С помощта на AI модела Mythos са идентифицирани 23 хиляди уязвимости в отворен софтуер

Компания Anthropic обобщи първоначалните резултати от тестването на предварителната версия на AI модела Mythos, в който значително са разширени възможностите за откриване на грешки, идентифициране на уязвимости и написване на готови експлойти. С помощта на AI модела Mythos, компанията Anthropic сканира над хиляда важни отворени проекта, в резултат на което бяха открити 23019 уязвимости. На 6202 от уязвимостите беше присъден висок или критичен нивото на опасност.

1752 от 6202 уязвимости, класифицирани от AI модела Mythos като опасни, бяха проверени от независими компании, специалисти в областта на компютърната сигурност. В 1587 случая (90.6%) наличието на уязвимостта беше потвърдено, а в 1094 (62.4%) – остана високото или критичното ниво на опасност. При настоящите показатели за фалшиви сработвания се предполага, че от 6202 заявени от AI модела опасни уязвимости приблизително 3900 (62.4%) ще запазят избраното от модела високо ниво на опасност, без да се броят опасните уязвимости, открити отделно при проверка от 50 участници в проекта Glasswing.

Информация за 467 проверени уязвимости беше предоставена на поддържащите отворени проекти представители на компании, извършващи рецензиране. По отделни запитвания служителите на Anthropic директно предадоха на поддържащите информация за 1129 непроверени проблеми. Общо поддържащите 281 отворен проекта получиха информация за 1596 проблема и потвърдиха наличието на 1451 уязвими точки. При това в кодовите бази бяха коригирани само 97 проблема и бяха издадени 88 публични отчета за уязвимости.

Освен това, съобщава се, че 50 участника в проекта Glasswing, на които беше предоставен ранния достъп до модела Mythos, откриха в своите кодови бази над 10 хиляди опасни уязвимости. Например, компанията Cloudflare откри с помощта на Mythos над 2000 грешки, от които 400 са отбелязани като уязвимости с високо и критично ниво на опасност. Нивото на фалшиви сработвания, оценявано от Cloudflare, се оказа по-ниско, отколкото при тестването от хора. Компанията Mozilla, при проверка на кода на Firefox 150, откри с помощта на Mythos 271 уязвимост, което е 10 пъти повече, отколкото беше намерено при проверката на Firefox 148 от модела Claude Opus 4.6.

Като пример за вече коригирана критична проблема се посочва
уязвимост (CVE-2026-5194) в криптографската библиотека wolfSSL. Mythos успя да подготви експлоит, позволяващ на атакуващия да създаде фалшив ECDSA сертификат за сайтове и имейли, сървъри, който при проверка от библиотеката wolfSSL се обработваше като валиден. Проблемът беше причинен от отсъствието на проверка на размера на хеша и OID в кода, което позволи указването на хеш с размер по-малък от допустимия.

Източник: opennet.ru