Компания Apple тайно внесла исправления в iPhone без вашего ведома. Зачем?

В один из дней марта этого года ваш iPhone незаметно обновился.

Это обновление не вызвало всплывающего уведомления и не появилось в меню обновления системы; вам даже не нужно было нажимать кнопку «согласиться». Если бы не эта статья, вы, возможно, даже не знали бы о существовании этого обновления.

Насколько я помню, Apple никогда раньше ничего подобного не делала. Учитывая городскую легенду о «маленькой кнопочке на столе Кука», некоторые могут заподозрить, что Apple снова тайно внедряет «плановое устаревание»?

Не волнуйтесь, это не так уж и серьезно… На самом деле это патч безопасности, исправляющий уязвимость WebKit, которая позволяет вредоносным веб-сайтам обходить границы безопасности браузера.

Однако, как уже упоминалось ранее, это обновление не прошло стандартную процедуру обновления системы; вместо этого оно было незаметно распространено и установлено при подключении к интернету. Конечно, Apple не скрывала это намеренно; подробные даты и информация об уязвимостях доступны на официальном сайте.

Фактически, это первый случай, когда вступил в действие новый механизм обеспечения безопасности от Apple, «Фоновые улучшения безопасности».

В течение последнего десятилетия процесс обновления безопасности для любого технологического продукта следовал традиционной схеме: обнаружение уязвимостей, разработка исправлений, их включение в следующую версию системы, распространение обновления и ожидание согласия пользователей на загрузку, установку и перезагрузку устройства.

Эта логика не менялась много лет, и нет необходимости ее менять: если что-то работает, не нужно это чинить. Зачем что-то менять, если оно работает?

Однако эта логика верна только в том случае, если скорость нападающего и защитника примерно одинакова.

Проблема сейчас в том, что с развитием технологий искусственного интеллекта темпы ускоряются: уязвимости обнаруживаются быстрее, а их неправильное использование и даже крупномасштабное внедрение происходят еще быстрее. Окно возможностей для технологических компаний по исправлению своих продуктов становится все короче.

Технологические компании также начинают отставать от новой эры, которую они сами же и создали.

В 2023 году Apple внедрила в iOS 16 механизм «Быстрого реагирования на угрозы безопасности», который позволял незаметно завершать обновления безопасности. Однако после его выпуска эта функция не использовалась эффективно. В одном случае был выпущен некорректный код, из-за чего некоторые веб-сайты стали отображаться некорректно. В результате это обновление было быстро отозвано, и механизм больше никогда не использовался.

Но на этот раз все иначе. В этом году Apple начала внедрять политику «Улучшения безопасности в фоновом режиме» в iOS/iPadOS/macOS версии 26.1. Первое фактическое внедрение произошло в минорной версии iOS 26.3, а именно в патче для устранения уязвимости WebKit, упомянутом в начале.

Принцип примерно следующий: наиболее уязвимые компоненты, такие как Safari и WebKit, отделяются и помещаются в зашифрованный образ диска, который можно обновлять независимо, тем самым обходя весь традиционный процесс обновления по воздуху (OTA).

Официальное объяснение «фоновых улучшений безопасности» на самом деле очень простое, но обычно лаконичное и при этом эффективное. Логика Apple ясна: в современном мире безопасность не может ждать; её необходимо ускорить.

Вернемся к событиям этой недели: Apple присоединилась к инициативе Anthropic Glasswing, приобретя права на использование новейшей и наиболее значимой на сегодняшний день крупномасштабной модели компании — Mythos.

Эта модель способна на многое, но одно из ее главных преимуществ — обнаружение самых глубоко скрытых уязвимостей в коде продуктов, используемых сотнями миллионов пользователей каждый день, которые ранее никогда не были обнаружены никакими другими способами.

Официальный запуск «улучшений в фоновом режиме безопасности» и присоединение к программе Glasswing, произошедшие с разницей менее месяца, демонстрируют, насколько Apple ценит безопасность.

Важно понимать, что безопасность и конфиденциальность — это важнейшие темы, которые Apple пропагандирует, и компания должна сделать все возможное для обеспечения безопасности, даже если это означает «скрытие информации от пользователей».

Что может получить Apple от Mythos?

В программу Glasswing входят ведущие компании и организации, такие как Apple, Amazon, Google, Microsoft, Nvidia, Cisco, Palo Alto Networks и Linux Foundation, а также более 40 других организаций, получивших расширенный доступ, в результате чего общее число участвующих организаций превысило 50.

В настоящее время Mythos — самая сильная модель Anthropic, поэтому Glasswing можно рассматривать как создание Anthropic «внутренней группы тестирования»…

Эта модель еще не выпущена в открытый доступ, и даже платные пользователи высшего уровня (частные лица или предприятия) пока не могут ею пользоваться. Это крайне редкое явление в индустрии ИИ. Любая другая компания стремилась бы как можно быстрее вывести на рынок новейшую модель, чтобы получить больше прибыли (даже ценой снижения интеллекта старых моделей и сокращения вычислительной мощности).

