Модель спеціально оптимізована для аналізу коду, виявлення слабких місць та, в деяких випадках, створення робочих експлойтів, які демонструють вплив цих недоліків.

Оскільки такі можливості могли б допомогти й атакуючим, Anthropic обрала шлях контрольованого розгортання через організації-партнери, а не публічного API.

Результати першого місяця: понад 10 000 вразливостей

Перше оновлення програми повідомило про надзвичайно масштабні результати:

• Понад 10 000 вразливостей високого або критичного рівня було виявлено спільними зусиллями Anthropic та приблизно 50 організацій-партнерів.
• Сотні серйозних вразливостей на кожного партнера було знайдено приблизно за перший місяць використання.
• Кілька організацій повідомили, що швидкість пошуку помилок зросла більш ніж у 10 разів після початку використання системи.

Один із прикладів, який наводить Anthropic, — це Cloudflare. Компанія повідомила про виявлення близько 2 000 помилок, з яких 400 мали високий або критичний рівень, у своїх основних сервісах за допомогою моделі.

Ці цифри свідчать про те, що система може дозволити командам безпеки аналізувати великі кодові бази набагато швидше, ніж під час традиційного ручного аудиту.

Продуктивність та технічні можливості

Зовнішні оцінки також вказують на високу продуктивність у сфері кібербезпеки.

Повідомляється, що Британський інститут безпеки ШІ (UK AI Security Institute) підтвердив, що Claude Mythos Preview вирішив 73% експертних завдань з кібербезпеки у форматі «захопи прапор», які є стандартним бенчмарком для перевірки навичок пошуку вразливостей.

Anthropic та інші аналітики також описують наступні можливості:

• Виявлення раніше невідомих вразливостей нульового дня в операційних системах та браузерах.
• Об'єднання кількох вразливостей для підвищення привілеїв або компрометації системи.
• Автоматична генерація робочого коду експлойту для демонстрації того, як можна використати знайдені недоліки.

Ці здібності виходять далеко за межі простого статичного аналізу і наближаються до завдань, які традиційно виконують елітні дослідники безпеки.

Приклади знайдених вразливостей

Хоча більшість знахідок не розголошуються до випуску узгоджених виправлень, кілька прикладів було оприлюднено.

Згідно зі звітами, які підсумовують заяви Anthropic, модель виявила:

• 27-річну вразливість у ядрі OpenBSD, пов'язану з опціями TCP SACK.
• 16-річну помилку в FFmpeg, яка пережила мільйони автоматизованих тестів, залишаючись непоміченою.
• Ланцюжки вразливостей у ядрі Linux, які дозволяли підвищити привілеї від звичайного користувача до повного контролю над системою.

Anthropic заявила, що не може розкрити деталі переважної більшості знахідок, оскільки понад 99% виявлених вразливостей ще не були публічно виправлені.

Які компанії беруть участь

Project Glasswing діє як коаліція технологічних компаній, постачальників інфраструктури та організацій з безпеки.

Серед оголошених учасників запуску:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Разом з самою Anthropic та десятками інших організацій, програма налічує близько 50 партнерів.

Ці партнери запускають модель на власному програмному забезпеченні та критично важливій відкритій інфраструктурі, щоб виявити вразливості, які потім можна виправити.

Чому модель не випускають публічно

Anthropic підкреслює, що Mythos навмисно обмежена, оскільки ті ж можливості, які корисні для захисту, можуть бути використані для масштабних кібератак.

Якби система, здатна автоматично виявляти та використовувати вразливості нульового дня, стала широкодоступною, це могло б кардинально знизити поріг для проведення наступальних кібероперацій.

Модель контрольованого партнерства покликана виправити якомога більше вразливостей, перш ніж подібні можливості стануть загальнодоступними.

Критика та скептицизм експертів з безпеки

Незважаючи на вражаючі заголовки, в спільноті кібербезпеки існує кілька точок скептицизму.

