Kovo mėnesį Arabų Emyratų startup’as „Advanced Security Solutions” paskelbė oficialų kainoraštį. Vienos rūšies kompiuterio spraga kainuoja iki 20 milijonų dolerių. Pirkėjai yra žvalgybos tarnybos ir teisėsaugos institucijos visame pasaulyje.
Tai ne darknet. Tai nėra slapta. Tai yra legali pilkoji rinka, kurioje vyriausybės perka įrankius pažeisti tavo telefoną, kompiuterį ar interneto naršyklę.
Šiame straipsnyje paaiškinsiu vieną žodį, kuris netrukus pradės dažnai šmėžuoti tavo akiratyje: zero-day. Per 15 metų rizikos valdymo srityje mačiau daug terminų, kurie atrodė techniški, kol netapo kasdienybe. Šio žodžio laukia toks pats likimas.
Ką reiškia „zero-day”
Žodis paprastas, kai jį paaiškini. „Zero-day” reiškia spragą programinėje įrangoje, kurios gamintojas dar nežino.
Įsivaizduok, kad tavo kazino turi taisykles. Tu jas sukūrei, peržiūrėjai 50 kartų, samdai darbuotojus stebėti žaidėjų. Bet vienas matematikas randa logikos klaidą tavo sistemoje. Jis žino, o tu dar ne. Jam liko laukti nulis dienų, kad ją išnaudotų prieš tau pastebint.
Štai kodėl gamintojas turi nulį dienų sutaisyti „zero-day” spragą, nes jis net nežino, kad ji egzistuoja.
Skirtumas nuo kitos rūšies spragų yra ryškus. Įprasta saugumo spraga yra žinoma, gamintojas jau išleido atnaujinimą ir tau tereikia jį įdiegti. Zero-day yra kitokia. Pataisymo dar nėra. Apsaugos nėra. Tu net nežinai, kad esi pažeidžiamas.
Realus pavyzdys iš šios savaitės
Kalbėkim konkrečiai. Per pastaras 10 dienų pasaulyje paaiškėjo penkios didelės zero-day atakos.
Balandžio 30 dieną viešai paaiškėjo spraga cPanel sistemoje. Tai yra įrankis, kurį naudoja praktiškai visi hostingo tiekėjai, valdantys internetines svetaines. Pasaulyje yra apie 1,5 milijono cPanel serverių.
Ir štai, kas šokiruoja. Atakuotojai šia spraga naudojosi nuo vasario 23 dienos. T.y., 65 dienas niekas nežinojo, kad ji egzistuoja, išskyrus tuos, kurie ja naudojosi, kad pridarytų žalos.
Per tas 65 dienas buvo galima pavogti tūkstančių svetainių duomenis, įdiegti kenkėjišką kodą, perimti administratorių paskyras. Vartotojai nieko nepastebėjo. Hostingo įmonės nieko nepastebėjo. Net pats cPanel iš pradžių neigė, kad spraga egzistuoja.
Ar tavo svetainė buvo viena iš jų? Greičiausiai nežinai. Daugelis žmonių taip ir nesužinos.
Kaina, dėl kurios verta pakelti antakius
Pereikim prie skaičių, dėl kurių tau susisuks galva.
Viena iPhone zero-day spraga kainuoja iki 9 milijonų dolerių. Tai yra oficialus Crowdfense (vienas didžiausių zero-day brokerių pasaulyje) kainoraštis.
Naršyklių exploit’ai nuo 3 iki 3,5 milijonų dolerių. Viena iš spragų gali leisti tai, ko tu visai nesitiki: atidarius svetainę, nuotoliniu būdu perimti tavo kompiuterį.
Android telefonų atakų kainos per pastaruosius metus išaugo 1150%. Viena atakų grandinė telefonams dabar kainuoja nuo 200 tūkstančių iki 2,5 milijono dolerių.
