Anthropic anunciou o proxecto Glasswing, que proporcionará acceso a unha versión preliminar do seu modelo de IA Claude Mythos co fin de identificar vulnerabilidades e mellorar a seguridade do software crítico. Entre os participantes do proxecto están a Linux Foundation, Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA e Palo Alto Networks. Aproximadamente 40 organizacións adicionais tamén recibiron invitacións para participar.
Lanzado en febreiro, o modelo de IA Claude Opus 4.6 acadou novos niveis de rendemento en áreas como a detección de vulnerabilidades, a detección e corrección de erros, a revisión de cambios e a xeración de código. Os experimentos con este modelo de IA permitiron identificar máis de 500 vulnerabilidades en proxectos de código aberto e xerar un compilador de C capaz de compilar o kernel de Linux. Non obstante, Claude Opus 4.6 tivo un rendemento deficiente á hora de crear exploits que funcionasen.
Segundo Anthropic, o modelo "Claude Mythos" de próxima xeración supera significativamente a Claude Opus 4.6 na produción de exploits listos para usar. De varios centos de intentos de crear exploits para vulnerabilidades identificadas no motor JavaScript de Firefox, só dous tiveron éxito con Claude Opus 4.6. Ao repetir o experimento cunha versión preliminar do modelo Mythos, creáronse exploits que funcionaban 181 veces, o que aumentou a taxa de éxito de case cero ao 72.4 %.
Ademais, Claude Mythos amplía significativamente as súas capacidades de detección de vulnerabilidades e erros. Isto, combinado coa súa idoneidade para o desenvolvemento de exploits, crea novos riscos para a industria: os exploits para vulnerabilidades de día cero sen parchear poden ser creados por persoas non profesionais en cuestión de horas. Nótese que as capacidades de detección e explotación de vulnerabilidades de Mythos alcanzaron niveis profesionais, só por debaixo dos profesionais máis experimentados.
Dado que abrir o acceso sen restricións a un modelo de IA con tales capacidades require preparación da industria, decidiuse abrir inicialmente unha versión preliminar a un grupo selecto de expertos para levar a cabo traballos de identificación de vulnerabilidades e parches en produtos de software críticos e software de código aberto. Para financiar a iniciativa, asignouse unha subvención de tokens de 100 millóns de dólares e doaranse 4 millóns de dólares a organizacións que apoian a seguridade dos proxectos de código aberto.
No benchmark CyberGym, que avalía as capacidades de detección de vulnerabilidades dos modelos, o modelo Mythos acadou unha puntuación do 83.1 %, mentres que Opus 4.6 acadou unha puntuación do 66.6 %. Nas probas de calidade do código, os modelos demostraron o seguinte rendemento:
Durante o experimento, Anthropic, empregando o modelo de IA Mythos, foi capaz de identificar varios miles de vulnerabilidades previamente descoñecidas (día 0) en só unhas semanas, moitas das cales foron cualificadas como críticas. Entre elas, descubriron unha vulnerabilidade na pila TCP de OpenBSD que permanecera sen detectar durante 27 anos, o que permitía fallos remotos do sistema. Tamén descubriron unha vulnerabilidade de 16 anos de antigüidade na implementación do códec H.264 do proxecto FFmpeg, así como vulnerabilidades nos códecs H.265 e av1, explotadas ao procesar contido especialmente deseñado.
Descubríronse varias vulnerabilidades no kernel de Linux que podían permitir que un usuario sen privilexios obtivese privilexios de root. A combinación destas vulnerabilidades permitiu crear exploits que podían obter privilexios de root abrindo páxinas especiais nun navegador web. Tamén se creou un exploit que permitía a execución de código con privilexios de root enviando paquetes de rede especialmente deseñados a un servidor NFS de FreeBSD.
Identificouse unha vulnerabilidade nun sistema de virtualización escrito nunha linguaxe que proporciona ferramentas seguras de xestión de memoria. Esta vulnerabilidade permite potencialmente a execución de código no lado do host mediante a manipulación do sistema invitado (a vulnerabilidade non ten nome porque aínda non foi corrixida, pero parece estar presente nun bloque inseguro no código Rust). Atopáronse vulnerabilidades en todos os navegadores web e bibliotecas criptográficas máis populares. Identificáronse vulnerabilidades de inxección SQL en varias aplicacións web.
Fonte: opennet.ru
