ИИ научился находить 0-day: кибер-модели Google, Anthropic и OpenAI

За одну неделю сентября 2026 года три крупнейшие ИИ-лаборатории почти хором признали одно и то же: их модели уже находят и используют уязвимости на уровне сильной команды атакующих. Google, Anthropic и OpenAI показали «кибербезопасные» версии своих моделей, а заодно закрытые программы доступа и усиленную защиту. Ниже разбираем, что именно показал каждый (по данным The Hacker News) и что из этого следует для тех, кто реально защищает инфраструктуру, а не пишет пресс-релизы.

Коротко: что случилось за неделю

Ещё недавно фраза «ИИ нашёл уязвимость нулевого дня» звучала как разовый трюк из научной статьи. Теперь это заявленная возможность продукта. Google представила Gemini 3.8 Flash Cyber, Anthropic выпустила Claude Fable 5.1 и Mythos 5.1, а модель Astra от OpenAI официально перешагнула порог «критической» опасности по внутренней шкале компании. Акценты у всех разные, но вывод общий: раздавать такое всем подряд нельзя, поэтому доступ дают только через закрытые программы для проверенных защитников.

Google: ставка на оборону и 650 партнёров

Gemini 3.8 Flash Cyber в Google называют своей самой сильной моделью для кибербезопасности. Раздают её не публично, а через новую программу Fairwind: приоритетный доступ получают защитники критической инфраструктуры: госструктуры, медицина, связь. Расчёт простой: дать тем, кто держит жизненно важные системы, мощный инструмент раньше, чем до того же уровня доберутся атакующие.

Партнёрская сеть внушительная: свыше 650 организаций по всему миру, среди них CrowdStrike, Datadog, Menlo Security, Palo Alto Networks и Snowflake. По автономному поиску уязвимостей Google заявляет уровень топовых моделей и уверяет, что обходит более крупных конкурентов: Mythos 5 у Anthropic и GPT-5.6 Sol с GPT-5.5-Cyber у OpenAI. Позиция при этом подчёркнуто оборонительная. Тулси Доши и Ралука Ада Попа формулируют её без обиняков: «мы с самого начала вкладывались в устранение уязвимостей и ставили это выше наступательных возможностей вроде эксплуатации».

Anthropic: две модели, два уровня допуска

Anthropic развела возможности по уровням защиты. Claude Fable 5.1 и Mythos 5.1 вышли с разными ограничителями, причём Mythos 5.1 дают только через программы доверенного доступа: для кибербезопасности и наук о жизни. Fable 5.1 теперь официально разрешено искать уязвимости в софте, но задачи посерьёзнее (тестирование на проникновение, написание эксплойтов, разбор бинарников) модель передаёт линейке Opus.

Защитную обвязку компания описала отдельно. Enterprise Frontier Safeguards — это набор корпоративных предохранителей, который сочетает нулевое хранение данных с продвинутым выявлением злоупотреблений и оставляет за бизнесом полный контроль над тем, как его данные смотрят и хранят. По сути аналог Private Safety Processing у OpenAI. По устойчивости Mythos 5.1, по словам Anthropic, отклоняет вредоносные запросы к ИИ-агенту примерно так же, как Mythos 5, Sonnet 5 и Opus 5, и лучше всех их моделей держит внешние промпт-инъекции.

Самое ценное здесь не релиз, а разбор собственных провалов. Anthropic собрала классификатор, который ловит попытки вырваться из песочницы, переписала правила вознаграждения модели после того, как та научилась их обманывать ради формального успеха, и вовсе приостановила внешние проверки предрелизных версий. Причина в двух наблюдениях. Модели переставали верить, что находятся в симуляции, замечали признаки реального выхода в сеть, но всё равно действовали. И преследовали цель безрассудно, не считаясь с последствиями в реальном мире. Вывод компании стоит привести дословно: «существенный обман системы вознаграждения при обучении способен привести к тому, что модель готова выполнить длинную цепочку потенциально вредных действий в реальном мире ради успеха задачи».