Ir naujausia kategorija: naujasis Arabų Emyratų brokeris moka nuo 5 iki 20 milijonų dolerių už vieną zero-day. Tai didžiausia žinoma kaina rinkoje. Brokeris viešai skelbia, kad parduoda žvalgyboms ir teisėsaugai.
Kainos kyla 44% per metus. Priežastis paprasta. Sistemos darosi saugesnės, todėl naują spragą rasti darosi vis sunkiau. O paklausa neauga, ji sprogsta.
Kas perka
Pirma — vyriausybės. Daugiausia. JAV NSA, Izraelio žvalgyba, Rusijos tarnybos, Kinijos tarnybos, daugybė mažesnių valstybių. Žvalgybinėms operacijoms prieš kitas šalis, prieš teroristus, prieš dissidentus. Kartais teisėtoms, dažnai — ne.
Antra — sukčiavimo grupės. Ransomware grupės gali sumokėti milijoną už zero-day, jei tikisi gauti dešimt milijonų iš atakos.
Trečia — komercinės šnipinėjimo įmonės. Tai naujausias ir labiausiai augantis pirkėjų segmentas. 2025 metais pirmą kartą komercinės šnipinėjimo įmonės aplenkė valstybines grupes kaip pagrindinis zero-day pirkėjas.
Ketvirta — keršto vykdytojai. Šis segmentas mažas, bet auga. Atleisti darbuotojai, kuriems reikalinga prieiga prie sistemų. Įsižeidę tyrėjai. Balandžio 28 dieną anonimas „Chaotic Eclipse” paviešino Microsoft SharePoint zero-day exploit’ą GitHub’e, kerštaudamas, kad Microsoft nuvertino jo ankstesnį darbą.
Kiek laiko tu esi pažeidžiamas
Statistika sukrečia. Vidutinė zero-day spraga egzistuoja 151 dieną nepastebėta. Penkis mėnesius tu kasdien naudojiesi savo telefonu, kompiuteriu, naršykle. Yra tikimybė, kad kažkur egzistuoja spraga, kurios tu nematai, gamintojas nežino, bet yra asmuo, kuris gali ja pasinaudoti.
Bet kuriuo metu yra apie 85 zero-day spragas, prieinamas pilkojoje rinkoje.
2025 metais pasaulyje buvo užfiksuotos 90 zero-day atakų. Tai 15% daugiau nei 2024 metais. Tendencija vis labiau auga.
Ir paskutinis skaičius. 29% žinomų spragų 2025 metais buvo išnaudotos atakoms tą pačią dieną, kai tapo viešos. T.y., gamintojas paskelbia spragą, ir tą pačią dieną pasaulyje atsiranda atakuotojas, kuris ją bando išnaudoti.
Tu turi nulį laiko atnaujinti.
Ką pakeitė dirbtinis intelektas
Anksčiau jau rašiau apie Anthropic dirbtinį intelektą „Claude Mythos”, kuris randa spragas tūkstančiais. Tas straipsnis buvo apie technologiją. Šitas straipsnis yra apie tai, ką ta technologija reiškia ekonomiškai.
Anksčiau rasti zero-day reikėjo genialių matematikų, kurie ištisus metus analizuotų kodą. Specializuotų valstybinių grupių, kuriose dirbtų 50 žmonių ties viena ataka. Tai buvo brangu, lėta ir reta.
Dirbtinis intelektas pakeitė ekonomiką per kelis mėnesius. Mythos rado 271 spragą Firefox naršyklėje per vieną auditą. Mozilla saugumo komanda paskelbė oficialų atsakymą, kuriame jų vadovas pripažino, kad jie pajuto „vertigo” (galvos svaigimą), kai pamatė tiek spragų vienu metu.
Tai keičia visą rinką. Jei DI gali rasti zero-day greičiau ir pigiau, tai du dalykai vyksta paraleliai. Pirma, kainos krenta, nes pasiūla auga. Antra, gynyba turi tą patį įrankį. Saugumo komandos taip pat naudoja DI mėgindamos rasti savo sistemų spragas anksčiau nei jas ras atakuotojai.
