- Claude Mythos Preview je odkril na tisoče kritičnih napak v temeljni programski opremi, kar daleč presega zmožnosti odkrivanja ljudi in tradicionalnih orodij.
- Projekt Glasswing je omejena koalicija 50 tehnoloških in finančnih velikanov, ki uporabljajo to umetno inteligenco za odpravljanje ranljivosti, preden so te izkoriščene.
- Model ostaja pod nadzorovanim dostopom zaradi stopnje tveganja ASL-4, saj ima sposobnost samostojnega ustvarjanja funkcionalnih izkoriščanj.
Predstavljajte si, da bi imela programska oprema, ki je temelj interneta, od brskalnikov, ki jih uporabljate za branje tega, do operacijskih sistemov najzmogljivejših strežnikov, nevidne ranljivosti, ki jih nihče ni opazil že desetletja. No, izkazalo se je, da je Anthropic naredil preboj z orodjem, ki ne le najde te ranljivosti, ampak tudi natančno ve, kako jih izkoristiti, kar je celotno industrijo prisililo, da ponovno premisli o tem, kako zaščitimo svoje podatke.
Ne govorimo o preprosti posodobitvi aplikacije za pametni klepet, temveč o popolnem premiku paradigme. Z lansiranjem projekta Glasswing se je podjetje odločilo za proaktiven obrambni pristop in združilo velikane tehnološkega in finančnega sektorja, da bi očistili globalno kodno bazo, preden se nekdo z zlonamernimi nameni odloči uporabiti isto tehnologijo za ustvarjanje digitalnega kaosa.
Glavni mojster operacije: Claude Mythos (Predogled)
Prava gonilna sila celotne operacije je Claude Mythos Preview , model umetne inteligence, ki svoje predhodnike postavlja v osramoto v smislu varnostne analize. Za razliko od komercialnih modelov ima Mythos sposobnost globokega sklepanja, ki mu omogoča, da prepozna na tisoče ranljivosti ničelnega dne – pomanjkljivosti, ki se jih niso zavedali niti prvotni razvijalci.
Kar ta model dela resnično močnega, je njegova sposobnost veriženja ranljivosti . V resničnem svetu heker običajno ne uporabi ene same luknje, temveč združi več manjših pomanjkljivosti, da pridobi popoln dostop. Mythos lahko sklepa, kako povezati te dele skupaj, in, kar je še bolj impresivno, je sposoben napisati in izvesti testno kodo, da dokaže, da je napaka resnična in izkoriščevalna, s čimer odpravi šum lažno pozitivnih rezultatov, ki tako frustrirajo analitike kibernetske varnosti in njihova orodja.
Številke, ob katerih se vam lasje postavijo pokonci
Če ste mislili, da je zrela programska oprema varna, vam bodo podatki Glasswinga povzročili nočne more. V samo tridesetih dneh so partnerji programa odkrili več kot 10.000 zelo resnih ali kritičnih ranljivosti. Samo Cloudflare, ki je že vodilni na področju varnosti, je v svojih sistemih odkril 2.000 napak, od katerih jih je bilo 400 kritičnih , kar dokazuje, da tudi najbolj pripravljeni niso imuni na napake.
Razmere z odprtokodno programsko opremo so še bolj zaskrbljujoče. Anthropic je analiziral približno 1.000 projektov, bistvenih za omrežje, in odkril več kot 23.000 potencialnih ranljivosti, od katerih jih je bilo 6.202 razvrščenih kot kritičnih . Za lažjo predstavo je model odkril ranljivost v OpenBSD, ki je bila 27 let mirujoča , poleg 16 oziroma 17 let starih napak v FFmpeg in FreeBSD. Programska oprema, ki je prestala nešteto revizij in je še vedno imela ranljivost.
Zakaj ne moremo uporabljati Mythosa doma?
Verjetno se sprašujete, zakaj Anthropic tega modela ne objavi javnosti. Odgovor je preprost: preveč je nevaren. Mythos je bil interno razvrščen kot ASL-4 (raven varnosti umetne inteligence 4) , kar pomeni, da lahko povzroči katastrofalno škodo, če pride v napačne roke. Model, ki s tako natančnostjo najde hrošča, lahko v hipu ustvari popolno izkoriščanje za napad na kritično infrastrukturo.
Zato je dostop omejen na zaprt krog 50 izbranih organizacij , vključno z velikani, kot so Microsoft, Google, Apple, Amazon in JPMorgan Chase. Ideja je, da te entitete uporabijo umetno inteligenco za množično popravljanje programske opreme, preden napadalci razvijejo lastna orodja, ki temeljijo na podobnih modelih. V bistvu gre za oboroževalno tekmo, kjer si Anthropic želi, da bi dobri fantje imeli prednost.
Lekcije za sektor in prihodnost razvoja
Ta uvedba jasno kaže, da varnost ne more biti več stranski dejavnik. Cloudflare je poudaril, da uporaba agentov umetne inteligence zahteva zelo specifično testno okolje; ni dovolj, da model preprosto prosimo, naj "išče napake". Namesto tega je treba naloge segmentirati in uporabiti kontradiktorni pregled (drugi agent, ki izpodbija rezultate prvega), da se prepreči, da bi umetna inteligenca ponarejala informacije.
Poleg tega se je pojavilo zaskrbljujoče ozko grlo zaradi človeškega faktorja: umetna inteligenca najde napake hitreje, kot jih lahko programerji odpravijo. Medtem ko Mythos zazna na tisoče napak, postopek triaže, poročanja in nameščanja popravkov še vedno temelji na preobremenjenih človeških delavcih. Zaradi tega so nekatera podjetja poskušala skrajšati svoje sporazume o ravni storitev za odziv na samo dve uri od objave CVE , čeprav to prinaša tveganje izdaje popravkov brez ustreznega regresijskega testiranja.
Da bi se temu izognili, je Anthropic za poslovne stranke predstavil beta različico programa Claude Security in program za kibernetsko preverjanje, ki legitimnim strokovnjakom omogoča uporabo njihovih modelov brez običajnih omejitev. Prav tako so namenili milijone dolarjev fundacijam, kot sta Linux Foundation in Apache, da bi vzdrževalcem odprtokodnih programov pomagali pri obvladovanju tega cunamija varnostnih poročil.
Resničnost je, da so se stroški odkrivanja ranljivosti močno znižali, razdalja med odkrivanjem in izkoriščanjem pa je zdaj ožja kot kdaj koli prej. Uspeh projekta Glasswing dokazuje, da je edini način za preživetje v tem novem ekosistemu preglednost in medsektorsko sodelovanje , pri čemer je treba sprejeti, da je umetna inteligenca zdaj glavno orodje tako za napad kot za obrambo globalne digitalne infrastrukture.
