Mô hình AI mới nhất của Anthropic vừa đi tìm lỗi trong phần mềm nguồn mở. Nó đã tìm thấy rất nhiều lỗi.
Claude Mythos Preview, mô hình phát hiện lỗ hổng tự chủ của công ty, đã xác định được hơn 23.000 lỗ hổng bảo mật tiềm ẩn trên hơn 1.000 dự án mã nguồn mở được lấy từ bộ dữ liệu OSS-Fuzz. Trong số đó, 1.726 lỗ hổng đã được xác nhận thông qua đánh giá bên ngoài. Hơn 1.000 lỗ hổng được xác nhận được xếp hạng mức độ nghiêm trọng cao hoặc cực kỳ nghiêm trọng.
Các lỗi đã tồn tại hàng thập kỷ, vừa được phát hiện lại
Trong số các lỗ hổng mà Mythos phát hiện: một lỗ hổng bảo mật 27 năm tuổi trong OpenBSD và một lỗ hổng 16 năm tuổi trong FFmpeg. Cả hai đều là những thành phần nền tảng được sử dụng rộng rãi trong hạ tầng mã nguồn mở.
Theo đánh giá của mô hình, hơn 99% các lỗ hổng zero-day được Mythos phát hiện vẫn chưa được vá tại thời điểm công bố.
Dự án Glasswing và cam kết 100 triệu đô la
Anthropic đã ra mắt Dự án Glasswing, một liên minh được kiểm soát cung cấp quyền truy cập vào Mythos Preview cho các đối tác được chọn để xác định và khắc phục các lỗ hổng bảo mật nghiêm trọng trong phần mềm của chính họ.
Danh sách đối tác bao gồm AWS, Apple, Google, Microsoft, NVIDIA và JPMorgan Chase. Anthropic đã cam kết cung cấp tới 100 triệu USD tín dụng sử dụng mô hình để hỗ trợ nỗ lực này. Ngoài ra, hơn 4 triệu USD đã được dành riêng để tăng cường bảo mật cho các dự án mã nguồn mở.
Bằng cách đặt Mythos trong một chương trình truy cập có kiểm soát thay vì phát hành rộng rãi, Anthropic duy trì lợi thế độc quyền. Các cuộc thảo luận đang lan truyền về việc liệu việc phát hiện lỗ hổng tương tự có thể được thực hiện bằng các mô hình có sẵn công khai hay không.
Điều này có nghĩa gì đối với cảnh quan an ninh mạng
Việc phát hiện hơn 23.000 lỗ hổng tiềm năng trong một lần quét duy nhất, với hơn 1.000 lỗ hổng được xác nhận là mức độ nghiêm trọng cao hoặc cực kỳ nghiêm trọng, đã đưa cuộc thảo luận từ lý thuyết sang thực tiễn.
1.726 lỗ hổng đã xác nhận vẫn cần đánh giá bên ngoài để xác minh. Vì hơn 99% các lỗ hổng zero-day mà Mythos phát hiện chưa được vá khi công bố, việc vá lỗi và khắc phục chưa theo kịp những gì AI đang tìm thấy.