фактов 524 · сигналов 29 · статей 20 · база 3 168 КБ · ботов —guest@ftrlgэто вы~/whoamiВы пишете анонимно. Чтобы подписываться одинаково, при комментарии придумайте секрет — из него получится трипкод.регистрации нет и не будет

Жидкий код

редакция future.log · опубликовано

Жидкий код, или защита подвижной целью (англ. moving target defense, MTD), — подход к защите компьютерных систем, при котором система постоянно и непредсказуемо меняет то, на что опирается атакующий: адреса в памяти, сетевые адреса, имена полей на веб-странице, сам машинный код. Задача не в том, чтобы закрыть все уязвимости, а в том, чтобы разведка атакующего устаревала раньше, чем он успеет ею воспользоваться.

Идея появилась в начале 1990-х, в 2011 году правительство США назвало её одним из «меняющих игру» направлений исследований,1 а её самый массовый вид — перемешивание адресов в памяти — давно работает в обычных операционных системах: Microsoft, например, объявила его включённым по умолчанию в Windows Vista в 2006 году.2 С приходом ИИ «текучим» стал и код нападающих: появились первые, пока в основном экспериментальные вредоносные программы, которые во время работы просят языковую модель написать для них код, а защитники отвечают ИИ, который сам находит и латает уязвимости.34

История

  • 10.1993Фред Коэн предлагает защищать операционные системы эволюцией программ (англ. program evolution): код, который постоянно меняет свой вид, но делает то же самое, труднее атаковать автоматически.5 ¶ c5g4vhcir
  • 05.05.1997Стефани Форрест, Анил Сомаяджи и Дэвид Экли пишут, что разнообразие — «важный источник устойчивости биологических систем», а компьютеры «примечательны отсутствием разнообразия», и предлагают делать каждую копию программы немного другой.6 ¶ c9wz3ybay
  • 26.05.2006Microsoft объявляет, что в Windows Vista по умолчанию включено перемешивание адресного пространства (ASLR): библиотека загружается в одно из 256 мест, и атакующий угадывает адрес с вероятностью 1/256.2 ¶ c7nd3wb9z
  • 2011Выходит сборник «Moving Target Defense» под редакцией Сушила Джаджодиа и соавторов.7 ¶ c6376fp9b
  • 12.2011Федеральный план исследований кибербезопасности США называет «подвижную цель» одной из четырёх тем, «меняющих игру»: системы должны стать «менее детерминированными, менее однородными и менее статичными», чтобы «существенно повысить стоимость атак».1 ¶ ctfw5zgbx
  • 21.01.2014Стартап Shape Security выходит из тени с ShapeShifter — устройством, которое при каждом показе переписывает код веб-страницы, выдавая «нескончаемый поток случайных вариантов» и ломая ботов, которые ищут поля по именам.8 ¶ cxggewk3y
  • 30.03.2014В Linux 3.14 появляется перемешивание адресов самого ядра (KASLR).9 ¶ cmczf769a
  • 03.11.2014В Скоттсдейле проходит первый научный семинар ACM по защите подвижной целью.10 ¶ cbetpgrme
  • 19.12.2019F5 объявляет о покупке Shape Security примерно за $1 млрд.11 ¶ cbmzhdrr3
  • 19.03.2025Cloudflare запускает AI Labyrinth: вместо того чтобы блокировать краулер, нарушающий правила сайта, ему подсовывают лабиринт правдоподобных страниц, написанных ИИ.12 ¶ cvviw3pqq
  • 05.11.2025Google описывает вредоносную программу PROMPTFLUX, один из вариантов которой каждый час просит модель Gemini переписать весь свой исходный код, чтобы его не узнал антивирус.3 ¶ c95zmec4f

Как устроено

Все виды жидкого кода опираются на одно наблюдение: атака почти всегда начинается с разведки, а разведка предполагает, что система завтра будет такой же, как сегодня. Меняется то, что изучает атакующий.

Память. Программа и её библиотеки при каждом запуске оказываются по новым адресам (ASLR в Windows, Linux, macOS, OpenBSD); исследовательские системы вроде Shuffler перемешивают код уже работающей программы каждые десятки миллисекунд.213 Израильская Morphisec продаёт ту же идею для рабочих станций; в 2018 году министерство внутренней безопасности США выделило ей $200 тыс. на версию для виртуальных рабочих мест.14 ¶ cuk9f97rt

Сеть. Компьютеры регулярно меняют свои адреса — так, что свои продолжают связываться, а сканер атакующего видит каждый раз другую картину (MT6D, 2011; OpenFlow Random Host Mutation, 2012).1516 ¶ cgyjig993

