Model ini dioptimumkan secara khusus untuk menaakul tentang kod, mengenal pasti kelemahan, dan dalam sesetengah kes, menjana eksploitasi berfungsi yang menunjukkan kesan kecacatan tersebut.

Oleh kerana keupayaan sedemikian juga boleh membantu penyerang, Anthropic memilih untuk menggunakan model ini secara terkawal melalui organisasi rakan kongsi dan bukannya melalui keluaran API awam.

Keputusan Bulan Pertama: Lebih 10,000 Kelemahan

Kemaskini pertama Anthropic mengenai program ini melaporkan keputusan berskala besar yang luar biasa:

• Lebih 10,000 kelemahan berisiko tinggi atau kritikal ditemukan secara kolektif oleh Anthropic dan kira-kira 50 organisasi rakan kongsi.
• Beratus-ratus kelemahan serius bagi setiap rakan kongsi ditemukan dalam kira-kira bulan pertama penggunaan.
• Beberapa organisasi melaporkan kadar penemuan pepijat meningkat lebih 10× ganda selepas menggunakan sistem ini.

Satu contoh yang disebut oleh Anthropic ialah Cloudflare, yang melaporkan penemuan kira-kira 2,000 pepijat—termasuk 400 isu berisiko tinggi atau kritikal—merentasi perkhidmatan teras mereka menggunakan model tersebut.

Angka-angka ini menunjukkan bahawa sistem ini mungkin membolehkan pasukan keselamatan menganalisis pangkalan kod yang besar dengan lebih pantas berbanding audit manual tradisional.

Prestasi Penanda Aras dan Keupayaan Teknikal

Isyarat penilaian luaran juga menunjukkan prestasi keselamatan siber yang kukuh.

Institut Keselamatan AI UK dilaporkan mengesahkan bahawa Claude Mythos Preview berjaya menyelesaikan 73% daripada cabaran keselamatan 'capture-the-flag' peringkat pakar, satu penanda aras yang digunakan untuk menguji kemahiran mencari kelemahan dunia sebenar.

Anthropic dan analisis berkaitan juga menerangkan beberapa keupayaan:

• Menemukan kelemahan zero-day yang sebelum ini tidak diketahui dalam sistem pengendalian dan pelayar web.
• Merangkai pelbagai kelemahan bersama-sama untuk mencapai peningkatan keistimewaan atau kompromi sistem.
• Menjana kod eksploitasi berfungsi secara automatik untuk menunjukkan bagaimana kecacatan boleh disalahgunakan.

Keupayaan ini melangkaui analisis statik ringkas dan memasuki tugas yang secara tradisinya dilakukan oleh penyelidik keselamatan elit.

Contoh Kelemahan yang Ditemukan

Walaupun kebanyakan penemuan masih belum didedahkan semasa proses tampung yang diselaraskan, beberapa contoh telah dilaporkan.

Menurut laporan yang meringkaskan tuntutan Anthropic, model ini mengenal pasti:

• Kelemahan berusia 27 tahun dalam kernel OpenBSD berkaitan dengan pilihan TCP SACK.
• Pepijat berusia 16 tahun dalam FFmpeg yang telah terselamat daripada berjuta-juta ujian automatik tanpa dikesan.
• Rangkaian kelemahan dalam kernel Linux yang membolehkan peningkatan keistimewaan daripada pengguna biasa kepada kawalan penuh sistem.

Anthropic menyatakan bahawa mereka tidak boleh mendedahkan butiran untuk sebahagian besar penemuan lagi kerana lebih 99% kelemahan yang ditemukan belum lagi ditampal secara awam.

Syarikat-Syarikat yang Terlibat

Project Glasswing beroperasi sebagai gabungan syarikat teknologi, penyedia infrastruktur, dan organisasi keselamatan.

Peserta pelancaran yang dilaporkan termasuk:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• The Linux Foundation

Bersama Anthropic sendiri dan berpuluh-puluh organisasi tambahan, program ini melibatkan kira-kira 50 rakan kongsi secara keseluruhan.

Rakan kongsi ini menjalankan model tersebut terhadap perisian mereka sendiri dan infrastruktur sumber terbuka kritikal untuk mengenal pasti kelemahan yang kemudiannya boleh ditampal.

Mengapa Model Ini Tidak Dikeluarkan Secara Awam

Anthropic telah menekankan bahawa Mythos sengaja dihadkan kerana keupayaan yang sama berguna untuk pertahanan juga boleh membolehkan serangan siber berskala besar.

Jika tersedia secara meluas, sistem yang mampu menemukan dan mengeksploitasi kelemahan zero-day secara automatik boleh menurunkan halangan untuk operasi siber ofensif secara drastik.

Model perkongsian terkawal ini bertujuan untuk membetulkan sebanyak mungkin kelemahan sebelum keupayaan serupa tersedia secara meluas.

