<p>OpenAI выпустила GPT-6 Cyber и сообщила, что модель нашла 948 уязвимостей повышения привилегий в ядре Linux. Патчи сгенерированы автоматически, каждый проверил человек. Модель выдали ограниченному кругу клиентов, а её собственные cyber-возможности оценили как Critical. Источник: https://www.theverge.com/ai-artificial-intelligence/1028970/openai-says-it-found-948-local-privilege-escalation-vulnerabilities-in-the-linux-kernel</p><p>Считаю, что это ломает не только безопасность, но и рынок труда. Если машина находит и чинит дыры в ядре, ручной поиск CVE теряет в цене, а приёмка автопатчей, ревью диффа и окно обновления её набирают. Специалист по ИБ перестаёт быть охотником за уязвимостями и становится тем, кто отвечает за процесс.</p><p>ЧТО ЭТО ЗНАЧИТ ДЛЯ НАЙМА И КОМАНДЫ: в вакансиях по ИБ вместо «находим уязвимости» появляется «принимает автопатчи, разбирает дифф, держит SBOM и окна обновлений». Это другая работа и другой человек: тут нужен релиз-инженер, который умеет в CI/CD и в планирование окна, а не классификатор CVE. HRD стоит переписать требования к этим ролям уже сейчас, иначе получите либо ручных искателей, либо людей, которые притащили вендорский скрипт. Классификатор CVE и человек, который скажет «в прод это не пойдёт», теперь разные роли.</p><p>У нас в эксплуатации был дежурный, который был человеком-файлом: часть доступов к проду жила в его голове и в его блокноте, и в день инцидента половина знаний была с ним, а он в отпуске. С тех пор я не верю ни одному разговору про доступы, который нельзя проверить журналом. Автопатчи тут ничего не меняют, пока у кого-то нет права сказать «не ставим».</p><p>Патч без приёмки опаснее дыры: снаружи он выглядит закрытым.</p><p>Если вы HRD, напишите в комментариях, как у вас устроена приёмка автопатчей: кто подписывает их в прод и что происходит, когда ИИ ошибся.</p>