OpenAI lançou um novo modelo de segurança cibernética. Isso é suficiente?

Max Justicz, diretor de tecnologia e cofundador da startup Charge Robotics, usou um modelo OpenAI para encontrar uma vulnerabilidade grave que – se explorada – poderia permitir que hackers assumissem o controle de servidores que executam o Ubuntu, um sistema operacional baseado em Linux de código aberto amplamente utilizado.

Justicz, que tem interesse em segurança cibernética e já encontrou uma vulnerabilidade na mesma base de código, disse ao TechCrunch que encontrou esse problema usando o GPT 5.6 Sol, lançado em julho, por meio do Daybreak Blue do fabricante de IA, um programa que dá aos defensores da segurança cibernética acesso a poderosos modelos de fronteira.

“Eu literalmente direcionei o ChatGPT para o mesmo corpo de código e disse ‘Encontrei esse bug anteriormente que foi corrigido há vários anos, por favor, encontre bugs tão ruins ou piores’, e ele voltou em 2 horas com isso”, disse Justicz. “É extremamente complicado e difícil para um ser humano encontrar, mas funciona!”

Ele relatou o problema ao Projeto Debian, que mantém o software em questão e emitiu um patch para corrigir a vulnerabilidade. Não há nenhuma evidência conhecida de exploração. Ainda assim, a facilidade com que ele descobriu isso sugere que só vimos a ponta do iceberg quando se trata de explorações potenciais que até mesmo hackers novatos podem utilizar com a ajuda de modelos de IA.

“Só posso imaginar o que se poderia fazer com mais tempo e acesso a modelos menos castrados. Devemos esperar que alguns bugs extremamente malucos sejam encontrados e explorados nos próximos meses”, escreveu Justicz num tópico nas redes sociais discutindo a sua descoberta. “Isso pode ser óbvio para a maioria das pessoas aqui, mas atualmente há um grande alfa em pegar algum código ou binário que alguém ainda não auditou e apenas apontar um modelo de IA poderoso para ele.”

OpenAI parece ter notado. Hoje, a gigante da IA ​​​​anunciou que um novo modelo focado em segurança cibernética, ChatGPT Cyber, seria disponibilizado aos usuários de nível mais alto no programa de segurança cibernética, Daybreak Red, que permite aos pesquisadores de segurança cibernética ferramentas ofensivas para caça e desenvolvimento de vulnerabilidades. Ontem, a OpenAI disse que o mesmo modelo foi usado para verificar e preparar patches para vulnerabilidades no kernel Linux, encontrando 948 problemas potenciais. A OpenAI também encontrou 81 vulnerabilidades “novas” no Firefox, o navegador da web.

“Nosso objetivo é expandir drasticamente o Daybreak, trazendo pesquisas avançadas de segurança para organizações de todos os tamanhos, pesquisadores independentes e mantenedores de código aberto”, disse o laboratório de fronteira em comunicado.

A OpenAI insistiu que há um curto espaço de tempo para que as pessoas que protegem a infraestrutura digital tomem medidas antes que os modelos de IA se tornem ainda melhores em hacking e mais fáceis de acessar. Para os defensores cibernéticos, no entanto, pode parecer que os laboratórios de fronteira desencadearam uma montanha de novos trabalhos que ultrapassam os seus recursos. Justicz disse que gastou pessoalmente cerca de US$ 5.000 em assinaturas e tokens para encontrar várias explorações.

Além do acesso ao modelo do Daybreak, a OpenAI também anunciou uma iniciativa de US$ 1 bilhão para apoiar profissionais de segurança cibernética do programa que trabalham em infraestruturas críticas, como rede elétrica ou sistemas de água.

O programa Daybreak tem suas próprias críticas. Justicz observa que o laboratório de fronteira parece ter recentemente “nerfado” o Daybreak Blue para torná-lo menos útil na localização de vulnerabilidades. Por um lado, pode ser bom limitar o acesso de potenciais malfeitores – Justicz disse que acabou de enviar uma foto de sua carteira de motorista para aderir ao programa. Por outro lado, os profissionais de segurança cibernética dizem que terão uma mão atada se não puderem usar tecnologia de ponta, enquanto os malfeitores podem implementar modelos de peso aberto com barreiras de proteção abolidas.

Ainda assim, a OpenAI afirma que apenas “milhares” de profissionais de segurança cibernética estão participando do programa Daybreak, em comparação com um número muito maior de hackers em potencial.

Não está claro se os laboratórios de fronteira estão dedicando recursos suficientes a esta questão. Eric Wallace, pesquisador da equipe técnica da OpenAI, disse que “agora estamos alocando uma quantidade significativa de nossa computação de fronteira para descobrir e corrigir vulnerabilidades em bases de código de código aberto, totalmente pro bono”.

Mas a caça aos bugs do Linux custou US$ 1,2 milhão, o que é significativamente menos do que os aproximadamente US$ 6 milhões gastos em tokens que a empresa investiu para encontrar uma solução potencial para um famoso problema de dinâmica de fluidos.

Se houver um curto espaço de tempo para corrigir a infraestrutura digital da qual o mundo depende, poderá ser necessária mais urgência.