По мере совершенствования возможностей наступательного ИИ защита защитников стала глобальной необходимостью. Ущерб, который кибератаки могут нанести организациям с ограниченными ресурсами и зависящим от них сообществам, затрагивает каждого из нас. Именно поэтому мы запускаем инициативу Scan for Good («Сканирование во благо») — проект, который использует искусственный интеллект в сочетании с исследованиями безопасности людьми для выявления публично доступных уязвимостей и сложных векторов атак в государственных службах, на объектах критической инфраструктуры и в некоммерческих организациях.
Scan for Good помогает защитникам обезопасить жизненно важные системы до того, как злоумышленники смогут их использовать. Первые результаты подтверждают ее эффективность. Наши усилия по проверке результатов и сотрудничеству с пострадавшими организациями в целях устранения уязвимостей позволили выявить сотни публичных угроз, которые были устранены благодаря Scan for Good. Далее в этой публикации мы поделимся некоторыми из этих историй.
Мы хотели бы поблагодарить команду Google DeepMind за партнерство, которое помогло обеспечить успех Scan for Good. Мы также выражаем благодарность Агентству по обеспечению кибербезопасности и инфраструктурной безопасности (CISA) за сотрудничество по проекту, а также за их поддержку и рекомендации.
В условиях меняющихся угроз обнаружение защитных уязвимостей помогает укрепить цифровую инфраструктуру страны. В соответствии с Указом Президента Трампа 14409, CISA содействует легитимному и ответственному внедрению ИИ для ускорения обнаружения уязвимостей и укрепления киберустойчивости в правительстве, промышленности и ключевых организациях, поддерживающих наши сообщества. Вместе мы можем создать устойчивую экосистему, в которой те, кто защищает наше общество, имеют доступ к передовым технологиям и ведущей экспертизе в области кибербезопасности. Ник Андерсен (Nick Andersen), исполняющий обязанности директора CISA
В условиях меняющихся угроз обнаружение защитных уязвимостей помогает укрепить цифровую инфраструктуру страны. В соответствии с Указом Президента Трампа 14409, CISA содействует легитимному и ответственному внедрению ИИ для ускорения обнаружения уязвимостей и укрепления киберустойчивости в правительстве, промышленности и ключевых организациях, поддерживающих наши сообщества. Вместе мы можем создать устойчивую экосистему, в которой те, кто защищает наше общество, имеют доступ к передовым технологиям и ведущей экспертизе в области кибербезопасности.
Ник Андерсен (Nick Andersen), исполняющий обязанности директора CISA
ИИ меняет возможности эксплойтов
Поскольку искусственный интеллект стремительно развивается, основное внимание уделяется моделям, обнаруживающим новые уязвимости нулевого дня, что они делают в основном путем логического вывода и анализа кода. Создавая Wiz Red Agent — инструмент для тестирования на проникновение на базе ИИ с учетом контекста, — мы увидели другой пробел с более очевидными и немедленными последствиями: безопасность приложений, открытых и доступных в публичном интернете.
Именно на этом мы решили сосредоточить данный проект.
В реальных условиях критический риск часто исходит не от отдельной уязвимости в коде. Он может возникнуть из-за сочетания конфигураций, разрешений, идентификационных данных, API и поведения приложений, которые по отдельности могут казаться безопасными, но при объединении создают опасные векторы атак.
Исторически поиск и понимание этих путей в больших масштабах требовали значительного времени, опыта и ручных исследований. ИИ меняет это, значительно упрощая обнаружение уязвимых систем, понимание их поведения и объединение слабостей в реальные векторы атак.
Мы уже наблюдали этот сдвиг воочию. Red Agent обнаружил тысячи серьезных и критических уязвимостей в производственных средах, которые могли подвергнуть организации непосредственной опасности. Поскольку эти возможности становятся все более доступными и распространенными, командам безопасности потребуются новые инструменты, экспертиза и постоянные исследования, чтобы не отставать… ресурсы, которые есть не у каждой организации.
Scan for Good предоставляет эти возможности организациям, где успешная эксплуатация уязвимостей может иметь масштабные последствия, включая критическую инфраструктуру, государственные службы, здравоохранение и некоммерческие организации.
