- Claude Mythos Preview ka zbuluar mijëra të meta kritike në softuerët themelorë, duke i tejkaluar shumë aftësitë e zbulimit të njerëzve dhe mjeteve tradicionale.
- Projekti Glasswing është një koalicion i kufizuar prej 50 gjigantësh të teknologjisë dhe financiarë që përdorin këtë inteligjencë artificiale për të korrigjuar dobësitë përpara se ato të shfrytëzohen.
- Modeli mbetet nën akses të kontrolluar për shkak të nivelit të rrezikut ASL-4, pasi ka aftësinë të gjenerojë shfrytëzime funksionale në mënyrë autonome.
Imagjinoni sikur softueri që mbështet internetin, nga shfletuesit që po përdorni për ta lexuar këtë deri te sistemet operative të serverëve më të fuqishëm, të kishte dobësi të padukshme që askush nuk i kishte vënë re për dekada. Epo, rezulton se Anthropic ka bërë një përparim me një mjet që jo vetëm i gjen këto dobësi, por edhe di saktësisht se si t'i shfrytëzojë ato, duke e detyruar të gjithë industrinë të rimendojë mënyrën se si i mbrojmë të dhënat tona.
Nuk po flasim për një përditësim të thjeshtë të një aplikacioni për biseda inteligjente, por për një ndryshim të plotë paradigme. Me lançimin e Projektit Glasswing , kompania ka vendosur të ndjekë një qasje mbrojtëse proaktive, duke bashkuar fuqitë e mëdha të sektorëve të teknologjisë dhe financiar për të pastruar bazën e kodit global përpara se dikush me qëllim keqdashës të vendosë të përdorë të njëjtën teknologji për të krijuar kaos dixhital.
Truri ideator pas operacionit: Paraparje e Claude Mythos
Forca e vërtetë lëvizëse pas gjithë këtij operacioni është Claude Mythos Preview , një model i inteligjencës artificiale që i turpëron paraardhësit e tij për sa i përket analizës së sigurisë. Ndryshe nga modelet komerciale, Mythos ka një kapacitet të thellë arsyetimi që i lejon të identifikojë mijëra dobësi zero-day - të meta për të cilat as zhvilluesit origjinalë nuk ishin të vetëdijshëm.
Ajo që e bën këtë model një fuqi të vërtetë është aftësia e tij për të lidhur në zinxhir dobësitë . Në botën reale, një haker zakonisht nuk përdor një vrimë të vetme, por kombinon disa të meta të vogla për të fituar akses të plotë. Mythos mund të nxjerrë përfundime se si t'i lidhë këto pjesë së bashku dhe, edhe më mbresëlënëse, është i aftë të shkruajë dhe ekzekutojë kod testimi për të vërtetuar se e meta është e vërtetë dhe e shfrytëzueshme, duke eliminuar kështu zhurmën e pozitiveve të rreme që i frustrojnë kaq shumë analistët e sigurisë kibernetike dhe mjetet e tyre.
Figura që të bëjnë të ngrihesh përpjetë
Nëse mendonit se softuerët e zhvilluar ishin të sigurt, të dhënat e Glasswing do t'ju shkaktojnë ankthe. Vetëm në tridhjetë ditë, partnerët e programit zbuluan më shumë se 10.000 dobësi me rëndësi të lartë ose kritike. Vetëm Cloudflare, tashmë një lider në siguri, gjeti 2.000 gabime në sistemet e veta, 400 prej të cilave ishin kritike , duke demonstruar se edhe më të përgatiturit nuk janë imunë ndaj gabimeve.
Situata me burimin e hapur është edhe më alarmante. Anthropic analizoi rreth 1.000 projekte thelbësore për rrjetin dhe gjeti më shumë se 23.000 dobësi të mundshme, me 6.202 prej tyre të klasifikuara si kritike . Për t'ju dhënë një ide, modeli zbuloi një dobësi në OpenBSD që kishte qenë e fjetur për 27 vjet , përveç gabimeve 16 dhe 17-vjeçare në FFmpeg dhe FreeBSD, përkatësisht. Softuer që kishte kaluar auditime të panumërta dhe ende kishte një dobësi.
Pse nuk mund ta përdorim Mythos në shtëpi?
Me siguri po pyesni veten pse Anthropic nuk e publikon këtë model për publikun. Përgjigja është e thjeshtë: është shumë e rrezikshme. Mythos është klasifikuar nga brenda si ASL-4 (Niveli 4 i Sigurisë së IA-së) , që do të thotë se ka potencialin për dëme katastrofike nëse bie në duar të gabuara. Një model që gjen një gabim me një saktësi të tillë, sa hap e mbyll sytë, mund të gjenerojë shfrytëzimin e përsosur për të sulmuar infrastrukturën kritike.
Prandaj, qasja është e kufizuar në një rreth të mbyllur prej 50 organizatash të përzgjedhura , duke përfshirë gjigantë si Microsoft, Google, Apple, Amazon dhe JPMorgan Chase. Ideja është që këto subjekte të përdorin inteligjencën artificiale për të përditësuar softuerin në masë përpara se sulmuesit të zhvillojnë mjetet e tyre bazuar në modele të ngjashme. Në thelb është një garë armatimi ku Anthropic dëshiron që djemtë e mirë të kenë epërsinë.
Mësime për sektorin dhe të ardhmen e zhvillimit
Ky vendosje e bën të qartë se siguria nuk mund të jetë më një mendim i dytë. Cloudflare ka theksuar se përdorimi i agjentëve të IA-së kërkon një mjedis testimi shumë specifik; nuk mjafton thjesht t'i kërkohet modelit të "kërkojë për gabime". Në vend të kësaj, detyrat duhet të segmentohen dhe të përdoret një shqyrtim kundërshtues (një agjent i dytë që sfidon rezultatet e të parit) për të parandaluar që IA të fabrikojë informacion.
Për më tepër, është shfaqur një pengesë shqetësuese njerëzore: IA i gjen gabimet më shpejt sesa mund t'i rregullojnë programuesit. Ndërsa Mythos zbulon mijëra gabime, procesi i triazhimit, raportimit dhe patch-eve ende mbështetet në punëtorë njerëzorë të mbingarkuar. Kjo i ka bërë disa kompani të përpiqen të zvogëlojnë SLA-të e tyre të përgjigjes në vetëm dy orë nga publikimi i një CVE , megjithëse kjo mbart rrezikun e publikimit të patch-eve pa testime të mjaftueshme regresioni.
Për ta luftuar këtë, Anthropic ka lançuar Claude Security në versionin beta për klientët e ndërmarrjeve dhe Programin e Verifikimit Kibernetik, duke u lejuar profesionistëve legjitimë të përdorin modelet e tij pa kufizimet e zakonshme. Ata gjithashtu kanë angazhuar miliona dollarë për fondacione si Linux Foundation dhe Apache për të ndihmuar mirëmbajtësit e burimeve të hapura të menaxhojnë këtë cunami raportesh sigurie.
Realiteti është se kostoja e zbulimit të dobësive ka rënë ndjeshëm dhe hapësira midis zbulimit dhe shfrytëzimit tani është më e ngushtë se kurrë. Suksesi i Projektit Glasswing tregon se e vetmja mënyrë për të mbijetuar në këtë ekosistem të ri është përmes transparencës dhe bashkëpunimit ndërsektorial , duke pranuar që IA tani është mjeti kryesor si për të sulmuar ashtu edhe për të mbrojtur infrastrukturën dixhitale globale.
