एन्थ्रोपिकले क्लाउड मिथोसको घोषणा गर्‍यो, जुन काम गर्ने शोषणहरू सिर्जना गर्न सक्षम एआई मोडेल हो।

एन्थ्रोपिकले ग्लासविङ परियोजनाको घोषणा गर्‍यो, जसले कमजोरीहरू पहिचान गर्ने र महत्वपूर्ण सफ्टवेयरको सुरक्षा सुधार गर्ने उद्देश्यले यसको क्लाउड मिथोस एआई मोडेलको प्रारम्भिक संस्करणमा पहुँच प्रदान गर्नेछ। परियोजना सहभागीहरूमा लिनक्स फाउन्डेसन, अमेजन वेब सेवाहरू, एप्पल, ब्रोडकम, सिस्को, क्राउडस्ट्राइक, गुगल, जेपी मोर्गनचेस, माइक्रोसफ्ट, एनभीआईडीआईए, र पालो अल्टो नेटवर्कहरू समावेश छन्। लगभग ४० थप संस्थाहरूले पनि भाग लिन निमन्त्रणा प्राप्त गरेका छन्।

फेब्रुअरीमा जारी गरिएको, क्लाउड ओपस ४.६ एआई मोडेलले जोखिम पत्ता लगाउने, बग पत्ता लगाउने र समाधान गर्ने, परिवर्तन समीक्षा गर्ने, र कोड उत्पादन गर्ने जस्ता क्षेत्रहरूमा प्रदर्शनको नयाँ स्तर हासिल गर्‍यो। यस एआई मोडेलको प्रयोगले खुला-स्रोत परियोजनाहरूमा ५०० भन्दा बढी जोखिमहरूको पहिचान गर्न र लिनक्स कर्नेल निर्माण गर्न सक्षम सी कम्पाइलरको उत्पादन गर्न अनुमति दियो। यद्यपि, क्लाउड ओपस ४.६ ले काम गर्ने शोषणहरू सिर्जना गर्ने क्रममा खराब प्रदर्शन गर्‍यो।

एन्थ्रोपिकका अनुसार, अर्को पुस्ताको "क्लाउड मिथोस" मोडेलले प्रयोग गर्न तयार शोषणहरू उत्पादन गर्ने सन्दर्भमा क्लाउड ओपस ४.६ लाई उल्लेखनीय रूपमा उछिनेको छ। फायरफक्सको जाभास्क्रिप्ट इन्जिनमा पहिचान गरिएका कमजोरीहरूको लागि शोषणहरू सिर्जना गर्ने सयौं प्रयासहरूमध्ये, क्लाउड ओपस ४.६ सँग केवल दुई सफल भए। मिथोस मोडेलको प्रारम्भिक संस्करण प्रयोग गरेर प्रयोग दोहोर्याउँदा, काम गर्ने शोषणहरू १८१ पटक सिर्जना गरियो - सफलता दर लगभग शून्यबाट ७२.४% मा बढ्यो।

यसबाहेक, क्लाउड मिथोसले यसको जोखिम र बग पत्ता लगाउने क्षमताहरूलाई उल्लेखनीय रूपमा विस्तार गर्दछ। यसले, शोषण विकासको लागि यसको उपयुक्ततासँग मिलेर, उद्योगको लागि नयाँ जोखिमहरू सिर्जना गर्दछ: अनप्याच गरिएको शून्य-दिन जोखिमहरूको लागि शोषणहरू केही घण्टामा गैर-पेशेवरहरू द्वारा सिर्जना गर्न सकिन्छ। यो उल्लेख गरिएको छ कि मिथोस जोखिम पत्ता लगाउने र शोषण क्षमताहरू व्यावसायिक स्तरमा पुगेका छन्, सबैभन्दा अनुभवी पेशेवरहरू मात्र कम छन्।

