Model, özellikle kod üzerinde akıl yürütme, zayıflıkları belirleme ve bazı durumlarda bu kusurların etkisini göstermek için çalışan istismar kodları (exploit) üretme konusunda optimize edilmiştir.

Bu tür yetenekler saldırganların da işine yarayabileceği için Anthropic, halka açık bir API sürümü yerine kontrollü bir ortak dağıtım modelini tercih etti.

İlk Ayın Sonuçları: 10.000'den Fazla Güvenlik Açığı

Anthropic'in programla ilgili ilk güncellemesi, alışılmadık derecede büyük ölçekli sonuçlar bildirdi:

• Anthropic ve yaklaşık 50 ortak kuruluş tarafından toplamda 10.000'den fazla yüksek veya kritik seviyede güvenlik açığı keşfedildi.
• Her bir ortak, kullanımın yaklaşık ilk ayında yüzlerce ciddi güvenlik açığı buldu.
• Birçok kuruluş, sistemi kullandıktan sonra hata bulma hızlarının 10 kattan fazla arttığını bildirdi.

Anthropic'in verdiği örneklerden biri olan Cloudflare, modeli kullanarak temel hizmetlerinde 400'ü yüksek veya kritik seviyede olmak üzere yaklaşık 2.000 hata bulduğunu açıkladı.

Bu rakamlar, sistemin güvenlik ekiplerinin büyük kod tabanlarını geleneksel manuel denetimlerden çok daha hızlı analiz etmesine olanak tanıyabileceğini gösteriyor.

Kıyaslama Performansı ve Teknik Yetenekler

Harici değerlendirme sinyalleri de güçlü siber güvenlik performansına işaret ediyor.

İngiltere Yapay Zeka Güvenlik Enstitüsü'nün (UK AI Security Institute), Claude Mythos Preview'un uzman seviyesindeki bayrak kapmaca (capture-the-flag) siber güvenlik görevlerinin %73'ünü çözdüğünü doğruladığı bildiriliyor. Bu, gerçek dünyada güvenlik açığı bulma becerisini test etmek için kullanılan bir ölçüttür.

Anthropic ve ilgili analizler ayrıca bir dizi yetenekten bahsediyor:

• İşletim sistemlerinde ve tarayıcılarda daha önce bilinmeyen sıfırıncı gün (zero-day) güvenlik açıklarını keşfetmek.
• Ayrıcalık yükseltme veya sistem ele geçirme için birden fazla güvenlik açığını birbirine bağlamak (zincirleme).
• Kusurların nasıl kötüye kullanılabileceğini göstermek için otomatik olarak çalışan istismar kodları üretmek.

Bu yetenekler, basit statik analizin ötesine geçerek geleneksel olarak seçkin güvenlik araştırmacıları tarafından gerçekleştirilen görevlere giriyor.

Bulunan Güvenlik Açıklarına Örnekler

Bulguların çoğu koordineli yama çalışmaları sırasında kamuya açıklanmasa da, birkaç örnek rapor edildi.

Anthropic'in iddialarını özetleyen haberlere göre model şunları tespit etti:

• OpenBSD çekirdeğinde TCP SACK seçenekleriyle ilgili 27 yıllık bir güvenlik açığı.
• Milyonlarca otomatik testten kaçmayı başaran, FFmpeg'te 16 yıllık bir hata.
• Normal bir kullanıcıdan tam sistem kontrolüne kadar ayrıcalık yükseltmeye izin veren, Linux çekirdeğindeki güvenlik açığı zincirleri.

Anthropic, keşiflerin büyük çoğunluğu için henüz detay paylaşamayacağını çünkü bulduğu güvenlik açıklarının %99'undan fazlasının henüz kamuya açık bir şekilde yamalanmadığını belirtti.

Hangi Şirketler Dahil?

Project Glasswing, teknoloji şirketleri, altyapı sağlayıcıları ve güvenlik kuruluşlarından oluşan bir koalisyon olarak çalışıyor.

