Anthropic kuulutas välja AI mudeli Claude Mythos, mis oskab luua töökohti eksploite.

Anthropic esitles projekti Glasswing, millega antakse juurdepääs AI mudeli Claude Mythos eelversionile, eesmärgiga tuvastada haavatavusi ja parandada kriitilise tarkvara turvalisust. Projekti osaliste hulka kuuluvad Linux Foundation ja sellised ettevõtted nagu Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA ja Palo Alto Networks. Projekti osalema on kutsutud ka veel ligikaudu 40 organisatsiooni.

Februaris välja antud AI mudel Claude Opus 4.6 on saavutanud uue kvaliteeditaseme haavatuste tuvastamises, vigade otsimises ja parandamises, muudatuste ülevaatamises ning koodi genereerimises. Katsetused selle AI mudeliga on tuvastanud üle 500 haavatavuse avatud projektides ja genereerinud C-kompilaatori, mis suudab kokku panna Linuxi tuuma. Samas hakkama Claude Opus 4.6 töötab halvemini tööalaste eksploiti loomise osas.

Järgmise põlvkonna mudel «Claude Mythos» ületab Anthropic'i väitel oluliselt Claude Opus 4.6 valmis eksploidide kirjutamisel. Firefox 147 JavaScript'i mootorile avastatud haavatavuste jaoks tehtud mitme saja eksploidimise katse käigus õnnestus Claude Opus 4.6-l neid vaid kahes katses. Kui sama eksperiment viidi läbi Mythos mudeli eelversiooniga, õnnestus tööaluseid eksploidide luua 181 korda — eduka eksploidide loomise protsent kasvas peaaegu nullist 72.4%-ni.

Lisaks on Claude Mythos oluliselt parendatud vigade ja haavatavuste otsimise võimalusi, mis koos eksploidide arendamise sobivusega loovad uusi riske tööstuses — veel parandamata haavatavuste (0-day) eksploite võib luua amatöörid vaid mõne tunni jooksul. On märgitud, et Mythos mudeli võime haavatavuste leidmisel ja nende ekspluateerimisel on saavutanud professionaalse kvaliteedi ning jääb alla vaid kõige kogenumate spetsialistide tasemele.

Kuna piiramatu juurdepääsu avamine AI mudelile, millel on sarnased võimalused, nõuab tööstuse ettevalmistamist, on otsustatud alustada juurdepääsu avamist varasele versioonile piiratud ringile ekspertidele, et läbi viia haavatavuste leidmise ja kõrvaldamise tööd kriitilise tähtsusega tarkvaratooteid ja avatud lähtekoodi puhul. Selle algatuse rahastamiseks on eraldatud toetus 100 miljoni dollari väärtuses tokenite eest ning otsustatud jagada 4 miljonit dollarit annetustena organisatsioonidele, mis tegelevad avatud projektide turvalisuse toetamisega.

CyberGym'i testikomplektis, mis hindab mudelite võimet tuvastada haavatavusi, näitas mudel Mythos taset 83.1%, samas kui Opus 4.6 näitas 66.6%. Koodikirjutamise kvaliteedi testides näitasid mudelid järgmisi näitajaid:

Eksperimendi käigus suutis ettevõte Anthropic AI-mudeli Mythos abil mõne nädalaga tuvastada mitut tuhat varem teadmata (0-day) haavatavust, millest paljusid peeti kriitilisteks. Sealhulgas leiti 27 aastat möödunud haavatavus OpenBSD TCP-stekis, mis võimaldab kaugelt süsteemi avarii käivitada. Samuti leiti 16 aastat olemas olnud haavatavus FFmpegi H.264 kodeeringu rakenduses ning haavatavused H.265 ja av1 kodeeringutes, mis on kasutatavad spetsiaalselt kujundatud sisu töötlemisel.

Linuxi tuumas tuvastati mitmeid haavatavusi, mis võimaldavad vähemprivileegitud kasutajal saada root-õigused. Tuvastatud haavatuste sidumine ahelaks võimaldas luua eksploite, millega saab root-õigused avades spetsiaalseid lehti veebibrauseris. Samuti loodi eksploite, mis võimaldas käitada koodi root-õigustega, saatnud spetsiaalselt kujundatud võrgu pakette NFS-serverile, mis on FreeBSD osana.

Ühes virtualiseerimissüsteemis, mis on kirjutatud keeles, mis pakub vahendeid mälu turvaliseks töötlemiseks, avastati haavatavus, mis võib võimaldada külalisüsteemi manipuleerimise kaudu koodi käivitamist hostil (nime ei avaldata, kuna probleem ei ole veel lahendatud, kuid tundub, et haavatavus esineb Rusti koodi ohutusalas). Leiti haavatavusi kõikides populaarsetes veebibrauserites ja krüptograafia raamatukogudes. Tuletatud SQL-koodi sisestamise haavatavused tuvastati erinevates veebirakendustes.

Allikas: opennet.ru