Там, где это разрешено, мы будем использовать Wiz Red Agent и дополнительные внутренние возможности исследований в области ИИ для проверки общедоступных веб-сайтов, API и приложений (подробнее об области тестирования и раскрытии информации см. ниже). Эта работа поможет организациям находить и устранять критические уязвимости до того, как это сделают злоумышленники, позволяя опережать противников по мере развития возможностей ИИ.
Модели искусственного интеллекта, такие как Gemini Cyber, дают нам возможность предоставить защитникам преимущество перед злоумышленниками. Это особенно необходимо организациям, выполняющим жизненно важные функции в обществе, многие из которых не имеют ресурсов, необходимых для защиты от атак. Scan for Good отвечает на этот вызов, используя ИИ для выявления рисков и защиты критической инфраструктуры, некоммерческих организаций и других общественно значимых структур. В ближайшие месяцы мы будем работать над тем, чтобы масштабировать этот эффект по всему миру. Ралука Ада Попа (Raluca Ada Popa), руководитель направления безопасности Gemini в Google DeepMind
Модели искусственного интеллекта, такие как Gemini Cyber, дают нам возможность предоставить защитникам преимущество перед злоумышленниками. Это особенно необходимо организациям, выполняющим жизненно важные функции в обществе, многие из которых не имеют ресурсов, необходимых для защиты от атак. Scan for Good отвечает на этот вызов, используя ИИ для выявления рисков и защиты критической инфраструктуры, некоммерческих организаций и других общественно значимых структур. В ближайшие месяцы мы будем работать над тем, чтобы масштабировать этот эффект по всему миру.
Ралука Ада Попа (Raluca Ada Popa), руководитель направления безопасности Gemini в Google DeepMind
Что мы узнали к настоящему моменту
Ниже приведены примеры того, как Scan for Good уже помогает общественно полезным организациям и крупным поставщикам технологий находить серьезные риски, обращенные в интернет, до того, как это сделают злоумышленники. Каждый пример был автономно обнаружен системами ИИ, лежащими в основе программы, безопасно проверен исследователями Wiz Research ровно настолько, чтобы подтвердить реальное влияние, и конфиденциально раскрыт, чтобы пострадавшая организация могла устранить проблему.
Общественно полезные организации
Эти примеры иллюстрируют первые результаты достижения одной из заявленных целей Scan for Good: помощь в защите организаций, чья безопасность имеет критическое значение для обслуживаемых ими сообществ.
В каждом из приведенных ниже случаев мы сотрудничали с пострадавшей организацией в рамках мероприятий по устранению уязвимостей.
- Национальный архив: на публичном веб-сервере был обнаружен ключ администратора, обеспечивающий доступ для чтения, записи и удаления к 8,8 миллионам файлов в национально значимом архиве одной из стран EMEA. Мы помогли устранить эту уязвимость, назначив правильный набор прав доступа.
Национальный архив: на публичном веб-сервере был обнаружен ключ администратора, обеспечивающий доступ для чтения, записи и удаления к 8,8 миллионам файлов в национально значимом архиве одной из стран EMEA. Мы помогли устранить эту уязвимость, назначив правильный набор прав доступа.
- Государственная больница: отсутствие средств контроля доступа привело к утечке контактных данных персонала и дало любому пользователю сети возможность управлять общебольничным каналом мобильных оповещений.
Государственная больница: отсутствие средств контроля доступа привело к утечке контактных данных персонала и дало любому пользователю сети возможность управлять общебольничным каналом мобильных оповещений.
- Частная больница: Небезопасная загрузка файлов на публичном сайте записи на прием предоставила контроль над сервером больницы и раскрыла персональные данные пациентов, клиническую информацию и подписи согласий.
Частная больница: Небезопасная загрузка файлов на публичном сайте записи на прием предоставила контроль над сервером больницы и раскрыла персональные данные пациентов, клиническую информацию и подписи согласий.
- Муниципалитет: Общедоступный сервис данных раскрыл конфиденциальную личную, медицинскую и финансовую информацию примерно 5 000 пожилых жителей. Мы подтвердили риски, не собирая массив данных.
Муниципалитет: Общедоступный сервис данных раскрыл конфиденциальную личную, медицинскую и финансовую информацию примерно 5 000 пожилых жителей. Мы подтвердили риски, не собирая массив данных.