Веб-страница. Имена полей, структура разметки и защитные скрипты меняются при каждой загрузке, чтобы бот, заученно заполняющий форму, промахивался: Shape Security (с 2020 года — часть F5), Kasada, которая пишет, что её скрипты «постоянно меняются, с другой обфускацией при каждой загрузке».817 Близкий приём — ловушки, где сама страница бесконечна: AI Labyrinth и Nepenthes заводят краулер в лабиринт сгенерированных страниц.1218 ¶ cpfa8zgbs

Код нападающего. Вредоносные программы давно меняют свой облик, чтобы их не узнал антивирус, — при запуске Shape Security её продукт прямо описывали как перенос этого приёма на сторону защиты.8 С языковыми моделями переписывание стало дешёвым. Образец BlackMamba (HYAS, 2023) при каждом запуске заново получал свой код от модели OpenAI; LAMEHUG, приписанный группировке APT28, не хранит команд вовсе — он просит модель Qwen сочинить их по описанию.1920 ¶ c2ycwys87

Код защитника. Обратная сторона той же дешевизны: ИИ-системы ищут уязвимости и сами пишут исправления. В финале конкурса DARPA AIxCC такие системы работали с более чем 54 млн строк кода, а CodeMender от Google DeepMind за полгода отправил в открытые проекты 72 исправления, переписывая и целые фрагменты кода, а не только латая.421 Брюс Шнайер с соавторами называют это «непрерывным поиском и непрерывным исправлением».22 ¶ cg4qyywkn

Данные

Сколько стоит атаке и защите

Кто и когдаЧто выяснялиЧто нашли
Шахам и др., 10.200423Можно ли перебором обойти перемешивание памяти на 32-битной системеВеб-сервер Apache под защитой PaX взламывается в среднем за 216 секунд. ¶ criuj45ue
Охрави и др. (MIT Lincoln Laboratory), 03.201424Слабые места перемешиванияНи один способ не выдерживает утечки произвольного участка памяти; 16 бит случайности у автоматически перезапускаемого сервера подбираются за минуты. ¶ czpyr7prq
Уильямс-Кинг и др. (Колумбийский университет), 201613Во что обходится перемешивание кода на летуПри перемешивании каждые 50 мс программа работает на 14,9% медленнее. ¶ c6tw3aszn

Что ИИ делает с «жидкостью»

Кто и когдаЧто выяснялиЧто нашли
Unit 42 (Palo Alto Networks), 20.12.202425Может ли языковая модель переписать вредоносный JavaScript так, чтобы его не узнал нейросетевой детекторВ 88% случаев детектор начинал считать код безопасным. Дообучение детектора на 10 тыс. таких вариантов подняло распознавание новых образцов на 10%. ¶ cmgi988vm
Хортеа и др., 05.202626Насколько разнообразен вредоносный код, который пишут ИИ-моделиВариант стоит $0,41–0,73, но модель не трогает границы между модулями — и одна сигнатура ловит все варианты. ¶ c7da9ni8a
Ногейра и др., 07.202627Независимы ли ошибки в нескольких версиях программы, написанных ИИНет: три-пять версий дают меньше половины того прироста надёжности, который был бы при независимых ошибках, а версии от одной модели — меньше трети. ¶ crq9cdpbv
DARPA AIxCC, 08.08.20254Могут ли ИИ-системы сами находить и исправлять уязвимостиВ 63 заданиях финала найдено 54 заложенные уязвимости, исправлено 43; заодно найдено 18 настоящих, никем не заложенных. ¶ cfdcv7m5v
[ВЫВОД РЕДАКЦИИ]

Жидкий код поднимает цену атаки, но не делает её невозможной: перемешивание памяти перебирается за минуты, если случайности мало (Шахам, Охрави), а постоянное движение стоит защитнику скорости (Уильямс-Кинг). ИИ удешевил «текучесть» для обеих сторон, но пока поверхностно: переписанный моделью код обманывает нейросетевой детектор (Unit 42), но ловится одной точной сигнатурой (Хортеа), а версии одной программы от ИИ ошибаются одинаково (Ногейра) — то есть настоящего разнообразия ИИ пока не даёт. Самый измеримый сдвиг — на стороне защиты: системы, которые сами находят и исправляют уязвимости (AIxCC). ¶ ccbyp5tdi

Инциденты

LAMEHUG: вредонос спрашивает команды у модели, июль 2025 ¶ cr93d4nzd

Украинская команда реагирования CERT-UA сообщила о рассылке по органам сектора безопасности и обороны: во вложении была программа, которая по заранее заданному описанию просила языковую модель Qwen 2.5-Coder через сервис Hugging Face сгенерировать команды и выполняла их. CERT-UA с умеренной уверенностью связала атаку с группировкой APT28.20 Google в ноябре назвала это семейство (у неё — PROMPTSTEAL) первым замеченным ею случаем, когда вредонос обращается к языковой модели в реальной операции.3

PromptLock: «первый ИИ-шифровальщик» оказался научной работой, август 2025 ¶ czn8d8pvd

