Das Unternehmen Anthropic hat die ersten Ergebnisse der Testphase des vorläufigen AI-Modells Mythos veröffentlicht, das entscheidend erweiterte Möglichkeiten zur Fehlererkennung, Identifizierung von Sicherheitsanfälligkeiten und Erstellung betriebsbereiter Exploits bietet. Mithilfe des AI-Modells Mythos führte das Unternehmen ein Scanning von über tausend wichtigen Open-Source-Projekten durch, bei dem 23019 Sicherheitsanfälligkeiten entdeckt wurden. 6202 dieser Sicherheitsanfälligkeiten wurden als hoch oder kritisch eingestuft.
1752 der 6202 Sicherheitsanfälligkeiten, die durch das AI-Modell Mythos als gefährlich eingestuft wurden, wurden von unabhängigen Unternehmen, die sich auf Computersicherheit spezialisiert haben, überprüft. In 1587 Fällen (90,6 %) wurde das Vorhandensein einer Sicherheitsanfälligkeit bestätigt, und in 1094 Fällen (62,4 %) blieb ein hohes oder kritisches Gefahrenniveau bestehen. Bei den aktuellen Falschpositiv-Raten wird geschätzt, dass von den 6202 vom AI-Modell als gefährlich gemeldeten Sicherheitsanfälligkeiten etwa 3900 (62,4 %) das von der Modellwahl zugewiesene hohe Gefahrenniveau beibehalten werden, ohne die gefährlichen Sicherheitsanfälligkeiten einzurechnen, die separat bei der Überprüfung durch 50 Teilnehmer des Projekts Glasswing gefunden wurden.
Information über 467 verifizierte Schwachstellen wurde den für die offenen Projekte zuständigen Vertretern von Unternehmen übermittelt, die die Überprüfung durchgeführt haben. Auf separate Anfragen hin haben Mitarbeiter von Anthropic direkt Informationen über 1129 ungeprüfte Probleme an die Verantwortlichen weitergegeben. Insgesamt erhielten die Verantwortlichen von 281 offenen Projekten Informationen über 1596 Probleme und bestätigten das Vorhandensein von 1451 Schwachstellen. Bislang wurden in den Codebasen jedoch nur 97 Probleme behoben und 88 öffentliche Berichte über Schwachstellen veröffentlicht.
Darüber hinaus wird berichtet, dass 50 Teilnehmer des Projekts Glasswing, die frühzeitigen Zugang zum Modell Mythos hatten, in ihren Codebasen mehr als 10.000 gefährliche Schwachstellen entdeckt haben. Beispielsweise hat das Unternehmen Cloudflare mithilfe von Mythos über 2000 Fehler gefunden, von denen 400 als Schwachstellen mit hohem und kritischem Gefahrenniveau gekennzeichnet sind. Die Rate von Fehlalarmen wurde von Cloudflare als niedriger bewertet als bei Tests durch Menschen. Bei der Überprüfung des Codes von Firefox 150 fand das Unternehmen Mozilla mit Hilfe von Mythos 271 Schwachstellen, das sind zehnmal mehr als bei der Überprüfung von Firefox 148 mit dem Modell Claude Opus 4.6.
Ein Beispiel für ein bereits behobenes kritisches Problem ist
die Schwachstelle (CVE-2026-5194) in der kryptografischen Bibliothek wolfSSL. Mythos konnte einen Exploit vorbereiten, der es einem Angreifer ermöglicht, ein gefälschtes ECDSA-Zertifikat für Websites und E-Mails zu erstellen, Server, das bei der Überprüfung durch die Bibliothek wolfSSL als gültig behandelt wurde. Das Problem wurde durch das Fehlen von Überprüfungen der Hash-Größe und OID im Code verursacht, was es ermöglichte, im Zertifikat einen Hash anzugeben, der kleiner als zulässig war.
Quelle: opennet.ru
