Il modello è ottimizzato specificamente per ragionare sul codice, identificarne i punti deboli e, in alcuni casi, generare exploit funzionanti che dimostrino l'impatto delle falle scoperte.

Poiché capacità del genere potrebbero anche aiutare gli attaccanti, Anthropic ha scelto una distribuzione controllata tramite organizzazioni partner, anziché un rilascio pubblico tramite API.

Risultati del primo mese: oltre 10.000 vulnerabilità

Il primo aggiornamento di Anthropic sul programma ha riportato risultati su scala straordinaria:

• Oltre 10.000 vulnerabilità di gravità alta o critica scoperte collettivamente da Anthropic e da circa 50 organizzazioni partner.
• Centinaia di vulnerabilità serie per ogni partner scoperte circa nel primo mese di utilizzo.
• Diverse organizzazioni hanno riferito che il loro tasso di scoperta di bug è aumentato di oltre 10 volte dopo l'uso del sistema.

Un esempio citato da Anthropic è Cloudflare, che ha dichiarato di aver scoperto circa 2.000 bug – inclusi 400 di gravità alta o critica – nei propri servizi principali usando il modello.

Questi numeri suggeriscono che il sistema potrebbe consentire ai team di sicurezza di analizzare codebase di grandi dimensioni molto più velocemente rispetto ai controlli manuali tradizionali.

Prestazioni nei benchmark e capacità tecniche

Anche segnali di valutazione esterna indicano ottime prestazioni in ambito cybersecurity.

L'AI Security Institute del Regno Unito avrebbe confermato che Claude Mythos Preview ha risolto il 73% delle sfide di cybersecurity di livello esperto nel formato "capture-the-flag", un benchmark utilizzato per testare le capacità reali di scoperta di vulnerabilità.

Anthropic e analisi correlate descrivono inoltre diverse capacità:

• Scoperta di vulnerabilità zero-day sconosciute in sistemi operativi e browser.
• Combinazione di più vulnerabilità per ottenere escalation di privilegi o compromissione del sistema.
• Generazione automatica di codice exploit funzionante per dimostrare come le falle potrebbero essere sfruttate.

Queste abilità vanno oltre la semplice analisi statica e arrivano a compiti tradizionalmente svolti da ricercatori di sicurezza di élite.

Esempi di vulnerabilità trovate

Sebbene la maggior parte dei risultati non sia stata ancora divulgata in attesa delle patch coordinate, alcuni esempi sono stati resi noti.

Secondo resoconti che riassumono le affermazioni di Anthropic, il modello ha identificato:

• Una vulnerabilità di 27 anni nel kernel di OpenBSD relativa alle opzioni TCP SACK.
• Un bug di 16 anni in FFmpeg che era sopravvissuto a milioni di test automatizzati senza essere mai stato rilevato.
• Catene di vulnerabilità nel kernel Linux che permettevano l'escalation dei privilegi da utente normale al controllo completo del sistema.

Anthropic ha dichiarato di non poter divulgare i dettagli della stragrande maggioranza delle scoperte perché oltre il 99% delle vulnerabilità trovate non è stato ancora reso pubblico e non ha una patch.

Quali aziende sono coinvolte

Project Glasswing opera come una coalizione di aziende tecnologiche, fornitori di infrastrutture e organizzazioni di sicurezza.

I partner di lancio includono:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• The Linux Foundation

Insieme ad Anthropic e a decine di altre organizzazioni, il programma coinvolge circa 50 partner in totale.

Questi partner eseguono il modello sui propri software e sulle infrastrutture open-source critiche per identificare vulnerabilità che possano poi essere corrette.

Perché il modello non è stato rilasciato pubblicamente

Anthropic ha sottolineato che Mythos è stato intenzionalmente limitato perché le stesse capacità utili per la difesa potrebbero anche abilitare attacchi informatici su larga scala.

Se ampiamente disponibile, un sistema in grado di scoprire e sfruttare automaticamente vulnerabilità zero-day potrebbe abbassare drasticamente la barriera per le operazioni offensive.

Il modello di partnership controllata mira a correggere quante più vulnerabilità possibile prima che capacità simili diventino ampiamente disponibili.

