Anthropic kuulutas välja AI mudeli Claude Mythos, mis suudab luua töötavaid eksploite.

Anthropic esitas projekti Glasswing, mille raames antakse ligipääs AI mudeli Claude Mythos beetaversioon, et tuvastada haavatavusi ja suurendada kriitilise tarkvara turvalisust. Projekti osaliste hulka kuuluvad Linux Foundation ja ettevõtted nagu Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA ja Palo Alto Networks. Osalema on kutsutud veel umbes 40 organisatsiooni.

Februaris välja antud AI mudel Claude Opus 4.6 on saavutanud uue kvaliteeditaseme sellistes valdkondades nagu haavatavuste tuvastamine, vigade otsimine ja parandamine, muudatuste ülevaatamine ning koodi genereerimine. Katsete käigus selle AI mudeliga suudeti tuvastada rohkem kui 500 haavatavust avatud projektides ning genereerida C-kogumik, mis suudab kokku panna Linuxi tuuma. Samas püsis Claude Opus 4.6 töötlusvõimekus töötavate eksploaitide loomisel madal.

Järgmisel põlvkonnal mudel «Claude Mythos» ületab Anthropic'i väitel Claude Opus 4.6 oluliselt töötavate eksploaitide kirjutamise osas. Mitme saja eksploaitide loomise proovimise korral, mis keskendusid JavaScripti mootori Firefox 147 haavatavustele, õnnestus Claude Opus 4.6-l vaid kahel korral. Katsete kordamisel beetaversiooniga mudelist Mythos õnnestus töötavaid eksploate luua 181 korda — töötavate eksploaitide loomise protsent kasvas peaaegu nullist 72,4%-ni.

Lisaks on Claude Mythos oluliselt laiendanud vigade ja haavatavuste otsimise võimalusi, mis koos eksploaitide arendamise sobivusega tekitab uusi riske tööstusele — eksploate, mis on mõeldud veel parandamata haavatavuste (0-päev) jaoks, saab luua ka mitteprofessionaalid vaid mõne tunni jooksul. Tõdetakse, et mudeli Mythos võimaluste tase haavatavuste otsimisel ja kasutamisel on saavutanud professionaalse kvaliteedi ning ei jää alla vaid kõige kogenumatele spetsialistidele.

Kuna piiramatu juurdepääsu AI-mudelile, millel on sarnased võimalused, avamine nõuab tööstuse ettevalmistamist, otsustati alguses avada juurdepääs eelsalvestusele kitsale ekspertide ringile, et tegeleda kriitiliselt oluliste tarkvarade ja avatud tarkvara turvavahede leidmise ja kõrvaldamisega. Algatuse rahastamiseks eraldati toetus tokenite maksmiseks summas 100 miljonit dollarit ning otsustati jagada 4 miljonit dollarit annetusteks organisatsioonidele, mis toetavad avatud projektide turvalisust.

CyberGym testkomplektis, mis hindab mudelite võimet tuvastada turvavead, näitas mudel Mythos taset 83,1%, samas kui Opus 4.6 - 66,6%. Koodikirjutamise kvaliteedi testides näitasid mudelid järgmisi näitajaid:

Katses suutis ettevõte Anthropic tehisintellektimudeli Mythos abil mõne nädala jooksul tuvastada mitu tuhat varasemalt teadmata (0-day) turvaviga, millest paljud on märgitud kriitiliseks. Muuhulgas leiti 27 aastat unnoticed olnud turvaviga OpenBSD TCP-stekis, mis võimaldab süsteemi kaugjuhtimise kaudu sunniviisilist väljalülitamist. Samuti leiti 16 aastat olemas olnud turvaviga FFmpeg projektist pärit H.264 koodeki rakenduses ning turvavead H.265 ja av1 koodekites, mis on haavatavad spetsiaalselt vormindatud sisu töötlemisel.

Linuxi tuumas avastati mitmeid turvavigu, mis võimaldavad privileege mitteomaval kasutajal saada root-õigusi. Tuvastatud turvavigade ahelasse sidumine võimaldas luua eksploitid, mis aitavad saavutada root-õigusi, avades spetsiaalseid lehti veebibrauseris. Samuti loodi eksploit, mis võimaldas käitada koodi root-õigustes, saates spetsiaalselt vormindatud võrkpakkide NFS-serverisse FreeBSD koostisosast.

Ühes virtuaalsetes süsteemides, mis on kirjutatud keeles, mis pakub turvalisi mäluhalduse vahendeid, avastati haavatavus, mis võib potentsiaalselt lubada läbi külalisüsteemi manipuleerimiste käivitada koodi hostis (nimetust ei tooda, kuna probleem pole veel lahendatud, kuid tundub, et haavatavus esineb unsafe-plokis Rusti koodis). Haavatavusi leiti kõigis populaarsetes veebilehitsejates ja krüptograafia raamatukogudes. Tuvastatud on haavatavused, mis viivad SQL-koodi sisestamiseni erinevates veebirakendustes.

Allikas: opennet.ru