ByteDance ужесточает доступ к Claude и Codex, ограничивая использование внешних ИИ-инструментов сотрудниками

Несмотря на растущие дискуссии об искусственном интеллекте (ИИ) на современном рабочем месте, большинство финансовых учреждений используют эту технологию значительно реже, чем компании в более широком бизнес-секторе.

Согласно исследованию, проведенному компанией Kaspersky, которая является глобальной фирмой по кибербезопасности и цифровой конфиденциальности, только 23% банковских, финансовых и страховых (BFSI) компаний применяют ИИ для программирования программного обеспечения. Этот показатель существенно ниже среднего показателя по всей отрасли, который составляет 34%, что представляет собой отставание на 11 процентных пунктов.

Этот разрыв показывает, что, хотя крупные технологические провайдеры активно продвигают генеративные помощники по кодированию, такие как Cursor и GitHub Copilot, финансовые учреждения проявляют гораздо большую осмотрительность, и это имеет серьезное обоснование.

Операционные ставки в финансовом секторе намного выше, чем многие за пределами этой сферы могут оценить. Единичный сбой в программном обеспечении, развернутом в конвейерах высокочастотных транзакций или в основных бухгалтерских книгах, может спровоцировать катастрофические сбои системы, серьезные ошибки в расчете капитала или критические нарушения регуляторных требований.

Технические сомнения усугубляются широко распространенной проблемой управления: 37% руководителей BFSI, участвовавших в опросе, указывают на то, что сотрудники используют несанкционированные инструменты — включая общедоступные модели вроде ChatGPT или DeepSeek — как частый и устойчивый риск. Этот процент значительно превышает среднеотраслевой глобальный уровень в 30%.

На практике это означает, что инженер или аналитик может обратиться к внешней, несанкционированной платформе ИИ вне контролируемой архитектуры предприятия, мгновенно создавая серьезные риски для конфиденциальности и раскрытия чувствительных финансовых или проприетарных данных клиентов. Такое несанкционированное использование фактически обходит усиленные защитные барьеры, делая формальные периметровые средства контроля и протоколы соответствия устаревшими.

Тем временем, пока отраслевой дискурс остается сильно сосредоточенным на автоматизации устаревших задач кодирования и сокращении рутинных расходов, Пол Бантинг, соучредитель growthguru.ai, предупреждает, что одной лишь операционной эффективности недостаточно для того, чтобы служить главной целью предприятия.

Бантинг объяснил: «Примерно 79% руководителей ожидают, что ИИ обеспечит значительный рост выручки к 2030 году, увеличившись с нынешних 40%. Однако только 24% имеют четкое представление о том, откуда именно возникнет эта будущая прибыль. Истинная цель должна заключаться во внедрении ИИ для выявления неотложных коммерческих пробелов и захвата рыночных возможностей высокой ценности до того, как это сделают конкуренты».

Пользователи сообщают, что помощник искусственного интеллекта Claude начал прерывать задачи, связанные с обратным инжинирингом программного обеспечения и прошивок. Жалобы сосредоточены на Claude Opus 5.5, версия, выпущенная в сентябре с улучшениями в возможностях программирования, и охватывают анализ игр и попытки изменить системы смарт-телевизоров.

Эти жалобы привлекли внимание после публикации в Reddit, указывая на то, что модель может начать активность и остановить ее в середине ответа, как только активируется проверка безопасности. Anthropic пока не подтвердила никаких изменений, направленных на такой тип использования.

Обратный инжиниринг — это способность инспектировать программу, чтобы понять ее работу, даже не имея доступа к исходному коду. Эта методология используется в расследованиях безопасности, тестировании совместимости и создании модификаций.

Некоторые из сообщений касаются REA (Reverse Engineer Anything) — проекта с открытым исходным кодом, который интегрирует агентов ИИ с инструментами анализа, автоматизируя шаги, которые обычно требуют технических знаний и ручных усилий. Интерес к этой технике также возрос благодаря проектам, использующим ИИ для перекомпиляции игр для запуска на разных платформах, включая браузеры.

Подробный пример был представлен Decrypt. Пользователь попросил Claude Code реализовать альтернативный интерфейс на телевизоре LG с операционной системой webOS. В процессе пользователь столкнулся с барьером безопасности, установленным Opus 5.5. Помощник предложил перейти на Opus 4.8, но и эта более старая модель также остановила этапы процедуры.

Этот инцидент не доказывает, что обратный инжиниринг телевизоров полностью заблокирован, а лишь то, что фильтры безопасности могут вмешиваться в определенные технические задачи. Anthropic уже усилила свои меры кибербезопасности при выпуске Claude Opus 5.5. В своем официальном заявлении компания заявляет, что деятельность по разработке и исправлению кода остается разрешенной, и на данный момент нет доказательств того, что Anthropic официально запретила всю эту практику.

Искусственный интеллект выявляет крайнюю хрупкость веб-инфраструктуры. Хотя уязвимости существовали более десяти лет, исследователи смогли понять, как хакеры могут использовать их при помощи ИИ.

Уязвимость под названием P2PShell затрагивает языковой код, который обеспечивает работу семидесяти процентов мировых веб-сайтов. Эта уязвимость позволяет злоумышленникам удаленно выполнять код или получать доступ к данным, хранящимся на серверах. В результате сайты были вынуждены срочно обновлять свои системы, причем на прошлой неделе некоторые государственные сайты в Европе временно отключились до установки исправлений.

Это открытие вновь подчеркивает уязвимость интернет-инфраструктуры. Поскольку ИИ усиливает возможности как исследователей, так и злоумышленников в обнаружении недостатков, подобные открытия, вероятно, будут продолжаться.

