ИИ Anthropic находит ошибки Microsoft быстрее, чем инженеры их исправляют

Ключевые моменты

• Anthropic предоставила избранным софтверным компаниям доступ к новой модели ИИ Mythos в середине мая 2025 года, чтобы обнаружить уязвимости безопасности раньше хакеров.
• Microsoft запустила внутреннее подразделение с кодовым названием Project Glasswing специально для устранения уязвимостей, выявленных Mythos.
• Эта инициатива позиционируется как оборонительная гонка: устранить уязвимости раньше, чем их смогут использовать Китай или другие враждебные субъекты с помощью подобных ИИ-инструментов.
• Инженеры в штаб-квартире Microsoft в Редмонде открыто сомневались в том, что Mythos работает так хорошо, как это заявляла Anthropic.

Десятки инженеров Microsoft собрались в переговорной комнате в Редмонде, штат Вашингтон, или присоединились по видеосвязи одним из дней середины мая. Встреча имела необычную повестку дня: ИИ ломал собственное программное обеспечение компании, и нужно было обсудить масштаб проблемы.

Речь идет о Mythos — модели, разработанной Anthropic, сфокусированной на безопасности компанией из Сан-Франциско, стоящей за семейством чат-ботов Claude. Anthropic дала Mythos доступ к небольшой группе организаций, которые разрабатывают программное обеспечение для обычных людей, бизнеса и государств. Идея была простой: дать продвинутому ИИ поискать уязвимости безопасности — слабые места в коде, через которые могут проникнуть злоумышленники, — прежде чем это сделают настоящие хакеры.

Внутренний ответ Microsoft получил название: Project Glasswing.

Почему это важно для обычных пользователей?

Программное обеспечение Microsoft установлено на сотнях миллионов компьютеров по всему миру. Неустраненная уязвимость — это открытая дверь. Если государственная хакерская группа или преступная организация обнаружит те же уязвимости первыми, последствия могут варьироваться от кражи данных до нарушения инфраструктуры.

Это ровно та угроза, которую пытаются предотвратить Anthropic и Microsoft. Как сообщает Ars Technica, на встречах Glasswing открыто обсуждалась опасность того, что враждебные государства, включая Китай, вскоре могут развернуть собственные ИИ-инструменты для поиска таких же уязвимостей в масштабе.

Модели ИИ давно используются для написания кода. Но то, что ново и делает Mythos заметным, — это скорость, с которой она выявляет уязвимости в существующем коде. Исправление уязвимостей в программном обеспечении всегда было гонкой против их обнаружения. Mythos, похоже, ускоряет оба процесса.

Убедились ли инженеры?

Не совсем, по крайней мере поначалу. Когда началась встреча Glasswing, один из инженеров задал вопрос, витавший в воздухе: действительно ли Mythos оправдала «ожидания, на которые претендовала Anthropic?»

Такой скептицизм вполне здоров. ИИ-системы часто переоценивают. Модель, которая находит десять незначительных, уже известных проблем, — это совсем не то же самое, что модель, которая выявляет действительно опасные, ранее неизвестные уязвимости. Источники пока не сообщают, к какой категории относятся находки Mythos или сколько уязвимостей было найдено и устранено.

Что будет дальше?

Детали того, что обнаружила Mythos, остаются опубликованными, что соответствует стандартной практике: вы не объявляете о местонахождении уязвимостей, пока патчи не будут установлены.

Эта история в более широком смысле сигнализирует о сдвиге в работе индустрии безопасности. Компании начинают использовать ИИ в наступательной позиции контролируемым образом, направляя его на собственные продукты, чтобы опередить реальных злоумышленников. Этот подход получит распространение. Вопрос в том, смогут ли защитники держать темп.

Для обычных пользователей практические рекомендации остаются прежними: держите программное обеспечение в актуальном состоянии. Когда выходят патчи, они теперь могут обязаны своим существованием ИИ, который обнаружил проблему первым.

Часто задаваемые вопросы

Что точно такое уязвимость в программном обеспечении?

Уязвимость — это ошибка или слабое место в коде программы, которое злоумышленник может использовать для проникновения туда, где ему быть не следует. Подумайте об этом как о незакрытом окне в противном случае заперт здании.

Должен ли я волноваться о том, что ИИ теперь может находить эти уязвимости так быстро?

Та же скорость, которая беспокоит защитников, может защитить вас. Если компании используют ИИ для обнаружения и устранения уязвимостей раньше злоумышленников, ваше программное обеспечение становится более безопасным. Риск заключается в том, что враждебные субъекты получат те же инструменты и будут действовать быстрее защитников.