Claude Mythos от Anthropic обнаружил более 10 000 уязвимостей в системе безопасности, а затем был ограничен правительством США

Ключевые моменты

• Anthropic выпустила Claude Mythos, модель ИИ, созданную для кибербезопасности и здравоохранения, для избранной группы партнеров в апреле 2023 года.
• Claude Mythos помогла 50 технологическим партнерам обнаружить более 10 000 критических уязвимостей в системе безопасности в основных операционных системах и веб-браузерах.
• Модель обнаружила ошибку безопасности, которая оставалась необнаруженной в OpenBSD, операционной системе, на протяжении 27 лет.
• Правительство США ввело экспортные ограничения на Claude Mythos в июне 2023 года, хотя эти ограничения были сняты в течение двух недель.
• Anthropic ограничивает доступ к Mythos, ссылаясь на опасения того, что киберпреступники могут использовать его возможности в злонамеренных целях.

Новая модель ИИ от Anthropic не была запущена с пресс-конференции или презентации продукта. Она была выпущена тихо, передана небольшому кругу технологических партнеров, а затем начала находить ошибки, которые скрывались в программном обеспечении на протяжении десятилетий.

Как первым сообщила компания ThreatVectr, Claude Mythos, большая языковая модель (то есть тот же тип технологии ИИ, который питает чат-боты типа ChatGPT), поступила в апреле 2023 года в рамках программы Anthropic под названием Project Glasswing. Идея была простой: дать защитникам фору.

Пятьдесят партнерских организаций использовали Mythos для сканирования основных операционных систем и веб-браузеров на предмет уязвимостей, которые представляют собой недостатки в программном обеспечении, которые злоумышленники могут использовать. Результаты были впечатляющими. Модель обнаружила более 10 000 критических ошибок. Одна из них оставалась необнаруженной в OpenBSD, широко используемой операционной системе с открытым исходным кодом, на протяжении 27 лет.

Mythos также может связывать несколько ошибок вместе, обнаруживая пути атак, которые исследователь-человек может пропустить, рассматривая каждую ошибку изолированно.

Эта мощь вызвала озабоченность.

В июне 2023 года правительство США наложило временные экспортные ограничения на Mythos и связанную модель Claude Fable, ограничив доступ к ним за пределами страны. Ограничения были сняты две недели спустя, но этот эпизод подчеркнул реальное напряжение: инструмент, достаточно мощный, чтобы быстро находить скрытые уязвимости, — это также инструмент, который преступник может использовать для их эксплуатации.

Ответ Anthropic — двухуровневый подход. Claude Fable использует ту же базовую технологию, что и Mythos, но работает в соответствии со строгими правилами, которые блокируют его от помощи в рискованных задачах безопасности. Если запрос нарушает эти правила, Fable передает управление более легкой модели Opus 4.8 вместо того, чтобы просто отказать.

Что это означает для обычных людей?

Для большинства людей прямой эффект пока невидим. Ваш банк, операционная система вашего телефона, браузер, в котором вы это читаете: все они содержат код, который команды безопасности спешат проверить до того, как это сделают злоумышленники. Mythos — один из инструментов, который ускоряет эту гонку.

Cisco, одна из компаний, получивших ранний доступ, уже опубликовала свою Foundry Security Spec, фреймворк тестирования с открытым исходным кодом, который другие поставщики могут развивать, не начиная с нуля. Этот вид обмена знаниями имеет значение, потому что злоумышленники движутся быстро, и защитники нуждаются в каждом возможном сокращении.

Критики менее убеждены, что история заканчивается на этом. Исследователи безопасности указывают на то, что поиск ошибок — это только половина работы. Организациям все еще нужны ресурсы и дисциплина для их исправления, и ни одна модель ИИ еще не останавливает мошенника от того, чтобы просто позвонить вам и убедить вас обойти вашу защиту.

Оставайтесь любопытными в отношении того, что защищает ваши данные. Инструменты улучшаются быстро.