Компания А решила не выпускать Mythos в полном объеме сразу, сославшись на то, что, по их официальному мнению, возможности модели могли выйти за рамки допустимого.

Согласно информации, предоставленной карточкой модели Mythos, компания А не обучала её специально для целей безопасности. Скорее, именно благодаря высоким возможностям программирования Mythos разработала мощные наступательные и оборонительные возможности.

Команда А, которой было специально поручено найти лазейки, активно заманила компанию Mythos «сбежать» из изолированной тестовой среды. В результате они обнаружили ошибочное правило в этой среде (не специально разработанное, а действительно допущенное упущение). Следуя этим путем, они получили привилегии, обошли исходящий фильтр, а затем отправили электронное письмо исследователю, сообщив о завершении миссии.

Помимо первоначальных подсказок, никто не давал никаких существенных указаний; модель самостоятельно выполнила всю цепочку разведки, проникновения и побега.

В своем отчете компания А особо отметила, что это лишь доказывает, что возможности модели «Мифос» превзошли ожидания, и не означает, что она обладает какой-либо автономной волей (доброй, нейтральной или злой).

Однако Mythos отклонит 96,7% явно вредоносных запросов и менее 93% запросов, имеющих как наступательные, так и оборонительные цели, — что все равно означает, что в 3-7% случаев вредоносные запросы могут быть выполнены.

Учитывая ежемесячные вызовы API Клода в 2,5 миллиарда, что составляет приблизительно 830 миллионов вызовов в день — однозначный процент — это все равно означает, что каждый день может быть пропущено и выполнено огромное количество вредоносных запросов. Даже один успешный запрос может иметь катастрофические последствия.

Его мощные возможности действительно вызвали обеспокоенность у его создателей и всего технологического мира.

Поэтому компания А предложила программу «внутреннего тестирования» Glasswing: вместо того, чтобы запирать Mythos в сейфе, было бы лучше позволить крупным компаниям и учреждениям с наибольшим потенциальным риском утечки данных первыми получить к нему доступ, проверить наличие уязвимостей в своих собственных продуктах и ​​устранить эти уязвимости до того, как они распространятся на более широкую область.

Для поддержки этого плана компания А выделит 100 миллионов долларов в виде кредитов на использование (по сути, предоставляя субсидии на использование API бета-тестерам) и пожертвует еще 4 миллиона долларов организациям, занимающимся разработкой решений в области безопасности с открытым исходным кодом.

Компания Apple получила этот доступ и просканировала iPhone и Mac, включая устройства под управлением iOS, macOS и Safari — продукты и операционные системы, которыми ежедневно пользуются миллиарды пользователей.

Почему Apple ценит Mythos? Разве её собственная команда безопасности недостаточно квалифицирована? Конечно, нет.

Проблема в том, что:

• Типичный исследователь в области безопасности обладает глубоким пониманием системной безопасности, но у него может не быть такого же глубокого понимания специализированных технологических стеков или конкретных языков программирования, как у инженера iOS/Unix/ядра.
• И наоборот, инженер, специализирующийся на iOS/Unix/ядре, может писать грамотный код, используя свой собственный технологический стек и хорошо знакомый язык программирования, но уязвимости всё равно неизбежны.
• Не говоря уже о том, что в будущем, когда инженеры будут сталкиваться с ошибками, им даже не понадобится Stack Overflow; они смогут просто использовать Claude Code. Их общие возможности будут гораздо менее обширными, чем раньше.

Как уже упоминалось ранее, наступательные и оборонительные возможности Mythos обусловлены его сильными навыками программирования. Сильные навыки программирования в сочетании с мощными наступательными и оборонительными возможностями делают его, по сути, сочетанием профессионального iOS-разработчика и первоклассного исследователя в области безопасности.

Твердо поймите оба аспекта: именно это по-настоящему ценит Apple.

Время истекает.

Компания Mythos имеет хорошо задокументированный опыт: она обнаружила тысячи ранее неизвестных уязвимостей высокого риска во всех основных операционных системах и браузерах. Более 99% из них на момент публикации отчета оставались неустраненными и находились в процессе скоординированного раскрытия информации.

Это относится и к OpenBSD. Будучи одной из операционных систем с самыми высокими признанными стандартами безопасности в мире открытого исходного кода, OpenBSD является базовой системой для многих межсетевых экранов и критически важных инфраструктур, а её код уже давно находится под постоянным контролем исследователей безопасности по всему миру.

Однако компания Mythos легко обнаружила уязвимость переполнения целочисленных значений в своем протоколе TCP, которая существовала в течение 27 лет, но никогда ранее не выявлялась, при этом затраты на вычислительные мощности составили менее 50 долларов.