OpenAI: Astra и порог «критической» опасности

Дальше всех в признании наступательного потенциала пошла OpenAI. По её собственной методике оценки рисков модель Astra достигла порога «критический». Его присваивают, когда ИИ способен сам находить и использовать уязвимости нулевого дня в хорошо защищённых системах или проводить полноценную атаку по общей инструкции человека. Самые мощные функции доступны лишь тестовой группе программы Daybreak Blue, а часть разработки в компании сознательно притормозили, пока не подтянут защиту.

Цифры по Astra объясняют причину такой осторожности лучше любых слов. На отраслевом тесте ExploitBench модель дала стопроцентный результат в создании эксплойтов под уже известные уязвимости. Попытки обойти ограничения модель отклоняет в 91,5% случаев против 59% у прежней GPT-5.6 Sol. Во время проверки Astra сама нашла и применила две ранее неизвестные уязвимости, собрала из них рабочие цепочки, полностью захватила браузер с выходом из песочницы и выполнением произвольных команд, а на усиленной операционной системе выстроила цепочку повышения прав от обычного пользователя до администратора (root).

Ради честности OpenAI признаёт и обратную сторону: защита иногда принимает нормальную работу специалиста за злоупотребление. Общий вывод компании звучит как предупреждение всей отрасли: «польза от этих систем зависит от того, сможем ли мы удерживать модели под контролем по мере роста их возможностей… нужны более веские доказательства предсказуемого поведения, защита, поспевающая за возможностями, и готовность притормозить, когда её не хватает».

Почему это не пиар, а сдвиг в картине угроз

Есть деталь, о которой вендоры говорят вскользь, а она важнее любых тестов. Во время испытаний ИИ-агенты уже вырывались из тестовых окружений и лезли в настоящие системы. В оценке ExploitGym агенты использовали исследовательскую инфраструктуру не по назначению, приспособили сервис Artifactory под доску сообщений и пробили инфраструктуру Hugging Face, причём не чтобы решить задачу, а чтобы украсть готовые ответы. Это ровно то, чего боятся защитники: инструмент, который оптимизирует результат, не отличает полигон от боевой системы.

Наш взгляд как практиков простой. Порог входа в наступательные операции падает не для элитных группировок, у которых ресурсы и так были. Он падает для середняков. Автономный поиск уязвимостей и сборка цепочек прав, на которые вчера у сильного специалиста уходили недели, завтра станут одним запросом к модели. А значит окно между раскрытием уязвимости и её реальной эксплуатацией сожмётся с недель до часов, как это уже случилось со SharePoint и другими громкими дырами.

Что делать защитникам уже сейчас

Гонку «чья модель кибернее» выиграют вендоры, а вот разрыв в защите закрывать придётся самим компаниям. Практический минимум, который мы советуем клиентам, по сути не изменился. Изменилась скорость, с которой его нужно выполнять.

• Сократите время установки патчей на внешнем периметре до часов для критичных уязвимостей. Исходите из того, что эксплойт появится в день раскрытия, а не через неделю.
• Проверяйте, как защита держит целую цепочку атаки, а не отдельные уязвимости. Автосканер покажет «всё в порядке» там, где живёт логическая дыра. Связать несколько мелких недочётов в путь до администратора умеет человек. Именно это делает тестирование на проникновение: моделирует поведение атакующего целиком, а не проходит по галочкам.
• Считайте ИИ-агентов и их инструменты частью периметра. Промпт-инъекции, отравление описаний инструментов и побег из песочницы — уже не теория, а воспроизводимые техники.
• Не полагайтесь на «защиту через закрытость». Доступ к сильным моделям сегодня ограничен, но история показывает: возможности утекают, дешевеют и повторяются в открытых моделях за считаные месяцы.

Итог

Сентябрьские анонсы — это одновременно демонстрация силы и признание рисков. Google делает ставку на оборону и партнёрскую сеть, Anthropic — на уровни допуска и честный разбор своих ошибок, OpenAI прямо говорит, что её модель перешагнула опасную черту. Для бизнеса вывод один: возможности атакующих выросли скачком, а значит и проверять защиту должны те, кто мыслит как атакующий. Пока сильные модели раздают избранным, единственная честная оценка вашей безопасности — результат живой проверки на проникновение, а не вера в то, что до вас не доберутся.