Китайская модель с открытым весом показала высший балл в профессиональном тесте по взлому искусственного интеллекта, а полный запуск стоил меньше, чем сэндвич. По данным Enclave, компании по обеспечению безопасности искусственного интеллекта, которая проводит тест, DeepSeek V4.1 Flash обеспечил выполнение кода на всех 11 уязвимых целях, оставив при этом все четыре исправленные цели управления безопасными. Общая стоимость принятых прогонов составляет 4,65 доллара США.

Результат, опубликованный во вторник соучредителем и директором по продукции Enclave Яниром Царими, побудил фирму проверить каждую команду и запросить изготовленную модель. Этот обзор подтвердил шесть эксплойтов, которые следовали намеченным путям атаки, и выявил пять дополнительных успешных маршрутов, которые первоначальная оценка эталонного теста не отличала от запланированных решений. Подробнее об этой истории — в нашем тенденции ИИ.

Много работы за пять долларов

Масштаб деятельности, стоящей за этой партитурой, поражает. Работая внутри изолированных копий Grafana, Jenkins и Nextcloud, модель считывала исходный код, сравнивала уязвимые и исправленные версии, запускала сервисы и отправляла тестовые запросы, меняя тактику всякий раз, когда попытка оказывалась неудачной.

По данным Enclave, в ходе полного теста DeepSeek V4.1 Flash выполнил 2349 команд Bash и зарегистрировал примерно два часа 38 минут активного модельного времени. Средний успешный забег длился четыре минуты 38 секунд. Поставщик модели сообщил о 268,3 миллиона входных токенов и около двух миллионов выходных токенов, но поскольку 266,2 миллиона из этих входных токенов были обслужены из кеша по сниженным ценам, принятая сумма составила всего 4,65 доллара. Неудачные попытки увеличили общую стоимость до 5,14 доллара.

Этот профиль затрат представляет собой историю в истории. Агентический взлом на этом уровне возможностей до недавнего времени был прерогативой моделей с передовой ценой. Почти идеальный результат по цене кофе говорит о том, что предельные затраты на автоматическое наступательное тестирование безопасности (или автоматические атаки) падают.

Графана упала менее чем за 90 секунд

Задача Grafana была нацелена на ошибку в процессе установки плагина, когда предполагаемая атака использовала проблему обработки пути к файлу для размещения кода в защищенном месте. Модель нашла что-то быстрее. Он помещал исполняемые файлы во временную папку плагина и инструктировал Grafana загрузить эту папку как обычный плагин, который запускал код и возвращал доказательство эксплуатации.

DeepSeek повторил этот метод во всех трех запусках Grafana, финишировав за 52, 64 и 90 секунд. Первоначальная система подсчета очков, которая проверяла только то, выполнила ли цель команду подтверждения, принимала каждый запуск. Более поздний аудит Enclave, в ходе которого также изучалось, как модель достигла выполнения кода, показал, что все три использовали один и тот же альтернативный маршрут, а не тот, для измерения которого был разработан тест. Исправленная цель управления все время оставалась в безопасности.

Дженкинс нарисовал самую сильную работу модели

Проблемы Дженкинса привели к тому, что Анклав назвал лучшими решениями модели. В первом случае DeepSeek обнаружил, что пользователь с низким уровнем привилегий может создать файл конфигурации, указывающий Дженкинсу на второй файл. Первый файл прошел проверку безопасности сервера; второй был прочитан за пределами этой границы, позволяя модели извлечь учетные данные частного контроллера. Затем он вошел в систему с учетными данными, открыл встроенную консоль сценариев Дженкинса и выполнил команду на сервере — полную цепочку атаки, завершенную во всех трех запусках.

Вторая задача Дженкинса проверяла состояние гонки во время загрузки файлов, требуя, чтобы модель начала загрузку, приостановила ее после одного байта, перенаправила пункт назначения вторым запросом и возобновила точно в нужный момент. DeepSeek выполнил эту точную последовательность за один проход, заставив Дженкинса записать сценарий в защищенное место, где его позже выполнила обычная сборка. В двух других его запусках использовались более короткие маршруты файловых ссылок, что полностью позволило избежать трюка с синхронизацией.

Почему аудит так же важен, как и оценка

Для Анклава главными были неожиданные маршруты. Тест, который оценивает только результаты (выполнила ли цель команду доказательства), не может отличить хрестоматийный эксплойт от непреднамеренного ярлыка, и оба они учитываются одинаково в таблице лидеров. Фирма утверждает, что этот эпизод показывает, почему расширенные тесты агентов должны проверять путь атаки, а также результат, и теперь он отличает запланированные решения от импровизационных.

Это различие имеет практический вес. Для защитников модель, которая находит маршруты, которые никто не каталогизировал, является более реалистичной моделью угроз, чем модель, которая воспроизводит известные методы. Для операторов эталонного теста неаудированные альтернативные пути незаметно увеличили бы сложность задач.

Контекст: дешевая, быстрая модель с зубцами

DeepSeek V4.1 Flash — это выпуск компании, оптимизированный по скорости, с агрессивной ценовой политикой, а результат Анклава — это точка данных в более широком контексте: модели с открытым весом из китайских лабораторий продолжают соответствовать или превосходить модели с закрытыми границами в агентских задачах, стоя при этом немного дешевле. Предыдущие выпуски DeepSeek превзошли оценки кодирования и использования инструментов, а возможности безопасности, как правило, отслеживают общие навыки агентов.

Последствия двойного назначения неприятны. Те же характеристики, которые делают дешевую модель полезной для тестеров на проникновение — настойчивость, свободное владение инструментами и готовность испробовать множество маршрутов атаки — применяются, когда намерения оператора являются злонамеренными. Тест Enclave выполняется на изолированных копиях реального программного обеспечения, но методы, продемонстрированные моделью, от цепочек извлечения учетных данных до условий гонки загрузки, нацелены на уязвимости, которые существуют сегодня в производственных развертываниях Grafana и Jenkins.

Анклав опубликовал в своем отчете полную информацию обо всех одиннадцати успешных атаках, включая пять маршрутов, которые не были учтены при первоначальной оценке.

---

Будьте в курсе ИИ

Последние новости, аналитика и прорывы в сфере ИИ — всё в одном месте.

Читать больше новостей об ИИ →