ШІ Anthropic знаходить помилки Microsoft швидше, ніж інженери можуть їх виправити
Нова модель Anthropic під назвою Mythos виявляє вразливості в програмному забезпеченні Microsoft з такою швидкістю, що компанія змушена терміново реагувати. Гонка за патчуванням цих дір до того, як їх знайдуть зловмисники, вже в розпалі.
Ключові моменти
- Anthropic надала вибраним програмним компаніям доступ до нової моделі ШІ Mythos у середині травня 2025 року, щоб знайти вразливості до того, як це зроблять хакери.
- Microsoft запустила внутрішній проект під кодовою назвою Project Glasswing спеціально для виправлення вразливостей, виявлених Mythos.
- Цей проект розглядається як оборонна гонка: залатати дири до того, як Китай або інші противники використають подібні інструменти ШІ для їх експлуатації.
- Інженери в штаб-квартирі Microsoft в Редмонді відкрито ставили під сумнів, наскільки добре Mythos працює порівняно з тим, що стверджує Anthropic.
Десятки інженерів Microsoft зібралися в конференц-залі в Редмонді, штат Вашингтон, або приєдналися через відеозв'язок одного дня в середині травня. Порядок денний цієї зустрічі був незвичайним: штучний інтелект ламав їхнє власне програмне забезпечення, і їм потрібно було обговорити наслідки.
Цей ШІ — Mythos, модель, створена компанією Anthropic, яка зосереджена на безпеці ШІ та створила сімейство чат-ботів Claude. Anthropic надала Mythos доступ до невеликої групи організацій, які розробляють програмне забезпечення для звичайних людей, бізнесу та урядів. Ідея була простою: дозволити передовому ШІ шукати вразливості безпеки — слабкі місця в коді, через які можуть прориватися зловмисники, — до того, як їх знайдуть справжні хакери.
Внутрішній відповідь Microsoft отримала назву Project Glasswing.
Чому це важливо для звичайних людей?
Програмне забезпечення Microsoft встановлено на сотні мільйонів комп'ютерів по всьому світу. Невиправлена вразливість — це відкриті двері. Якщо державна хакерська група або кримінальна банда знайдуть ті ж вразливості першими, наслідки можуть варіюватися від крадіжки даних до порушення інфраструктури.
Це саме та загроза, перед якою намагаються вперетяти Anthropic і Microsoft. Як повідомляє Ars Technica, на зустрічах Glasswing явно звучала стурбованість: противні уряди, зокрема Китай, незабаром можуть розгорнути свої власні інструменти ШІ для сканування таких самих вразливостей у великих масштабах.
Моделі ШІ давно використовуються для допомоги у написанні коду. Новизна, яка робить Mythos помітним, — це швидкість, з якою він, очевидно, виявляє вразливості в існуючому коді. Виправлення вразливостей програмного забезпечення завжди була гонкою проти їхнього виявлення. Mythos, здається, скорочує час як для однієї, так і для іншої сторони.
Чи переконалися інженери?
Спочатку не зовсім. Коли почалася зустріч Glasswing, один інженер поставив питання, яке вже було в залі: чи дійсно Mythos «виправдав гіпотезу, яку висунула Anthropic»?
Такий скептицизм корисний. Системи ШІ часто перебільшуються. Модель, яка знаходить десять незначних, уже відомих проблем, виглядає зовсім інакше, ніж та, яка виявляє справді небезпечні, дотепер невідомі вразливості. За даними звіту джерела, поки що не зазначається, до якої категорії відносяться знахідки Mythos, або скільки вразливостей було виявлено та виправлено.
Що буде дальше?
Деталі того, що виявив Mythos, залишаються невідомими, що є стандартною практикою: ви не оголошуєте про те, де саме були дири, поки патчі не будуть запущені.
Це повідомлення сигналізує про ширші зміни в тому, як працює індустрія безпеки. Компанії починають використовувати ШІ наступально, але в контрольований спосіб, спрямовуючи його на свої власні продукти, щоб обійти справжніх зловмисників. Такий підхід розповсюджуватиметься. Питання полягає в тому, чи можуть захисники встигнути в темпі.
Для повсякденних користувачів практичні рекомендації не змінилися: тримайте своє програмне забезпечення оновленим. Коли приходять патчі, вони тепер можуть завдячувати своїм існуванням ШІ, який першим виявив проблему.
Часті питання
Що таке вразливість програмного забезпечення?
Вразливість — це помилка або слабке місце в коді програми, яке зловмисник може використати, щоб потрапити туди, де йому не слід. Подумайте про це як про відкрите вікно в іншому випадку закритій будівлі.
Чи я маю хвилюватися тим, що ШІ може тепер знаходити ці вразливості так швидко?
Та ж швидкість, яка турбує захисників, може захистити вас. Якщо компанії використовують ШІ, щоб знайти та виправити вразливості до того, як нападавачі це зроблять, ваше програмне забезпечення стане безпечнішим. Ризик полягає в тому, що ворожі суб'єкти отримають одні й ті ж інструменти й рухатимуться швидше, ніж захисники.
