Anthropics Claude Mythos entdeckte über 10.000 Sicherheitslücken, dann schränkte die US-Regierung es ein

Wichtige Punkte

• Anthropic veröffentlichte Claude Mythos, ein KI-Modell für Cybersicherheit und Gesundheitswesen, im April 2023 für eine ausgewählte Gruppe von Partnern.
• Claude Mythos half 50 Technologiepartnern, mehr als 10.000 kritische Sicherheitslücken in großen Betriebssystemen und Webbrowsern zu finden.
• Das Modell entdeckte einen Sicherheitsfehler, der 27 Jahre lang unentdeckt in OpenBSD, einem Betriebssystem, verblieben war.
• Die US-Regierung verhängte im Juni 2023 Exportkontrollen über Claude Mythos, obwohl diese Beschränkungen zwei Wochen später aufgehoben wurden.
• Anthropic schränkt den direkten Zugriff auf Mythos ein und befürchtet, dass Cyberkriminelle seine Fähigkeiten ausnutzen könnten.

Anthropics neues KI-Modell wurde nicht mit einer Pressekonferenz oder einer Produktdemo vorgestellt. Es wurde diskret an einen kleinen Kreis von Technologiepartnern weitergegeben und begann dann, Fehler zu finden, die seit Jahrzehnten in Software versteckt waren.

Wie zuerst von ThreatVectr berichtet, kam Claude Mythos, ein großes Sprachmodell – also die gleiche Art von KI-Technologie, die Chatbots wie ChatGPT antreibt – im April 2023 unter einem Programm an, das Anthropic Project Glasswing nannte. Die Idee war einfach: Verteidigern einen Vorsprung geben.

Fünfzig Partnerorganisationen nutzten Mythos, um große Betriebssysteme und Webbrowser auf Schwachstellen zu durchsuchen – das sind Schwachstellen in Software, die Angreifer ausnutzen können. Die Ergebnisse waren beeindruckend. Das Modell fand mehr als 10.000 kritische Fehler. Einer davon war 27 Jahre lang unentdeckt in OpenBSD, einem weit verbreiteten Open-Source-Betriebssystem, geblieben.

Mythos kann auch mehrere Fehler miteinander verknüpfen und Angriffswege erkennen, die ein menschlicher Forscher übersehen könnte, wenn er jeden Fehler einzeln betrachtet.

Diese Leistung beunruhigte viele.

Im Juni 2023 verhängte die US-Regierung vorübergehende Exportkontrollen über Mythos und ein verwandtes Modell namens Claude Fable, die einschränkten, wer darauf außerhalb des Landes zugreifen konnte. Die Kontrollen wurden zwei Wochen später aufgehoben, aber der Vorfall zeigte eine echte Spannung: Ein Werkzeug, das gut genug ist, um verborgene Schwachstellen schnell zu finden, ist auch ein Werkzeug, das ein Krimineller ausnutzen könnte.

Anthropics Antwort ist ein zweigleisiger Ansatz. Claude Fable verwendet die gleiche zugrunde liegende Technologie wie Mythos, wird aber unter strengen Regeln betrieben, die verhindern, dass es bei riskanten Sicherheitsaufgaben hilft. Wenn eine Anfrage diese Regeln verletzt, übergibt Fable an ein leichteres Modell namens Opus 4.8, anstatt einfach abzulehnen.

Was bedeutet das für normale Menschen?

Für die meisten Menschen ist die direkte Auswirkung unsichtbar, zumindest vorläufig. Ihre Bank, das Betriebssystem Ihres Telefons, der Browser, in dem Sie das lesen: Sie enthalten alle Code, den Sicherheitsteams überprüfen, bevor Angreifer das tun. Mythos ist eines der Werkzeuge, das dieses Rennen beschleunigt.

Cisco, eines der Unternehmen mit frühzeitigem Zugang, hat bereits sein Foundry Security Spec veröffentlicht, ein Open-Source-Test-Framework, auf dem andere Anbieter aufbauen können, ohne von vorne anzufangen. Diese Art des Wissensaustauschs ist wichtig, weil Angreifer schnell vorgehen und Verteidiger jeden Trick brauchen, den sie finden können.

Kritiker sind weniger überzeugt, dass die Geschichte damit endet. Sicherheitsforscher weisen darauf hin, dass das Finden von Fehlern nur die halbe Arbeit ist. Organisationen müssen immer noch über die Ressourcen und Disziplin verfügen, um sie zu beheben, und kein KI-Modell hindert einen Betrüger daran, einfach anzurufen und sich an Ihren Abwehrkräften vorbeireden zu lassen.

Bleiben Sie neugierig auf das, was Ihre Daten schützt. Die Werkzeuge verbessern sich schnell.