Штучний інтелект уже змінює те, як ми працюємо. Він так само змінює те, як нас атакують.
Саме тому варто уважно прочитати відкритий лист OpenAI «A call for collective action on cyber defense». Його підписали Google, Microsoft, Amazon, Anthropic, CrowdStrike, Cisco та понад сто інших компаній — від банків і телекомів до виробників захисного ПЗ.
Суть звернення проста і незручна. У нас є обмежене вікно, щоб підсилити захист. У найближчі місяці AI-атаки стануть масовішими і складнішими, бо моделі по всьому світу стають здатнішими. Під ударом — компанії і публічні сервіси, від яких залежать громади: лікарні, водоканали, інфраструктура інтернету.
Водночас той самий прогрес AI уже дає захисникам нові способи закривати слабкості, які накопичувалися роками. Якщо діяти швидко, це вікно можна використати на користь захисту, а не нападу.
Що саме каже лист, якщо прибрати пафос
Автори не відкривають нову загрозу. Вони фіксують зміну масштабу.
Поточний рівень безпеки вже недостатній. Давні вразливості, зайві права доступу, неправильні конфігурації, непропатчене ПЗ, слабка автентифікація і технічний борг у спадкових системах залишають інфраструктуру відкритою. Команди безпеки, особливо в критичній інфраструктурі, хронічно недофінансовані.
Друга теза: AI треба віддати захисникам, а не лише нападникам. Моделі можуть зробити базові задачі безпеки швидшими, дешевшими і якіснішими — шукати слабкі місця, перевіряти виправлення, піднімати кваліфікацію там, де немає великого SOC.
Третя: жодна компанія не повинна контролювати майбутнє кіберзахисту. Потрібна колективна відповідь — обмін інструментами, перевіреними фіксами, threat intelligence і практичними playbook’ами.
Четверта: це вже не задача «айтишників у підвалі». Лист прямо каже керівникам організацій ставити кіберзахист як пріоритет лідерства — з терміновістю інциденту, який важливіший за все, крім безперервної роботи бізнесу.
Чому для України це не теорія
Для більшості країн світу цей лист — попередження про майбутнє. Для України — опис ескалації того, що вже відбувається.
Наш бізнес і публічний сектор живуть під постійним кібернатиском. До цього додається війна, дефіцит людей, застарілі системи, генерація «на коліні» і швидке впровадження AI в роботу без відповідного контролю. AI-згенерований код уже потрапляє в продукти. Фішинг стає персоналізованішим. Атаки на ланцюги постачання — дешевшими.
Якщо глобальні гравці кажуть, що вікно захисників вимірюється місяцями, українським компаніям не можна чекати «коли буде бюджет на кібербезпеку». Бюджету може не бути. Вікно все одно закриється.
Я бачу це в компаніях, якими керую, і в бізнесах навколо: безпеку досі часто сприймають як квиток в IT-відділ, а не як умову виживання. Це помилка, яка в умовах AI-атак коштуватиме дорожче, ніж будь-який проєкт трансформації.
Як саме готуватися українським компаніям
Не ідеальна програма на три роки. Найближчі кроки, які можна зробити, не чекаючи великого інтегратора.
1. Зробити кіберзахист рішенням керівника, а не заявкою в IT
Призначте одного відповідального з реальними повноваженнями. Поставте безпеку в порядок денний ради директорів чи власників. Вимірюйте не кількість політик, а чи закриті найнебезпечніші діри і чи можна відновити роботу після удару.
2. Спочатку побачити, що у вас є
Не можна захистити те, чого не видно. Зробіть інвентаризацію систем, доступів, хмар, пошти, VPN, резервних копій і того, що «якось працює з 2018-го». Для енергетики, громад і промисловості це ще й OT і польове обладнання. Сліпа мережа — це вже не метафора.
3. Закрити найвищий ризик, а не все підряд
Багатофакторна автентифікація всюди, де є люди. Жодних спільних адміністраторських паролів. Найменші необхідні права. Сегментація мережі. Резервні копії, які хтось реально відновлював, а не лише «вони є». Патчі критичних систем. Якщо систему не можна пропатчити без зупинки сервісу — компенсуючі контролі, і їх треба перевіряти, а не записувати в презентацію.
4. Підняти планку для того, що купуєте, пишете і впроваджуєте — включно з AI-кодом
Лист окремо наголошує: AI-згенерований код не можна пускати в прод як чорну скриньку. Перевіряйте його так само суворо, як код junior-розробника. Те саме стосується нових SaaS, інтеграцій і «швидких автоматизацій». Швидкість виконання — перевага. Швидкість без контролю доступу — подарунок атакуючому.
5. Віддати AI захисникам, а не лише продажам і маркетингу
Якщо команда вже пише листи і код за допомогою моделей, хай ті самі інструменти допомагають шукати вразливості, розбирати логи, перевіряти конфіги і тренувати реакцію на інцидент. Для малого і середнього бізнесу це часто єдиний спосіб отримати експертизу, якої немає в штаті. Великі моделі — на найскладніше. Дешевші — на широке покриття.
6. Готуватися колективно
Самотужки український SMB не виграє гонку зі спонсорованими атаками. Діліться індикаторами з CERT-UA, галузевими спільнотами, ІТ-кластерами і радами бізнесу. Просіть постачальників не NDA-тишину, а конкретні патчі й інструкції. Вимірюйте прогрес кількістю захищених організацій і швидкістю стримування атаки, а не кількістю нарад.
7. Тренувати відновлення, не лише периметр
Питання не в тому, чи буде інцидент. Питання — за скільки годин ви піднімете критичні сервіси, хто приймає рішення вночі, і чи є паперовий (або офлайн) план, коли пошта і месенджери вже не ваші.
Вікно не чекатиме, поки ми «дозріємо»
Лист OpenAI і партнерів — не маркетинг кібербезпеки. Це визнання, що атака дешевшає швидше, ніж звичний захист встигає подорожчати розумом і людьми.
Українським компаніям не потрібен ідеальний стандарт Silicon Valley. Потрібна ясність, швидкість і системи замість героїзму нічних адмінів. Спочатку побачити активи. Потім закрити найнебезпечніше. Потім перевірити, що фікс працює. Потім поділитися тим, що спрацювало.
Оригінал звернення — тут: openai.com/collective-cyberdefense.