El modelo de IA más reciente de Anthropic acaba de buscar errores en software de código abierto. Encontró muchos.
Claude Mythos Preview, el modelo autónomo de detección de vulnerabilidades de la empresa, identificó más de 23.000 vulnerabilidades de seguridad potenciales en más de 1.000 proyectos de código abierto extraídos del corpus OSS-Fuzz. De estos, 1.726 han sido confirmados mediante revisión externa. Más de 1.000 de las vulnerabilidades confirmadas se clasificaron como de severidad alta o crítica.
Bugs de décadas, recientemente surgidos
Entre las vulnerabilidades que Mythos detectó: una falla de seguridad de 27 años en OpenBSD y una vulnerabilidad de 16 años en FFmpeg. Ambas son piezas ampliamente utilizadas y fundamentales de la infraestructura de código abierto.
Más del 99% de las vulnerabilidades de día cero descubiertas por Mythos permanecieron sin parchear en el momento de la divulgación, según las evaluaciones del modelo.
Proyecto Glasswing y el compromiso de $100 millones
Anthropic lanzó Project Glasswing, un consorcio controlado que otorga a socios seleccionados acceso a Mythos Preview para que puedan identificar y corregir vulnerabilidades críticas en su propio software.
La lista de socios incluye AWS, Apple, Google, Microsoft, NVIDIA y JPMorgan Chase. Anthropic ha comprometido hasta $100 millones en créditos de uso de modelos para apoyar este esfuerzo. Además, más de $4 millones han sido destinados específicamente para mejorar la seguridad de los proyectos de código abierto.
Al colocar Mythos detrás de un programa de acceso controlado en lugar de liberarlo ampliamente, Anthropic mantiene una ventaja propietaria. Ya circulan discusiones sobre si se podría lograr una detección de vulnerabilidades similar con modelos disponibles públicamente.
Qué significa esto para el panorama de la ciberseguridad
Encontrar más de 23,000 vulnerabilidades potenciales en un solo escaneo, con más de 1,000 confirmadas como de severidad alta o crítica, lleva la conversación del ámbito teórico al operativo.
Las 1,726 vulnerabilidades confirmadas aún necesitaban una revisión externa para validarlas. Dado que más del 99% de los zero-days descubiertos por Mythos estaban sin parchear en el momento de la divulgación, la aplicación de parches y la corrección no han seguido el ritmo de lo que está encontrando la IA.