Anthropic के Mythos AI को नई खामियां तेजी से मिल रही हैं। आपकी पुरानी अनठीक की हुई खामियां असली खतरा हैं।

मुख्य बिंदु

• Anthropic ने 7 अप्रैल 2025 को Mythos लॉन्च किया, एक AI सिस्टम जो सॉफ्टवेयर सुरक्षा खामियों को स्वचालित रूप से खोजता है।
• Mythos ने खोजी गई खामियों को CVE (Common Vulnerabilities and Exposures) के रूप में दर्ज किया, जो अद्वितीय ID नंबर हैं जो हर ज्ञात सॉफ्टवेयर बग को सूचीबद्ध करते हैं ताकि विक्रेता और रक्षक एक ही समस्या के बारे में बात कर सकें।
• एक्सप्लॉइट कोड, सॉफ्टवेयर जो एक ज्ञात खामी को काम करने वाले हमले में बदल देता है, अब एक बग के सार्वजनिक होने के 3 से 7 दिन में दिखाई देता है।
• अधिकांश संगठन महत्वपूर्ण पैच लागू करने में 45 दिन या उससे अधिक समय लेते हैं, जिससे हमलावरों के लिए लगभग छह सप्ताह की खिड़की खुली रहती है।
• जब कोई विक्रेता पैच जारी करता है और जब वह प्रभावित सभी सिस्टम पर आता है, इसके बीच के अंतराल को मापना सबसे महत्वपूर्ण मेट्रिक है जिसे अधिकांश कंपनियां ट्रैक नहीं कर रहीं।

Anthropic, Claude AI सहायकों के परिवार के पीछे की कंपनी, ने 7 अप्रैल 2025 को Mythos नामक एक टूल का अनावरण किया। जैसा कि पहले ThreatVectr द्वारा रिपोर्ट किया गया था, Mythos सॉफ्टवेयर कोड को उसी तरह पढ़ता है जैसे एक मानव सुरक्षा शोधकर्ता करता है, केवल बहुत तेजी से, और यह स्वचालित रूप से अपने निष्कर्षों को CVE के रूप में दर्ज करता है। सुरक्षा उद्योग तुरंत ही एक पहले से ही अधिभारित सूची में आने वाली नई प्रविष्टियों की बाढ़ के बारे में चिंतित होने लगा।

वह चिंता वास्तविक है। यह गलत चीज पर ध्यान केंद्रित करना भी है।

पिछले पांच वर्षों की ब्रीच रिपोर्ट के बाद ब्रीच रिपोर्ट देखें और एक ही पैटर्न दिखाई देता है। हमलावरों को कोई चतुर zero-day नहीं मिला, यानी कोई ऐसी खामी जो किसी को पता न हो। वे एक ऐसी खामी के माध्यम से घुस गए जिसे विक्रेता पहले ही ठीक कर चुका था, कभी-कभी हमले से महीनों या साल पहले, जिसे पीड़ित ने अभी तक ठीक करने का प्रबंध नहीं किया था।

क्या Mythos वास्तव में कंपनियों को कम सुरक्षित बनाता है?

सीधे तौर पर नहीं। लेकिन यह एक पहले से मौजूद समस्या को नजरअंदाज करना कठिन बना देता है। यह गणित है। यदि आपका संगठन औसतन 45 दिन में महत्वपूर्ण पैच लागू करता है, और किसी नई खामी के सार्वजनिक होने के 3 से 7 दिन में काम करने वाला एक्सप्लॉइट कोड दिखाई देता है, तो आप हर गंभीर खामी पर लगभग छह सप्ताह के लिए उजागर रहते हैं। Mythos खोज के पक्ष को तेज करता है। यह दूसरे पक्ष के विलंब के बारे में कुछ नहीं करता।

सामान्य लोगों के लिए, यह व्यावहारिक तरीके से मायने रखता है। वे कंपनियां जो आपके चिकित्सा रिकॉर्ड, आपके बैंक विवरण, आपका खरीदारी का इतिहास रखती हैं: उनकी सुरक्षा न केवल खामियां खोजने पर निर्भर करती है बल्कि जिन खामियों के बारे में वह पहले से जानते हैं उन्हें ठीक करने पर निर्भर करती है। एक स्मार्ट खोज टूल केवल तभी उपयोगी है जब उसके पीछे की पैचिंग प्रक्रिया उसके साथ तालमेल रख सके।

तो रक्षकों को वास्तव में क्या बदलना चाहिए? चार बातें सामने आती हैं।

पहला, पैचिंग की खिड़की को मापें। एक कतार में बैठी खुली CVE की कुल संख्या नहीं। एक विक्रेता द्वारा फिक्स जारी करने और वह फिक्स हर प्रभावित सिस्टम तक पहुंचने के बीच के दिनों की संख्या, खामी कितनी गंभीर है इसके आधार पर क्रमबद्ध। यदि यह संख्या आज मौजूद नहीं है, तो इसे तैयार करना पहली परियोजना है।

दूसरा, इसे सिकोड़ें। महत्वपूर्ण पैच के लिए 30 दिन की समयसीमा अब आक्रामक नहीं है; यह न्यूनतम है। उन खामियों के लिए जिनके लिए काम करने वाला एक्सप्लॉइट कोड पहले से ही जंगली में है, सात दिन अधिक रक्षा योग्य लक्ष्य है।

तीसरा, एक सटीक संपत्ति सूची बनाएं, संगठन वास्तव में चलाने वाले हर कंप्यूटर, सर्वर और सेवा की एक संपूर्ण सूची। हर घटना प्रतिक्रिया कर्मचारी के पास एक ही कहानी है: कमरे के कोने में भूली हुई सर्वर, अधिग्रहीत कंपनी की प्रणालियां जिन्हें कोई मैप नहीं किया। Mythos-स्तरीय खोज वह मशीनें किसी भी पैचिंग टीम से पहले खोज लेगी।

चौथा, विक्रेता सुरक्षा सलाह को प्रकाशन के दिन पढ़ें और उन पर कार्रवाई करें। यदि एक महत्वपूर्ण फिक्स के लिए इसे भेजने से पहले एक समिति की बैठक की आवश्यकता है, तो समिति की प्रक्रिया स्वयं एक कमजोरी है।

Mythos ने किसी की सुरक्षा कार्यक्रम को नहीं तोड़ा। इसने घड़ी को तेजी से चलाया। चाहे यह मायने रखे, यह पूरी तरह से इस बात पर निर्भर करता है कि खिड़की पहले से कितने समय से खुली रही है।