Critiche e scetticismo dagli esperti di sicurezza

Nonostante i numeri impressionanti, permangono diversi punti di scetticismo all'interno della comunità della cybersecurity.

1. Verifica indipendente limitata
La maggior parte dei risultati su larga scala – come le 10.000 vulnerabilità scoperte – provengono dai rapporti di Anthropic o da resoconti che ne ripetono le affermazioni. Poiché le vulnerabilità sono in gran parte non divulgate, i ricercatori esterni non possono ancora valutarle direttamente.

2. Possibile sovrapposizione con strumenti esistenti
Alcuni ricercatori sostengono che capacità simili di scoperta di vulnerabilità possano già essere ottenute combinando modelli pubblici e strumenti esistenti, suggerendo che Mythos possa rappresentare un'accelerazione piuttosto che una capacità fondamentalmente nuova.

3. Difficoltà nel misurare i tassi di validazione reali
Sebbene esistano risultati di benchmark come il 73% nel capture-the-flag, non sono ancora state documentate pubblicamente statistiche chiare su quanti bug identificati dall'IA siano stati confermati e corretti in sistemi di produzione reali.

In sintesi

Se i numeri riportati da Anthropic dovessero essere confermati da verifiche più ampie, Project Glasswing rappresenterebbe uno dei più grandi sforzi di scoperta di vulnerabilità assistita da IA mai condotti. Solo nel primo mese, il programma avrebbe scoperto oltre 10.000 falle di sicurezza di gravità critica in software fondamentali.

Tuttavia, poiché la maggior parte delle vulnerabilità rimane non divulgata in attesa di patch coordinate, la comunità della sicurezza non dispone ancora di una validazione indipendente completa di questi risultati.

Quello che è chiaro è che i sistemi di IA stanno diventando strumenti potenti per la ricerca sulla sicurezza del software, in grado di scansionare codebase complesse, identificare vulnerabilità sottili e persino generare exploit funzionanti. Se Mythos rappresenti un突破imento unico o semplicemente l'avanguardia di una tendenza più ampia nell'analisi di sicurezza guidata dall'IA è una domanda a cui il settore darà probabilmente una risposta nei prossimi anni.

Il modello è ottimizzato specificamente per ragionare sul codice, identificarne i punti deboli e, in alcuni casi, generare exploit funzionanti che dimostrino l'impatto delle falle scoperte.

Poiché capacità del genere potrebbero anche aiutare gli attaccanti, Anthropic ha scelto una distribuzione controllata tramite organizzazioni partner, anziché un rilascio pubblico tramite API.

Risultati del primo mese: oltre 10.000 vulnerabilità

Il primo aggiornamento di Anthropic sul programma ha riportato risultati su scala straordinaria:

• Oltre 10.000 vulnerabilità di gravità alta o critica scoperte collettivamente da Anthropic e da circa 50 organizzazioni partner.
• Centinaia di vulnerabilità serie per ogni partner scoperte circa nel primo mese di utilizzo.
• Diverse organizzazioni hanno riferito che il loro tasso di scoperta di bug è aumentato di oltre 10 volte dopo l'uso del sistema.

Un esempio citato da Anthropic è Cloudflare, che ha dichiarato di aver scoperto circa 2.000 bug – inclusi 400 di gravità alta o critica – nei propri servizi principali usando il modello.

Questi numeri suggeriscono che il sistema potrebbe consentire ai team di sicurezza di analizzare codebase di grandi dimensioni molto più velocemente rispetto ai controlli manuali tradizionali.

Prestazioni nei benchmark e capacità tecniche

Anche segnali di valutazione esterna indicano ottime prestazioni in ambito cybersecurity.

L'AI Security Institute del Regno Unito avrebbe confermato che Claude Mythos Preview ha risolto il 73% delle sfide di cybersecurity di livello esperto nel formato "capture-the-flag", un benchmark utilizzato per testare le capacità reali di scoperta di vulnerabilità.

Anthropic e analisi correlate descrivono inoltre diverse capacità:

• Scoperta di vulnerabilità zero-day sconosciute in sistemi operativi e browser.
• Combinazione di più vulnerabilità per ottenere escalation di privilegi o compromissione del sistema.
• Generazione automatica di codice exploit funzionante per dimostrare come le falle potrebbero essere sfruttate.