Патрик Фусселл, глобальный руководитель отдела симуляции противника в IBM, отметил, что значительная часть интернета и глобальной ИТ-инфраструктуры работает на довольно старых технологиях или основана на очень старом компьютерном оборудовании, которое, вероятно, имеет схожие уязвимости.

При наличии такой уязвимости, как P2PShell, пользователи имеют ограниченные возможности для самозащиты. Ответственность за обновление сервисов с последними патчами безопасности лежит на организациях, предприятиях и правительствах.

Тем не менее, это акцентирует внимание на необходимости разумного подхода к цифровым привычкам. Старый совет о защите паролей и бдительности в отношении подозрительных электронных писем становится важнее, поскольку хакеры получают все более изощренные инструменты и используют ИИ для поиска слабых мест в интернете.

Не следует игнорировать уведомления о программном обеспечении на ноутбуках или телефонах, поскольку многие обновления содержат критически важные исправления безопасности, и их установка как можно быстрее сокращает время, которое хакеры могут использовать для эксплуатации ошибок.

Ганг Ван, доцент компьютерных наук в Университете Иллинойса, заявил, что пользователям все еще необходимо выполнять свою часть работы, устанавливая обновления и поддерживая хорошую гигиену безопасности, чтобы находиться в немного лучшем положении.

Большинство современных смартфонов поддерживают обновления программного обеспечения примерно в течение семи лет после выпуска. Если у вас старый телефон, следует проверить его совместимость с новыми версиями программного обеспечения. Информацию о совместимости можно найти на сайтах Apple, Google и Samsung.

Важно обращать внимание на URL-адреса посещаемых сайтов и переходящих ссылок, особенно если ссылка получена по электронной почте или в сообщении, якобы от вашего банка или кредитной организации. Никогда не передавайте личные данные, адреса электронной почты, пароли, банковскую информацию или номера кредитных карт, если не уверены в легитимности сайта.

ИИ позволил злоумышленникам создавать сложные фишинговые атаки, которые труднее заметить и могут не иметь очевидных признаков мошенничества. Ранее Джуд Дресслер, глава центра операционных рисков в фирме по киберстрахованию Resilience, говорил CNN, что традиционный способ определения фишинговой атаки заключался в том, что «что-то казалось неправильным. Он использовал неправильный язык. Были орфографические ошибки, грамматические ошибки». Однако, по его словам, «все это сделает ИИ».

Дресслер добавил, что ИИ также может помочь атакующим проводить более глубокие исследования потенциальных целей для создания более персонализированных и убедительных сообщений. Лучший способ избежать фишинговых афер — войти в свой аккаунт или позвонить в компанию или человеку, от которого вы получили подозрительное сообщение, вместо того чтобы переходить по ссылкам.

Также следует помнить, что малые предприятия могут обновлять свои системы медленнее, чем крупные компании, в случае атаки или утечки данных.

Никогда не используйте повторно пароли. Вместо этого попробуйте использовать менеджер паролей, который генерирует длинные, уникальные пароли для всех ваших онлайн-аккаунтов. Проще говоря, компьютеры лучше людей в создании сложных для угадывания паролей.

Рэйчел Тобак, генеральный директор компании по кибербезопасности и обучению SocialProof Security, сообщила в подкасте CNN Terms of Service с Клэр Даффи в 2024 году: «Мы знаем, что люди, принимая решения, склонны принимать те же решения, что и другие люди. Так что, вы знаете, они создают пароль для своей работы. В нем есть название работы. В первой позиции есть заглавная буква, чтобы удовлетворить требование к заглавной букве».

Тобак рекомендовала менеджеры паролей, такие как Bitwarden, 1Password и Dashlane. Самое важное, на что следует обратить внимание, — это наличие шифрования в менеджере паролей, которое сохраняет ваши пароли в безопасном и нечитаемом для хакеров виде.

Используйте ключи доступа вместо паролей: Ключи доступа — это цифровые учетные данные, которые позволяют входить в онлайн-сервисы, используя отпечаток пальца, сканирование лица или PIN-код вместо набранного пароля. Считается, что ключи доступа в целом безопаснее паролей, поскольку они привязаны к биометрическим данным, хранящимся на вашем устройстве, которые нельзя так легко украсть или подделать. Операционные системы Apple, Google и Microsoft поддерживают ключи доступа.

Используйте двухфакторную аутентификацию: Активируйте двухфакторную проверку на любом сервисе, который ее предлагает. Двухфакторная аутентификация отправляет код входа через текстовое сообщение, электронную почту или телефонный звонок в качестве дополнительного уровня защиты помимо пароля. Некоторые эксперты предпочитают генераторы кодов на основе приложений, такие как Google Authenticator, поскольку текстовые сообщения могут быть уязвимы для хакеров.

Отслеживайте все свои важные учетные записи: Следите за всеми важными аккаунтами на предмет подозрительных изменений. Многие из них предлагают автоматические оповещения по электронной почте или в текстовом сообщении.

Заморозьте отчет о кредите: Замораживание вашего кредитного файла в трех основных агентствах — Experian, Transunion и Equifax — является простым способом предотвратить попытки злоумышленников открыть новые счета на ваше имя.

Создайте семейное кодовое слово: Если вы получаете подозрительный звонок или сообщение от кого-то, кто звучит как близкий человек и просит информацию, позвоните им сами или позвоните людям, близким к ним, если вы не можете связаться с ними. Кодовое слово, известное вам и вашим близким, может подтвердить их личность.

Хотя ИИ облегчает даже начинающим хакерам проведение более продвинутых кампаний, в конечном итоге злоумышленники все еще пытаются использовать человеческий фактор. Дресслер отметил: «Это все еще знакомый метод атаки. Просто используется ИИ, чтобы сделать его более правдоподобным и эффективным».