Новейшая модель ИИ от Anthropic только что начала искать ошибки в программном обеспечении с открытым исходным кодом. Она нашла их много.
Предварительный анализ Claude Mythos — автономной модели обнаружения уязвимостей компании — выявил более 23 000 потенциальных уязвимостей безопасности более чем в 1 000 открытых проектах, взятых из корпуса OSS-Fuzz. Из них 1 726 были подтверждены в ходе внешнего обзора. Более 1 000 подтвержденных ошибок были оценены как имеющие высокую или критическую степень серьезности.
Давние ошибки, вновь проявившиеся
Среди уязвимостей, выявленных Mythos: 27-летняя уязвимость в OpenBSD и 16-летняя уязвимость в FFmpeg. Обе они широко используются и являются фундаментальными компонентами открытой инфраструктуры.
Более 99% уязвимостей нулевого дня, обнаруженных Mythos, оставались незапatchенными на момент раскрытия, согласно оценкам модели.
Проект Glasswing и обязательство на $100 миллионов
Anthropic запустила Project Glasswing — контролируемый консорциум, предоставляющий избранным партнерам доступ к Mythos Preview, чтобы они могли выявлять и устранять критические уязвимости в своем собственном программном обеспечении.
Список партнеров включает AWS, Apple, Google, Microsoft, NVIDIA и JPMorgan Chase. Anthropic обязалась выделить до 100 миллионов долларов в виде кредитов на использование моделей для поддержки этой инициативы. Кроме того, более 4 миллионов долларов выделено специально для повышения безопасности проектов с открытым исходным кодом.
Помещая Mythos за программу с контролируемым доступом, а не выпуская его широко, Anthropic сохраняет конкурентное преимущество. Уже ведутся обсуждения о том, можно ли достичь аналогичного обнаружения уязвимостей с помощью моделей, доступных широкой публике.
Что это означает для ландшафта кибербезопасности
Обнаружение более 23 000 потенциальных уязвимостей за один проход, из которых более 1 000 подтверждены как уязвимости высокой или критической степени серьезности, переводит разговор с теоретического на операционный уровень.
1726 подтвержденных уязвимостей все еще требуют внешнего обзора для подтверждения. Учитывая, что более 99% нулевых дней, обнаруженных Mythos, оставались незапatched на момент раскрытия, обновление и устранение уязвимостей не успевают за тем, что находит ИИ.