Примечание: это перевод свежего поста из блога Mozilla о том, что дало использование ИИ для поиска уязвимостей в Firefox. Ранее на схожие темы уже высказывались мейнтейнеры Linux, но пост Mozilla интересен общим оптимистичным прогнозом для индустрии.
С февраля команда Firefox начала использовать передовые ИИ-модели для выявления и устранения скрытых уязвимостей в браузере. Ранее мы писали о сотрудничестве с Anthropic по сканированию Firefox с помощью Opus 4.6. Благодаря этому были исправлены 22 критические ошибки в Firefox 148.
В рамках дальнейшего сотрудничества с Anthropic команда применила к Firefox раннюю версию модели Claude Mythos Preview. В выпуске Firefox 150, вышедшем на этой неделе, исправлено 271 уязвимость, обнаруженная в ходе тестового использования этой модели.
Новый масштаб угроз
Теперь такие возможности становятся доступны всё большему числу специалистов по безопасности. Многие команды испытывают то же головокружение, что и мы, когда впервые осознали масштаб проблемы. В 2025 году даже одна уязвимость в зрелом проекте могла бы стать поводом для «красной тревоги». А когда их обнаруживается сотни — возникает вопрос: возможно ли вообще за этим поспевать?
Однако наш опыт даёт повод для оптимизма. Командам нужно лишь преодолеть первоначальный шок и сосредоточиться на задаче. Да, может потребоваться пересмотреть приоритеты. Но в конце туннеля — свет. Мы гордимся тем, как справилась наша команда, и уверены: другие тоже справятся.
Работа ещё не завершена, но перелом уже наступил. Теперь мы можем представить будущее, в котором защита не просто пытается не отставать, а способна одержать решительную победу.
Долгий паритет в борьбе за безопасность
До сих пор отрасль в целом сдерживала угрозы, но не побеждала их. Поставщики критически важного ПО, вроде Firefox, относятся к безопасности крайне серьёзно. У них есть целые команды, которые каждый день думают о защите пользователей.
Но все давно молчаливо признавали: свести количество уязвимостей к нулю — нереалистично. Целью было сделать их настолько дорогими, чтобы воспользоваться ими могли только атакующие с огромными ресурсами. И даже тем не хотелось тратить такие активы попусту.
Это связано с асимметрией в безопасности. Поверхность атаки велика, а злоумышленнику достаточно найти всего одну брешь. Защита же должна быть всесторонней — и это гораздо сложнее.
Глубокая защита и её пределы
Мы применяем принцип глубокой защиты — несколько перекрывающихся слоёв безопасности. Firefox запускает каждый сайт в отдельной песочнице. Но атакующие комбинируют ошибки в рендеринге и в самой песочнице, чтобы выйти в привилегированный контекст.
Мы лидируем в отрасли по внедрению Rust. Однако не можем остановить разработку и переписать десятилетия C++-кода. Да и Rust устраняет лишь определённые классы уязвимостей — пусть и очень распространённые.
От фаззинга к ИИ
Внутри Mozilla работает «красная команда», которая использует автоматизированные методы анализа. До недавнего времени это были в основном динамические методы — например, фаззинг. Он полезен, но даёт неравномерное покрытие: некоторые части кода сложнее подвергнуть тестированию.
Лучшие исследователи находят ошибки, которые фаззеры пропускают, — логически анализируя исходный код. Это эффективно, но требует времени и редкой экспертизы. Несколько месяцев назад компьютеры были бессильны в таком анализе. Теперь — нет.
У нас есть опыт работы лучших в мире специалистов по безопасности. И Claude Mythos Preview демонстрирует схожие способности. Пока мы не обнаружили ни одной категории уязвимостей, которую могли бы найти люди, но не модель.
Сдвиг баланса сил
В краткосрочной перспективе это может пугать. Но в долгосрочной — это отличная новость для защиты. Разрыв между тем, что могут найти машины и люди, выгоден атакующим. Они могут тратить месяцы на поиск одной ошибки. Устранение этого разрыва делает все обнаружения дешёвыми — и лишает злоумышленников преимущества.
При этом мы не видели ни одной ошибки, которую не смог бы обнаружить высококлассный живой исследователь. Некоторые прогнозируют, что будущие ИИ откроют принципиально новые типы уязвимостей — за пределами нашего понимания. Мы с этим не согласны. Программное обеспечение, вроде Firefox, проектируется модульно, чтобы люди могли оценивать его корректность. Оно сложное, но не хаотичное.
Есть риск, что широкое использование ИИ в разработке приведёт к появлению кодовых баз, непонятных людям. Это усложнит как создание, так и обнаружение ошибок — возможно, даже быстрее, чем растут возможности ИИ. Поэтому понятность для человека остаётся критически важным свойством, особенно в ключевом ПО — браузерах и операционных системах.
Количество дефектов конечно. И мы вступаем в эпоху, когда наконец сможем найти их все.