1. Обмежена незалежна верифікація
Більшість масштабних результатів — наприклад, 10 000 виявлених вразливостей — походять з власних звітів Anthropic або матеріалів, які їх переповідають. Оскільки вразливості здебільшого не розголошуються, сторонні дослідники поки що не можуть їх безпосередньо оцінити.

2. Можливий збіг з існуючими інструментами
Деякі дослідники стверджують, що подібних можливостей з пошуку вразливостей можна досягти вже зараз, використовуючи комбінації існуючих публічних моделей та інструментів. Це свідчить про те, що Mythos може бути прискоренням, а не принципово новою здатністю.

3. Складність вимірювання реальних показників підтвердження
Хоча існують такі результати бенчмарків, як успішність у 73% у завданнях «захопи прапор», чіткої статистики про те, скільки виявлених ШІ помилок було підтверджено та виправлено в реальних продукційних системах, у відкритому доступі досі немає.

Підсумок

Якщо оприлюднені Anthropic цифри підтвердяться в ході ширшої верифікації, Project Glasswing може стати однією з наймасштабніших спроб виявлення вразливостей за допомогою ШІ, які коли-небудь проводилися. Лише за перший місяць програма, за повідомленнями, виявила понад 10 000 серйозних прогалин у безпеці в критичних програмних системах.

Однак, оскільки більшість вразливостей залишаються нерозголошеними до випуску виправлень, спільнота кібербезпеки все ще не має всебічного незалежного підтвердження цих результатів.

Очевидним є одне: системи штучного інтелекту стають потужним інструментом для досліджень безпеки програмного забезпечення. Вони здатні сканувати складні кодові бази, виявляти ледь помітні вразливості та навіть генерувати робочі експлойти. Чи є Mythos унікальним проривом, чи лише передовим краєм ширшої тенденції в ШІ-керованому аналізі безпеки — на це питання індустрія, ймовірно, відповість протягом наступних кількох років.

Модель спеціально оптимізована для аналізу коду, виявлення слабких місць та, в деяких випадках, створення робочих експлойтів, які демонструють вплив цих недоліків.

Оскільки такі можливості могли б допомогти й атакуючим, Anthropic обрала шлях контрольованого розгортання через організації-партнери, а не публічного API.

Результати першого місяця: понад 10 000 вразливостей

Перше оновлення програми повідомило про надзвичайно масштабні результати:

• Понад 10 000 вразливостей високого або критичного рівня було виявлено спільними зусиллями Anthropic та приблизно 50 організацій-партнерів.
• Сотні серйозних вразливостей на кожного партнера було знайдено приблизно за перший місяць використання.
• Кілька організацій повідомили, що швидкість пошуку помилок зросла більш ніж у 10 разів після початку використання системи.

Один із прикладів, який наводить Anthropic, — це Cloudflare. Компанія повідомила про виявлення близько 2 000 помилок, з яких 400 мали високий або критичний рівень, у своїх основних сервісах за допомогою моделі.

Ці цифри свідчать про те, що система може дозволити командам безпеки аналізувати великі кодові бази набагато швидше, ніж під час традиційного ручного аудиту.

Продуктивність та технічні можливості

Зовнішні оцінки також вказують на високу продуктивність у сфері кібербезпеки.

Повідомляється, що Британський інститут безпеки ШІ (UK AI Security Institute) підтвердив, що Claude Mythos Preview вирішив 73% експертних завдань з кібербезпеки у форматі «захопи прапор», які є стандартним бенчмарком для перевірки навичок пошуку вразливостей.

Anthropic та інші аналітики також описують наступні можливості:

• Виявлення раніше невідомих вразливостей нульового дня в операційних системах та браузерах.
• Об'єднання кількох вразливостей для підвищення привілеїв або компрометації системи.
• Автоматична генерація робочого коду експлойту для демонстрації того, як можна використати знайдені недоліки.

