O mais recente modelo de IA da Anthropic acabou de sair em caça por bugs em software de código aberto. Ele encontrou muitos deles.
O modelo autônomo de detecção de vulnerabilidades da empresa, Claude Mythos, identificou mais de 23.000 vulnerabilidades de segurança potenciais em mais de 1.000 projetos de código aberto retirados do corpus OSS-Fuzz. Desses, 1.726 foram confirmados por revisão externa. Mais de 1.000 das falhas confirmadas foram classificadas como gravidade alta ou crítica.
Bugs com décadas, recém surgidas
Entre as vulnerabilidades sinalizadas pelo Mythos: uma falha de segurança de 27 anos no OpenBSD e uma vulnerabilidade de 16 anos no FFmpeg. Ambas são componentes fundamentais amplamente utilizados da infraestrutura de código aberto.
Mais de 99% das vulnerabilidades zero-day descobertas pelo Mythos permaneceram sem correção no momento da divulgação, segundo as avaliações do modelo.
Projeto Glasswing e o compromisso de US$ 100 milhões
A Anthropic lançou o Project Glasswing, um consórcio controlado que oferece a parceiros selecionados acesso ao Mythos Preview para que possam identificar e corrigir vulnerabilidades críticas em seu próprio software.
A lista de parceiros inclui AWS, Apple, Google, Microsoft, NVIDIA e JPMorgan Chase. A Anthropic comprometeu até US$ 100 milhões em créditos de uso de modelos para apoiar este esforço. Além disso, mais de US$ 4 milhões foram destinados especificamente para melhorar a segurança de projetos de código aberto.
Ao colocar o Mythos sob um programa de acesso controlado em vez de lançá-lo amplamente, a Anthropic mantém uma vantagem proprietária. Já circulam discussões sobre se uma detecção de vulnerabilidades semelhante poderia ser realizada com modelos disponíveis ao público.
O que isso significa para o cenário de cibersegurança
Encontrar mais de 23.000 vulnerabilidades potenciais em uma única varredura, com mais de 1.000 confirmadas como gravidade alta ou crítica, move a conversa do teórico para o operacional.
As 1.726 vulnerabilidades confirmadas ainda precisavam de revisão externa para validação. Dado que mais de 99% dos zero-days descobertos pelo Mythos estavam sem correção na divulgação, a correção e a remediação não acompanharam o ritmo do que a IA está encontrando.