ESET сообщила об обнаружении «первого известного ИИ-шифровальщика»: программа сама генерировала вредоносные скрипты с помощью открытой модели gpt-oss-20b, при этом в атаках её не видели.28 Вскоре выяснилось, что найденные на VirusTotal образцы — прототип исследователей Инженерной школы Тандон Нью-Йоркского университета: ESET дополнила свою статью 3 сентября, а университет рассказал об этом 17 сентября.29

Боты научились проходить Anubis, август 2025 ¶ ckjmx7i79

Хостинг кода Codeberg, защищённый от ИИ-скраперов программой Anubis (она заставляет браузер решить вычислительную задачу), сообщил: «похоже, ИИ-краулеры научились решать задачи Anubis».30 Исследователь Тэвис Орманди подсчитал, что такая задача почти ничего не стоит скраперу: доступ ко всем сайтам с Anubis на неделю обходится «примерно в $0».31

Критика

Ограничения подхода стали видны рано: Шахам с соавторами в 2004 году заключили, что на 32-битных системах перемешивание адресного пространства в духе PaX даёт лишь «небольшое замедление» распространения червей.23 ¶ ce5txvahb

Авторы федерального плана США 2011 года сами признали главное противоречие: принято считать, что сложность добавляет системе риска, и задача — «доказать, что сложность — это преимущество, а не слабость».1 ¶ cjk3pjz2y

Тот же вопрос встал перед этим сайтом. В прототипе формы комментариев future.log каждое её открытие выдавало новые случайные имена полей и перемешанные поля-обманки. При пересмотре перед запуском от них отказались: когда первые комментарии новичка проверяет редакция, а доверие закрепляется за постоянной подписью автора (трипкодом), случайные имена почти ничего не добавляли к защите. Остались одноразовый подписанный токен, одно поле-ловушка и лимиты частоты.32 ¶ censp6rrb

Исследователь Маркус Хатчинс назвал преувеличением шум вокруг PROMPTFLUX: в коде нет механизма, гарантирующего, что новая версия отличается от прежней и работает, а сама функция переписывания была закомментирована.33 Google и сама писала, что программа пока не способна заразить сеть жертвы.3 ⧗ ¶ cgjwejtv3

Развитие

Жидкий код смещается в двух направлениях. Защита от ботов дополняет запутывание проверкой подписи: с ростом трафика ИИ-агентов Cloudflare пишет, что вопрос, кого считать ботом, «больше не очевиден», и предлагает честным ботам подписывать запросы криптографически — чтобы сайтам не приходилось узнавать их по признакам, которые легко подделать.34 А «движением» защиты становится скорость исправлений: Google в мае 2026 года сообщила, что впервые нашла эксплойт для уязвимости нулевого дня, созданный, по её оценке, с помощью ИИ, — и успела до массовой атаки.35 ¶ cxhf73u7i

[ВЫВОД РЕДАКЦИИ]

Изначально жидкий код означал «перемешай, чтобы враг не нашёл». В эпоху ИИ он всё больше означает «перепиши быстрее, чем враг найдёт»: обе стороны используют модели, чтобы менять код, и выигрывает тот, чей цикл короче. Перемешивание по-прежнему работает против дешёвой массовой автоматизации, но против атакующего, который читает систему так же, как человек, главным становится не форма кода, а скорость, с которой его исправляют. ¶ cb58ctmz3

Сигналы

См. также

Щиты proof-of-workПоведенческая биометрияСмерть капчиТеория мёртвого интернетаАвтономные ИИ-агентыБезопасность ИИОткрытый код

Примечания

  1. Trustworthy Cyberspace: Strategic Plan for the Federal Cybersecurity Research and Development Program — National Science and Technology Council, Executive Office of the President, 12.2011. nitrd.gov ↩ ↩2 ↩3

  2. M. Howard. Address Space Layout Randomization in Windows Vista — Microsoft, 26.05.2006. learn.microsoft.com ↩ ↩2 ↩3

  3. GTIG AI Threat Tracker: Advances in Threat Actor Usage of AI Tools — Google Threat Intelligence Group, 05.11.2025. cloud.google.com ↩ ↩2 ↩3 ↩4

  4. AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. darpa.mil ↩ ↩2 ↩3

  5. F. B. Cohen. Operating system protection through program evolution — Computers & Security, т. 12, № 6, 10.1993. doi.org ↩

  6. S. Forrest, A. Somayaji, D. H. Ackley. Building diverse computer systems — HotOS-VI, IEEE, 05.05.1997. doi.org ↩

  7. S. Jajodia, A. K. Ghosh, V. Swarup, C. Wang, X. S. Wang (ред.). Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats — Springer, 2011. doi.org ↩

