Антропик је најавио Клода Митоса, модел вештачке интелигенције способан да креира радне експлоите.

Компанија Anthropic је најавила пројекат Glasswing, који ће омогућити приступ прелиминарној верзији свог модела вештачке интелигенције Claude Mythos у сврху идентификације рањивости и побољшања безбедности критичног софтвера. Учесници пројекта су Linux Foundation, Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA и Palo Alto Networks. Приближно 40 додатних организација је такође добило позиве за учешће.

Објављен у фебруару, модел вештачке интелигенције Claude Opus 4.6 достигао је нове нивое перформанси у областима као што су откривање рањивости, откривање и исправљање грешака, преглед промена и генерисање кода. Експерименти са овим моделом вештачке интелигенције омогућили су идентификацију преко 500 рањивости у пројектима отвореног кода и генерисање C компајлера способног за изградњу Linux језгра. Међутим, Claude Opus 4.6 се лоше показао у креирању радних експлоита.

Према Anthropic-у, модел следеће генерације „Claude Mythos“ значајно надмашује Claude Opus 4.6 у производњи експлоита спремних за употребу. Од неколико стотина покушаја креирања експлоита за рањивости идентификоване у Firefox-овом JavaScript енџину, само два су била успешна са Claude Opus 4.6. Приликом понављања експеримента користећи прелиминарну верзију Mythos модела, радни експлоити су креирани 181 пут — стопа успеха је порасла са скоро нуле на 72.4%.

Штавише, Claude Mythos значајно проширује своје могућности за откривање рањивости и грешака. Ово, у комбинацији са његовом погодношћу за развој експлоата, ствара нове ризике за индустрију: експлоате за неоткрпљене zero-day рањивости могу креирати непрофесионалци за неколико сати. Примећено је да су могућности откривања и експлоатације рањивости Mythos-а достигле професионални ниво, заостајући само за најискуснијим професионалцима.

Пошто отварање неограниченог приступа моделу вештачке интелигенције са таквим могућностима захтева припрему индустрије, одлучено је да се прелиминарна верзија прво отвори одабраној групи стручњака како би спровели идентификацију рањивости и рад на исправљању закрпа у критичним софтверским производима и софтверу отвореног кода. За финансирање иницијативе, додељена је субвенција у виду токена од 100 милиона долара, а 4 милиона долара биће донирано организацијама које подржавају безбедност пројеката отвореног кода.

У CyberGym бенчмарку, који процењује могућности модела за откривање рањивости, модел Mythos је постигао резултат од 83.1%, док је Opus 4.6 постигао резултат од 66.6%. У тестовима квалитета кода, модели су показали следеће перформансе:

Током експеримента, Anthropic је, користећи Mythos AI модел, успео да идентификује неколико хиљада раније непознатих (0-day) рањивости за само неколико недеља, од којих су многе оцењене као критичне. Међу њима, открили су рањивост у OpenBSD TCP стеку која је остала неоткривена 27 година, омогућавајући даљинске падове система. Такође су открили 16 година стару рањивост у имплементацији H.264 кодека у оквиру FFmpeg пројекта, као и рањивости у H.265 и av1 кодецима, искоришћене приликом обраде специјално креираног садржаја.

У Линукс кернелу је откривено неколико рањивости које су могле да омогуће непривилегованом кориснику да добије root привилегије. Ланчано спајање ових рањивости омогућило је креирање експлоита који су могли да добију root привилегије отварањем посебних страница у веб прегледачу. Такође је креиран експлоит који је омогућавао извршавање кода са root привилегијама слањем посебно креираних мрежних пакета на FreeBSD NFS сервер.

Рањивост је идентификована у систему за виртуелизацију написаном у језику који пружа алате за безбедно управљање меморијом. Ова рањивост потенцијално омогућава извршавање кода на страни хоста путем манипулације гостујућег система (рањивост није именована јер још није исправљена, али изгледа да је присутна у небезбедном блоку у Rust коду). Рањивости су пронађене у свим популарним веб прегледачима и криптографским библиотекама. Рањивости SQL инјекција су идентификоване у разним веб апликацијама.

Извор: опеннет.ру