- Claude Mythos Preview on tuvastanud tuhandeid kriitilisi vigu põhitarkvaras, ületades kaugelt inimeste ja traditsiooniliste tööriistade avastamisvõimet.
- Project Glasswing on 50 tehnoloogia- ja finantsgigandi piiratud koalitsioon, mis kasutab seda tehisintellekti haavatavuste parandamiseks enne nende ärakasutamist.
- Mudel jääb oma ASL-4 riskitaseme tõttu kontrollitud juurdepääsu alla, kuna sellel on võime autonoomselt genereerida funktsionaalseid ärakasutamisvõimalusi.
Kujutage ette, et interneti aluseks olev tarkvara, alates brauseritest, mida te selle lugemiseks kasutate, kuni kõige võimsamate serverite operatsioonisüsteemideni, omaks nähtamatuid haavatavusi, mida keegi polnud aastakümneid märganud. Selgub, et Anthropic on teinud läbimurde tööriistaga, mis mitte ainult ei leia neid haavatavusi, vaid teab ka täpselt, kuidas neid ära kasutada, sundides kogu tööstusharu ümber mõtlema, kuidas me oma andmeid kaitseme.
Me ei räägi siin lihtsast nutika vestlusrakenduse uuendusest, vaid täielikust paradigma muutusest. Projekti Glasswing käivitamisega on ettevõte otsustanud võtta ennetava kaitsestrateegia, koondades tehnoloogia- ja finantssektori raskekahurväelased, et puhastada ülemaailmne koodibaas enne, kui keegi pahatahtlike kavatsustega otsustab sama tehnoloogiat kasutada digitaalse kaose loomiseks.
Operatsiooni taga peituv geenius: Claude Mythos Eelvaade
Kogu selle operatsiooni tegelik liikumapanev jõud on Claude Mythos Preview , tehisintellekti mudel, mis paneb oma eelkäijad turvaanalüüsi osas häbisse. Erinevalt kommertsmudelitest on Mythosel sügav arutlusvõime, mis võimaldab tal tuvastada tuhandeid nullpäeva haavatavusi – vigu, millest isegi algsed arendajad ei olnud teadlikud.
Selle mudeli tõeliseks jõujaamaks on võime haavatavusi aheldada . Päris maailmas ei kasuta häkker tavaliselt ühte auku, vaid kombineerib täieliku juurdepääsu saamiseks mitu väiksemat viga. Mythos suudab järeldada, kuidas neid osi omavahel ühendada, ja mis veelgi muljetavaldavam, on võimeline kirjutama ja käivitama testkoodi, et tõestada vea reaalsust ja seda ärakasutamist, kõrvaldades seeläbi valepositiivsete tulemuste müra, mis küberturvalisuse analüütikuid ja nende tööriistu nii palju ärritab.
Figuurid, mis ajavad ihukarvad püsti
Kui arvasite, et küps tarkvara on turvaline, siis Glasswingi andmed tekitavad teile õudusunenägusid. Vaid kolmekümne päevaga avastasid programmipartnerid üle 10 000 väga tõsise või kriitilise haavatavuse. Ainuüksi Cloudflare, mis on juba turvalisuse valdkonnas liider, leidis oma süsteemidest 2.000 viga, millest 400 olid kriitilised , mis näitab, et isegi kõige ettevalmistunumad pole vigade suhtes immuunsed.
Avatud lähtekoodiga olukord on veelgi murettekitavam. Anthropic analüüsis umbes 1.000 võrgu jaoks olulist projekti ja leidis üle 23 000 potentsiaalse haavatavuse, millest 6.202 liigitati kriitilisteks . Et teile aimu anda, tõi mudel esile OpenBSD-s haavatavuse, mis oli olnud passiivne 27 aastat , lisaks 16 ja 17 aastat vanad vead vastavalt FFmpegis ja FreeBSD-s. Tarkvara, mis oli läbinud lugematul hulgal auditeid, kuid millel oli endiselt haavatavus.
Miks me ei saa Mythost kodus kasutada?
Sa ilmselt mõtled, miks Anthropic seda mudelit avalikkusele ei avalda. Vastus on lihtne: see on liiga ohtlik. Mythos on sisemiselt klassifitseeritud kui ASL-4 (tehisintellekti ohutustase 4) , mis tähendab, et valedesse kätesse sattudes on sellel potentsiaal katastroofiliseks kahjuks. Mudel, mis leiab vea sellise täpsusega, suudab silmapilgutusega genereerida ideaalse ärakasutamise kriitilise infrastruktuuri ründamiseks.
Seetõttu on juurdepääs piiratud 50 valitud organisatsiooni suletud ringiga , kuhu kuuluvad sellised hiiglased nagu Microsoft, Google, Apple, Amazon ja JPMorgan Chase. Idee seisneb selles, et need üksused kasutaksid tehisintellekti tarkvara massiliseks parandamiseks enne, kui ründajad sarnaste mudelite põhjal oma tööriistad välja töötavad. See on sisuliselt võidurelvastumine, kus Anthropic soovib, et head poisid saaksid ülekaalu.
Õppetunnid sektorile ja arengu tulevik
See juurutus teeb selgeks, et turvalisus ei saa enam olla teisejärguline. Cloudflare on välja toonud, et tehisintellekti agentide kasutamine nõuab väga spetsiifilist testimiskeskkonda; ei piisa ainult mudelilt "vigade otsimise" palumisest. Selle asemel tuleb ülesanded segmenteerida ja kasutada vastaspoolte ülevaadet (teine agent, kes vaidlustab esimese tulemused), et takistada tehisintellektil teabe fabritseerimist.
Lisaks on ilmnenud murettekitav inimtegevusest tulenev kitsaskoht: tehisintellekt leiab vigu kiiremini, kui programmeerijad neid parandada jõuavad. Kuigi Mythos tuvastab tuhandeid vigu, sõltub triaaži, aruandluse ja paranduste protsess endiselt ülekoormatud inimtöötajatest. See on pannud mõned ettevõtted püüdma lühendada oma reageerimisaega SLA-des kahe tunnini alates CVE avaldamisest , kuigi sellega kaasneb oht avaldada parandusi ilma piisava regressioonitestimiseta.
Selle vastu võitlemiseks on Anthropic käivitanud äriklientidele Claude Security beetaversiooni ja Cyber Verification Programi, mis võimaldab seaduslikel spetsialistidel kasutada selle mudeleid ilma tavapäraste piiranguteta. Samuti on nad eraldanud miljoneid dollareid sellistele sihtasutustele nagu Linux Foundation ja Apache, et aidata avatud lähtekoodiga tarkvara haldajatel seda turvaaruannete tsunamit hallata .
Tegelikkus on see, et haavatavuste avastamise kulud on järsult langenud ning avastamise ja ärakasutamise vaheline aken on nüüd kitsam kui kunagi varem. Project Glasswingi edu näitab, et ainus viis selles uues ökosüsteemis ellu jääda on läbipaistvuse ja sektoritevahelise koostöö kaudu , aktsepteerides, et tehisintellekt on nüüd peamine tööriist nii globaalse digitaalse infrastruktuuri ründamiseks kui ka kaitsmiseks.
