Model AI terbaru Anthropic baru saja berburu bug di perangkat lunak sumber terbuka. Ia menemukan banyak di antaranya.
Claude Mythos Preview, model deteksi kerentanan otonom perusahaan, mengidentifikasi lebih dari 23.000 kerentanan keamanan potensial di lebih dari 1.000 proyek open-source yang diambil dari korpus OSS-Fuzz. Dari jumlah tersebut, 1.726 telah dikonfirmasi melalui tinjauan eksternal. Lebih dari 1.000 bug yang dikonfirmasi dinilai memiliki tingkat keparahan tinggi atau kritis.
Bug yang sudah ada selama puluhan tahun, muncul kembali
Di antara kerentanan yang diidentifikasi Mythos: celah keamanan berusia 27 tahun di OpenBSD dan kerentanan berusia 16 tahun di FFmpeg. Keduanya merupakan komponen dasar infrastruktur open-source yang banyak digunakan.
Lebih dari 99% kerentanan zero-day yang ditemukan oleh Mythos tetap tidak diperbaiki pada saat pengungkapan, menurut evaluasi model tersebut.
Proyek Glasswing dan komitmen $100 juta
Anthropic meluncurkan Project Glasswing, sebuah konsorsium terkendali yang memberikan akses kepada mitra terpilih ke Mythos Preview agar mereka dapat mengidentifikasi dan memperbaiki kerentanan kritis di perangkat lunak mereka sendiri.
Daftar mitra mencakup AWS, Apple, Google, Microsoft, NVIDIA, dan JPMorgan Chase. Anthropic telah berjanji hingga $100 juta dalam kredit penggunaan model untuk mendukung upaya ini. Selain itu, lebih dari $4 juta telah dialokasikan khusus untuk meningkatkan keamanan proyek open-source.
Dengan meletakkan Mythos di balik program akses terkendali daripada merilisnya secara luas, Anthropic mempertahankan keunggulan propietaris. Diskusi sudah beredar mengenai apakah deteksi kerentanan serupa dapat dicapai dengan model yang tersedia secara publik.
Apa artinya ini bagi lanskap keamanan siber
Menemukan lebih dari 23.000 kerentanan potensial dalam satu kali pemindaian, dengan lebih dari 1.000 dikonfirmasi sebagai tingkat keparahan tinggi atau kritis, menggeser percakapan dari teoretis menjadi operasional.
1.726 kerentanan yang dikonfirmasi masih memerlukan tinjauan eksternal untuk validasi. Mengingat lebih dari 99% zero-day yang ditemukan Mythos tidak diperbaiki pada saat pengungkapan, pembaruan dan perbaikan tidak sejalan dengan apa yang ditemukan AI.