- Claude Mythos Preview виявив тисячі критичних недоліків у фундаментальному програмному забезпеченні, що значно перевищує можливості виявлення людьми та традиційними інструментами.
- Проект Glasswing — це обмежена коаліція з 50 технологічних та фінансових гігантів, які використовують цей штучний інтелект для виправлення вразливостей, перш ніж вони будуть використані.
- Модель залишається під контрольованим доступом через рівень ризику ASL-4, оскільки вона має здатність автономно генерувати функціональні експлойти.
Уявіть, що програмне забезпечення, яке лежить в основі інтернету, від браузерів, які ви використовуєте для читання цього тексту, до операційних систем найпотужніших серверів, мало б невидимі вразливості, яких ніхто не помічав десятиліттями. Виявляється, Anthropic здійснила прорив за допомогою інструменту, який не лише знаходить ці вразливості, але й точно знає, як їх використовувати, змушуючи всю галузь переосмислити те, як ми захищаємо наші дані.
Йдеться не про просте оновлення смарт-чат-додатку, а про повну зміну парадигми. Із запуском Project Glasswing компанія вирішила застосувати проактивний оборонний підхід, об’єднавши провідних технологічних та фінансових секторів для очищення глобальної кодової бази, перш ніж хтось зі злими намірами вирішить використати ту саму технологію для створення цифрового хаосу.
Організатор операції: Клод Мітос (огляд)
Справжньою рушійною силою всієї цієї операції є Claude Mythos Preview , модель штучного інтелекту, яка перевершує своїх попередників з точки зору аналізу безпеки. На відміну від комерційних моделей, Mythos має глибокі можливості мислення, що дозволяють їй виявляти тисячі вразливостей нульового дня — недоліків, про які не знали навіть оригінальні розробники.
Що робить цю модель справді потужною, так це її здатність об'єднувати вразливості в ланцюг . У реальному світі хакер зазвичай не використовує одну дірку, а радше поєднує кілька незначних недоліків, щоб отримати повний доступ. Mythos може вивести, як пов'язати ці частини разом, і, що ще більш вражаюче, здатний написати та виконати тестовий код, щоб довести, що вразливість реальна та придатна для використання, тим самим усуваючи шум хибнопозитивних результатів, які так дратують аналітиків з кібербезпеки та їхні інструменти.
Цифри, від яких волосся стає дибки
Якщо ви вважали, що зріле програмне забезпечення безпечне, дані Glasswing подарують вам кошмари. Всього за тридцять днів партнери програми виявили понад 10 000 критичних або вразливостей високого рівня. Тільки Cloudflare, яка вже є лідером у сфері безпеки, виявила 2.000 помилок у власних системах, 400 з яких були критичними , що демонструє, що навіть найпідготовленіші не застраховані від помилок.
Ситуація з відкритим кодом ще більш тривожна. Anthropic проаналізувала близько 1.000 проектів, важливих для мережі, та виявила понад 23 000 потенційних вразливостей, 6.202 з яких класифіковані як критичні . Щоб дати вам уявлення, модель виявила вразливість в OpenBSD, яка була прихованою протягом 27 років , на додаток до 16- та 17-річних помилок у FFmpeg та FreeBSD відповідно. Програмне забезпечення, яке пройшло незліченну кількість аудитів і все ще мало вразливість.
Чому ми не можемо використовувати Mythos вдома?
Ви, мабуть, дивуєтеся, чому Anthropic не випускає цю модель для публіки. Відповідь проста: вона занадто небезпечна. Mythos внутрішньо класифіковано як ASL-4 (рівень безпеки ШІ 4) , що означає, що він може завдати катастрофічної шкоди, якщо потрапить у чужі руки. Модель, яка знаходить помилку з такою точністю, може вмить створити ідеальний експлойт для атаки на критичну інфраструктуру.
Таким чином, доступ обмежено замкненим колом із 50 обраних організацій , включаючи таких гігантів, як Microsoft, Google, Apple, Amazon та JPMorgan Chase. Ідея полягає в тому, щоб ці організації використовували штучний інтелект для масового оновлення програмного забезпечення, перш ніж зловмисники розроблять власні інструменти на основі подібних моделей. Це, по суті, гонка озброєнь, де Anthropic хоче, щоб хороші хлопці мали перевагу.
Уроки для сектору та майбутнє розвитку
Це розгортання чітко показує, що безпека більше не може бути другорядною думкою. Cloudflare зазначила, що використання агентів штучного інтелекту вимагає дуже специфічного середовища тестування; недостатньо просто попросити модель «шукати помилки». Натомість завдання мають бути сегментовані, а також використовуватися змагальна перевірка (другий агент, який оскаржує результати першого), щоб запобігти фальсифікації інформації штучним інтелектом.
Крім того, виникло тривожне людське «вузьке місце»: штучний інтелект знаходить помилки швидше, ніж програмісти можуть їх виправити. Хоча Mythos виявляє тисячі помилок, процес сортування, звітності та встановлення виправлень все ще залежить від перевантажених людей. Це спонукало деякі компанії спробувати скоротити свої угоди про рівень обслуговування (SLA) до двох годин з моменту публікації CVE , хоча це несе ризик випуску виправлень без належного регресійного тестування.
Щоб боротися з цим, Anthropic запустила бета-версію Claude Security для корпоративних клієнтів та програму кіберперевірки, що дозволяє легітимним фахівцям використовувати її моделі без звичайних обмежень. Вони також виділили мільйони доларів таким фондам, як Linux Foundation та Apache, щоб допомогти розробникам відкритого коду впоратися з цим цунамі звітів про безпеку.
Реальність така, що вартість виявлення вразливостей різко впала, а вікно між виявленням та використанням зараз вужче, ніж будь-коли. Успіх проекту Glasswing демонструє, що єдиний спосіб вижити в цій новій екосистемі — це прозорість та міжсекторальна співпраця , визнаючи, що штучний інтелект зараз є основним інструментом як для атаки, так і для захисту глобальної цифрової інфраструктури.
