Недавно я почитал про будущих ИИ-хакеров (ИИ-агенты на базе рассуждающих моделей, натренированные для взлома систем) и понял, что проблема намного больше, чем «станет больше кибератак». Это уже не выглядит фантазией. OpenAI прямо пишет, что готовится к моделям уровня, способного создавать рабочие zero-day-эксплойты против хорошо защищённых систем или существенно помогать в сложных скрытных вторжениях и уже показывает оборонительную версию той же идеи: их agentic security researcher Aardvark ищет уязвимости в кодовых базах, предлагает патчи и уже находил новые CVE. Anthropic и другие лидеры отрасли также ведут работу в этом направлении и уже демонстрируют сильные результаты по части обнаружения уязвимостей в кодовых базах.
Главная проблема тут не в том, что ИИ начнёт взламывать лучше человека. Главная проблема в другом: он почти обнулит стоимость ещё одной попытки атаки.
До сих пор интернет держался на простом, хотя и неявном компромиссе. Да, системы ломали, деньги крали, базы утекали, людей фишили. Но хорошая атака всё ещё стоила дорого. Чтобы реально атаковать сложные системы, нужны были люди, квалификация, время, инфраструктура, терпение. Защитник не обязан был быть идеальным. Ему часто было достаточно сделать атаку слишком сложной, слишком долгой или слишком дорогой.
ИИ меняет именно это.
Он не просто помогает писать код или искать баги. Он удешевляет всю цепочку: поиск поверхности атаки, перебор гипотез, написание и адаптацию эксплойтов, анализ ошибок, обход защит, повторные попытки, смену тактики, масштабирование сработавшего сценария на тысячи целей. Не получилось с первого раза - попробует со второго, с сотого, с тысячного. Без усталости. Без дефицита специалистов. Почти без предельной стоимости каждой новой попытки.
И в этот момент ломается баланс.
Защитник должен защищать всё: серверы, ноутбуки, телефоны, аккаунты, сессии, почту, VPN, CI/CD, каналы восстановления доступа, сотрудников, подрядчиков, обновления, интеграции, внутренние процессы. Атакующему нужен один вход. Одна новая уязвимость. Один забытый сервис. Один скомпрометированный endpoint. Один захваченный аккаунт. Одна удачная цепочка из нескольких слабых мест.
Поэтому проблема ИИ-хакера не в том, что серверы будут взламывать чаще. Проблема в том, что вся современная цифровая жизнь держится не на серверах как таковых, а на доверии к удалённой цифровой сущности.
Мы каждый день исходим из того, что аккаунт принадлежит человеку. Что сообщение написал именно он. Что телефон у него в руках. Что банковское приложение открывает именно владелец. Что код подтверждения получил нужный человек. Что почта не угнана. Что рабочая сессия не украдена. Что собеседник в мессенджере - это действительно он, а не тот, кто уже сидит на его устройстве.
Если это перестаёт быть надёжным допущением, то рушится не только безопасность инфраструктуры. Рушится сам смысл удалённой цифровой жизни.
Если я не могу разумно доверять телефону, почте, банковскому приложению, мессенджеру, коду восстановления доступа и рабочей сессии, то телефон и компьютер перестают быть для меня кошельком, офисом, удостоверением личности и средством связи. Физически они останутся. Но как доверенная среда для важных вещей - они потеряют смысл.
Именно поэтому я не считаю ИИ-хакера просто ещё одной проблемой кибербезопасности. Это не «новый тип вируса». Это не «очередной виток гонки между атакой и защитой». Это сценарий, в котором открытый интернет перестаёт быть нормальной средой для всего, что действительно важно.
Сегодня ещё можно успокаивать себя тем, что ты закрыл порты, настроил доступ по ключу, поставил MFA, обновил систему и всё в целом делаешь правильно. Но в мире, где бот непрерывно ищет новые уязвимости, это уже не выглядит надёжной стратегией. Если он находит новую дыру быстрее, чем ты успеваешь обновиться, то твоя защита превращается в гонку, которую ты начинаешь с опозданием. А если обновления когда-нибудь станут почти мгновенными, то сама система экстренного обновления станет новой поверхностью атаки.
Из этого следует неприятный вывод.
Если цена атаки стремится к нулю, а цена защиты остаётся высокой, то единственной по-настоящему надёжной реакцией становится изоляция. Не в романтическом смысле «уйти в лес без телефона», а в техническом. Всё действительно ценное будет постепенно уходить из открытого интернета: в закрытые контуры, в аппаратные ключи, в физическое подтверждение, в разделение полномочий, в ручные процедуры, в локальные среды, в такие архитектуры, где атаку снова нужно делать дорогой, сложной и неудобной.
То есть не интернет станет безопаснее. Наоборот. Всё важное будет уходить из него, потому что иначенельзя.
Поэтому конец интернета наступает не тогда, когда перестают ходить пакеты.
Конец интернета наступает тогда, когда перестаёт быть разумным доверять аккаунту, устройству и удалённому каналу связи.
Интернет как сеть, возможно, останется.
Но интернет как среда доверия — нет.
