«Мне нужны ваши глаза!». Что не так с новым криптопроектом от основателя OpenAI

Worldcoin - идеальный стартап. Прорывная технология + крипта и блокчейн + миссия, связанная с развитием ИИ + Сэм Альтман (тот самый, из OpenAI). Неудивительно, что инвесторы раскошелились на 115 млн $. Но есть мнение, что пиара здесь больше, чем реального прорыва. Разбираемся, как оно на самом деле.

Worldcoin - стартап, основанный тем самым Сэмом Альтманом из OpenAI и еще каким-то чуваком, которого мало кто знает, но который, видимо, скоро станет очень богатым.

Компания представляет собой криптовалютный блокчейновый проект. Но не простой, а с одной важной особенностью. И чтобы понять, в чем суть этой особенности, нужно осознать важную боль, которая гложет многих криптоэнтузиастов (и вообще всех любителей web3).

Итак, прямо сейчас у криптанов есть два стула:

• На одном - биржи и всякие "теплые" кошельки (разной степени теплоты), которые позволяют в случае чего восстановить доступ к деньгам, но при этом требуют личные данные, причем по полной программе. Иначе говоря, никакой анонимности. Про внезапные "письма счастья" для граждан отдельных стран и говорить не приходится.
• На другом - холодные аппаратные кошельки, некастодиальные гаджеты и всякие прочие Леджеры и Трезоры. Тут вроде бы соблюдается неприкосновенность ваших криптоденег и анонимность личности (вроде бы). Однако, если в потоке суеты вы забыли и утеряли приватный ключ, а картонку с сид-фразой съела собака, то у меня для вас плохие новости. Один мой приятель таким образом лишился более 50к криптодолларов, после чего некоторое время был очень невесел.

Короче говоря, криптанам приходится мирится с крайностями. Либо анонимность (да и то сомнительная), либо защита доступа.

Worldcoin же пытается разрубить этот Гордиев узел. Он предлагает пользователям делиться всего одним куском личных данных - сканом радужной оболочки глаза. Для сканирования компания даже придумала специальное устройство - Orb. Это такая блестящая металлическая сфера (чем-то похожая на дрон City Scanner из Half-Life), внутри которой находится сканер.

При этом никакую биометрию Worldcoin не хранит. Orb сканирует радужку, после чего с помощью супер-пупер-секретного алгоритма переводит скан в специальный код, а это самый код уже привязывает к конкретной личности с одной стороны, и к конкретному кошельку с другой. В итоге между кошельком и человеком устанавливается однозначный линк, но при этом личность пользователя нигде не светится (= анонимность).

Как в любом уважающем себя криптопроекте, будет выпускаться своя монета. А также обещают децентрализацию, блокчейн и вот это вот все. В плане критомеханик не буду вдаваться в подробности - тут можно перечислить все атрибуты криптанской экосистемы и нужное подчеркнуть. Иначе говоря, в области крипты ничего сверхнеобычного я не нашел, мякотка Worldcoin лежит именно в области верификации.

Уже сейчас число верифицированных пользователей Worldcoin стремится почти к 2 млн (весьма внушительная цифра для web3 стартапа), а устройства Orb можно найти во многих городах США, Европы и не только. Разумеется, для стимулирования роста все новые пользователи будут получать бонусные Ворлдкоины на свои кошельки. По крайне мере до какого-то момента.

Однако у Альтмана наполеоновские планы: "Создать глобальный цифровой ID, выпустить глобальную монету и запилить лучший функционал платежей и переводов в приложении (вероятно, тоже глобальный)".

Эксперты отмечают, что из всего этого истинным дизраптом может стать именно новая технология идентификации. Сам Альтман здесь форсит тему опасного ИИ. Мол, с одной стороны умный ИИ даст мошенникам новые продвинутые способы влезть вам в карман (но умалчивает, что еще и в мозг), а с другой, повысит спрос на идентификационные решения с низкой степенью уязвимости. Ну знаете, чтобы быстро и четко понять, что перед вами настоящий кожаный владелец аккаунта, а не бездушная машина.

Кстати говоря, параллельно с защитой человечества от опасного ИИ (причем, видимо, далеко не бесплатной защиты) Альтман этот самый опасный ИИ и создает. И всем норм. Но это ладно, лирическое отступление.

