Hackerul care nu a fost programat — de ce modelele AI sparg securitatea și dacă a scăpat din laboratoarele militare

Un model de limbaj antrenat să scrie cod scrie, cu aceeași ușurință, și cod care sparge cod. Nu pentru că l-a învățat cineva să atace, ci pentru că un exploit este pur și simplu programare cu alt scop. De aici pornește o intuiție populară și seducătoare: dacă mașinile au ajuns brusc atât de bune la penetrare de securitate, probabil că e o tehnologie militară care a fost dezvoltată în secret și a ajuns pe urmă și la public. Este o poveste bună. Este și, în cea mai mare parte, greșită — dar exact în felul în care merită demontată, pentru că adevărul e mai neliniștitor decât mitul.

Această analiză face trei lucruri: explică mecanic de ce modelele de frontieră au capabilități ofensive, testează ipoteza militară punct cu punct pe dovezi, și proiectează unde duce fenomenul. Concluzia scurtă, pentru cine citește un singur paragraf: capabilitatea nu e o armă scursă din laboratoare, ci un produs secundar emergent al antrenării generale pe cod și raționament, dezvoltat preponderent în deschis. Filiația militară există — se numește DARPA — dar a fost publică, defensivă ca discurs și co-finanțată chiar de companiile de AI. Ce arată ca „scurgere din armată către public” este de fapt un decalaj de conștientizare, nu de tehnologie.

1. Mecanismul: de ce știe un chatbot să spargă un server

Patru cauze, în ordinea importanței. Niciuna nu presupune antrenament ofensiv intenționat.

Prima: penetrarea este programare cu alt scop. Un exploit exploatează discrepanța dintre ce crede programatorul că face un sistem și ce face el de fapt. Modelul învață asta absorbind cantități uriașe de cod public — inclusiv decenii de tipare vulnerabile acumulate: injecție SQL, path traversal, server-side request forgery, buffer overflow. Literatura de specialitate e explicită: modelele „învață prin imitație din depozite de cod publice, la scară mare și în mare parte necurate, absorbind atât idiomurile funcționale, cât și tiparele de vulnerabilitate predominante”. Nu le-a învățat nimeni să atace; au învățat cum arată codul, iar codul prost scris e o parte masivă a corpusului.

A doua: capabilitatea e emergentă, nu proiectată. La scară, apar proprietăți „pe care nimeni nu le-a programat explicit” — raționament, traducere, manipulare de cod. Nimeni nu a scris un modul „hacking”; el a apărut ca subprodus al aceluiași salt care a dat raționamentul general. De aceea progresia e atât de bruscă: pe testul de evadare din container (sandbox escape), un model de frontieră de la finalul lui 2025 reușea pe circa 56% din mostre, iar o versiune de generație următoare, în 2026, a reușit cel puțin o dată pe 100% dintre ele. Nu s-a adăugat un „modul de atac” — s-a ridicat plafonul general de raționament, iar ofensiva a venit la pachet.

A treia: ofensiva se antrenează mai ușor decât apărarea. Un exploit are semnal de recompensă binar și instantaneu — ai obținut acces sau nu. Asta face securitatea ofensivă un teren ideal pentru învățare prin întărire și pentru agenți cu buclă închisă (rulează, observă, ajustează, reîncearcă). Apărarea, dimpotrivă, înseamnă „a demonstra absența unui bug”, ceva mult mai greu de recompensat. Asimetria de măsurabilitate, nu vreo intenție ascunsă, explică de ce agenții autonomi urcă atât de repede tocmai pe partea de atac.

A patra: harness-ul de agent amplifică modelul de bază. Instrumentele autonome care au făcut valuri nu sunt „un model întrebat frumos”. Sunt sisteme construite în jurul modelelor — planificare, folosire de unelte, fuzzing, reîncercare. Diferența dintre „un model care sugerează un payload” și „un agent care compromite autonom mii de gazde” stă în ingineria de orchestrare. Este exact tipul de pipeline multi-agent care există deja, banal, în industrie.

2. Ipoteza „vine din armată” — ce e adevărat și ce e mit

Tratez ipoteza ca pe un incident și fac analiză de cauză pe fiecare afirmație implicită din ea.

„Există cercetare militară de hacking autonom care a precedat publicul.” Adevărat. În august 2016, DARPA a organizat Cyber Grand Challenge — primul turneu de hacking sută la sută mașină-contra-mașină. Sistemul câștigător, Mayhem (Carnegie Mellon / ForAllSecure), a scanat, exploatat și corectat vulnerabilități autonom și a luat premiul de 2 milioane de dolari. Ideea de „sistem de raționament cibernetic” care se apără singur a fost, într-adevăr, împinsă de agenția de cercetare a Pentagonului.

