В то время как дискуссии об ИИ смещаются в сторону гипотетических угроз существованию человечества, реальная ситуация в сфере кибербезопасности меняется уже сегодня. Доступность современных ИИ-моделей и инструментов с открытыми весами привела к резкому увеличению числа выявленных уязвимостей в программном обеспечении. Этот процесс оказывает значительное давление на ИТ-специалистов и команды, отвечающие за поддержку критически важного открытого ПО.
Статистика роста количества обнаруженных уязвимостей
Масштабы проблемы подтверждаются актуальными данными крупнейших технологических компаний. Согласно последним отчетам, количество записей CVE (Common Vulnerabilities and Exposures — общепринятый стандарт для обозначения выявленных программных ошибок) бьет рекорды. Например, компания Microsoft за одну неделю сентября текущего года выпустила патчи для 974 уязвимостей, установив исторический максимум.
Аналогичная динамика наблюдается и у других разработчиков:
- Oracle в июле 2026 года выпустила 1448 исправлений, тогда как в июле 2025 года их число составляло 309.
- Google Chrome в двух крупных релизах за июнь закрыла 1072 уязвимости — это превышает суммарное количество исправлений за предыдущие 23 масштабных обновления браузера.
- Mozilla в апреле в ходе одного цикла тестирования с применением модели Mythos от Anthropic обнаружила 271 уязвимость в Firefox.
По данным Джерри Гамблина, главы отдела исследований Empirical Security и основателя проекта cve.icu, к середине сентября 2026 года в мире было зафиксировано 66 401 CVE. Для сравнения: к аналогичной дате 2025 года этот показатель составлял 33 512, а за весь 2022 год, когда был представлен первый ChatGPT, система зафиксировала около 25 000 уязвимостей.
Взгляд экспертов на кибербезопасность и роль искусственного интеллекта
Среди специалистов нет единого мнения о последствиях такого роста. Часть экспертов считает, что увеличение числа CVE не обязательно означает рост реальной опасности, так как обнаружение уязвимости является признаком эффективной работы системы защиты. Однако существует серьезное опасение, что скорость появления новых дыр в защите значительно превышает возможности разработчиков по их оперативному устранению. Как отмечает британский Национальный центр кибербезопасности, простое обнаружение ошибки не делает систему безопаснее, если она не исправлена.
Текущий баланс сил между ИИ, помогающим в поиске багов, и инструментами защиты остается нестабильным. Мэтью Олни, директор по анализу угроз в Cisco Systems, отмечает, что индустрия все еще находится на этапе адаптации к новым возможностям искусственного интеллекта.
Главная проблема заключается в фундаментальной разнице процессов: скорость поиска уязвимостей напрямую зависит от вычислительных мощностей, которые можно масштабировать практически без ограничений, тогда как процесс устранения ошибок требует участия людей, количество которых невозможно увеличить так же быстро. Даже возможное замедление развития новых моделей ИИ, обсуждаемое в отрасли, уже не сможет остановить тот поток обнаружения уязвимостей, который спровоцирован существующими технологиями.
Новые горизонты угроз и позиция регуляторов
Интерес экспертов и общественности к «ИИ-думерам» (AI doomers) сместился с опасений об апокалипсисе, вызванном программными уязвимостями, к радикальным сценариям, где неконтролируемый ИИ может привести к гибели человечества в ближайшее десятилетие. Однако текущая ситуация демонстрирует, что реальный кибернетический шторм уже наступил, и он не является теоретической угрозой будущего.
Важно учитывать, что экспертное сообщество в вопросе влияния ИИ на безопасность разделилось на два лагеря. Одни считают текущий всплеск катастрофическим, другие — лишь усилением уже существующих динамик. Ряд специалистов напоминает, что низкие темпы внедрения патчей и недостаточные инвестиции в кибербезопасность годами давали преимущество злоумышленникам еще до массового распространения ИИ. Тем не менее, по мере того как дискуссия перестает быть умозрительной, позиции сторон начинают сближаться.
Джерри Гамблин из Empirical Security подчеркивает парадоксальность ситуации: «Я не думаю, что масштаб проблемы преувеличен. Но я готов спорить с идеей, что само по себе большое число — это вред. Больше CVE — это не больше уязвимостей, это больше известных уязвимостей, что, по сути, является признаком работоспособности системы».
Главная проблема: дисбаланс ресурсов
Основное опасение заключается в том, что лавинообразное обнаружение дефектов обгонит способность разработчиков их исправлять, а конечные пользователи не успеют своевременно обновить ПО. Это создает благодатную почву для эскалации кибератак, в которых злоумышленники будут использовать ИИ для самостоятельного поиска уникальных «дыр».
На текущий момент исследователи отмечают крайне хрупкий баланс между ИИ, ускоряющим поиск багов, и ИИ, помогающим защитникам. Мэтью Олни из Cisco Systems отмечает, что участники рынка все еще пытаются понять, где именно применение нейросетей даст наибольшую эффективность. В этой гонке вооружений действует фундаментальное различие в масштабировании:
- Обнаружение: этот процесс напрямую масштабируется с ростом вычислительных мощностей.
- Исправление: этот этап критически зависит от человеческого ресурса, который невозможно купить или быстро нарастить в рамках одного квартала.
Таким образом, любые меры по ограничению развития frontier-моделей — будь то государственное регулирование или отраслевые соглашения — могут снизить риски «экзистенциальных» угроз, но они не способны остановить «цунами уязвимостей», вызванное уже существующими и доступными инструментами.