Kritikan dan Skeptisisme daripada Pakar Keselamatan

Walaupun angka tajuk utama yang mengagumkan, beberapa titik skeptisisme kekal dalam komuniti keselamatan siber.

1. Pengesahan bebas yang terhad
Kebanyakan keputusan berskala besar—seperti 10,000 kelemahan yang ditemukan—datang daripada laporan Anthropic sendiri atau ringkasan yang mengulangi tuntutan tersebut. Oleh kerana kelemahan tersebut kebanyakannya tidak didedahkan, penyelidik luar belum boleh menilainya secara langsung.

2. Kemungkinan pertindihan dengan alat sedia ada
Sesetengah penyelidik berpendapat bahawa keupayaan mencari kelemahan yang serupa mungkin sudah boleh dicapai menggunakan gabungan model dan alat awam sedia ada, menunjukkan bahawa Mythos mungkin merupakan satu pecutan dan bukannya keupayaan baharu secara asas.

3. Kesukaran mengukur kadar pengesahan dunia sebenar
Walaupun keputusan penanda aras seperti kadar kejayaan 73% dalam cabaran 'capture-the-flag' wujud, statistik yang jelas tentang berapa banyak pepijat yang dikenal pasti AI telah disahkan dan ditampal dalam sistem pengeluaran sebenar masih belum didokumenkan secara terperinci secara awam.

Kesimpulan

Jika angka yang dilaporkan Anthropic dapat dipertahankan di bawah pengesahan yang lebih luas, Project Glasswing mewakili salah satu usaha penemuan kelemahan berbantukan AI terbesar yang pernah dijalankan. Dalam bulan pertamanya sahaja, program ini dilaporkan menemukan lebih 10,000 kecacatan keselamatan berisiko tinggi merentasi sistem perisian kritikal.

Namun, oleh kerana kebanyakan kelemahan masih belum didedahkan semasa proses tampung yang diselaraskan, komuniti keselamatan masih kekurangan pengesahan bebas yang komprehensif terhadap keputusan ini.

Apa yang jelas ialah sistem AI menjadi alat yang berkuasa untuk penyelidikan keselamatan perisian—mampu mengimbas pangkalan kod yang kompleks, mengenal pasti kelemahan yang halus, dan juga menjana eksploitasi yang berfungsi. Sama ada Mythos mewakili satu kejayaan unik atau sekadar pinggir terkemuka trend yang lebih luas dalam analisis keselamatan dipacu AI adalah persoalan yang mungkin akan dijawab oleh industri dalam beberapa tahun akan datang.

Model ini dioptimumkan secara khusus untuk menaakul tentang kod, mengenal pasti kelemahan, dan dalam sesetengah kes, menjana eksploitasi berfungsi yang menunjukkan kesan kecacatan tersebut.

Oleh kerana keupayaan sedemikian juga boleh membantu penyerang, Anthropic memilih untuk menggunakan model ini secara terkawal melalui organisasi rakan kongsi dan bukannya melalui keluaran API awam.

Keputusan Bulan Pertama: Lebih 10,000 Kelemahan

Kemaskini pertama Anthropic mengenai program ini melaporkan keputusan berskala besar yang luar biasa:

• Lebih 10,000 kelemahan berisiko tinggi atau kritikal ditemukan secara kolektif oleh Anthropic dan kira-kira 50 organisasi rakan kongsi.
• Beratus-ratus kelemahan serius bagi setiap rakan kongsi ditemukan dalam kira-kira bulan pertama penggunaan.
• Beberapa organisasi melaporkan kadar penemuan pepijat meningkat lebih 10× ganda selepas menggunakan sistem ini.

Satu contoh yang disebut oleh Anthropic ialah Cloudflare, yang melaporkan penemuan kira-kira 2,000 pepijat—termasuk 400 isu berisiko tinggi atau kritikal—merentasi perkhidmatan teras mereka menggunakan model tersebut.

Angka-angka ini menunjukkan bahawa sistem ini mungkin membolehkan pasukan keselamatan menganalisis pangkalan kod yang besar dengan lebih pantas berbanding audit manual tradisional.

Prestasi Penanda Aras dan Keupayaan Teknikal

Isyarat penilaian luaran juga menunjukkan prestasi keselamatan siber yang kukuh.

Institut Keselamatan AI UK dilaporkan mengesahkan bahawa Claude Mythos Preview berjaya menyelesaikan 73% daripada cabaran keselamatan 'capture-the-flag' peringkat pakar, satu penanda aras yang digunakan untuk menguji kemahiran mencari kelemahan dunia sebenar.

Anthropic dan analisis berkaitan juga menerangkan beberapa keupayaan:

• Menemukan kelemahan zero-day yang sebelum ini tidak diketahui dalam sistem pengendalian dan pelayar web.
• Merangkai pelbagai kelemahan bersama-sama untuk mencapai peningkatan keistimewaan atau kompromi sistem.
• Menjana kod eksploitasi berfungsi secara automatik untuk menunjukkan bagaimana kecacatan boleh disalahgunakan.

