Штучний інтелект дедалі активніше використовують для перевірки кібербезпеки, однак новий випадок із Gemini від Google показав, наскільки непередбачуваними можуть бути такі експерименти. Під час тестування система самостійно отримала доступ до внутрішніх ресурсів трьох компаній. В одному з епізодів штучний інтелект зміг вгадати паролі, а в інших випадках виявив відкриті облікові дані, які залишилися доступними в цифровому середовищі.
Gemini від Google під час тестування зламав три компанії: як ШІ отримав доступ до системЙдеться не про класичну кібератаку, організовану злочинцями, а про контрольований тест, покликаний перевірити можливості сучасних моделей штучного інтелекту. Gemini використовували як інструмент для пошуку вразливостей у системах компаній. Завдання полягало в тому, щоб з’ясувати, чи здатен ШІ самостійно знаходити слабкі місця, аналізувати цифрову інфраструктуру та використовувати помилки, допущені людьми.
Результат виявився показовим. Модель не просто проаналізувала відкриту інформацію, а змогла зробити наступні кроки, які зазвичай виконують фахівці з кібербезпеки або зловмисники.
У випадку з однією компанією Gemini підібрав правильні паролі. Для цього система могла використовувати закономірності, типові комбінації символів, контекст, пов’язаний із компанією, а також інші доступні підказки.
В інших ситуаціях ШІ знайшов відкриті облікові дані Це могли бути логіни, паролі, ключі доступу або службові токени, які помилково залишили у файлах, налаштуваннях, тестових середовищах чи інших місцях, доступних без належної авторизації. Сам факт виявлення таких даних свідчить про серйозні прогалини в організації захисту інформації.
Особливість цього експерименту полягає в тому, що Gemini не обмежився пошуком очевидних помилок. Модель діяла послідовно: збирала доступну інформацію, аналізувала її, формувала припущення та перевіряла, чи можна використати знайдені дані для входу до системи. Такий підхід нагадує роботу автоматизованого спеціаліста з тестування на проникнення, але відбувається значно швидше й може масштабуватися на велику кількість цілей.
Чому ШІ зміг обійти захист компанійНайслабшою ланкою в кібербезпеці часто залишається не програмне забезпечення,
а людський фактор. Працівники можуть використовувати прості паролі, повторювати однакові комбінації для різних сервісів, зберігати конфіденційну інформацію у незахищених документах або випадково публікувати службові файли. Для людини така помилка іноді залишається непомітною, але штучний інтелект здатен швидко зіставити десятки дрібних деталей.
Gemini може аналізувати великі обсяги тексту, шукати взаємозв’язки між назвами компаній, іменами співробітників, проєктами та технічними позначеннями. Навіть якщо пароль не оприлюднений безпосередньо, його іноді можна передбачити за типовою схемою. Наприклад, співробітники можуть використовувати назву організації, рік, назву продукту або інші легко прогнозовані елементи.
Ще одна проблема — тестові та резервні системи. Компанії нерідко створюють окремі середовища для розробки програм, перевірки оновлень або демонстрації нових функцій. Якщо такі системи підключені до основної інфраструктури або містять справжні облікові дані, вони стають зручним шляхом для подальшого проникнення. Саме недостатній контроль над допоміжними ресурсами часто відкриває зловмисникам доступ до важливих сервісів.
Важливо й те, що штучний інтелект здатен працювати без втоми. Він може безперервно перевіряти різні варіанти, аналізувати документи, порівнювати структуру систем і шукати нетипові збіги. Те, що для людини вимагало б годин або днів, автоматизована модель може виконати набагато швидше. Через це традиційні методи захисту, які розраховані на повільні дії окремого зловмисника, можуть виявитися недостатніми.
Що цей випадок означає для бізнесу та користувачівІсторія з Gemini демонструє: компаніям уже недостатньо просто встановити антивірус, брандмауер або систему блокування підозрілих входів. Потрібен комплексний підхід, який охоплює всі етапи роботи з даними. Передусім організації мають регулярно перевіряти, де зберігаються паролі, ключі доступу та інші секрети, хто має до них доступ і чи потрібні вони взагалі.
Усі паролі повинні бути унікальними та складними. Для важливих сервісів варто застосовувати багатофакторну автентифікацію, а доступ до внутрішніх систем обмежувати за принципом мінімальних повноважень. Працівник або програма мають отримувати лише ті права,
які необхідні для виконання конкретних завдань. Якщо один обліковий запис буде скомпрометований, це допоможе стримати поширення атаки.
Окрему увагу слід приділяти відкритим репозиторіям, хмарним сховищам, тестовим серверам і резервним копіям. Дані, які випадково потрапили у відкритий доступ, можуть бути знайдені не лише людиною, а й автоматизованим агентом. Тому компаніям потрібні регулярні аудити, сканування витоків, ротація ключів і негайне видалення секретів із доступних файлів.
Для користувачів цей випадок також є важливим попередженням. Не варто повторно використовувати один пароль на різних сайтах, зберігати конфіденційні дані у звичайних текстових документах або передавати коди доступу через незахищені канали. Навіть невелика особиста інформація може стати частиною ланцюжка, який допоможе штучному інтелекту або кіберзлочинцю відновити пароль.
Водночас можливості Gemini можна використовувати і на користь захисту. ШІ здатен перевіряти інфраструктуру, знаходити помилки конфігурації, аналізувати журнали подій і допомагати фахівцям швидше реагувати на загрози. Але такі інструменти мають працювати лише в межах чітко визначеного дозволу. Без контролю, обмежень і журналювання автоматизована система може перейти від пошуку вразливості до реального втручання у роботу сервісів.
Тест із трьома компаніями показав, що штучний інтелект уже може виконувати складні дії у кіберпросторі, використовуючи не тільки технічні помилки, а й недбалість людей. Вгадані паролі та знайдені відкриті облікові дані — це сигнал для бізнесу переглянути правила роботи з інформацією. У майбутньому подібні системи стануть ще швидшими, тому захист має розвиватися випереджальними темпами, а не після того, як доступ до критичних ресурсів уже буде втрачено.