„A fost secret, apoi a scăpat.” Fals. Cyber Grand Challenge s-a jucat pe scenă la DEF CON, în fața a circa 5.000 de profesioniști de securitate. Succesorul său, AI Cyber Challenge (2023-2025), a fost la fel de public — cu premii totale de aproape 30 de milioane de dolari și parteneriat direct cu Anthropic, Google și OpenAI. La finala din august 2025, șapte echipe au procesat 54 de milioane de linii de cod, au corectat 43 din 54 de vulnerabilități sintetice și au descoperit 18 defecte reale, necunoscute anterior. Sistemul câștigător, ATLANTIS (Team Atlanta), a luat 4 milioane de dolari; unele soluții, precum Buttercup de la Trail of Bits, sunt deschise ca sursă. Nimic din toate acestea nu a fost clasificat.

„Framing-ul era ofensiv, de armă.” Invers. Mandatul DARPA a fost explicit defensiv: să „detecteze, evalueze și corecteze vulnerabilități înainte ca adversarii să le exploateze”. Metrica de succes la AIxCC a fost câte găuri au fost astupate, nu câte au fost exploatate. Aceeași capabilitate, două etichete — clasicul dual-use.

„Publicul a primit tehnologia pe urmă.” Fals ca vector. Capabilitatea publică — modelele generale de limbaj — nu derivă din codul DARPA. Mayhem, în 2016, era execuție simbolică și fuzzing clasic, fără niciun model de limbaj. Capabilitatea de azi vine din legea scalării pe cod, care s-ar fi întâmplat identic și fără DARPA. Cele două linii au convergit, nu s-a scurs una în cealaltă.

Cauza-rădăcină a confuziei: oamenii văd două fapte reale — DARPA finanța hacking autonom din 2014, iar acum oricine are un agent ofensiv în browser — și trag o linie cauzală directă între ele. Dar linia e trasată greșit. DARPA a catalizat agenda și a format generația de ingineri (echipele din concursuri sunt aceiași oameni care fondează azi start-up-uri de securitate), nu a livrat arma. Arma s-a construit separat, comercial, ca efect colateral al scalării. Distincția contează enorm: dacă ar fi un transfer militar, ai putea opri difuzia controlând un laborator. Fiind o capabilitate emergentă și dual-use, nu poți — e în fiecare model de frontieră care știe să scrie cod.

3. Dezbaterea: un panel olivLaw cu șase persoane virtuale

Am pus șase poziții adversariale să se contreze pe întrebarea centrală — cât de „militar” e fenomenul și ce înseamnă asta.

Analistul de securitate națională: „Filiația e reală și o subestimați. DARPA a definit problema, a antrenat generația de ingineri și a normalizat ideea de sistem de raționament cibernetic. Faptul că era public nu o face mai puțin strategică — statul american a vrut deliberat să câștige cursa autonomiei cibernetice. Convergența comercială a fost accelerată de banii și de talentul din ecosistemul de apărare.”

Cercetătorul de învățare automată: „Fals ca mecanism. Nu există transfer de parametri sau de arhitectură din concursurile DARPA în modelele comerciale. Capabilitatea vine din scalarea pe cod, care s-ar fi produs identic. Militarul a fost spectator, nu părinte. Confundați corelația instituțională cu cauzalitatea tehnică.”

Specialistul de testare ofensivă (red team): „Amândoi idealizați. În teren, modelele sunt spectaculoase pe competiții și slabe pe ținte reale. Măsurătorile arată o prăbușire de performanță de câteva ori între mediul de concurs și exploatarea de vulnerabilități reale; într-un studiu, agenții au găsit 9 vulnerabilități acolo unde pentesterii umani au găsit 49, cu rate de fals-pozitiv de zeci de procente. Nu e o armă, e un stagiar foarte rapid care halucinează. Democratizarea hackingului e marketing până rezolvă problema țintelor reale, bine apărate.”

Analistul de piață: „Voi dezbateți filozofie, piața a votat deja. Un instrument autonom a ajuns pe primul loc în clasamentul american al unei mari platforme de recompense pentru vulnerabilități și a strâns peste 120 de milioane de dolari. Nu contează dacă vine din armată — contează că, atunci când capitalul tratează ofensiva autonomă drept inevitabilă, întrebarea nu mai e «dacă», ci «cine deține infrastructura».”