- Государственный железнодорожный оператор: Утекшая производственная база данных обнажила активные сеансы администраторов, что позволило получить контроль над маршрутами, расписаниями, служебными объявлениями и учетными записями администраторов. Мы помогли оператору защитить систему до того, как работа общественного транспорта была нарушена.
Государственный железнодорожный оператор: Утекшая производственная база данных обнажила активные сеансы администраторов, что позволило получить контроль над маршрутами, расписаниями, служебными объявлениями и учетными записями администраторов. Мы помогли оператору защитить систему до того, как работа общественного транспорта была нарушена.
Фундаментальная цифровая инфраструктура
Помимо организаций с дефицитом ресурсов и организаций государственного сектора, инициатива Scan for Good также фокусируется на ключевых технологических платформах, составляющих цифровой фундамент общества. Ниже приведены несколько примеров; как и в предыдущих случаях, после раскрытия информации мы сотрудничали с пострадавшей компанией в целях устранения уязвимостей.
- Ведущая платформа обучающих данных для ИИ: Отсутствие контроля доступа с использованием NoSQL-инъекций создало возможность утечки и изменения проприетарных данных и проектов клиентов для обучения ИИ.
Ведущая платформа обучающих данных для ИИ: Отсутствие контроля доступа с использованием NoSQL-инъекций создало возможность утечки и изменения проприетарных данных и проектов клиентов для обучения ИИ.
- Платформа для создания сайтов и электронной коммерции: Уязвимость нулевого дня в общем платежном сервисе раскрыла имена клиентов, платежные системы, сроки действия и части номеров карт в различных магазинах. Мы подтвердили, что это проблема всей платформы.
Платформа для создания сайтов и электронной коммерции: Уязвимость нулевого дня в общем платежном сервисе раскрыла имена клиентов, платежные системы, сроки действия и части номеров карт в различных магазинах. Мы подтвердили, что это проблема всей платформы.
- Корпоративная платформа данных и ИИ: Уязвимые публичные CI/CD-пайплайны раскрыли учетные данные для внутренней системы отслеживания задач и производственной маркетинговой базы данных, подвергнув риску внутренние тикеты, проприетарные данные и клиентские записи. Мы работали с провайдером над защитой пайплайнов, ротацией учетных данных и устранением последствий утечки. Прочитайте первую часть опубликованного тематического исследования.
Корпоративная платформа данных и ИИ: Уязвимые публичные CI/CD-пайплайны раскрыли учетные данные для внутренней системы отслеживания задач и производственной маркетинговой базы данных, подвергнув риску внутренние тикеты, проприетарные данные и клиентские записи. Мы работали с провайдером над защитой пайплайнов, ротацией учетных данных и устранением последствий утечки. Прочитайте первую часть опубликованного тематического исследования.
- Провайдер облачной инфраструктуры: Учетные данные, раскрытые в коде публичного сайта, могли быть использованы для публикации вредоносного ПО более чем в 500 производственных образах контейнеров, поддерживающих флагманский ИИ-сервис. Мы доказали масштабы угрозы, не меняя ни одного образа, и работали с организацией над локализацией.
Провайдер облачной инфраструктуры: Учетные данные, раскрытые в коде публичного сайта, могли быть использованы для публикации вредоносного ПО более чем в 500 производственных образах контейнеров, поддерживающих флагманский ИИ-сервис. Мы доказали масштабы масштабы угрозы, не меняя ни одного образа, и работали с организацией над локализацией.
Во всех этих случаях небольшой публичный сигнал — будь то забытый маршрут, отсутствующая проверка разрешений или раскрытые учетные данные — быстро и автономно эскалировал доступ к конфиденциальным данным, инфраструктуре или административному управлению. Scan for Good использует эту скорость для защиты: заблаговременно находить путь, доказывать только необходимый масштаб воздействия и помогать устранить уязвимость до того, как она превратится в инцидент, работая в сотрудничестве с пострадавшими командами.
Эта работа опирается на предыдущие исследования Wiz, посвященные Base44, DeepSeek, Moltbook и Snowflake. В этих случаях простая публичная утечка привела к серьезным последствиям. Scan for Good применяет эти уроки более широко и после устранения уязвимостей и координированного раскрытия информации анонимно делится паттернами, чтобы специалисты по защите могли адаптироваться.
Действовать до начала атаки: Приверженность проактивной безопасности
Наша цель проста: находить серьезные риски, помогать организациям устранять их и делать это до того, как эти риски будут использованы злоумышленниками.
