- Claude Mythos Preview זיהתה אלפי פגמים קריטיים בתוכנה בסיסית, מעבר ליכולות הזיהוי של בני אדם וכלים מסורתיים.
- פרויקט Glasswing הוא קואליציה מוגבלת של 50 ענקיות טכנולוגיה ופיננסים המשתמשות בבינה מלאכותית זו כדי לתקן פגיעויות לפני שהן מנוצלות.
- המודל נשאר תחת גישה מבוקרת עקב רמת הסיכון ASL-4 שלו, מכיוון שיש לו את היכולת לייצר פרצות פונקציונליות באופן אוטונומי.
דמיינו לעצמכם שהתוכנה שעומדת בבסיס האינטרנט, החל מהדפדפנים שבהם אתם משתמשים כדי לקרוא את זה ועד למערכות ההפעלה של השרתים החזקים ביותר, מכילה פגיעויות בלתי נראות שאף אחד לא שם לב אליהן במשך עשרות שנים. ובכן, מסתבר ש- Anthropic עשתה פריצת דרך עם כלי שלא רק מוצא את הפגיעויות הללו אלא גם יודע בדיוק כיצד לנצל אותן, מה שמאלץ את כל התעשייה לחשוב מחדש על האופן שבו אנו מגנים על הנתונים שלנו.
אנחנו לא מדברים על עדכון פשוט לאפליקציית צ'אט חכמה, אלא על שינוי פרדיגמה מוחלט. עם השקת פרויקט Glasswing , החברה החליטה לנקוט בגישה הגנתית פרואקטיבית, ולאחד את כבדי המשקל של מגזרי הטכנולוגיה והפיננסים כדי לנקות את בסיס הקוד העולמי לפני שמישהו בעל כוונה זדונית יחליט להשתמש באותה טכנולוגיה כדי ליצור כאוס דיגיטלי.
המוח מאחורי המבצע: קלוד מיתוס תצוגה מקדימה
הכוח המניע האמיתי מאחורי כל המבצע הזה הוא Claude Mythos Preview , מודל בינה מלאכותית שמבייש את קודמיו מבחינת ניתוח אבטחה. בניגוד למודלים מסחריים, ל-Mythos יש יכולת חשיבה עמוקה המאפשרת לו לזהות אלפי פגיעויות יום-אפס - פגמים שאפילו המפתחים המקוריים לא היו מודעים להם.
מה שהופך את המודל הזה למעצמה אמיתית הוא היכולת שלו לשרשר פגיעויות . בעולם האמיתי, האקר בדרך כלל לא משתמש בחור אחד, אלא משלב מספר פגמים קלים כדי לקבל גישה מלאה. מיתוס יכול להסיק כיצד לחבר את החלקים הללו יחד, ובאופן מרשים אף יותר, מסוגל לכתוב ולבצע קוד בדיקה כדי להוכיח שהפגם אמיתי וניתן לניצול, ובכך לבטל את הרעש של תוצאות חיוביות שגויות שכל כך מתסכלות אנליסטים של אבטחת סייבר וכלים שלהם.
דמויות שגורמות לשיער לסמר
אם חשבתם שתוכנה בוגרת היא בטוחה, הנתונים של Glasswing יגרמו לכם לסיוטים. תוך שלושים יום בלבד, שותפי התוכנית זיהו יותר מ-10.000 פגיעויות בדרגת חומרה גבוהה או קריטיות. Cloudflare לבדה, שכבר מובילה בתחום האבטחה, מצאה 2.000 באגים במערכות שלה, מתוכם 400 היו קריטיים , מה שמראה שגם המוכנות ביותר אינן חסינות מפני שגיאות.
המצב עם קוד פתוח מדאיג אף יותר. אנתרופיק ניתחה כ-1.000 פרויקטים חיוניים לרשת ומצאה יותר מ-23.000 פגיעויות פוטנציאליות, כאשר 6.202 מהן סווגו כקריטיות . כדי לתת לכם מושג, המודל חשף פגיעות ב-OpenBSD שהייתה רדומה במשך 27 שנים , בנוסף לבאגים בני 16 ו-17 שנים ב-FFmpeg וב-FreeBSD, בהתאמה. תוכנה שעברה אינספור ביקורות ועדיין הייתה בה פגיעות.
למה אנחנו לא יכולים להשתמש במיתוס בבית?
אתם בטח תוהים מדוע אנתרופיק לא משחררת את המודל הזה לציבור. התשובה פשוטה: הוא מסוכן מדי. מיתוס סווג באופן פנימי כ- ASL-4 (רמת בטיחות בינה מלאכותית 4) , כלומר יש לו פוטנציאל לנזק קטסטרופלי אם הוא נופל לידיים הלא נכונות. מודל שמוצאת באג בדיוק כזה יכול, כהרף עין, לייצר את הניצול המושלם לתקיפת תשתית קריטית.
לכן, הגישה מוגבלת למעגל סגור של 50 ארגונים נבחרים , כולל ענקיות כמו מיקרוסופט, גוגל, אפל, אמזון וג'יי.פי מורגן צ'ייס. הרעיון הוא שגופים אלה ישתמשו בבינה מלאכותית כדי לתקן את התוכנה בהמוניהם לפני שהתוקפים יפתחו כלים משלהם המבוססים על מודלים דומים. זהו למעשה מרוץ חימוש שבו אנתרופיק רוצה שהטובים יהיו בעלי היתרון.
לקחים למגזר ולעתיד הפיתוח
פריסה זו מבהירה שאבטחה כבר לא יכולה להיות מחשבה שלאחר מעשה. Cloudflare ציינה כי שימוש בסוכני בינה מלאכותית דורש סביבת בדיקה ספציפית מאוד; לא מספיק פשוט לבקש מהמודל "לחפש באגים". במקום זאת, יש לחלק משימות לפלח אותן ולהשתמש בביקורת עוינת (סוכן שני שמאתגר את תוצאות הראשון) כדי למנוע מהבינה המלאכותית להמציא מידע.
יתר על כן, צץ צוואר בקבוק אנושי מדאיג: בינה מלאכותית מוצאת באגים מהר יותר ממה שמתכנתים יכולים לתקן אותם. בעוד שמיתוסים מזהים אלפי שגיאות, תהליך המיון, הדיווח והתיקונים עדיין מסתמך על עובדים אנושיים עמוסים. עובדה זו הובילה חברות מסוימות לנסות לצמצם את הסכמי ה-SLA שלהן לתגובה לשעתיים בלבד מפרסום CVE , אם כי הדבר כרוך בסיכון של שחרור תיקונים ללא בדיקות רגרסיה מספקות.
כדי להתמודד עם זה, Anthropic השיקה את Claude Security בגרסת בטא עבור לקוחות ארגוניים ואת תוכנית Cyber Verification Program, המאפשרת לאנשי מקצוע לגיטימיים להשתמש במודלים שלה ללא המגבלות הרגילות. הם גם התחייבו למיליוני דולרים לקרנות כמו Linux Foundation ו-Apache כדי לסייע לתחזוקת קוד פתוח לנהל את צונאמי דוחות האבטחה הזה.
המציאות היא שעלות גילוי הפגיעויות צנחה, וחלון הזמנים בין גילוי לניצול צר יותר מאי פעם. הצלחת פרויקט Glasswing מדגימה שהדרך היחידה לשרוד במערכת האקולוגית החדשה הזו היא באמצעות שקיפות ושיתוף פעולה בין-מגזרים , תוך קבלת העובדה שבינה מלאכותית היא כעת הכלי העיקרי הן לתקיפה והן להגנה על תשתיות דיגיטליות גלובליות.