Bildirilen lansman katılımcıları arasında şunlar yer alıyor:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Vakfı (The Linux Foundation)

Anthropic'in kendisi ve düzinelerce başka kuruluşla birlikte programda toplamda yaklaşık 50 ortak bulunuyor.

Bu ortaklar, modeli kendi yazılımlarına ve kritik açık kaynak altyapıya karşı çalıştırarak daha sonra yamalanabilecek güvenlik açıklarını belirliyor.

Model Neden Halka Açıklanmıyor?

Anthropic, Mythos'un savunma için yararlı olan aynı yeteneklerin büyük ölçekli siber saldırılara da olanak sağlayabileceği için bilinçli olarak kısıtlandığını vurguladı.

Yaygın olarak kullanılabilir hale gelmesi durumunda, otomatik olarak sıfırıncı gün güvenlik açıkları keşfedip sömürebilen bir sistem, siber saldırı operasyonlarının önündeki engeli önemli ölçüde düşürebilir.

Kontrollü ortaklık modeli, benzer yetenekler yaygın olarak kullanılabilir hale gelmeden önce mümkün olduğunca fazla güvenlik açığının düzeltilmesini amaçlıyor.

Güvenlik Uzmanlarından Eleştiriler ve Şüphecilik

Etkileyici manşet rakamlarına rağmen, siber güvenlik topluluğu içinde birkaç şüphe noktası bulunuyor.

1. Sınırlı bağımsız doğrulama
10.000 güvenlik açığı gibi büyük ölçekli sonuçların çoğu, Anthropic'in kendi raporlarına veya bu iddiaları tekrarlayan özetlere dayanıyor. Güvenlik açıkları çoğunlukla açıklanmadığı için, dışarıdaki araştırmacılar bunları henüz doğrudan değerlendiremiyor.

2. Mevcut araçlarla olası örtüşme
Bazı araştırmacılar, benzer güvenlik açığı bulma yeteneklerine mevcut halka açık modellerin ve araçların kombinasyonlarıyla zaten ulaşılabileceğini, bunun da Mythos'un temelde yeni bir yetenekten ziyade bir hızlanma olabileceğini öne sürüyor.

3. Gerçek dünya doğrulama oranlarını ölçmenin zorluğu
%73'lük bayrak kapmaca başarı oranı gibi kıyaslama sonuçları mevcut olsa da, yapay zeka tarafından belirlenen hataların gerçek üretim sistemlerinde kaç tanesinin doğrulandığı ve yamalandığına dair net istatistikler henüz ayrıntılı olarak kamuya açıklanmadı.

Sonuç

Anthropic'in bildirdiği rakamlar daha geniş bir doğrulama altında geçerliyse, Project Glasswing şimdiye kadar yapılmış en büyük yapay zeka destekli güvenlik açığı keşif çalışmalarından birini temsil ediyor. Programın, ilk ayında kritik yazılım sistemlerinde 10.000'den fazla yüksek önem dereceli güvenlik açığını ortaya çıkardığı bildiriliyor.

Bununla birlikte, güvenlik açıklarının çoğu koordineli yama çalışmaları sırasında açıklanmadığı için, güvenlik topluluğu hala bu sonuçların kapsamlı bağımsız doğrulamasından yoksun.

Net olan şey, yapay zeka sistemlerinin yazılım güvenlik araştırmaları için güçlü araçlar haline geldiğidir: karmaşık kod tabanlarını tarayabilir, ince güvenlik açıklarını belirleyebilir ve hatta çalışan istismar kodları üretebilirler. Mythos'un benzersiz bir atılım mı yoksa yapay zeka odaklı güvenlik analizinde daha geniş bir eğilimin öncü ucu mu olduğu sorusunu sektör muhtemelen önümüzdeki birkaç yıl içinde cevaplayacak.