Мы будем уделять первоочередное внимание инфраструктуре, где успешная атака может нанести существенный вред, включая государственные службы, критическую инфраструктуру, некоммерческие организации, проекты с открытым исходным кодом и организации с ограниченными ресурсами.
Мы будем проводить тестирование только там, где это разрешено: либо в рамках утвержденной организацией программы поиска уязвимостей (bug bounty), либо при наличии установленной политики раскрытия уязвимостей, либо с явного разрешения. Любая организация, обеспокоенная наличием открытого сервиса, может подать заявку на оценку безопасности в рамках Scan for Good.
Каждая потенциальная находка будет проверяться и подтверждаться исследователем-человеком. ИИ может помочь нам исследовать больше систем и возможностей, но ответственность за подтверждение ущерба и принятие решений о раскрытии информации останется за людьми.
Когда мы выявляем серьезную проблему, мы конфиденциально связываемся с пострадавшей организацией, предоставляем четкую техническую информацию и работаем с командой, чтобы при необходимости оказать поддержку в устранении уязвимостей.
Масштабирование Scan for Good с помощью Gemini 3.8 Flash Cyber
Scan for Good использует передовые кибермодели для автоматизированной защиты с целью создания эффекта на уровне всей экосистемы. В этом смысле инициатива разделяет некоторую общую ДНК с программой Fairwind Program от Google DeepMind (Fairwind была создана как способ безопасно предоставить защитникам ранний доступ к мощным передовым возможностям).
Наши партнеры из Google DeepMind сыграли ключевую роль в обеих инициативах: инструменты на базе ИИ, лежащие в основе Scan for Good, работают на семействе моделей Gemini, особенно на новой Gemini 3.8 Flash Cyber. Благодаря нашему сотрудничеству с командой Google DeepMind, передовая производительность Gemini 3.8 Flash Cyber в области кибербезопасности помогает выявлять сложные пути атак в базовых технологиях ИИ и облачных технологиях, а также помогает Wiz работать с государственными службами, некоммерческими организациями и другими провайдерами критической инфраструктуры, чтобы они всегда на шаг опережали противников, использующих ИИ.
В ближайшие месяцы мы опубликуем более подробную информацию о том, как Google DeepMind помогает нам непрерывно совершенствовать наш сценарий использования Red Agent. Мы также с нетерпением ждем возможности поделиться реальными примерами того, как Gemini 3.8 Flash Cyber повлияла на организации по всему миру благодаря Scan for Good.
Превращение аналитических данных ИИ в коллективные знания
Scan for Good — это не только устранение уязвимостей. Программа также призвана помочь широкому экспертному сообществу понять, как искусственный интеллект меняет эксплуатируемость угроз и какие слабые места действительно имеют значение.
После того как обнаруженные нами проблемы будут устранены, мы планируем опубликовать анонимизированное исследование, в котором подробно опишем лежащие в их основе паттерны уязвимостей, влияние ИИ на практическую эксплуатируемость, а также то, как организации могут применять эти знания при сканировании собственных сред.
Мы сосредоточимся на выводах, а не на пострадавшей организации.
Мы надеемся, что эта работа даст специалистам по защите практическое представление о том, на что способен наступательный ИИ сегодня, в чем традиционные подходы могут оказаться неэффективными и как должны развиваться программы управления поверхностью атаки.
Ответственные исследования
Программа Scan for Good строится на принципах авторизации, минимальной и неразрушающей валидации, экспертного контроля, конфиденциального раскрытия информации и четких ограничений. Мы будем минимизировать взаимодействие с работающими системами, по возможности избегать ненужного доступа к конфиденциальной информации и предоставлять организациям разумную возможность устранить уязвимости.
Мы не будем рассматривать гипотезы, сгенерированные моделью, как уязвимости. Все находки будут проверяться опытными исследователями, а более глубокое тестирование будет проводиться только там, где это разрешено.
Scan for Good — это наша попытка превратить достижения в области ИИ в преимущество для защитников: находить критические уязвимости раньше злоумышленников, помогать организациям устранять их и делиться полученным опытом, чтобы все сообщество безопасности могло адаптироваться.
Организации, обеспокоенные состоянием своей инфраструктуры, могут подать заявку на проведение оценки Scan for Good на сайте wiz.io/scan-for-good/apply.