यस्तो क्षमता भएको एआई मोडेलमा असीमित पहुँच खोल्न उद्योग तयारी आवश्यक पर्ने भएकोले, महत्वपूर्ण सफ्टवेयर उत्पादनहरू र खुला-स्रोत सफ्टवेयरमा जोखिम पहिचान र प्याचिङ कार्य सञ्चालन गर्न विशेषज्ञहरूको चयन समूहलाई प्रारम्भिक संस्करण खोल्ने निर्णय गरियो। पहललाई कोष प्रदान गर्न, $१०० मिलियन टोकन अनुदान छुट्याइएको छ, र $४ मिलियन खुला-स्रोत परियोजनाहरूको सुरक्षालाई समर्थन गर्ने संस्थाहरूलाई दान गरिनेछ।

मोडेलहरूको जोखिम पत्ता लगाउने क्षमताहरूको मूल्याङ्कन गर्ने साइबरजिम बेन्चमार्कमा, मिथोस मोडेलले ८३.१% को स्कोर हासिल गर्यो, जबकि ओपस ४.६ ले ६६.६% को स्कोर हासिल गर्यो। कोड गुणस्तर परीक्षणहरूमा, मोडेलहरूले निम्न प्रदर्शन प्रदर्शन गरे:

प्रयोगको क्रममा, एन्थ्रोपिकले Mythos AI मोडेल प्रयोग गरेर केही हप्तामा पहिलेका हजारौं अज्ञात (०-दिन) कमजोरीहरू पहिचान गर्न सक्षम भयो, जसमध्ये धेरैलाई महत्वपूर्ण मूल्याङ्कन गरिएको थियो। ती मध्ये, तिनीहरूले OpenBSD TCP स्ट्याकमा एउटा कमजोरी पत्ता लगाए जुन २७ वर्षसम्म पत्ता नलागेको थियो, जसले गर्दा रिमोट सिस्टम क्र्यास हुन्थ्यो। तिनीहरूले FFmpeg परियोजनाको H.264 कोडेकको कार्यान्वयनमा १६ वर्ष पुरानो कमजोरी, साथै H.265 र av1 कोडेकहरूमा कमजोरीहरू पनि पत्ता लगाए, जुन विशेष रूपमा तयार पारिएको सामग्री प्रशोधन गर्दा शोषण गरिएको थियो।

लिनक्स कर्नेलमा धेरै कमजोरीहरू पत्ता लगाइयो जसले विशेषाधिकार नभएको प्रयोगकर्तालाई रूट विशेषाधिकारहरू प्राप्त गर्न अनुमति दिन सक्छ। यी कमजोरीहरूलाई एकसाथ जोड्नाले वेब ब्राउजरमा विशेष पृष्ठहरू खोलेर रूट विशेषाधिकारहरू प्राप्त गर्न सक्ने शोषणहरू सिर्जना गर्न अनुमति दिइयो। एउटा शोषण पनि सिर्जना गरिएको थियो जसले विशेष रूपमा तयार पारिएको नेटवर्क प्याकेटहरू FreeBSD NFS सर्भरमा पठाएर रूट विशेषाधिकारहरू सहित कोड कार्यान्वयन गर्न अनुमति दियो।

सुरक्षित मेमोरी व्यवस्थापन उपकरणहरू प्रदान गर्ने भाषामा लेखिएको भर्चुअलाइजेशन प्रणालीमा एउटा जोखिम पहिचान गरिएको छ। यो जोखिमले अतिथि प्रणालीको हेरफेर मार्फत होस्ट-साइड कोड कार्यान्वयनको लागि सम्भावित रूपमा अनुमति दिन्छ (जोखिमको नामकरण गरिएको छैन किनभने यो अझै समाधान गरिएको छैन, तर यो रस्ट कोडमा असुरक्षित ब्लकमा उपस्थित देखिन्छ)। सबै लोकप्रिय वेब ब्राउजरहरू र क्रिप्टोग्राफिक पुस्तकालयहरूमा जोखिमहरू फेला परेका छन्। विभिन्न वेब अनुप्रयोगहरूमा SQL इंजेक्शन जोखिमहरू पहिचान गरिएको छ।

स्रोत: opennet.ru