Конкуренты спасают конкурентов: Google DeepMind нашёл 5 дыр в Safari через AI Big Sleep

Google разработала искусственный интеллект под названием Big Sleep, который уже приносит ощутимую пользу в сфере информационной безопасности. На этой неделе Apple официально поблагодарила компанию за обнаружение пяти уязвимостей в компоненте WebKit, используемом в браузере Safari. Эти дефекты могли приводить к сбою браузера или повреждению памяти при обработке специально подготовленных веб-страниц.

Big Sleep — это система на базе крупной языковой модели, созданная подразделением DeepMind совместно с исследовательской группой Google Project Zero. Изначально проект носил кодовое название Project Naptime и был задуман как инструмент для автоматизированного поиска уязвимостей. Система использует алгоритмы машинного обучения для анализа кода и выявления потенциально опасных конструкций, которые могут привести к сбою или утечке данных.

Apple сообщила, что проблемы были устранены в обновлениях от 3 ноября, выпущенных для всех своих операционных систем и браузера Safari. Исправления получили iOS 26.1, iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, watchOS 26.1, visionOS 26.1 и Safari 26.1. Обновления доступны пользователям iPhone 11 и новее, iPad Pro 12.9 дюйма (3-го поколения и выше), iPad Air начиная с 3-го поколения, iPad mini с 5-го, а также Apple Watch, начиная с Series 6, Apple TV 4K (со 2-го поколения) и гарнитуры Vision Pro.

Всего Google Big Sleep помог выявить пять уязвимостей:

• CVE-2025-43429 — ошибка переполнения буфера, способная вызвать сбой процесса при обработке вредоносного контента. Исправлена за счёт улучшения проверки границ памяти.
• CVE-2025-43430 — неуточнённая ошибка, приводящая к аварийному завершению работы браузера при открытии вредоносных страниц. Исправлена улучшением управления состоянием.
• CVE-2025-43431 и CVE-2025-43433 — две независимые ошибки, вызывающие повреждение памяти при обработке специально созданных данных. Для них Apple внедрила усовершенствованное управление памятью.
• CVE-2025-43434 — уязвимость типа use-after-free, при которой Safari мог внезапно завершать работу. Она также устранена за счёт улучшенного контроля состояния.

Google подчеркнула, что Big Sleep уже доказал эффективность: ранее в 2025 году система выявила серьёзную уязвимость в библиотеке SQLite (CVE-2025-6965) с рейтингом опасности 7,2 по шкале CVSS. По оценке разработчиков, ошибка представляла реальный риск эксплуатации злоумышленниками.

Хотя в случае WebKit Apple не зафиксировала активного использования обнаруженных багов в атаках, компания рекомендовала всем пользователям установить последние версии систем, чтобы снизить вероятность потенциальных угроз. Обновления уже доступны для загрузки через стандартные механизмы обновления программного обеспечения.

Big Sleep считается одной из первых полностью автономных систем, способных самостоятельно анализировать исходный код и выявлять уязвимости, сопоставляя их с известными паттернами атак. Этот проект иллюстрирует, как ИИ постепенно становится инструментом не только для разработки, но и для защиты программных экосистем крупнейших технологических компаний.