Le plus récent modèle d'IA d'Anthropic vient de chercher des bogues dans des logiciels open source. Il en a trouvé beaucoup.
Le modèle autonome de détection de vulnérabilités de l'entreprise, Claude Mythos Preview, a identifié plus de 23 000 vulnérabilités de sécurité potentielles à travers plus de 1 000 projets open source tirés du corpus OSS-Fuzz. Parmi celles-ci, 1 726 ont été confirmées par un examen externe. Plus de 1 000 de ces bogues confirmés ont été classés comme ayant une gravité élevée ou critique.
Des bogues datant de décennies, récemment réapparus
Parmi les vulnérabilités signalées par Mythos : une faille de sécurité de 27 ans dans OpenBSD et une vulnérabilité de 16 ans dans FFmpeg. Les deux sont des composants fondamentaux largement utilisés de l'infrastructure open source.
Plus de 99 % des vulnérabilités zero-day découvertes par Mythos restaient non corrigées au moment de la divulgation, selon les évaluations du modèle.
Projet Glasswing et l'engagement de 100 millions de dollars
Anthropic a lancé Project Glasswing, un consortium contrôlé qui accorde à des partenaires sélectionnés l'accès à Mythos Preview afin qu'ils puissent identifier et corriger les vulnérabilités critiques de leurs propres logiciels.
La liste des partenaires inclut AWS, Apple, Google, Microsoft, NVIDIA et JPMorgan Chase. Anthropic s'est engagée à fournir jusqu'à 100 millions de dollars en crédits d'utilisation de modèles pour soutenir cet effort. En plus de cela, plus de 4 millions de dollars ont été réservés spécifiquement pour renforcer la sécurité des projets open source.
En plaçant Mythos derrière un programme à accès contrôlé plutôt que de le diffuser largement, Anthropic conserve un avantage propriétaire. Des discussions circulent déjà sur la possibilité d'accomplir une détection de vulnérabilités similaire avec des modèles disponibles publiquement.
Ce que cela signifie pour le paysage de la cybersécurité
Découvrir plus de 23 000 vulnérabilités potentielles en une seule analyse, avec plus de 1 000 confirmées comme présentant une gravité élevée ou critique, fait passer la conversation du théorique à l'opératoire.
Les 1 726 vulnérabilités confirmées nécessitaient encore un examen externe pour validation. Étant donné que plus de 99 % des zero-days découverts par Mythos n'étaient pas corrigés au moment de la divulgation, la correction et la remédiation n'ont pas suivi le rythme des découvertes de l'IA.