- Claude Mythos Preview ir atklājis tūkstošiem kritisku trūkumu fundamentālā programmatūrā, ievērojami pārsniedzot cilvēku un tradicionālo rīku noteikšanas iespējas.
- Projekts “Glasswing” ir ierobežota 50 tehnoloģiju un finanšu gigantu koalīcija, kas izmanto šo mākslīgo intelektu, lai novērstu ievainojamības, pirms tās tiek izmantotas.
- Modelis joprojām ir kontrolētā piekļuvē tā ASL-4 riska līmeņa dēļ, jo tam ir spēja autonomi ģenerēt funkcionālus uzbrukumus.
Iedomājieties, ka programmatūrai, kas ir interneta pamatā, sākot ar pārlūkprogrammām, kuras jūs izmantojat, lai to nolasītu, līdz pat visspēcīgāko serveru operētājsistēmām, ir neredzamas ievainojamības, kuras neviens nebija pamanījis gadu desmitiem. Izrādās, ka Anthropic ir panācis izrāvienu ar rīku, kas ne tikai atrod šīs ievainojamības, bet arī precīzi zina, kā tās izmantot, liekot visai nozarei pārdomāt, kā mēs aizsargājam savus datus.
Mēs nerunājam par vienkāršu viedās tērzēšanas lietotnes atjauninājumu, bet gan par pilnīgu paradigmas maiņu. Līdz ar projekta Glasswing palaišanu uzņēmums ir nolēmis īstenot proaktīvu aizsardzības pieeju, apvienojot tehnoloģiju un finanšu sektoru smagsvarus, lai attīrītu globālo koda bāzi, pirms kāds ar ļaunprātīgiem nodomiem nolemj izmantot to pašu tehnoloģiju digitālā haosa radīšanai.
Operācijas galvenais prāts: Klods Mitoss (pārskats)
Visas šīs operācijas patiesais virzītājspēks ir Claude Mythos Preview — mākslīgā intelekta modelis, kas savus priekšgājējus liek kaunēties drošības analīzes ziņā. Atšķirībā no komerciāliem modeļiem, Mythos piemīt dziļas spriešanas spējas, kas ļauj tam identificēt tūkstošiem nulles dienas ievainojamību — trūkumus, par kuriem nebija informēti pat sākotnējie izstrādātāji.
Šo modeli par īstu spēka piedziņu padara tā spēja ķēdē savienot ievainojamības . Reālajā pasaulē hakeris parasti neizmanto vienu caurumu, bet gan apvieno vairākus nelielus trūkumus, lai iegūtu pilnīgu piekļuvi. Mythos var secināt, kā šīs daļas savienot kopā, un, vēl iespaidīgāk, spēj rakstīt un izpildīt testa kodu, lai pierādītu, ka trūkums ir reāls un izmantojams, tādējādi novēršot viltus pozitīvu rezultātu troksni, kas tik ļoti nomāc kiberdrošības analītiķus un viņu rīkus.
Figūras, kas liek matiem sacelties stāvus
Ja domājāt, ka nobriedusi programmatūra ir droša, Glasswing dati jums sagādās murgus. Tikai trīsdesmit dienu laikā programmas partneri atklāja vairāk nekā 10 000 augstas nopietnības vai kritisku ievainojamību. Vienīgi Cloudflare, kas jau ir līderis drošības jomā, savās sistēmās atrada 2.000 kļūdu, no kurām 400 bija kritiskas , pierādot, ka pat visgatavākās sistēmas nav imūnas pret kļūdām.
Situācija ar atvērtā pirmkoda programmatūru ir vēl satraucošāka. Anthropic analizēja aptuveni 1.000 tīklam būtiskus projektus un atrada vairāk nekā 23 000 potenciālu ievainojamību, no kurām 6.202 tika klasificētas kā kritiskas . Lai sniegtu priekšstatu, modelis atklāja OpenBSD ievainojamību, kas bija neaktīva 27 gadus , kā arī 16 un 17 gadus vecas kļūdas attiecīgi FFmpeg un FreeBSD. Programmatūra, kas bija izturējusi neskaitāmus auditus un joprojām saglabāja ievainojamību.
Kāpēc mēs nevaram lietot Mythos mājās?
Jūs droši vien domājat, kāpēc Anthropic neizpauž šo modeli publiski. Atbilde ir vienkārša: tas ir pārāk bīstams. Mythos ir iekšēji klasificēts kā ASL-4 (AI drošības līmenis 4) , kas nozīmē, ka tam ir potenciāls nodarīt katastrofālus bojājumus, ja tas nonāk nepareizajās rokās. Modelis, kas ar tik precīzu precizitāti atrod kļūdu, acumirklī var ģenerēt perfektu uzbrukumu kritiskajai infrastruktūrai.
Tāpēc piekļuve ir ierobežota slēgtam 50 atlasītu organizāciju lokam , tostarp tādiem gigantiem kā Microsoft, Google, Apple, Amazon un JPMorgan Chase. Ideja ir tāda, lai šīs struktūras izmantotu mākslīgo intelektu, lai masveidā ielāpotu programmatūru, pirms uzbrucēji izstrādā savus rīkus, kuru pamatā ir līdzīgi modeļi. Tā būtībā ir bruņošanās sacensība, kurā Anthropic vēlas, lai labajiem būtu pārsvars.
Mācības nozarei un attīstības nākotnei
Šī ieviešana skaidri parāda, ka drošība vairs nevar būt otrajā plānā. Cloudflare ir norādījis, ka mākslīgā intelekta aģentu izmantošanai ir nepieciešama ļoti specifiska testēšanas vide; nepietiek tikai lūgt modelim "meklēt kļūdas". Tā vietā uzdevumi ir jāsegmentē un jāizmanto pretinieku pārskatīšana (otrais aģents, kas apstrīd pirmā rezultātus), lai novērstu mākslīgā intelekta informācijas safabricēšanu.
Turklāt ir parādījusies satraucoša cilvēciska problēma: mākslīgais intelekts atrod kļūdas ātrāk, nekā programmētāji tās var novērst. Lai gan Mythos atklāj tūkstošiem kļūdu, triāžas, ziņošanas un ielāpu ieviešanas process joprojām ir atkarīgs no pārslogotiem cilvēku darbiniekiem. Tas ir novedis pie tā, ka daži uzņēmumi cenšas samazināt atbildes SLA līdz pat divām stundām pēc CVE publicēšanas , lai gan tas rada risku izlaist ielāpus bez atbilstošas regresijas testēšanas.
Lai ar to cīnītos, Anthropic ir laidis klajā Claude Security beta versiju korporatīvajiem klientiem un Cyber Verification Program, kas ļauj likumīgiem profesionāļiem izmantot tā modeļus bez ierastajiem ierobežojumiem. Viņi ir arī piešķīruši miljoniem dolāru tādiem fondiem kā Linux Foundation un Apache, lai palīdzētu atvērtā pirmkoda uzturētājiem pārvaldīt šo drošības ziņojumu cunami.
Realitātē ievainojamību atklāšanas izmaksas ir strauji samazinājušās, un logs starp atklāšanu un izmantošanu tagad ir šaurāks nekā jebkad agrāk. Projekta Glasswing panākumi parāda, ka vienīgais veids, kā izdzīvot šajā jaunajā ekosistēmā, ir caurredzamība un starpnozaru sadarbība , pieņemot, ka mākslīgais intelekts tagad ir galvenais instruments gan globālās digitālās infrastruktūras uzbrukšanai, gan aizsardzībai.
