Project Glasswing और Claude Mythos: सॉफ़्टवेयर सुरक्षा में AI कितना असरदार साबित हो रहा है?

पहले महीने के नतीजे: 10,000 से ज़्यादा vulnerabilities

Anthropic के शुरुआती अपडेट में कुछ चौंकाने वाले आंकड़े सामने आए:

• Anthropic और लगभग 50 साझेदार संगठनों ने मिलकर 10,000 से अधिक high या critical severity vulnerabilities खोजीं।
• अधिकांश संगठनों को पहले महीने में ही सैकड़ों गंभीर बग मिले।
• कुछ कंपनियों ने बताया कि AI का उपयोग करने के बाद उनकी bug‑finding गति 10 गुना से अधिक बढ़ गई।

उदाहरण के तौर पर, इंटरनेट इंफ्रास्ट्रक्चर कंपनी Cloudflare ने बताया कि उसने इस मॉडल की मदद से अपने मुख्य सेवाओं में लगभग 2,000 बग (जिनमें 400 high या critical) खोजे।

यह संकेत देता है कि AI बड़े और जटिल सॉफ़्टवेयर सिस्टम का विश्लेषण पारंपरिक मैनुअल ऑडिट की तुलना में कहीं तेज़ कर सकता है।

तकनीकी प्रदर्शन और बेंचमार्क

कुछ बाहरी मूल्यांकन भी मॉडल की क्षमता का संकेत देते हैं।

यूके के AI Security Institute (AISI) के अनुसार Claude Mythos Preview ने विशेषज्ञ‑स्तर के साइबरसिक्योरिटी “capture‑the‑flag” चुनौतियों में 73% समस्याएँ हल कीं। यह ऐसे टेस्ट होते हैं जो वास्तविक सुरक्षा शोध कौशल को मापने के लिए इस्तेमाल किए जाते हैं।

रिपोर्टों के अनुसार मॉडल में कई उन्नत क्षमताएँ हैं:

• पहले से अज्ञात zero‑day vulnerabilities ढूंढना
• कई कमजोरियों को जोड़कर privilege escalation या सिस्टम compromise करना
• किसी बग के वास्तविक खतरे को दिखाने के लिए working exploit code तैयार करना

ये क्षमताएँ पारंपरिक static code analysis से आगे जाती हैं और उन कार्यों से मिलती‑जुलती हैं जो आमतौर पर उच्च‑स्तरीय सुरक्षा शोधकर्ता करते हैं।

सामने आए कुछ उदाहरण

अधिकांश खोजें अभी गोपनीय रखी गई हैं, लेकिन कुछ उदाहरण सामने आए हैं:

• OpenBSD kernel में TCP SACK से जुड़ी लगभग 27 साल पुरानी vulnerability
• वीडियो प्रोसेसिंग सॉफ्टवेयर FFmpeg में 16 साल पुराना बग, जो पहले लाखों ऑटोमेटेड टेस्ट में भी नहीं पकड़ा गया था
• Linux kernel में कमजोरियों की एक श्रृंखला, जिनका इस्तेमाल कर सामान्य यूज़र से पूरे सिस्टम पर नियंत्रण पाया जा सकता था

Anthropic का कहना है कि उसकी खोजी गई 99% से अधिक कमजोरियाँ अभी तक सार्वजनिक रूप से पैच नहीं हुई हैं, इसलिए उनके बारे में विवरण जारी नहीं किए जा सकते।

कौन‑कौन सी कंपनियाँ शामिल हैं

Project Glasswing एक प्रकार का उद्योग गठबंधन है। रिपोर्ट के अनुसार इसमें लगभग 50 साझेदार संगठन शामिल हैं।

शुरुआती प्रतिभागियों में शामिल हैं:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

ये संस्थाएँ अपने सॉफ़्टवेयर और महत्वपूर्ण ओपन‑सोर्स प्रोजेक्ट्स पर मॉडल चलाकर vulnerabilities पहचानती हैं ताकि उन्हें जल्द पैच किया जा सके।

मॉडल को सार्वजनिक क्यों नहीं किया गया

Anthropic का कहना है कि Mythos जैसी क्षमता वाला सिस्टम यदि सार्वजनिक हो जाए तो इसका इस्तेमाल बड़े पैमाने पर साइबर हमलों के लिए भी किया जा सकता है।

यदि कोई AI स्वतः zero‑day vulnerabilities खोजकर exploit बना सकता है, तो यह साइबर अपराधियों के लिए भी बेहद शक्तिशाली उपकरण बन सकता है। इसलिए कंपनी ने पहले नियंत्रित माहौल में कमजोरियाँ ठीक करने की रणनीति अपनाई है।

साइबरसिक्योरिटी विशेषज्ञों की शंकाएँ

हालांकि आंकड़े प्रभावशाली लगते हैं, लेकिन विशेषज्ञ समुदाय में कुछ संदेह भी हैं।

1. स्वतंत्र सत्यापन सीमित है
10,000 vulnerabilities जैसे बड़े दावे मुख्यतः Anthropic या उसके साझेदारों की रिपोर्ट पर आधारित हैं। क्योंकि अधिकांश बग अभी सार्वजनिक नहीं हुए हैं, बाहरी शोधकर्ता उनकी गुणवत्ता का मूल्यांकन नहीं कर पाए हैं।

2. क्या यह वास्तव में नया ब्रेकथ्रू है?
कुछ शोधकर्ताओं का कहना है कि समान vulnerability‑finding क्षमता पहले से उपलब्ध सार्वजनिक AI मॉडलों और टूल्स के संयोजन से भी हासिल की जा सकती है। इससे यह तर्क उठता है कि Mythos पूरी तरह नया कदम नहीं बल्कि मौजूदा तकनीक का तेज़ संस्करण हो सकता है।

3. वास्तविक दुनिया में पुष्टि दर अस्पष्ट
हालाँकि CTF जैसे बेंचमार्क मौजूद हैं, लेकिन अभी तक यह स्पष्ट नहीं है कि AI द्वारा पहचानी गई कमजोरियों में से कितनी वास्तविक प्रोडक्शन सिस्टम में पुष्टि होकर पैच की गई हैं।

निष्कर्ष

यदि Anthropic के आंकड़े सही साबित होते हैं, तो Project Glasswing अब तक के सबसे बड़े AI‑सहायता प्राप्त vulnerability discovery अभियानों में से एक हो सकता है। पहले महीने में ही 10,000 से अधिक गंभीर सुरक्षा कमजोरियाँ मिलने का दावा किया गया है।

फिर भी, क्योंकि अधिकांश खोजें अभी सार्वजनिक नहीं हैं, साइबरसिक्योरिटी समुदाय अभी व्यापक स्वतंत्र सत्यापन का इंतज़ार कर रहा है।

इतना जरूर स्पष्ट है कि AI अब सॉफ़्टवेयर सुरक्षा अनुसंधान में एक शक्तिशाली उपकरण बनता जा रहा है—जो जटिल कोडबेस स्कैन कर सकता है, सूक्ष्म कमजोरियाँ खोज सकता है और यहाँ तक कि उनके exploit भी बना सकता है। आने वाले वर्षों में ही पता चलेगा कि Claude Mythos वास्तव में क्रांतिकारी कदम है या AI‑आधारित सुरक्षा विश्लेषण की तेजी से बढ़ती प्रवृत्ति का एक शुरुआती उदाहरण।