Juristul de politici publice: „Adevăratul decalaj nu e tehnologic, e de guvernanță. Studiile controlate arată că modelele dau un avantaj măsurabil actorilor slabi pe ținte simple, dar pe ținte complexe e încă nevoie de operator expert. Statul reglementează cine are voie să pornească agentul, nu cine are modelul. Aici e adevărata militarizare: în autorizație, nu în tehnologie.”

Contrarianul de informații: „Toți presupuneți transparență. «Public» înseamnă doar ce vedem. Ipoteza «vine din armată» e greșită la timpul trecut, dar poate deveni adevărată la viitor: modelele de frontieră fără frâne merg exact către organizațiile «aprobate» — adică statul și apărarea primesc versiunea fără limitări, publicul primește versiunea cu limitări. Acesta e transferul militar-civil real, doar că merge în sens invers față de ipoteza inițială.”

Sinteza: cercetătorul câștigă pe mecanism (nu e transfer tehnic), analistul de securitate câștigă pe filiație (DARPA a contat), specialistul de red team câștigă pe capabilitatea reală de azi (supraevaluată), iar contrarianul și juristul mută întrebarea unde contează cu adevărat: nu „de unde a venit”, ci „cine controlează accesul la versiunea fără frâne”. Ipoteza inițială e cea mai slabă la timpul trecut și cea mai puternică la timpul viitor.

4. Anomalii în naratívul dominant

Trecerea poveștii prin radarul de anomalii scoate patru discrepanțe care ar trebui să te facă suspicios față de varianta simplă.

• Anomalie de tempo. Saltul de la fuzzing clasic (2016) la evadare cvasi-completă din container (2026) e prea abrupt pentru o difuzie liniară. Semnătura e de prag emergent, nu de transfer gradual de tehnologie — susține teza „emergent”, contrazice teza „scurgere”.
• Anomalie de framing. Fiecare pas major a fost vândut ca defensiv (corectare, nu exploatare), dar metrica publicată e ofensivă (zero-day-uri găsite). Aceeași capabilitate, două etichete — steag roșu că distincția atac/apărare e politică, nu tehnică.
• Anomalie de discurs contra teren. Hype-ul spune „AI a depășit hackerii umani”; măsurătorile riguroase spun „de câteva ori mai slab pe ținte reale, zeci de procente fals-pozitive”. Divergența mare între narativul de piață și testul controlat e semn de bulă de percepție parțială.
• Anomalie de structură de acces. Existența unei perechi de modele — unul fără frâne pentru organizații aprobate, unul cu frâne pentru public, pe aceeași bază — e o anomalie de guvernanță: capabilitatea e identică, doar frâna diferă. Aici s-ar produce o militarizare reală, și e vizibilă în structura de produs, nu ascunsă.

5. Tendințe de piață 2026

Contextul economic în care aterizează totul confirmă că actorii cu bani tratează deja ofensiva autonomă drept inevitabilă. Piața de securitate cibernetică asistată de AI e estimată la circa 44 de miliarde de dolari în 2026, cu proiecții între 93 și 213 miliarde până spre 2030-2034, iar sub-segmentul de AI generativ crește cu peste 26% pe an. Capitalul curge deschis spre autonomie: platforme de testare ofensivă continuă și „centre de operațiuni de securitate” autonome au strâns runde de peste 120-130 de milioane de dolari fiecare, unele la evaluări de peste 700 de milioane. În paralel, previziunile pentru 2026 văd actori statali adoptând „AI întunecat” pentru zero-day-uri automatizate și pre-poziționare în infrastructură critică, în timp ce reglementarea abia pornește — Uniunea Europeană a alocat ordinul a 145 de milioane de euro pentru securitatea IMM-urilor și administrației, cu un ordin de mărime sub capitalul privat din ofensivă. Decalajul dintre capabilitate și guvernanță se lărgește, nu se închide.

6. Scenarii 2026-2030

Un panel olivLaw cu 12 persoane virtuale (decidenți, cercetători, militari, analiști de piață) converge spre patru futuri, cu probabilități estimate. Sunt evaluări analitice, nu certitudini.

