Найновіша модель штучного інтелекту Anthropic вирушила на полювання за багами у відкритому програмному забезпеченні. Вона знайшла їх багато.
Попередній огляд Claude Mythos — автономної моделі виявлення вразливостей компанії — виявив понад 23 000 потенційних проблем безпеки в більш ніж 1 000 проектах з відкритим вихідним кодом, взятих із корпусу OSS-Fuzz. З них 1 726 були підтверджені зовнішнім оглядом. Більше 1 000 підтверджених помилок отримали рейтинг високої або критичної серйозності.
Десятиліттями приховані баги, що знову проявилися
Серед уразливостей, виявлених Mythos: 27-річна безпекова проблема в OpenBSD та 16-річна уразливість у FFmpeg. Обидві вони широко використовуються та є фундаментальними компонентами відкритого коду.
Більше 99% уразливостей нульового дня, виявлених Mythos, залишилися незапatchеними на момент розголошення, згідно з оцінками моделі.
Проект Glasswing і зобов’язання на $100 мільйонів
Anthropic запустила Project Glasswing — контролюваний консорціум, який надає обраним партнерам доступ до Mythos Preview, щоб вони могли виявляти та усувати критичні вразливості у своєму програмному забезпеченні.
Список партнерів включає AWS, Apple, Google, Microsoft, NVIDIA та JPMorgan Chase. Anthropic зарезервувала до 100 мільйонів доларів у вигляді кредитів на використання моделей для підтримки цього напрямку. Крім того, понад 4 мільйони доларів були виділені спеціально для підвищення безпеки проектів з відкритим кодом.
Вміщуючи Mythos за програмою з обмеженим доступом, а не випускаючи його широко, Anthropic зберігає власну перевагу. Вже поширюються обговорення щодо того, чи можна досягти подібного виявлення вразливостей за допомогою моделей, доступних для загального користувача.
Що це означає для ландшафту кібербезпеки
Знаходження понад 23 000 потенційних уразливостей за один прохід, з понад 1 000, підтверджених як високі або критичні за рівнем серйозності, переводить розмову з теоретичної на оперативну.
1 726 підтверджених уразливостей все ще потребували зовнішнього огляду для підтвердження. Оскільки більше 99% нульових днів, виявлених Mythos, залишалися незапatchеними на момент розголошення, виправлення та усунення не встигають за тим, що знаходить штучний інтелект.