- Claude Mythos Preview odhalil tisíce kritických chyb v základním softwaru, což daleko překračuje detekční schopnosti lidí a tradičních nástrojů.
- Projekt Glasswing je omezená koalice 50 technologických a finančních gigantů, kteří využívají tuto umělou inteligenci k opravování zranitelností dříve, než budou zneužity.
- Model zůstává pod kontrolovaným přístupem kvůli své úrovni rizika ASL-4, protože má schopnost autonomně generovat funkční exploity.
Představte si, že software, který je základem internetu, od prohlížečů, které používáte k čtení tohoto textu, až po operační systémy nejvýkonnějších serverů, by měl neviditelné zranitelnosti, kterých si nikdo nevšiml po celá desetiletí. Ukázalo se, že Anthropic dosáhl průlomu s nástrojem, který tyto zranitelnosti nejen nachází, ale také přesně ví, jak je zneužít, což nutí celé odvětví přehodnotit, jak chráníme svá data.
Nemluvíme o jednoduché aktualizaci chytré chatovací aplikace, ale o kompletní změně paradigmatu. Se spuštěním projektu Glasswing se společnost rozhodla zaujmout proaktivní obranný přístup a spojit těžké váhy technologického a finančního sektoru, aby vyčistili globální kódovou základnu dříve, než se někdo se zlým úmyslem rozhodne použít stejnou technologii k vytvoření digitálního chaosu.
Strůjce operace: Claude Mythos (předpremiéra)
Skutečnou hnací silou celé této operace je Claude Mythos Preview , model umělé inteligence, který své předchůdce zahanbuje, pokud jde o bezpečnostní analýzu. Na rozdíl od komerčních modelů má Mythos schopnost hlubokého uvažování, která mu umožňuje identifikovat tisíce zranitelností typu zero-day – nedostatky, o kterých si nebyli vědomi ani původní vývojáři.
To, co z tohoto modelu dělá skutečný gigant, je jeho schopnost řetězit zranitelnosti . V reálném světě hacker obvykle nepoužívá jednu díru, ale spíše kombinuje několik drobných chyb, aby získal plný přístup. Mythos dokáže odvodit, jak tyto části propojit, a co je ještě působivější, je schopen napsat a spustit testovací kód, který dokáží, že chyba je skutečná a zneužitelná, čímž eliminuje šum falešně pozitivních výsledků, které tolik frustrují analytiky kybernetické bezpečnosti a jejich nástroje.
Postavy, z nichž vám vstávají vlasy na hlavě
Pokud jste si mysleli, že vyspělý software je bezpečný, data od Glasswingu vám způsobí noční můry. Během pouhých třiceti dnů partneři programu odhalili více než 10 000 vysoce závažných nebo kritických zranitelností. Jen Cloudflare, který je již lídrem v oblasti bezpečnosti, našel ve svých vlastních systémech 2 000 chyb, z nichž 400 bylo kritických , což dokazuje, že ani ti nejpřipravenější nejsou imunní vůči chybám.
Situace s open source je ještě alarmující. Anthropic analyzoval přibližně 1 000 projektů nezbytných pro síť a našel více než 23 000 potenciálních zranitelností, z nichž 6 202 bylo klasifikováno jako kritické . Pro představu model odhalil zranitelnost v OpenBSD, která byla 27 let neaktivní , a to kromě 16 a 17 let starých chyb ve FFmpeg a FreeBSD. Software, který prošel nespočtem auditů a stále obsahoval zranitelnost.
Proč nemůžeme Mythos používat doma?
Pravděpodobně vás zajímá, proč Anthropic tento model nezveřejní. Odpověď je jednoduchá: je příliš nebezpečný. Mythos byl interně klasifikován jako ASL-4 (úroveň bezpečnosti AI 4) , což znamená, že pokud se dostane do nesprávných rukou, může způsobit katastrofické škody. Model, který s takovou přesností najde chybu, dokáže v mžiku oka vygenerovat perfektní exploit k útoku na kritickou infrastrukturu.
Přístup je proto omezen na uzavřený okruh 50 vybraných organizací , včetně gigantů jako Microsoft, Google, Apple, Amazon a JPMorgan Chase. Cílem je, aby tyto subjekty využily umělou inteligenci k hromadnému opravování softwaru dříve, než útočníci vyvinou vlastní nástroje založené na podobných modelech. V podstatě se jedná o závody ve zbrojení, kde Anthropic chce, aby ti dobří měli navrch.
Poučení pro toto odvětví a budoucnost rozvoje
Toto nasazení jasně ukazuje, že bezpečnost již nemůže být jen druhořadou záležitostí. Cloudflare poukázal na to, že používání agentů umělé inteligence vyžaduje velmi specifické testovací prostředí; nestačí pouze požádat model, aby „hledal chyby“. Místo toho musí být úlohy segmentovány a použita adversarial review (druhý agent, který zpochybňuje výsledky prvního), aby se zabránilo umělé inteligenci ve vymýšlení informací.
Dále se objevilo znepokojivé úzké hrdlo v podobě lidského faktoru: umělá inteligence nachází chyby rychleji, než je programátoři dokáží opravit. Zatímco Mythos detekuje tisíce chyb, proces třídění, hlášení a oprav stále závisí na přetížených lidských pracovnících. To vedlo některé společnosti ke snaze zkrátit své SLA pro reakci na pouhé dvě hodiny od zveřejnění CVE , i když to s sebou nese riziko vydání oprav bez adekvátního regresního testování.
Aby se s tím Anthropic vypořádala, spustila beta verzi Claude Security pro podnikové zákazníky a program Cyber Verification Program, který umožňuje legitimním profesionálům používat její modely bez obvyklých omezení. Společnost také vyčlenila miliony dolarů nadacím, jako je Linux Foundation a Apache, aby pomohla správcům open-source softwaru zvládat tuto tsunami bezpečnostních zpráv.
Realita je taková, že náklady na objevování zranitelností prudce klesly a prostor mezi objevením a zneužitím je nyní užší než kdy dříve. Úspěch projektu Glasswing ukazuje, že jediný způsob, jak v tomto novém ekosystému přežít, je transparentnost a spolupráce napříč sektory , přičemž se akceptuje, že umělá inteligence je nyní primárním nástrojem pro útok i obranu globální digitální infrastruktury.