Model, özellikle kod üzerinde akıl yürütme, zayıflıkları belirleme ve bazı durumlarda bu kusurların etkisini göstermek için çalışan istismar kodları (exploit) üretme konusunda optimize edilmiştir.

Bu tür yetenekler saldırganların da işine yarayabileceği için Anthropic, halka açık bir API sürümü yerine kontrollü bir ortak dağıtım modelini tercih etti.

İlk Ayın Sonuçları: 10.000'den Fazla Güvenlik Açığı

Anthropic'in programla ilgili ilk güncellemesi, alışılmadık derecede büyük ölçekli sonuçlar bildirdi:

• Anthropic ve yaklaşık 50 ortak kuruluş tarafından toplamda 10.000'den fazla yüksek veya kritik seviyede güvenlik açığı keşfedildi.
• Her bir ortak, kullanımın yaklaşık ilk ayında yüzlerce ciddi güvenlik açığı buldu.
• Birçok kuruluş, sistemi kullandıktan sonra hata bulma hızlarının 10 kattan fazla arttığını bildirdi.

Anthropic'in verdiği örneklerden biri olan Cloudflare, modeli kullanarak temel hizmetlerinde 400'ü yüksek veya kritik seviyede olmak üzere yaklaşık 2.000 hata bulduğunu açıkladı.

Bu rakamlar, sistemin güvenlik ekiplerinin büyük kod tabanlarını geleneksel manuel denetimlerden çok daha hızlı analiz etmesine olanak tanıyabileceğini gösteriyor.

Kıyaslama Performansı ve Teknik Yetenekler

Harici değerlendirme sinyalleri de güçlü siber güvenlik performansına işaret ediyor.

İngiltere Yapay Zeka Güvenlik Enstitüsü'nün (UK AI Security Institute), Claude Mythos Preview'un uzman seviyesindeki bayrak kapmaca (capture-the-flag) siber güvenlik görevlerinin %73'ünü çözdüğünü doğruladığı bildiriliyor. Bu, gerçek dünyada güvenlik açığı bulma becerisini test etmek için kullanılan bir ölçüttür.

Anthropic ve ilgili analizler ayrıca bir dizi yetenekten bahsediyor:

• İşletim sistemlerinde ve tarayıcılarda daha önce bilinmeyen sıfırıncı gün (zero-day) güvenlik açıklarını keşfetmek.
• Ayrıcalık yükseltme veya sistem ele geçirme için birden fazla güvenlik açığını birbirine bağlamak (zincirleme).
• Kusurların nasıl kötüye kullanılabileceğini göstermek için otomatik olarak çalışan istismar kodları üretmek.

Bu yetenekler, basit statik analizin ötesine geçerek geleneksel olarak seçkin güvenlik araştırmacıları tarafından gerçekleştirilen görevlere giriyor.

Bulunan Güvenlik Açıklarına Örnekler

Bulguların çoğu koordineli yama çalışmaları sırasında kamuya açıklanmasa da, birkaç örnek rapor edildi.

Anthropic'in iddialarını özetleyen haberlere göre model şunları tespit etti:

• OpenBSD çekirdeğinde TCP SACK seçenekleriyle ilgili 27 yıllık bir güvenlik açığı.
• Milyonlarca otomatik testten kaçmayı başaran, FFmpeg'te 16 yıllık bir hata.
• Normal bir kullanıcıdan tam sistem kontrolüne kadar ayrıcalık yükseltmeye izin veren, Linux çekirdeğindeki güvenlik açığı zincirleri.

Anthropic, keşiflerin büyük çoğunluğu için henüz detay paylaşamayacağını çünkü bulduğu güvenlik açıklarının %99'undan fazlasının henüz kamuya açık bir şekilde yamalanmadığını belirtti.

Hangi Şirketler Dahil?

Project Glasswing, teknoloji şirketleri, altyapı sağlayıcıları ve güvenlik kuruluşlarından oluşan bir koalisyon olarak çalışıyor.