Короче говоря, есть мнение, что верификация через кодируемый скан глазной поверхности может стать действующим решением назревающих проблем. Однако попадаются и мнения, что верификация по глазу мало чем превосходит, скажем, отпечаток пальца или FaceID. И что продвинутый ИИ на раз-два ее вскроет. А следовательно, хотя Woldcoin и предлагает некую красивую инновацию, на самом деле он является не более чем громким расхайпованным проектом (очень громким, судя по именам и тематике!).

В следующей главе мы разберем ключевые аргументы критиков проекта, которые я нашел в интернетах. Я не смогу точно ответить, является ли Worldcoin настоящим прорывом или будущим громким пшиком, но попробую дать вам пищу для самостоятельного вывода.

Итак, основные аргументы лагеря противников касаются истинной "глубинной" безопасности подобного подхода.

Во-первых, а точно ли Orb гарантирует невозможность связать человека с радужкой для сторонних лиц?. Да, сам скан глаза уничтожается, а Worldcoin хранит лишь специальный код. Однако где гарантия, что:

• Эти коды не утекут тем или иным образом (из-за атаки, раздолбайства или злонамеренного слива кем-то из сотрудников)?
• Одновременно с этим не утечет алгоритм кодирования?

Лично я считаю, что здесь ребята из Worldcoin хорошо поработали и диверсифицировали риски. Злоумышленникам нужно одновременно получить и коды, и алгоритм. А значит, шансы взлома уменьшаются (простая математика). Примерно такой же подход к защите пользовательских данных применяют международные платежные системы вроде Mastercard и Visa. А эти товарищи знают толк в безопасности, а отличие от всяких дырявых банков и интернет-магазинов.

Во-вторых, как предложенная механика безопасности защищена от продвинутой социальной инженерии? Или, иначе говоря, от потенциальных звонков авторитетных ребят из не столь отдаленных мест, предлагающих под тем или иным предлогом поделиться данными вашего глазика.

Сейчас телефонные мошенники мотивируют вас назвать CVV-код или же вовсе без лишних промежуточных формальностей перевести деньги с вашего счета на их. Разумеется, чтобы помочь "попавшим в беду родственникам", не допустить открытия "уголовного дела", или какие там схемы сейчас используют мошенники. А теперь будут просить отсканировать сетчатку в Orb. К тому же, никто не запрещал "развод в лоб", в результате которого клиент сам отдает все деньги (т.е. пользователь сам добровольно проходит весь процесс безопасности, добровольно отдавая жуликам свои кровные).

Некоторые скажут: "Социальную инженерию невозможно искоренить. Она работает и для банков, и для крипты, т.к. завязана на глубинной психологии человека. Так что, теперь финтех- и крипто стартапы не делать?".

Безусловно, это так. Однако продвинутые крупные финансовые институты (банки) все же предлагают определенные решения в этой области. Например, пилят алгоритмы, позволяющие распознавать скамерские звонки по различным многофакторным моделям. Также существуют решения, распознающие, когда клиент звонит банку под давлением. Ну знаете, нейросетки улавливают всякие неуверенные оттенки в голосе клиента, на основе чего звонок переводится в категорию "сомнительных". А значит, может активироваться процесс дополнительного подтверждения, или вовсе перевод может быть заблокирован на определенное время.

Так вот. Давайте представим, что Worldcoin действительно завоюет любовь пользователей, и его кошельки наполнятся большими бабками. Сможет ли компания повысить защищенность от социальной инженерии? Что ж, учитывая, что решения для защиты строятся как раз на искусственном интеллекте, то стартапу Альтмана сам Бог велел. Однако, если такого предложено не будет, то к идее "единого цифрового паспорта на основе скана радужки" появится много вопросов.

Третий момент касается процесса верификации. Несмотря на то, что Orb не будет хранить сами сканы радужки (а только специальные коды), связь между человеком и кошельком будет устанавливаться именно через сам глазной узор. Пользователю не предлагают хранить код сетчатки. Если бы было так, то это мало бы чем отличалось от сид-фраз, используемых сейчас. В случае необходимости восстановить доступ к кошельку, пользователя попросят еще раз пройти сканирование через Orb, после чего скан переведут в код, и сравнят это код с тем, который уже привязан к аккаунту в базе Worldcoin.