Queste abilità vanno oltre la semplice analisi statica e arrivano a compiti tradizionalmente svolti da ricercatori di sicurezza di élite.

Esempi di vulnerabilità trovate

Sebbene la maggior parte dei risultati non sia stata ancora divulgata in attesa delle patch coordinate, alcuni esempi sono stati resi noti.

Secondo resoconti che riassumono le affermazioni di Anthropic, il modello ha identificato:

• Una vulnerabilità di 27 anni nel kernel di OpenBSD relativa alle opzioni TCP SACK.
• Un bug di 16 anni in FFmpeg che era sopravvissuto a milioni di test automatizzati senza essere mai stato rilevato.
• Catene di vulnerabilità nel kernel Linux che permettevano l'escalation dei privilegi da utente normale al controllo completo del sistema.

Anthropic ha dichiarato di non poter divulgare i dettagli della stragrande maggioranza delle scoperte perché oltre il 99% delle vulnerabilità trovate non è stato ancora reso pubblico e non ha una patch.

Quali aziende sono coinvolte

Project Glasswing opera come una coalizione di aziende tecnologiche, fornitori di infrastrutture e organizzazioni di sicurezza.

I partner di lancio includono:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• The Linux Foundation

Insieme ad Anthropic e a decine di altre organizzazioni, il programma coinvolge circa 50 partner in totale.

Questi partner eseguono il modello sui propri software e sulle infrastrutture open-source critiche per identificare vulnerabilità che possano poi essere corrette.

Perché il modello non è stato rilasciato pubblicamente

Anthropic ha sottolineato che Mythos è stato intenzionalmente limitato perché le stesse capacità utili per la difesa potrebbero anche abilitare attacchi informatici su larga scala.

Se ampiamente disponibile, un sistema in grado di scoprire e sfruttare automaticamente vulnerabilità zero-day potrebbe abbassare drasticamente la barriera per le operazioni offensive.

Il modello di partnership controllata mira a correggere quante più vulnerabilità possibile prima che capacità simili diventino ampiamente disponibili.

Critiche e scetticismo dagli esperti di sicurezza

Nonostante i numeri impressionanti, permangono diversi punti di scetticismo all'interno della comunità della cybersecurity.

1. Verifica indipendente limitata
La maggior parte dei risultati su larga scala – come le 10.000 vulnerabilità scoperte – provengono dai rapporti di Anthropic o da resoconti che ne ripetono le affermazioni. Poiché le vulnerabilità sono in gran parte non divulgate, i ricercatori esterni non possono ancora valutarle direttamente.

2. Possibile sovrapposizione con strumenti esistenti
Alcuni ricercatori sostengono che capacità simili di scoperta di vulnerabilità possano già essere ottenute combinando modelli pubblici e strumenti esistenti, suggerendo che Mythos possa rappresentare un'accelerazione piuttosto che una capacità fondamentalmente nuova.

3. Difficoltà nel misurare i tassi di validazione reali
Sebbene esistano risultati di benchmark come il 73% nel capture-the-flag, non sono ancora state documentate pubblicamente statistiche chiare su quanti bug identificati dall'IA siano stati confermati e corretti in sistemi di produzione reali.

In sintesi

Se i numeri riportati da Anthropic dovessero essere confermati da verifiche più ampie, Project Glasswing rappresenterebbe uno dei più grandi sforzi di scoperta di vulnerabilità assistita da IA mai condotti. Solo nel primo mese, il programma avrebbe scoperto oltre 10.000 falle di sicurezza di gravità critica in software fondamentali.

Tuttavia, poiché la maggior parte delle vulnerabilità rimane non divulgata in attesa di patch coordinate, la comunità della sicurezza non dispone ancora di una validazione indipendente completa di questi risultati.

Quello che è chiaro è che i sistemi di IA stanno diventando strumenti potenti per la ricerca sulla sicurezza del software, in grado di scansionare codebase complesse, identificare vulnerabilità sottili e persino generare exploit funzionanti. Se Mythos rappresenti un突破imento unico o semplicemente l'avanguardia di una tendenza più ampia nell'analisi di sicurezza guidata dall'IA è una domanda a cui il settore darà probabilmente una risposta nei prossimi anni.