Знаете, когда я впервые прочитал о том, что искусственный интеллект автономно нашёл критическую брешь в самом популярном браузере планеты, первой мыслью было — наконец-то машины начали работать на нашу безопасность так же эффективно, как могли бы работать против неё. 11 августа 2025 года ИИ-агент Big Sleep от Google обнаружил уязвимость CVE-2025-9478 в Chrome, и это событие стало поворотным моментом в истории цифровой защиты.
Рождение цифрового охотника за багами
Big Sleep — это не просто очередной сканер уязвимостей. Созданный совместными усилиями Google DeepMind и легендарной команды Project Zero в 2024 году, этот ИИ-агент построен на базе нейросети Gemini. Что делает его особенным? Способность мыслить как злоумышленник, но действовать как защитник.
К моменту обнаружения уязвимости в Chrome, Big Sleep уже имел впечатляющий послужной список. В июле 2025 года он предотвратил эксплуатацию критической уязвимости CVE-2025-6965 в SQLite — это был первый документированный случай, когда ИИ остановил атаку до того, как хакеры смогли её реализовать. Google получил ограниченные индикаторы от систем threat intelligence о подготовке атаки, скормил их Big Sleep, и тот за считанные часы вычислил точную уязвимость, которую планировали использовать злоумышленники.
К августу 2025 года на счету Big Sleep было уже более двадцати обнаруженных уязвимостей в открытом программном обеспечении. Среди них — критические баги в движке V8 (CVE-2025-9132), проблемы с выходом за границы массива и другие опасные дефекты. Каждая находка проходила обязательную верификацию человеком — Google прекрасно понимает риски слепого доверия машинным алгоритмам.
Анатомия критической уязвимости CVE-2025-9478
Обнаруженная проблема затронула ANGLE (Almost Native Graphics Layer Engine) — ключевую графическую библиотеку Chrome, которая транслирует вызовы OpenGL ES в команды для различных графических API. Без ANGLE современный веб с его WebGL, сложной графикой и интерактивными приложениями просто не существовал бы в том виде, к которому мы привыкли.
Технически это была ошибка типа use-after-free (CWE-416) — ситуация, когда программа обращается к уже освобождённой памяти. Злоумышленник мог использовать специально сформированную HTML-страницу для порчи кучи и потенциального выполнения произвольного кода. CVSS оценка варьировалась от 8.8 до 9.8 баллов — практически максимальный уровень критичности.
Что делало эту уязвимость особенно опасной? Для её эксплуатации не требовалось никаких действий от пользователя, кроме посещения вредоносной страницы. Никаких загрузок, никаких разрешений — просто переход по ссылке мог скомпрометировать систему. Уязвимость затрагивала Chrome на всех основных платформах: Windows, macOS, Linux и даже Android.
Хронология событий: от обнаружения до патча
Последовательность событий впечатляет своей оперативностью. 11 августа 2025 года Big Sleep зафиксировал аномалию в поведении ANGLE при определённой последовательности графических операций. Система не просто отметила потенциальную проблему — она провела глубокий анализ, смоделировала различные векторы атаки, оценила реальную опасность.
После автоматической верификации информация была передана специалистам Google для финальной проверки. Инженеры подтвердили находку и начали разработку патча. 26 августа 2025 года — ровно через пятнадцать дней после обнаружения — Google выпустила обновления: версии 139.0.7258.154 и 139.0.7258.155 для Windows и macOS, 139.0.7258.154 для Linux. Пользователям Android пришлось подождать до версии 139.0.7258.158.
Важнейший факт: на момент выпуска патча не было зафиксировано ни одной попытки эксплуатации уязвимости. Big Sleep опередил злоумышленников, что в мире кибербезопасности случается крайне редко.
Методология Big Sleep: как машина думает подобно хакеру
Подход Big Sleep кардинально отличается от традиционных методов поиска уязвимостей. Вместо простого сканирования кода или выполнения предопределённых тестов, система использует комбинацию threat intelligence и предиктивного анализа.
ИИ интегрирует данные из экосистемы безопасности Google, анализирует паттерны известных атак, изучает поведение реальных злоумышленников. Затем применяет эти знания для проактивного поиска потенциальных точек входа. В случае с SQLite (CVE-2025-6965) Big Sleep получил минимальные индикаторы компрометации и самостоятельно реконструировал всю цепочку атаки, которую только планировали реализовать хакеры.
Система работает автономно, но все критические находки проходят обязательную проверку человеком. Google публикует результаты работы Big Sleep через официальный issue tracker, обеспечивая прозрачность процесса. Это важно для доверия сообщества — никто не хочет полагаться на чёрный ящик в вопросах безопасности.
Реакция индустрии и экспертного сообщества
Новость о находке Big Sleep вызвала бурную реакцию в профессиональных кругах. Специалисты по безопасности разделились на два лагеря. Оптимисты видят в этом начало новой эры, где ИИ-агенты смогут находить уязвимости быстрее злоумышленников, существенно повышая общий уровень защищённости.
Скептики указывают на риски. Если ИИ может находить уязвимости автономно, что помешает злоумышленникам создать аналогичные системы? Некоторые эксперты опасаются гонки вооружений в киберпространстве, где победит тот, у кого более совершенный ИИ.
Компании-производители средств защиты — Rapid7, Tenable, Qualys — оперативно добавили проверки CVE-2025-9478 в свои сканеры. Корпоративные клиенты получили рекомендации по срочному обновлению, хотя многие организации традиционно медлят с установкой патчей из-за необходимости тестирования совместимости.
Особенно интересна реакция сообщества разработчиков открытого ПО. С одной стороны, они рады дополнительному уровню защиты. С другой — обеспокоены тем, что крупные корпорации получают преимущество в виде продвинутых ИИ-инструментов, недоступных независимым проектам.
Статистика впечатляет: после публикации информации об уязвимости, согласно телеметрии Google, более 60% пользователей Chrome обновились в течение первой недели. Это рекордный показатель, который говорит о растущей осознанности важности кибербезопасности.
Наблюдая за развитием событий вокруг CVE-2025-9478, понимаю — мы свидетели исторического момента. Впервые искусственный интеллект не просто помог человеку найти проблему, а полностью автономно обнаружил и корректно классифицировал критическую уязвимость в продукте, которым пользуются миллиарды людей. Big Sleep доказал: будущее кибербезопасности уже наступило, и в этом будущем машины и люди работают бок о бок, защищая цифровой мир от постоянно эволюционирующих угроз.