  8. J. Casaretto. Shape Security emerges from stealth, looking to change website security forever — SiliconANGLE, 21.01.2014. siliconangle.com ↩ ↩2 ↩3

  9. Linux 3.14 — Kernel Newbies, 30.03.2014. kernelnewbies.org ↩

  10. First ACM Workshop on Moving Target Defense (MTD 2014) — George Mason University, 03.11.2014. csis.gmu.edu ↩

  11. F5 to Acquire Shape Security, Transforming Application Security — F5 Networks (приложение к отчёту 8-K в SEC), 19.12.2019. sec.gov ↩

  12. R. Tatoris. Trapping misbehaving bots in an AI Labyrinth — Cloudflare, 19.03.2025. blog.cloudflare.com ↩ ↩2

  13. D. Williams-King et al. Shuffler: Fast and Deployable Continuous Code Re-Randomization — OSDI, USENIX, 2016. cs.columbia.edu ↩ ↩2

  14. News Release: Israeli Morphisec Gets $200K for Cybersecurity Tech — U.S. Department of Homeland Security, 02.10.2018. dhs.gov ↩

  15. M. Dunlop, S. Groat, W. Urbanski, R. Marchany, J. Tront. MT6D: A Moving Target IPv6 Defense — MILCOM, IEEE, 11.2011. doi.org ↩

  16. J. H. Jafarian, E. Al-Shaer, Q. Duan. OpenFlow random host mutation: transparent moving target defense using software defined networking — HotSDN, ACM, 13.08.2012. doi.org ↩

  17. JavaScript Deobfuscation: Hiding Intent to Fortify Bot Defenses — Kasada, 12.03.2021. kasada.io ↩

  18. J. Koebler. Developer Creates Infinite Maze That Traps AI Training Bots — 404 Media, 23.01.2025. 404media.co ↩

  19. J. Sims. BlackMamba: Using AI to Generate Polymorphic Malware — HYAS Labs, 07.03.2023 (архивная копия). web.archive.org ↩

  20. Кібератаки UAC-0001 на сектор безпеки та оборони із застосуванням програмного засобу LAMEHUG, що використовує LLM (CERT-UA#16039) — CERT-UA, 17.07.2025. cert.gov.ua ↩ ↩2

  21. R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. deepmind.google ↩

  22. H. Adkins, G. Evron, B. Schneier. Autonomous AI Hacking and the Future of Cybersecurity — Schneier on Security (перепечатка из CSO), 10.10.2025. schneier.com ↩

  23. H. Shacham et al. On the Effectiveness of Address-Space Randomization — ACM CCS, 10.2004. hovav.net ↩ ↩2

  24. H. Okhravi, T. Hobson, D. Bigelow, W. Streilein. Finding Focus in the Blur of Moving-Target Techniques — IEEE Security & Privacy, 03.2014. ll.mit.edu ↩

  25. Now You See Me, Now You Don’t: Using LLMs to Obfuscate Malicious JavaScript — Unit 42, Palo Alto Networks, 20.12.2024. unit42.paloaltonetworks.com ↩

  26. Hortea, Varlese, Romano, Tapiador. The Infinite Mutation Engine? Measuring Polymorphism in LLM-Generated Offensive Code — arXiv, 05.05.2026. arxiv.org ↩

  27. Nogueira, Pattabiraman, Vieira, Campos. A Systematic Methodology for Evaluating Failure Independence in LLM-Generated Code — arXiv, 02.07.2026. arxiv.org ↩

  28. A. Cherepanov, P. Strýček. First known AI-powered ransomware uncovered by ESET Research — ESET, 26.08.2025. welivesecurity.com ↩

  29. AI-Powered Ransomware That Sparked Concern Was NYU’s Work — NYU Tandon School of Engineering, 17.09.2025. engineering.nyu.edu ↩

  30. T. Claburn. Codeberg beset by AI bots that now bypass Anubis tarpit — The Register, 15.08.2025. theregister.com ↩

  31. T. Ormandy. Anubis. — lock.cmpxchg8b.com, 2025. lock.cmpxchg8b.com ↩

  32. Журнал решений future.log, решения № 23 (10.10.2026) и № 108 (12.10.2026) — редакция future.log; внутренний документ. ↩

  33. R. Lakshmanan. Google Uncovers PROMPTFLUX Malware That Uses Gemini AI to Rewrite Its Code Hourly — The Hacker News, 05.11.2025. thehackernews.com ⧗ ↩

  34. T. Meunier, M. Galicer. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. blog.cloudflare.com ↩

  35. GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access — Google Threat Intelligence Group, 11.05.2026. cloud.google.com ↩

Ваша подпись

Запоминать нужно секрет — это ваш пароль. Трипкод вычисляется из него и виден всем рядом с именем: с тем же секретом у вас всегда будет тот же трипкод, а подделать его без секрета нельзя. Секрет нигде не публикуется и не хранится на сервере.