Claude Mythos від Anthropic знайшов понад 10 000 вразливостей безпеки, а потім отримав обмеження від уряду США

Ключові моменти

• Anthropic випустила Claude Mythos, модель AI, розроблену для кібербезпеки та охорони здоров'я, обмеженій групі партнерів у квітні 2023 року.
• Claude Mythos допомогла 50 технологічним партнерам виявити понад 10 000 критичних вразливостей безпеки в основних операційних системах та веб-браузерах.
• Модель виявила вразливість, яка залишалась невиявленою в OpenBSD, типу комп'ютерної операційної системи, протягом 27 років.
• Уряд США запровадив контроль над експортом Claude Mythos у червні 2023 року, хоча ці обмеження були скасовані протягом двох тижнів.
• Anthropic обмежує доступ до Mythos, посилаючись на побоювання, що кіберзлочинці можуть використовувати його можливості в терористичних цілях.

Нова модель AI від Anthropic не була запущена з прес-конференцією або демонстрацією продукту. Вона була запущена тихо, передана невеликому колу технологічних партнерів, а потім почала знаходити помилки, які були приховані в програмному забезпеченні протягом десятиліть.

Як першим повідомив ThreatVectr, Claude Mythos, велика мовна модель, тобто той самий тип технології AI, що живить чатботи на кшталт ChatGPT, з'явився в квітні 2023 року в рамках програми Anthropic під назвою Project Glasswing. Ідея була простою: дати захисникам фору.

П'ятдесят організацій-партнерів використали Mythos для сканування основних операційних систем та веб-браузерів на предмет вразливостей, які являють собою слабкі місця в програмному забезпеченні, які можуть використовувати зловмисники. Результати були вражаючими. Модель виявила понад 10 000 критичних помилок. Одна з них залишалась невиявленою в OpenBSD, широко використовуваній операційній системі з відкритим кодом, протягом 27 років.

Mythos також може пов'язувати кілька вразливостей разом, виявляючи шляхи атак, які людський дослідник може не помітити, розглядаючи кожну помилку окремо.

Ця потужність викликала занепокоєння.

У червні 2023 року уряд США накладив тимчасовий контроль над експортом Mythos та пов'язаної моделі Claude Fable, обмежуючи, хто може мати до них доступ за межами країни. Контроль був скасований через два тижні, але цей епізод підкреслив реальну напругу: інструмент, достатньо потужний, щоб швидко знаходити приховані вразливості, також є інструментом, який злочинець може використовувати для їх експлуатації.

Відповідь Anthropic — це двоярусний підхід. Claude Fable використовує ту ж базову технологію, що й Mythos, але працює під суворими правилами, які блокують допомогу в ризикованих завданнях безпеки. Якщо запит порушує ці правила, Fable передає завдання легшій моделі під назвою Opus 4.8 замість простої відмови.

Що це означає для звичайних людей?

Для більшості людей прямий ефект невидимий, принаймні поки що. Ваш банк, операційна система вашого телефону, браузер, у якому ви читаєте цей текст: все це містить код, який команди безпеки наспішно перевіряють перед зловмисниками. Mythos — один з інструментів, який прискорює цю гонку.

Cisco, одна з компаній з ранніми доступом, вже опублікував свій Foundry Security Spec, фреймворк тестування з відкритим кодом, на якому інші постачальники можуть будувати без необхідності починати з нуля. Такий обмін знаннями важливий, тому що зловмисники рухаються швидко, а захисникам потрібна кожна ярлик, який вони можуть знайти.

Критики менш переконані, що історія на цьому закінчується. Дослідники безпеки вказують, що пошук помилок — це лише половина роботи. Організаціям все ще потрібні ресурси та дисципліна для їх виправлення, і жодна модель AI поки що не стримує шахрая від того, щоб просто зателефонувати вам і переговорити ваш захист.

Залишайтесь цікавими щодо того, що захищає ваші дані. Інструменти швидко вдосконалюються.