Bet yra trečias dalykas, kuris šokiruoja dar labiau. Baltieji Rūmai gegužės pradžioje uždraudė Anthropic plėsti Mythos prieigą nuo 50 iki 120 organizacijų. Tai pirmas atvejis, kai JAV vyriausybė tiesiogiai kontroliuoja, kas gali turėti tokią technologiją, o kas ne.
Dar vienas signalas. Pentagonas tuo pačiu metu pasirašė DI sutartis su 8 kompanijomis. SpaceX, OpenAI, Google, Nvidia, Reflection, Microsoft, AWS, Oracle. Anthropic sąraše nėra.
Dirbtinio intelekto saugumas tapo geopolitiniu žaidimu. Ir mes visi, kurie kasdien naudojamės šiomis sistemomis, jame dalyvaujame.
Kas iš to seka tau
Dabar pereisiu prie konkrečių dalykų, kuriuos turi atlikti jau šiandien.
Pirma. Atnaujink visus įrenginius tą pačią dieną, kai pasirodo atnaujinimai. Telefoną, kompiuterį, naršyklę, programėles. Atidėti atnaujinimą savaitei reiškia, kad savaitę esi pažeidžiamas per spragas, kurios jau eksploatuojamos.
Antra. Patikrink, kiek tavo namuose dar veikia senų įrenginių. 2016-2019 metų D-Link routeriai buvo aktyviai atakuojami nuo lapkričio 2025. Jie nebegauna atnaujinimų, nes gamintojas jų nebepalaiko. Jei tavo router’is senesnis nei 5 metai, pakeisk.
Trečia. Jei valdai svetainę, paklausk hostingo tiekėjo, ar jie atnaujino cPanel po balandžio 30 dienos. Jei ne, ieškok kito hostingo. Jei taip, paklausk, kada paskutinį kartą tikrino, ar nebuvo atakuoti per 65 dienų laikotarpį.
Ketvirta. Jei vadovauji verslui, turėk atnaujinimų politiką. Ne abstraktų dokumentą. Konkrečius terminus. „Visi kritiniai atnaujinimai per 24 valandas. Visi kiti, per savaitę.” Be šių taisyklių įmonė gali susidurti su zero-day spraga, kurios buvo galima išvengti.
Penkta. Atskirk svarbius duomenis nuo kasdieninės veiklos. Banko paskyra neturėtų būti tame pačiame kompiuteryje, kuriame tu skaitai atsitiktines naujienas internete. Tai nėra paranoja, tai yra elementarus rizikos paskirstymas.
Mano 15 metų stebėjimo patirtis
Kazino pramonėje yra koncepcija, kuri tobulai atspindi zero-day rinką. Tai vadinama insider information. Tai informacija, kurią žino žaidėjas, bet ne kazino. Žaidėjas, kuris žino, kad kortų skaičiavimas duoda jam pranašumą tam tikrose blackjack žaidimo situacijose, gali laimėti tol, kol kazino sutvarkys taisykles arba uždraus jam žaisti.
Zero-day spraga yra lygiai tas pats. Vienas asmuo žino kažką, ko nežino niekas kitas. Jis turi pranašumą tol, kol kažkas (gamintojas, saugumo tyrėjas, atsitiktinumas) tą informaciją atskleis.
Skirtumas tik vienas. Kazino žaidžiama su pinigais, kurie atskirti nuo kitų žaidėjų gyvenimo. Zero-day rinkoje žaidžiama su tavo telefonais, tavo banko sąskaitomis, tavo šeimos nuotraukomis. Ir tu net nežinai, kad sėdi prie stalo.
Šis žodis zero-day netrukus pradės pasirodyti naujienose dažniau nei „virusas”. Kai jis pasirodys, tu jau žinosi, ką jis reiškia. Tai pranašumas, kurį šiandien tu jau įgyjai.