Ці здібності виходять далеко за межі простого статичного аналізу і наближаються до завдань, які традиційно виконують елітні дослідники безпеки.

Приклади знайдених вразливостей

Хоча більшість знахідок не розголошуються до випуску узгоджених виправлень, кілька прикладів було оприлюднено.

Згідно зі звітами, які підсумовують заяви Anthropic, модель виявила:

• 27-річну вразливість у ядрі OpenBSD, пов'язану з опціями TCP SACK.
• 16-річну помилку в FFmpeg, яка пережила мільйони автоматизованих тестів, залишаючись непоміченою.
• Ланцюжки вразливостей у ядрі Linux, які дозволяли підвищити привілеї від звичайного користувача до повного контролю над системою.

Anthropic заявила, що не може розкрити деталі переважної більшості знахідок, оскільки понад 99% виявлених вразливостей ще не були публічно виправлені.

Які компанії беруть участь

Project Glasswing діє як коаліція технологічних компаній, постачальників інфраструктури та організацій з безпеки.

Серед оголошених учасників запуску:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Разом з самою Anthropic та десятками інших організацій, програма налічує близько 50 партнерів.

Ці партнери запускають модель на власному програмному забезпеченні та критично важливій відкритій інфраструктурі, щоб виявити вразливості, які потім можна виправити.

Чому модель не випускають публічно

Anthropic підкреслює, що Mythos навмисно обмежена, оскільки ті ж можливості, які корисні для захисту, можуть бути використані для масштабних кібератак.

Якби система, здатна автоматично виявляти та використовувати вразливості нульового дня, стала широкодоступною, це могло б кардинально знизити поріг для проведення наступальних кібероперацій.

Модель контрольованого партнерства покликана виправити якомога більше вразливостей, перш ніж подібні можливості стануть загальнодоступними.

Критика та скептицизм експертів з безпеки

Незважаючи на вражаючі заголовки, в спільноті кібербезпеки існує кілька точок скептицизму.

1. Обмежена незалежна верифікація
Більшість масштабних результатів — наприклад, 10 000 виявлених вразливостей — походять з власних звітів Anthropic або матеріалів, які їх переповідають. Оскільки вразливості здебільшого не розголошуються, сторонні дослідники поки що не можуть їх безпосередньо оцінити.

2. Можливий збіг з існуючими інструментами
Деякі дослідники стверджують, що подібних можливостей з пошуку вразливостей можна досягти вже зараз, використовуючи комбінації існуючих публічних моделей та інструментів. Це свідчить про те, що Mythos може бути прискоренням, а не принципово новою здатністю.

3. Складність вимірювання реальних показників підтвердження
Хоча існують такі результати бенчмарків, як успішність у 73% у завданнях «захопи прапор», чіткої статистики про те, скільки виявлених ШІ помилок було підтверджено та виправлено в реальних продукційних системах, у відкритому доступі досі немає.

Підсумок

Якщо оприлюднені Anthropic цифри підтвердяться в ході ширшої верифікації, Project Glasswing може стати однією з наймасштабніших спроб виявлення вразливостей за допомогою ШІ, які коли-небудь проводилися. Лише за перший місяць програма, за повідомленнями, виявила понад 10 000 серйозних прогалин у безпеці в критичних програмних системах.

Однак, оскільки більшість вразливостей залишаються нерозголошеними до випуску виправлень, спільнота кібербезпеки все ще не має всебічного незалежного підтвердження цих результатів.

Очевидним є одне: системи штучного інтелекту стають потужним інструментом для досліджень безпеки програмного забезпечення. Вони здатні сканувати складні кодові бази, виявляти ледь помітні вразливості та навіть генерувати робочі експлойти. Чи є Mythos унікальним проривом, чи лише передовим краєм ширшої тенденції в ШІ-керованому аналізі безпеки — на це питання індустрія, ймовірно, відповість протягом наступних кількох років.