L'azienda Anthropic ha presentato i primi risultati dei test della versione preliminare del modello AI Mythos, che ha notevolmente ampliato le capacità di ricerca di errori, identificazione di vulnerabilità e scrittura di exploit già pronti. Grazie al modello AI Mythos, l'azienda ha eseguito la scansione di oltre mille importanti progetti open source, identificando 23019 vulnerabilità. A 6202 di queste vulnerabilità è stato assegnato un livello di pericolo alto o critico.
1752 delle 6202 vulnerabilità classificate come pericolose dal modello AI Mythos sono state verificate da aziende indipendenti specializzate in sicurezza informatica. In 1587 casi (90,6%) è stata confermata la presenza della vulnerabilità, mentre in 1094 (62,4%) è rimasto un livello di pericolo alto o critico. Con gli attuali tassi di falsi positivi, si stima che circa 3900 delle 6202 vulnerabilità pericolose annunciate dal modello AI manterranno il livello di pericolo alto scelto, escluse le vulnerabilità pericolose trovate separatamente durante il controllo condotto da 50 partecipanti al progetto Glasswing.
Le informazioni su 467 vulnerabilità verificate sono state fornite ai responsabili dei progetti open source dai rappresentanti delle aziende che hanno condotto la revisione. Su richiesta specifiche, i dipendenti di Anthropic hanno fornito direttamente ai responsabili informazioni su 1129 problemi non verificati. In totale, i responsabili di 281 progetti open source hanno ricevuto informazioni su 1596 problemi e hanno confermato l'esistenza di 1451 vulnerabilità. Tuttavia, nei codici sorgente sono state risolte solo 97 problematiche e sono stati pubblicati 88 rapporti pubblici sulle vulnerabilità.
Inoltre, si segnala che 50 partecipanti al progetto Glasswing, a cui è stato fornito un accesso anticipato al modello Mythos, hanno individuato nelle loro basi di codice oltre 10.000 vulnerabilità pericolose. Ad esempio, l'azienda Cloudflare ha trovato tramite Mythos oltre 2000 errori, di cui 400 contrassegnati come vulnerabilità ad alto e critico livello di pericolo. Il tasso di falsi positivi, secondo Cloudflare, è risultato inferiore rispetto ai test condotti da esseri umani. L'azienda Mozilla, durante il controllo del codice di Firefox 150, ha trovato tramite Mythos 271 vulnerabilità, un numero dieci volte superiore a quello trovato nel controllo di Firefox 148 con il modello Claude Opus 4.6.
Come esempio di un problema critico già corretto, si riporta
una vulnerabilità (CVE-2026-5194) nella libreria crittografica wolfSSL. Mythos è stato in grado di preparare un exploit che consente a un attaccante di generare un certificato ECDSA falso per siti web e email, server, che veniva elaborato come valido dalla libreria wolfSSL. Il problema è stato causato dalla mancanza di controllo della dimensione dell'hash e dell'OID nel codice, permettendo di specificare un hash nel certificato con dimensioni inferiori a quelle ammissibili.
Fonte: opennet.ru