Keupayaan ini melangkaui analisis statik ringkas dan memasuki tugas yang secara tradisinya dilakukan oleh penyelidik keselamatan elit.

Contoh Kelemahan yang Ditemukan

Walaupun kebanyakan penemuan masih belum didedahkan semasa proses tampung yang diselaraskan, beberapa contoh telah dilaporkan.

Menurut laporan yang meringkaskan tuntutan Anthropic, model ini mengenal pasti:

• Kelemahan berusia 27 tahun dalam kernel OpenBSD berkaitan dengan pilihan TCP SACK.
• Pepijat berusia 16 tahun dalam FFmpeg yang telah terselamat daripada berjuta-juta ujian automatik tanpa dikesan.
• Rangkaian kelemahan dalam kernel Linux yang membolehkan peningkatan keistimewaan daripada pengguna biasa kepada kawalan penuh sistem.

Anthropic menyatakan bahawa mereka tidak boleh mendedahkan butiran untuk sebahagian besar penemuan lagi kerana lebih 99% kelemahan yang ditemukan belum lagi ditampal secara awam.

Syarikat-Syarikat yang Terlibat

Project Glasswing beroperasi sebagai gabungan syarikat teknologi, penyedia infrastruktur, dan organisasi keselamatan.

Peserta pelancaran yang dilaporkan termasuk:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• The Linux Foundation

Bersama Anthropic sendiri dan berpuluh-puluh organisasi tambahan, program ini melibatkan kira-kira 50 rakan kongsi secara keseluruhan.

Rakan kongsi ini menjalankan model tersebut terhadap perisian mereka sendiri dan infrastruktur sumber terbuka kritikal untuk mengenal pasti kelemahan yang kemudiannya boleh ditampal.

Mengapa Model Ini Tidak Dikeluarkan Secara Awam

Anthropic telah menekankan bahawa Mythos sengaja dihadkan kerana keupayaan yang sama berguna untuk pertahanan juga boleh membolehkan serangan siber berskala besar.

Jika tersedia secara meluas, sistem yang mampu menemukan dan mengeksploitasi kelemahan zero-day secara automatik boleh menurunkan halangan untuk operasi siber ofensif secara drastik.

Model perkongsian terkawal ini bertujuan untuk membetulkan sebanyak mungkin kelemahan sebelum keupayaan serupa tersedia secara meluas.

Kritikan dan Skeptisisme daripada Pakar Keselamatan

Walaupun angka tajuk utama yang mengagumkan, beberapa titik skeptisisme kekal dalam komuniti keselamatan siber.

1. Pengesahan bebas yang terhad
Kebanyakan keputusan berskala besar—seperti 10,000 kelemahan yang ditemukan—datang daripada laporan Anthropic sendiri atau ringkasan yang mengulangi tuntutan tersebut. Oleh kerana kelemahan tersebut kebanyakannya tidak didedahkan, penyelidik luar belum boleh menilainya secara langsung.

2. Kemungkinan pertindihan dengan alat sedia ada
Sesetengah penyelidik berpendapat bahawa keupayaan mencari kelemahan yang serupa mungkin sudah boleh dicapai menggunakan gabungan model dan alat awam sedia ada, menunjukkan bahawa Mythos mungkin merupakan satu pecutan dan bukannya keupayaan baharu secara asas.

3. Kesukaran mengukur kadar pengesahan dunia sebenar
Walaupun keputusan penanda aras seperti kadar kejayaan 73% dalam cabaran 'capture-the-flag' wujud, statistik yang jelas tentang berapa banyak pepijat yang dikenal pasti AI telah disahkan dan ditampal dalam sistem pengeluaran sebenar masih belum didokumenkan secara terperinci secara awam.

Kesimpulan

Jika angka yang dilaporkan Anthropic dapat dipertahankan di bawah pengesahan yang lebih luas, Project Glasswing mewakili salah satu usaha penemuan kelemahan berbantukan AI terbesar yang pernah dijalankan. Dalam bulan pertamanya sahaja, program ini dilaporkan menemukan lebih 10,000 kecacatan keselamatan berisiko tinggi merentasi sistem perisian kritikal.

Namun, oleh kerana kebanyakan kelemahan masih belum didedahkan semasa proses tampung yang diselaraskan, komuniti keselamatan masih kekurangan pengesahan bebas yang komprehensif terhadap keputusan ini.

Apa yang jelas ialah sistem AI menjadi alat yang berkuasa untuk penyelidikan keselamatan perisian—mampu mengimbas pangkalan kod yang kompleks, mengenal pasti kelemahan yang halus, dan juga menjana eksploitasi yang berfungsi. Sama ada Mythos mewakili satu kejayaan unik atau sekadar pinggir terkemuka trend yang lebih luas dalam analisis keselamatan dipacu AI adalah persoalan yang mungkin akan dijawab oleh industri dalam beberapa tahun akan datang.