Ни о каких дополнительных проверках в рамка верификации (например, о какой-нибудь поведенческом скоринге) Worldcoin не заявляет. Следовательно, обладание сканом радужной оболочки становится достаточным условием для получения доступа.

Но как злоумышленники могут получить скан глаза пользователя? Что ж, вариантов масса. В последние годы к верификации через сканирование радужной оболочки или сетчатки (это разные вещи, хотя и похожие) присматриваются как банки, так и производители мобильных телефонов. И это я молчу про то, что госорганы со временем потребуют все больше разнообразной биометрии своих граждан.

Думаю, можно лишний раз не напоминать, как часто у банков и госорганов происходят массовые утечки. Так что, с большой вероятностью можно утверждать, что получить слинкованную с личностью радужку можно будет очень много где.

Но что если Orb будет делать какой-нибудь супер-навороченный скан, который сильно круче, чем глазные данные, полученные через утечки от компаний и государства? Возможно. Но не стоит забывать про бурное развитие генеративных нейросетей. Предположу, что множество разных ИИ способны превратить базовый скан радужки в весьма продвинутый и детальный. Для этого даже не нужно ждать появления AGI - уверен, что уже сейчас есть такие нейросетки.

С другой стороны, самая сложная штука - не само сканирование глаза, а выявление паттернов, на основе которых можно сделать вывод о совпадении или расхождении образцов. Здесь опять же хорошо помогает искусственный интеллект. А значит, при должном его применении у верификации Worldcoin может появится дополнительный уровень защиты.

Помимо вопросов к глазному сканированию, говорят и об отсутствии заявленной децентрализации. Мол, если пользователь линкуется с какой-то сущностью, и эта сущность хранится таким образом, что компания может легко получить к ней доступ, то от децентрализации остается одно название. Здесь, пожалуй, отмечу, что решение Worldcoin следует воспринимать именно как компромисс ("меньшее зло"). Поэтому обвинять стартап в отсутствии полной децентрализации и анонимности не вполне корректно.

Осмелюсь сделать вывод, что несмотря на всю критику, идея Альтмана вполне может стать жизнеспособной концепцией для формирования модели ID, сочетающего в себе безопасность и анонимность, но при этом не разрывающего связь с личностью пользователя.

Если стартапу удастся решить описанные выше проблемы, то вопросов к безопасности не останется. С поиском решений проблем возникнуть не должно - ведь большинство из них устраняется либо через точечное применение ИИ (что должно быть вполне под силу для связанной с Альтманом структуры), либо через инструменты, привычные для банков и финтех-стартапов. Большинство из которых тоже базируются на ИИ, да и в целом далеко не rocket-science.

Так что, если деятельность стартапа не будет конфликтовать с регулированием ИИ, которое прямо сейчас прорабатывают многие страны, то мы можем увидеть рождение нового большого проекта, сочетающего в себе некоторые по-настоящему прорывные технологии. Учитывая, что Альтман активно участвует в формировании этого самого регулирования, полагаю, проблем не будет.

А подход к идентификации через скан радужной оболочки (ну или сетчатки, тоже вариант) может действительно лечь в основу нового универсального цифрового ID. Если апробация подхода через Worldcoin пройдет успешно, то государства всего мира сразу же возьмут на вооружение для формирования цифровых концлагерей (зачеркнуто) систем безопасности для своих граждан.

P.S. Впрочем, возможно, с помощью Worldcoin Альтман просто планирует собрать централизованную базу с биометрией кожаных. Ну знаете, чтобы сверхсильный ИИ мог быстро получить к ней доступ, когда захочет. Но эту версию оставим технодумерам и прочим конспирологам с РенТВ.

P.P.S. Лучше бы сделали верификацию по скану руки со всеми пальцами. Подделать такую штуку для ИИ будет куда более сложной задачей =)

Если вам понравилась эта заметка, то подпишитесь на мой тг-канал Disruptors. Там хватает подобных материалов в формате постов или других статей. А еще есть разборы ключевых событий в бизнесе и инновациях, написанные простым языком и с юмором.