейших разработчиков программного обеспечения и open-source проекты.
Аналитики также отмечают, что часть роста может быть связана не только с ИИ-инструментами, но и с изменением практик отчётности отдельных CNA. Например, после включения Linux в число CNA количество зарегистрированных CVE увеличилось за счёт массового учёта исправлений и backport-обновлений.
По оценке Epoch AI, внедрение LLM уже меняет саму структуру кибербезопасности: автоматизированный поиск ошибок позволяет находить уязвимости быстрее и в больших масштабах, чем традиционные методы аудита кода.