- Claude Mythos Preview a detectat mii de defecte critice în software-ul fundamental, depășind cu mult capacitățile de detectare ale oamenilor și ale instrumentelor tradiționale.
- Proiectul Glasswing este o coaliție restrânsă de 50 de giganți tehnologici și financiari care folosesc această inteligență artificială pentru a remedia vulnerabilitățile înainte ca acestea să fie exploatate.
- Modelul rămâne sub acces controlat datorită nivelului său de risc ASL-4, deoarece are capacitatea de a genera autonom exploit-uri funcționale.
Imaginați-vă că software-ul care stă la baza internetului, de la browserele pe care le folosiți pentru a citi aceste informații până la sistemele de operare ale celor mai puternice servere, ar avea vulnerabilități invizibile pe care nimeni nu le-a observat de zeci de ani. Ei bine, se pare că Anthropic a făcut o descoperire importantă cu un instrument care nu numai că găsește aceste vulnerabilități, dar știe exact cum să le exploateze, forțând întreaga industrie să regândească modul în care ne protejăm datele.
Nu vorbim despre o simplă actualizare a unei aplicații de chat inteligent, ci despre o schimbare completă de paradigmă. Odată cu lansarea Proiectului Glasswing , compania a decis să adopte o abordare proactivă și defensivă, reunind greii din sectoarele tehnologic și financiar pentru a curăța baza de cod globală înainte ca cineva cu intenții rău intenționate să decidă să folosească aceeași tehnologie pentru a crea haos digital.
Creierul din spatele operațiunii: Claude Mythos Previzualizare
Adevărata forță motrice din spatele întregii operațiuni este Claude Mythos Preview , un model de inteligență artificială care îi face de rușine pe predecesorii săi în ceea ce privește analiza securității. Spre deosebire de modelele comerciale, Mythos are o capacitate de raționament profundă ce îi permite să identifice mii de vulnerabilități zero-day - defecte de care nici măcar dezvoltatorii originali nu erau conștienți.
Ceea ce face ca acest model să fie cu adevărat puternic este capacitatea sa de a înlănțui vulnerabilitățile . În lumea reală, un hacker nu folosește de obicei o singură vulnerabilitate, ci combină mai multe defecte minore pentru a obține acces complet. Mythos poate deduce cum să lege aceste componente între ele și, și mai impresionant, este capabil să scrie și să execute cod de test pentru a demonstra că defectul este real și exploatabil, eliminând astfel zgomotul rezultatelor fals pozitive care îi frustrează atât de mult pe analiștii de securitate cibernetică și instrumentele lor.
Cifre care îți fac părul să se ridice
Dacă credeai că software-ul matur este sigur, datele Glasswing îți vor provoca coșmaruri. În doar treizeci de zile, partenerii programului au detectat peste 10.000 de vulnerabilități de severitate ridicată sau critice. Numai Cloudflare, deja lider în domeniul securității, a găsit 2.000 de erori în propriile sisteme, dintre care 400 au fost critice , demonstrând că nici cei mai pregătiți nu sunt imuni la erori.
Situația cu open source este și mai alarmantă. Anthropic a analizat aproximativ 1.000 de proiecte esențiale pentru rețea și a găsit peste 23.000 de vulnerabilități potențiale, dintre care 6.202 au fost clasificate drept critice . Ca să vă faceți o idee, modelul a descoperit o vulnerabilitate în OpenBSD care fusese inactivă timp de 27 de ani , pe lângă erori vechi de 16 și, respectiv, 17 ani în FFmpeg și FreeBSD. Software care trecuse nenumărate audituri și care încă avea o vulnerabilitate.
De ce nu putem folosi Mythos acasă?
Probabil vă întrebați de ce Anthropic nu lansează acest model publicului. Răspunsul este simplu: este prea periculos. Mythos a fost clasificat intern ca ASL-4 (nivelul de siguranță AI 4) , ceea ce înseamnă că are potențialul de a provoca daune catastrofale dacă ajunge pe mâini greșite. Un model care găsește o eroare cu o asemenea precizie poate, într-o clipă, să genereze exploit-ul perfect pentru a ataca infrastructura critică.
Prin urmare, accesul este restricționat la un cerc închis de 50 de organizații selectate , inclusiv giganți precum Microsoft, Google, Apple, Amazon și JPMorgan Chase. Ideea este ca aceste entități să utilizeze inteligența artificială pentru a corecta software-ul în masă înainte ca atacatorii să dezvolte propriile instrumente bazate pe modele similare. Este, în esență, o cursă a înarmărilor în care Anthropic vrea ca cei buni să aibă avantajul.
Lecții pentru sector și viitorul dezvoltării
Această implementare arată clar că securitatea nu mai poate fi o idee ulterioară. Cloudflare a subliniat că utilizarea agenților IA necesită un mediu de testare foarte specific; nu este suficient să ceri pur și simplu modelului să „caute erori”. În schimb, sarcinile trebuie segmentate, iar revizuirea contradictorie (un al doilea agent care contestă rezultatele primului) trebuie utilizată pentru a împiedica IA să fabrice informații.
În plus, a apărut un blocaj uman îngrijorător: inteligența artificială găsește erori mai repede decât le pot remedia programatorii. Deși Mythos detectează mii de erori, procesul de triere, raportare și aplicare a patch-urilor se bazează în continuare pe personal uman suprasolicitat. Acest lucru a determinat unele companii să încerce să își reducă SLA-urile de răspuns la doar două ore de la publicarea unui CVE , deși acest lucru prezintă riscul lansării de patch-uri fără teste de regresie adecvate.
Pentru a combate acest lucru, Anthropic a lansat Claude Security în versiune beta pentru clienții enterprise și Programul de Verificare Cibernetică, permițând profesioniștilor legitimi să utilizeze modelele sale fără restricțiile obișnuite. De asemenea, au alocat milioane de dolari fundațiilor precum Linux Foundation și Apache pentru a ajuta administratorii open-source să gestioneze acest tsunami de rapoarte de securitate.
Realitatea este că, în timp, costul descoperirii vulnerabilităților a scăzut vertiginos, iar intervalul dintre descoperire și exploatare este acum mai restrâns ca niciodată. Succesul Proiectului Glasswing demonstrează că singura modalitate de a supraviețui în acest nou ecosistem este prin transparență și colaborare intersectorială , acceptând că IA este acum principalul instrument atât pentru atacarea, cât și pentru apărarea infrastructurii digitale globale.
