Tekoäly löysi yhdessä kuukaudessa yli 10 000 kriittistä tietoturvahaavoittuvuutta

Malli on erityisesti optimoitu koodin analysointiin, heikkouksien tunnistamiseen ja joissain tapauksissa toimivien hyväksikäyttöskriptien luomiseen, jotka osoittavat vikojen vakavuuden.

Koska tällaiset kyvyt voisivat auttaa myös hyökkääjiä, Anthropic valitsi hallitun käyttöönoton kumppaniorganisaatioiden kautta julkisen API-julkaisun sijaan.

Ensimmäisen kuukauden tulokset: yli 10 000 haavoittuvuutta

Anthropicin ensimmäinen päivitys ohjelmasta raportoi poikkeuksellisen laajoista tuloksista:

• Yli 10 000 korkean tai kriittisen tason haavoittuvuutta löydettiin yhteistyössä Anthropicin ja noin 50 kumppaniorganisaation kanssa.
• Satoja vakavia haavoittuvuuksia per kumppani noin ensimmäisen käyttökuukauden aikana.
• Useat organisaatiot raportoivat bugien löytämisnopeutensa kasvaneen yli 10-kertaiseksi järjestelmän käytön jälkeen.

Yksi Anthropicin mainitsema esimerkki on Cloudflare, joka kertoi löytäneensä noin 2 000 bugia – mukaan lukien 400 korkean tai kriittisen tason ongelmaa – keskeisistä palveluistaan mallin avulla.

Nämä luvut viittaavat siihen, että järjestelmä saattaa mahdollistaa tietoturvatiimien analysoida suuria koodikantoja paljon nopeammin kuin perinteinen manuaalinen tarkastus.

Suorituskyky vertailutesteissä ja tekniset kyvyt

Myös ulkoiset arviointisignaalit viittaavat vahvaan tietoturvasuorituskykyyn.

Ison-Britannian tekoälyturvallisuusinstituutti (UK AI Security Institute) vahvisti raportoidusti, että Claude Mythos Preview ratkaisi 73 % asiantuntijatason capture-the-flag -tietoturvahaasteista, joita käytetään todellisten haavoittuvuuksien löytämiskyvyn testaamiseen.

Anthropic ja siihen liittyvät analyysit kuvaavat myös useita kykyjä:

• Aiemmin tuntemattomien nollapäivähaavoittuvuuksien löytäminen käyttöjärjestelmistä ja selaimista.
• Useiden haavoittuvuuksien yhdistäminen toisiinsa pääsyn laajentamiseksi tai järjestelmän haltuun ottamiseksi.
• Toimivan hyväksikäyttökoodin automaattinen luominen osoittamaan, miten vikoja voitaisiin hyödyntää.

Nämä kyvyt ylittävät yksinkertaisen staattisen analyysin ja ulottuvat tehtäviin, joita perinteisesti ovat hoitaneet huipputason tietoturvatutkijat.

Esimerkkejä löydetyistä haavoittuvuuksista

Vaikka suurin osa löydöksistä on vielä julkistamatta koordinoidun korjausprosessin aikana, muutamia esimerkkejä on raportoitu.

Anthropicin väitteitä yhteenvetävien raporttien mukaan malli tunnisti:

• 27 vuotta vanhan haavoittuvuuden OpenBSD-ytimestä, joka liittyi TCP SACK -optioihin.
• 16 vuotta vanhan bugin FFmpegistä, joka oli selvinnyt miljoonista automatisoiduista testeistä jäämättä kiinni.
• Haavoittuvuusketjuja Linux-ytimestä, jotka mahdollistivat pääsyn laajentamisen tavallisesta käyttäjästä täydelliseen järjestelmän hallintaan.

Anthropic on sanonut, ettei se voi paljastaa yksityiskohtia suurimmasta osasta löydöksistä vielä, koska yli 99 % löydetyistä haavoittuvuuksista on vielä korjaamatta.

Mitkä yritykset ovat mukana?

