C
ChaoBro

Индустрия программ вознаграждений за обнаружение уязвимостей (Bug Bounty) «убивается» AI-мусорными отчётами: корпоративные программы вознаграждений перегружены

Индустрия программ вознаграждений за обнаружение уязвимостей (Bug Bounty) «убивается» AI-мусорными отчётами: корпоративные программы вознаграждений перегружены

Раньше хакеры зарабатывали вознаграждения благодаря техническим навыкам; сегодня они просто «накачивают» объём с помощью ИИ.

Financial Times, со ссылкой на Ars Technica, сообщила о «внутреннем кризисе» в сфере кибербезопасности: корпоративные программы вознаграждений за обнаружение уязвимостей (Bug Bounty) захлестнуты отчётами, автоматически сгенерированными искусственным интеллектом.

Что происходит?

Bug Bounty — это распространённый механизм в индустрии кибербезопасности: компании публично объявляют о вознаграждениях за обнаружение и сообщение об уязвимостях в своих продуктах. За выявление одной уязвимости исследователь безопасности может получить от нескольких сотен до десятков тысяч долларов США — в зависимости от степени её критичности.

Это взаимовыгодная модель: компании обнаруживают уязвимости с меньшими затратами, а исследователи получают вознаграждение за свои технические компетенции.

Однако сейчас эту модель разрушает ИИ.

Некоторые участники используют ИИ-инструменты для массовой генерации отчётов об уязвимостях и их массовой отправки. Такие отчёты характеризуются следующим:

  • Огромным количеством: один человек может отправить за день десятки или даже сотни отчётов;
  • Крайне низким качеством: большинство из них касаются уже известных, несущественных или вообще несуществующих проблем;
  • Внешней профессиональностью: текст, сгенерированный ИИ, формально корректен — соблюдены структура, терминология и стиль, поэтому на первый взгляд отчёты выглядят убедительно.

В статье FT используется выражение «бесконечный» (never-ending) для описания этого явления. Командам безопасности приходится тратить огромное количество времени на фильтрацию таких ИИ-отчётов, чтобы выделить действительно ценные находки среди шумного потока.

Компании начинают отступать

Согласно отчёту, некоторые компании уже пересматривают или сокращают свои программы Bug Bounty. Причина проста: когда ИИ снижает порог входа для отправки отчётов практически до нуля, рентабельность (ROI) таких программ становится крайне низкой.

Представьте: команда безопасности ежедневно получает 100 отчётов, из которых 95 — ИИ-мусор, ещё 3 — дублирующие уже известные проблемы, и лишь 2 содержат действительно важные наблюдения. Это означает, что 95 % рабочего времени команды уходит на обработку бесполезных данных.

Для многих компаний такая экономика просто неприемлема.

Более глубокая проблема

На самом деле это тот же феномен, с которым сталкивается arXiv — когда ИИ снижает стоимость «производства контента» почти до нуля, стоимость его «верификации» становится относительно узким местом.

В академической среде верификация статьи требует рецензирования коллегами; в сфере безопасности — воспроизведения и подтверждения уязвимости инженером по информационной безопасности. В обоих случаях ИИ асимметрично влияет на эту цепочку: он делает производство тривиальным, но верификация по-прежнему требует человеческого участия.

Как быть дальше?

В настоящее время в отрасли рассматриваются несколько стратегий реагирования:

  1. Повышение порога отправки: требование включать в отчёт исполняемый код для воспроизведения уязвимости или Proof-of-Concept (PoC), а не только текстовое описание;
  2. ИИ против ИИ: применение ИИ-инструментов для первичной фильтрации ИИ-сгенерированных отчётов;
  3. Система кредитных рейтингов: создание репутационных профилей исследователей, приоритетная обработка отчётов от авторов с высоким рейтингом;
  4. Плата за отправку: взимание небольшой платы за каждую отправку отчёта, чтобы повысить стоимость «накачки» объёма.

Однако у каждой из этих мер есть ограничения. Повышение порога может негативно сказаться на начинающих исследователях; борьба ИИ с ИИ может превратиться в бесконечную «игру кошки и мышки»; система рейтингов несправедлива по отношению к новичкам; а плата за отправку противоречит открытому духу программ Bug Bounty.

Это не проблема только Bug Bounty

Кризис в индустрии Bug Bounty — лишь один пример более широкого тренда. От arXiv до платформ создания контента и систем клиентской поддержки — любая модель, основанная на принципе «люди отправляют контент → люди его проверяют», сегодня сталкивается с ударом со стороны ИИ-генерируемого контента.

Когда ИИ делает «говорить чепуху» практически бесплатным, «слушать правду» становится невероятно дорогостоящим.