Die Firma Anthropic hat erste Ergebnisse der Testphase der vorläufigen Version des AI-Modells Mythos präsentiert, bei der die Möglichkeiten zur Fehlersuche, zur Identifizierung von Schwachstellen und zur Erstellung von fertigen Exploits erheblich erweitert wurden. Mithilfe des AI-Modells Mythos durchsuchte Anthropic über tausend wichtige Open-Source-Projekte und identifizierte dabei 23.019 Schwachstellen. 6.202 dieser Schwachstellen wurden als hochgradig oder kritisch eingestuft.
1752 der 6202 Schwachstellen, die von der AI-Modell Mythos als gefährlich eingestuft wurden, wurden von unabhängigen Unternehmen, die auf Cybersicherheit spezialisiert sind, überprüft. In 1587 Fällen (90,6 %) wurde die Existenz der Schwachstelle bestätigt, und in 1094 (62,4 %) blieb das Risiko auf einem hohen oder kritischen Niveau. Bei den derzeitigen Fehlalarm-Raten wird vermutet, dass von den 6202 von dem AI-Modell gemeldeten gefährlichen Schwachstellen etwa 3900 (62,4 %) das von dem Modell gewählte hohe Gefahrenniveau beibehalten werden, abgesehen von den gefährlichen Schwachstellen, die separat bei der Überprüfung von 50 Teilnehmern des Projekts Glasswing gefunden wurden.
Informationen über 467 verifiziert Schwachstellen wurden den Betreuern der Open-Source-Projekte von Vertretern der Unternehmen, die die Überprüfung durchgeführt haben, übermittelt. Auf separate Anfragen hin haben Mitarbeiter von Anthropic direkt den Betreuern Informationen über 1129 nicht überprüfte Probleme übermittelt. Insgesamt erhielten die Betreuer von 281 Open-Source-Projekten Informationen über 1596 Probleme und bestätigten die Existenz von 1451 Schwachstellen. Dabei wurden in den Codebasen bislang lediglich 97 Probleme behoben und 88 öffentliche Berichte über Schwachstellen veröffentlicht.
Darüber hinaus wird berichtet, dass 50 Teilnehmer des Projekts Glasswing, die frühen Zugang zum Modell Mythos erhielten, in ihren Codebasen über 10.000 gefährliche Schwachstellen identifizierten. Zum Beispiel fand die Firma Cloudflare mit Hilfe von Mythos über 2000 Fehler, von denen 400 als Schwachstellen mit hohem und kritischem Gefahrenpotenzial gekennzeichnet wurden. Die Fehlalarmrate wurde von Cloudflare als niedriger eingeschätzt als bei der Überprüfung durch Menschen. Die Firma Mozilla fand bei der Überprüfung des Codes von Firefox 150 mit Hilfe von Mythos 271 Schwachstellen, was 10 Mal mehr ist, als bei der Prüfung von Firefox 148 mit dem Modell Claude Opus 4.6 gefunden wurde.
Ein Beispiel für ein bereits behobenes kritisches Problem ist
Die Schwachstelle (CVE-2026-5194) in der kryptografischen Bibliothek wolfSSL. Mythos konnte einen Exploit entwickeln, der es einem Angreifer ermöglicht, ein gefälschtes ECDSA-Zertifikat für Websites und E-Mails zu erstellen, Server, das bei der Überprüfung durch die Bibliothek wolfSSL als gültig verarbeitet wurde. Das Problem wurde durch das Fehlen einer Überprüfung der Hash-Größe und OID im Code verursacht, was es ermöglichte, einen Hash mit einer Größe anzugeben, die kleiner als zulässig war.
Quelle: opennet.ru