Project Glasswing toimii teknologiayritysten, infrastruktuuritoimittajien ja tietoturvaorganisaatioiden yhteenliittymänä.

Raportoituja käynnistysvaiheen osallistujia ovat:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Yhdessä Anthropicin itsensä ja kymmenien muiden organisaatioiden kanssa ohjelmaan kuuluu noin 50 kumppania yhteensä.

Nämä kumppanit ajavat mallia omia ja kriittisiä avoimen lähdekoodin ohjelmistojaan vastaan tunnistaakseen haavoittuvuuksia, jotka voidaan sitten korjata.

Miksi mallia ei ole julkaistu julkisesti?

Anthropic on korostanut, että Mythos on tarkoituksella rajattu, koska samat kyvyt, jotka ovat hyödyllisiä puolustuksessa, voisivat mahdollistaa laajamittaisia kyberhyökkäyksiä.

Jos laajalti saatavilla olisi järjestelmä, joka pystyy automaattisesti löytämään ja hyväksikäyttämään nollapäivähaavoittuvuuksia, se voisi dramaattisesti laskea kynnystä hyökkääville kyberoperaatioille.

Hallittu kumppanuusmalli on tarkoitettu korjaamaan mahdollisimman monta haavoittuvuutta ennen kuin vastaavat kyvyt tulevat laajalti saataville.

Kritiikki ja skeptisyys tietoturva-asiantuntijoilta

Vaikuttavista otsikkoluvuista huolimatta tietoturvayhteisössä on useita epäilyksen aiheita.

1. Rajallinen riippumaton varmentaminen
Suurin osa laajoista tuloksista – kuten 10 000 löydettyä haavoittuvuutta – perustuu Anthropicin omaan raportointiin tai näitä väitteitä toistaviin yhteenvetoihin. Koska haavoittuvuuksia ei ole enimmäkseen paljastettu, ulkopuoliset tutkijat eivät voi vielä arvioida niitä suoraan.

2. Mahdollinen päällekkäisyys olemassa olevien työkalujen kanssa
Jotkut tutkijat väittävät, että vastaavat haavoittuvuuksien löytämiskyvyt ovat jo saavutettavissa yhdistelmällä olemassa olevia julkisia malleja ja työkaluja, mikä viittaa siihen, että Mythos saattaa olla enemmänkin nopeutus kuin täysin uusi kyky.

3. Vaikeus mitata todellisen maailman validointiasteita
Vaikka vertailutuloksia, kuten 73 %:n onnistumisaste capture-the-flag -haasteissa, on olemassa, selkeitä tilastoja siitä, kuinka monta tekoälyn tunnistamaa bugia on vahvistettu ja korjattu todellisissa tuotantojärjestelmissä, ei ole vielä julkisesti dokumentoitu yksityiskohtaisesti.

Yhteenveto

Jos Anthropicin raportoimat luvut pitävät paikkansa laajemmassa varmentamisessa, Project Glasswing edustaa yhtä suurimmista tekoälyavusteisista haavoittuvuuksien etsintäponnisteluista, joita on koskaan tehty. Jo ensimmäisen kuukauden aikana ohjelman kerrotaan löytäneen yli 10 000 korkean tason tietoturvavirhettä kriittisistä ohjelmistojärjestelmistä.

Koska suurin osa haavoittuvuuksista on kuitenkin vielä julkistamatta koordinoidun korjausprosessin aikana, tietoturvayhteisöltä puuttuu edelleen kattava riippumaton validointi näistä tuloksista.

Se on kuitenkin selvää, että tekoälyjärjestelmät ovat tulossa tehokkaiksi työkaluiksi ohjelmistoturvallisuuden tutkimuksessa – ne pystyvät skannaamaan monimutkaisia koodikantoja, tunnistamaan hienovaraisia haavoittuvuuksia ja jopa luomaan toimivia hyväksikäyttöskriptejä. Se, onko Mythos ainutlaatuinen läpimurto vai vain laajemman tekoälyvetoisen tietoturva-analyysitrendin kärki, on kysymys, johon ala todennäköisesti vastaa seuraavien vuosien aikana.