Открытые ИИ-модели сокращают разрыв в кибервозможностях с системами ограниченного доступа

Модели ИИ с открытыми весами приближаются к системам ограниченного доступа в автономных кибероперациях, согласно бенчмарку Vals AI, о котором сообщил The Decoder. GPT-6 Sol Daybreak от OpenAI выполнила 80,8% целей смоделированной атаки, тогда как свободно доступная DeepSeek V4.1 Flash достигла 72,8%. Заявленная стоимость составила около 3 долларов за один запуск против примерно 22 долларов для системы OpenAI.

Этот результат важен, поскольку различие в безопасности между проприетарными и открыто выпущенными моделями становится все менее полезным показателем киберриска. Веса модели, опубликованные в открытом доступе, нельзя отозвать или централизованно ограничить со стороны разработчика, а более низкая стоимость эксплуатации может сделать продолжительные атаки практичнее как для исследователей, так и для преступных групп.

О результатах сообщается, однако в доступных материалах они не прошли независимую проверку. Они получены в рамках бенчмарка CyberOffense компании Vals AI, как его описывает The Decoder, и должны рассматриваться как сигнал о возможностях модели в условиях конкретной методики тестирования, а не как доказательство того, что любая из систем надежно способна взламывать реальные компании.

Что проверял бенчмарк Vals AI

Бенчмарк помещает каждого ИИ-агента на изолированную атакующую машину и предоставляет ему только общедоступный веб-адрес. Агент не получает помощи человека, пытаясь перемещаться по смоделированной корпоративной сети. Такая конфигурация должна проверить, способен ли модель обнаруживать уязвимости, получать учетные данные, повышать привилегии и преследовать цели в связанных системах.

В более сложном сценарии под названием Lighthouse The Decoder сообщает, что GPT-6 Sol Daybreak получила административный контроль над одной смоделированной компанией, извлекла пароли и использовала их для доступа ко второй компании. За менее чем три часа она выполнила 27 из 31 цели. Согласно тому же отчету, DeepSeek выполнила 21 цель.

Эти показатели не являются прямым измерением частоты взломов в реальном мире. Однако они подчеркивают способность, которую часто упускают традиционные оценки чат-ботов: планирование в несколько этапов и продолжение работы после неудачи первых действий.

Время работы и стоимость изменили сравнение

Одной из важнейших деталей результатов стала роль времени работы. По имеющимся сообщениям, DeepSeek не добилась ни одного успешного результата в течение первых 25 миллионов токенов и достигла большей части прогресса только после превышения отметки в 100 миллионов токенов. Поэтому короткие оценки могут занижать эффективность системы с открытыми весами, которой позволяют продолжать попытки.

Это имеет практические последствия для защитников и команд, создающих продукты на базе ИИ. Модель, менее эффективная за минуту, все равно может быть привлекательной для атакующего, если способна дешево работать часами или днями. Сообщенное Vals AI сравнение стоимости — около 3 долларов за запуск DeepSeek V4.1 Flash и 22 долларов за GPT-6 Sol Daybreak — показывает, что способы развертывания этих систем будут определяться не только максимальными возможностями, но и ценой.

The Decoder также сослался на июльский анализ британского AI Security Institute. В нем оценивалось, что разрыв между открытыми и закрытыми передовыми моделями в области кибервозможностей сократился до четырех–семи месяцев против шести–десяти месяцев на протяжении большей части 2025 года. Это анализ института, о котором сообщило издание, а не новый результат бенчмарка Vals.

Доказательства остаются ограниченными и зависящими от источника

Наиболее сильные утверждения в этой статье основаны на данных бенчмарка и сообщениях поставщиков, а не на результатах, независимо воспроизведенных другими исследователями. Доступные сведения называют Vals AI источником результатов CyberOffense, но не содержат полной методологии бенчмарка, конфигураций моделей, промптов или данных для воспроизведения. Эти детали необходимы для справедливого сравнения систем.

Результаты также могут зависеть от доступа к инструментам, лимитов токенов, архитектуры сети, правил подсчета баллов и времени, выделенного каждому агенту. Поздний рост показателей DeepSeek делает лимиты токенов и времени особенно важными. Без стандартизированной отчетности модель может казаться слабее или сильнее в зависимости от того, поощряет ли оценка быстрый прогресс или настойчивость.

The Decoder также сообщил, что исследование Anthropic показало: свободно доступная GLM-5-3 способна создавать эксплойты почти на уровне внутренней модели под названием Mythos. Это сравнение также является утверждением, относящимся к конкретному исследованию, и не должно восприниматься как универсальный рейтинг открытых и закрытых систем.

Почему разработчикам и предприятиям стоит обратить внимание

Для команд безопасности непосредственный вывод заключается в том, что защита должна учитывать терпеливые автоматизированные процессы, а не только быстрые атаки. Мониторинг следует сосредоточить на необычных последовательностях разведки, доступа к учетным данным, повышения привилегий и горизонтального перемещения. В тестирование также следует включать долго работающих агентов с реалистичным доступом к инструментам, поскольку короткие сессии могут не выявить поведение, на которое указала Vals AI.

Для разработчиков ИИ результаты создают двустороннюю инженерную проблему. Те же возможности, которые позволяют агенту выявлять уязвимые пути, могут использоваться для поиска уязвимостей, проверки исправлений и защитной сортировки инцидентов. Как сообщается, Vals AI утверждает, что наступательные модели могут помочь компаниям первыми находить и устранять слабые места. Для безопасного превращения этой возможности в продукт потребуются строгие границы авторизации, изолированные среды, журналы аудита и средства контроля, не позволяющие защитным инструментам превратиться в универсальную систему вторжения.

Корпоративным покупателям следует осторожно относиться к предположению, что закрытые API автоматически безопаснее. Контроль и мониторинг со стороны поставщика могут упростить управление ограниченными моделями, но заявленные стоимость и возможности систем с открытыми весами означают, что организации могут столкнуться с мощными кибермоделями вне контроля поставщика. При проверке закупок нужно учитывать не только модель, которую использует компания, но и модели, доступные сотрудникам, подрядчикам и атакующим.

За чем следить дальше

Следующими полезными сигналами станут независимые воспроизведения результатов CyberOffense от Vals AI, включая полные правила оценки и выровненные лимиты токенов. Исследователям также следует сообщать о производительности в сетях разной архитектуры, при разных разрешениях инструментов и ограничениях времени, а не опираться на одну показательную цифру.

Защитникам следует следить за более длительными кампаниями вторжений с помощью ИИ, новыми оценками моделей с открытыми весами после продолжительного выполнения и свидетельствами того, что автоматизированные агенты могут переходить из смоделированных сетей в плохо защищенные производственные среды. В продуктах значимым прогрессом станут более эффективные средства авторизации, понятные журналы аудита и защитные агенты, способные доказывать свою ценность без неограниченного доступа к корпоративным системам.

Взгляд Creati.ai

Главное изменение не в том, что открытые модели окончательно сравнялись с закрытыми. Оно заключается в том, что оставшийся разрыв может больше не давать особого преимущества, если открытая система дешевле, настойчивее и после выпуска с трудом поддается ограничению. Возможности, стоимость эксплуатации и контроль становятся отдельными переменными киберриска.

Для ИИ-компаний и корпоративных команд разумный ответ — улучшать измерения и усиливать границы развертывания, а не паниковать из-за одного бенчмарка. Результаты Vals — важное предупреждение, но их реальное значение будет зависеть от того, подтвердят ли независимые тесты способность открытых моделей сохранять такие результаты в разнообразных реалистичных средах.