Возможно, OpenBSD слишком далека от вашей реальности, но FFmpeg гораздо ближе. Он является основой практически всех приложений для воспроизведения видео. Каждое приложение с функцией воспроизведения видео, включая WeChat или браузер, который вы используете для чтения этой статьи, использует FFmpeg или его производные технологии.

Компания Mythos обнаружила ошибку в декодере H.264 FFmpeg, которая существовала более 16 лет. Ранее автоматизированные инструменты тестирования выполнили миллионы проверок этого участка кода, так и не обнаружив проблему.

Браузер вашего устройства Apple в той или иной степени использует WebKit, ваш маршрутизатор также может полагаться на вариант BSD для своей работы, а короткие видеоролики повсеместно распространены… Это программное обеспечение и технологии существуют в различных устройствах, которые мы используем каждый день, таких как мобильные телефоны и компьютеры.

Каждое устройство и каждый человек могут стать мишенью — это не преувеличение. Безопасность сегодня действительно важна для всех, и связь между ними никогда не была такой тесной.

Сами по себе уязвимости — не новость. Ежегодно регистрируются десятки тысяч номеров уязвимостей CVE. Специалисты в области безопасности давно выработали алгоритм действий в таких ситуациях.

Этот подход основан на предположении, что злоумышленникам нужно время. Раньше обнаружение уязвимости, понимание её причины и написание кода эксплойта, который можно надёжно воспроизвести, занимало от нескольких недель до нескольких месяцев и в значительной степени зависело от опыта ведущих специалистов по безопасности.

Специалисты по защите работают медленно, но все работают медленно, поэтому система может поддерживать медленное равновесие: согласно отчету Verizon о расследованиях утечек данных, среднее время устранения различных известных уязвимостей в прошлом году составило один месяц.

В течение многих лет в отрасли по умолчанию считался месяц допустимого периода воздействия. Однако сегодня мощные крупномасштабные модели сократили временной интервал для защиты до нескольких часов:

Взяв в качестве примера эксплуатацию компанией Mythos уязвимостей в системе Linux, можно отметить, что весь процесс, от самостоятельного проведения разведки, анализа уязвимостей и создания кода до повышения привилегий в ядре Linux, занял всего около половины дня и обошелся всего в 2000 долларов вычислительных мощностей.

Для завершения этой задачи специалисту по кибербезопасности потребуется потратить как минимум месячную зарплату одного человека (в реальных условиях это может потребовать привлечения нескольких человек).

Но сейчас у нас нет времени.

два шага Apple

Теперь вы должны понимать, почему Apple обошла вас стороной и напрямую применила патч.

Как уже упоминалось ранее, традиционный цикл обновления по воздуху (OTA) неизбежно включает в себя задержки. Внутренний и внешний персонал обнаруживает уязвимости, Apple начинает разработку кода исправления, упаковывает его в полное обновление системы, проходит тестирование, проверку и распространение, и, наконец, ждет, пока пользователь нажмет кнопку установки в удобное время — весь цикл обычно занимает несколько недель.

То, что раньше было разумным, теперь таковым не является. Возможно, Apple осознала это еще в 2023 году. «Фоновые улучшения безопасности», официально запущенные в этом году, являются наиболее прямым ответом Apple.

Став ключевым партнером программы Glasswing, Apple демонстрирует свой проактивный подход к безопасности в эпоху искусственного интеллекта. «Фоновые улучшения безопасности» сокращают цикл выпуска патчей, а использование больших языковых моделей упрощает подготовительную работу к установке патчей — обнаружение уязвимостей и генерацию исправлений.

Новая эра ИИ приносит новые угрозы. Вся цепочка реагирования на угрозы безопасности, от обнаружения и устранения до отправки push-уведомлений, должна быть ускорена на каждом этапе.

К счастью, сама масштабная модель может рассматриваться и как форма «выравнивания». Пока они могут позволить себе оплату токен-платежей, будь то гигантские компании, малые и средние предприятия или даже отдельные разработчики, они могут использовать её возможности для повышения безопасности своих продуктов.

Более того, тенденция коммерциализации модели чрезвычайно значительна. Возможно, в ближайшем будущем того же эффекта можно будет достичь всего лишь с десятками или даже одним процентом затрат (стоимость Mythos составляет 25/125 долларов за миллион токенов).

Однако дьявол всегда на шаг впереди. Новые технологии всегда будут создавать новые пути атаки. Игра в кошки-мышки, основанная на стремлении к безопасности, никогда по-настоящему не заканчивается; битва между добром и злом никогда не прекращается.

#Добро пожаловать на официальный аккаунт iFanr в WeChat: iFanr (идентификатор WeChat: ifanr), где вы сможете в кратчайшие сроки увидеть еще больше интересного контента.