Bildirilen lansman katılımcıları arasında şunlar yer alıyor:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Vakfı (The Linux Foundation)

Anthropic'in kendisi ve düzinelerce başka kuruluşla birlikte programda toplamda yaklaşık 50 ortak bulunuyor.

Bu ortaklar, modeli kendi yazılımlarına ve kritik açık kaynak altyapıya karşı çalıştırarak daha sonra yamalanabilecek güvenlik açıklarını belirliyor.

Model Neden Halka Açıklanmıyor?

Anthropic, Mythos'un savunma için yararlı olan aynı yeteneklerin büyük ölçekli siber saldırılara da olanak sağlayabileceği için bilinçli olarak kısıtlandığını vurguladı.

Yaygın olarak kullanılabilir hale gelmesi durumunda, otomatik olarak sıfırıncı gün güvenlik açıkları keşfedip sömürebilen bir sistem, siber saldırı operasyonlarının önündeki engeli önemli ölçüde düşürebilir.

Kontrollü ortaklık modeli, benzer yetenekler yaygın olarak kullanılabilir hale gelmeden önce mümkün olduğunca fazla güvenlik açığının düzeltilmesini amaçlıyor.

Güvenlik Uzmanlarından Eleştiriler ve Şüphecilik

Etkileyici manşet rakamlarına rağmen, siber güvenlik topluluğu içinde birkaç şüphe noktası bulunuyor.

1. Sınırlı bağımsız doğrulama
10.000 güvenlik açığı gibi büyük ölçekli sonuçların çoğu, Anthropic'in kendi raporlarına veya bu iddiaları tekrarlayan özetlere dayanıyor. Güvenlik açıkları çoğunlukla açıklanmadığı için, dışarıdaki araştırmacılar bunları henüz doğrudan değerlendiremiyor.

2. Mevcut araçlarla olası örtüşme
Bazı araştırmacılar, benzer güvenlik açığı bulma yeteneklerine mevcut halka açık modellerin ve araçların kombinasyonlarıyla zaten ulaşılabileceğini, bunun da Mythos'un temelde yeni bir yetenekten ziyade bir hızlanma olabileceğini öne sürüyor.

3. Gerçek dünya doğrulama oranlarını ölçmenin zorluğu
%73'lük bayrak kapmaca başarı oranı gibi kıyaslama sonuçları mevcut olsa da, yapay zeka tarafından belirlenen hataların gerçek üretim sistemlerinde kaç tanesinin doğrulandığı ve yamalandığına dair net istatistikler henüz ayrıntılı olarak kamuya açıklanmadı.

Sonuç

Anthropic'in bildirdiği rakamlar daha geniş bir doğrulama altında geçerliyse, Project Glasswing şimdiye kadar yapılmış en büyük yapay zeka destekli güvenlik açığı keşif çalışmalarından birini temsil ediyor. Programın, ilk ayında kritik yazılım sistemlerinde 10.000'den fazla yüksek önem dereceli güvenlik açığını ortaya çıkardığı bildiriliyor.

Bununla birlikte, güvenlik açıklarının çoğu koordineli yama çalışmaları sırasında açıklanmadığı için, güvenlik topluluğu hala bu sonuçların kapsamlı bağımsız doğrulamasından yoksun.

Net olan şey, yapay zeka sistemlerinin yazılım güvenlik araştırmaları için güçlü araçlar haline geldiğidir: karmaşık kod tabanlarını tarayabilir, ince güvenlik açıklarını belirleyebilir ve hatta çalışan istismar kodları üretebilirler. Mythos'un benzersiz bir atılım mı yoksa yapay zeka odaklı güvenlik analizinde daha geniş bir eğilimin öncü ucu mu olduğu sorusunu sektör muhtemelen önümüzdeki birkaç yıl içinde cevaplayacak.