1. Paritate comprimată (cel mai plauzibil, ~45%). Ofensiva și apărarea se automatizează în tandem: agenții de atac și cei de corectare escaladează împreună, iar avantajul nu se mută decisiv în nicio parte — crește doar viteza și scade costul pentru ambele. Zero-day-urile devin mai frecvente, dar timpul de astupare scade la minute. Lumea nu se prăbușește; devine mai rapidă și mai scumpă de apărat. Nu e „arma scursă din armată”, e o cursă simetrică.
2. Asimetria accesului (~30%). Împărțirea în modele fără frâne (organizații aprobate, apărare) și cu frâne (public) se instituționalizează. Aici ipoteza inițială devine adevărată — dar la viitor și în sens invers: nu „militarul a scăpat spre public”, ci „civilul a construit, iar accesul deplin s-a re-concentrat spre stat”. Riscul principal: avantaj ofensiv concentrat la câțiva actori.
3. Dezumflarea (~15%). Prăbușirea de performanță de la competiții la ținte reale se dovedește o barieră structurală, nu temporară. „Hackerul AI” rămâne excelent pe ținte expuse și mediocru pe orice bine apărat până la finalul deceniului; hype-ul se corectează, ca la conducerea autonomă.
4. Ruptură ofensivă (~10%). Un salt de capabilitate dă agenților fiabilitate pe ținte reale complexe înainte ca apărarea să prindă din urmă — o fereastră scurtă de avantaj ofensiv masiv, cu un val de compromitere a infrastructurii critice înainte de reechilibrare. Scenariul de coadă, dar cel care justifică frânele pe modelele de frontieră.

7. Concluzie: ce e cel mai plauzibil

Nu, capabilitatea de penetrare a modelelor de limbaj nu este o armă militară care a scăpat spre public. Este o capabilitate dual-use emergentă, apărută ca efect colateral al antrenării pe cod și raționament, dezvoltată preponderent în deschis. DARPA a jucat un rol real — dar de catalizator de agendă și de talent, public și defensiv ca discurs, nu de furnizor al armei. „Scurgerea către public” pe care o intuiește ipoteza e reală ca senzație, dar cauza e alta: un decalaj de conștientizare, nu de tehnologie. Aceeași abilitate care scrie cod scrie și exploituri; publicul doar a realizat asta mai târziu.

Partea din ipoteză care devine adevărată la viitor e cea mai importantă și merită reținută: pe măsură ce modelele de frontieră se împart în versiuni cu frâne (publice) și fără frâne (organizații aprobate — inclusiv apărare), se construiește exact tipul de asimetrie militar-civil pe care ipoteza îl proiecta greșit în trecut. Direcția vectorului e corect intuită; sensul și timpul lui sunt greșite. Nu „militarul a difuzat spre public”, ci „civilul a construit, iar accesul complet se re-concentrează spre stat”.

Cel mai plauzibil deznodământ rămâne o cursă simetrică ofensiv-apărare, la viteză de mașină, în care avantajul strategic nu mai stă în „cine are modelul” — toți îl au — ci în cine are datele, ținta legitimă și dreptul legal de a-l porni. Aceasta e adevărata linie de front, și e o linie de guvernanță, nu de tehnologie. Aici e și bluful strategic al momentului: discursul public se ceartă pe capabilitatea modelului, când miza reală, deja, e autorizația de a o folosi.

Metodologie și surse

Analiza se sprijină pe surse publice și pe literatura de specialitate recentă. Filiația DARPA: Cyber Grand Challenge 2016 (câștigător Mayhem / ForAllSecure, premiu 2 mil. $, jucat la DEF CON) și AI Cyber Challenge 2023-2025 (finala august 2025, 7 echipe, 54 mil. linii de cod, 43/54 vulnerabilități corectate, 18 defecte reale descoperite, câștigător ATLANTIS / Team Atlanta 4 mil. $, parteneri Anthropic, Google, OpenAI; soluția Buttercup a Trail of Bits este open-source). Capabilitatea comercială: creșterea pe testul de evadare din container (de la ~56% la 100% între generații de modele de frontieră 2025-2026) și ascensiunea instrumentelor autonome de testare ofensivă în clasamentele de recompense pentru vulnerabilități (rundă de peste 120 mil. $). Limitele reale: prăbușirea de performanță de câteva ori între competiții și exploatarea de vulnerabilități reale, rate de fals-pozitiv de zeci de procente și studii controlate (comisionate de institute publice de siguranță a AI) privind avantajul oferit actorilor cu abilități reduse. Contextul de piață: dimensiunea pieței de securitate asistată de AI (~44 mld. $ în 2026, proiecții 93-213 mld. $ până spre 2030-2034), runde de finanțare pentru autonomie ofensivă și defensivă, previziuni privind adoptarea „AI întunecat” de către actori statali, alocarea UE pentru securitatea IMM-urilor. Explicația mecanică (capabilitate emergentă din antrenarea pe cod, tipare vulnerabile în corpus, semnal de recompensă ofensiv) urmează literatura academică de sinteză privind LLM și securitatea cibernetică. Probabilitățile scenariilor sunt evaluări analitice ale platformei, nu certitudini, și nu constituie consultanță de securitate sau de investiții.