Εντοπισμός τρωτών σημείων και εκμεταλλεύσεων με το Claude Mythos Preview
Τις τελευταίες εβδομάδες, χρησιμοποιήσαμε το Claude Mythos Preview για να εντοπίσουμε χιλιάδες ευπάθειες μηδενικής ημέρας (δηλαδή ελαττώματα που ήταν προηγουμένως άγνωστα στους προγραμματιστές του λογισμικού), πολλά από αυτά κρίσιμα, σε κάθε σημαντικό λειτουργικό σύστημα και σε κάθε μεγάλο πρόγραμμα περιήγησης ιστού, μαζί με μια σειρά από άλλα σημαντικά κομμάτια λογισμικού.
Σε μια ανάρτηση στο ιστολόγιό μας Frontier Red Team, παρέχουμε τεχνικές λεπτομέρειες για ένα υποσύνολο αυτών των τρωτών σημείων που έχουν ήδη διορθωθεί και, σε ορισμένες περιπτώσεις, τους τρόπους που βρήκε το Mythos Preview για να τα εκμεταλλευτεί. Μπόρεσε να εντοπίσει σχεδόν όλα αυτά τα τρωτά σημεία – και να αναπτύξει πολλά σχετικά πλεονεκτήματα – εντελώς αυτόνομα, χωρίς ανθρώπινη διεύθυνση. Ακολουθούν τρία παραδείγματα:
- Το Mythos Preview βρήκε μια ευπάθεια 27 ετών στο OpenBSD, το οποίο έχει τη φήμη ενός από τα πιο σκληρυμένα λειτουργικά συστήματα στον κόσμο και χρησιμοποιείται για την εκτέλεση τείχη προστασίας και άλλης κρίσιμης υποδομής.
- Ανακάλυψε επίσης μια ευπάθεια ηλικίας 16 ετών στο FFmpeg – το οποίο χρησιμοποιείται από αναρίθμητα κομμάτια λογισμικού για την κωδικοποίηση και την αποκωδικοποίηση βίντεο – σε μια σειρά κώδικα που τα αυτοματοποιημένα εργαλεία δοκιμών είχαν χτυπήσει πέντε εκατομμύρια φορές χωρίς να αντιληφθεί ποτέ το πρόβλημα.
- Το μοντέλο βρήκε αυτόνομα και συνέδεσε πολλά τρωτά σημεία στον πυρήνα του Linux – το λογισμικό που τρέχει τους περισσότερους διακομιστές του κόσμου – για να επιτρέψει σε έναν εισβολέα να κλιμακωθεί από την πρόσβαση του απλού χρήστη στον πλήρη έλεγχο του μηχανήματος.
Έχουμε αναφέρει τα παραπάνω τρωτά σημεία στους συντηρητές του σχετικού λογισμικού και έχουν πλέον επιδιορθωθεί όλα. Για πολλά άλλα τρωτά σημεία, παρέχουμε ένα κρυπτογραφικό κατακερματισμό των λεπτομερειών σήμερα (δείτε το ιστολόγιο της Red Team) και θα αποκαλύψουμε τις λεπτομέρειες αφού υπάρξει μια επιδιόρθωση.
Τα σημεία αναφοράς αξιολόγησης όπως το CyberGym ενισχύουν τη σημαντική διαφορά μεταξύ του Mythos Preview και του επόμενου καλύτερου μοντέλου μας, του Claude Opus 4.6:
Αναπαραγωγή ευπάθειας στον κυβερνοχώρο
Εκτός από τη δική μας δουλειά, πολλοί από τους συνεργάτες μας χρησιμοποιούν ήδη το Claude Mythos Preview για αρκετές εβδομάδες. Αυτό είναι αυτό που βρήκαν:
Οι ισχυρές δυνατότητες στον κυβερνοχώρο του Claude Mythos Preview είναι αποτέλεσμα των ισχυρών δεξιοτήτων κωδικοποίησης και συλλογιστικής που διαθέτει. Για παράδειγμα, όπως φαίνεται στα αποτελέσματα αξιολόγησης παρακάτω, το μοντέλο έχει τις υψηλότερες βαθμολογίες από οποιοδήποτε μοντέλο που έχει αναπτυχθεί ακόμη σε μια ποικιλία εργασιών κωδικοποίησης λογισμικού.
Περισσότερες πληροφορίες για τις δυνατότητες του μοντέλου, τις ιδιότητες ασφαλείας του και τα γενικά χαρακτηριστικά του μπορείτε να βρείτε στην κάρτα συστήματος Claude Mythos Preview.
Δεν σκοπεύουμε να κάνουμε το Claude Mythos Preview γενικά διαθέσιμο, αλλά ο τελικός μας στόχος είναι να επιτρέψουμε στους χρήστες μας να αναπτύξουν με ασφάλεια μοντέλα κλάσης Mythos σε κλίμακα – για σκοπούς κυβερνοασφάλειας, αλλά και για τα μυριάδες άλλα οφέλη που θα αποφέρουν τέτοια μοντέλα υψηλής ικανότητας. αποτελέσματα Σχεδιάζουμε να λανσάρουμε νέες διασφαλίσεις με ένα επερχόμενο μοντέλο Claude Opus, επιτρέποντάς μας να τις βελτιώσουμε και να τις βελτιώσουμε με ένα μοντέλο που δεν ενέχει το ίδιο επίπεδο κινδύνου με το Mythos Preview.3.
Σχέδια για το Project Glasswing
Η σημερινή ανακοίνωση είναι η αρχή μιας μακροπρόθεσμης προσπάθειας. Για να είναι επιτυχής, θα απαιτηθεί ευρεία συμμετοχή από όλη την τεχνολογική βιομηχανία και όχι μόνο.
Οι συνεργάτες του Project Glasswing θα λάβουν πρόσβαση στο Claude Mythos Preview για να βρουν και να διορθώσουν τρωτά σημεία ή αδυναμίες στα θεμελιώδη συστήματα τους – συστήματα που αντιπροσωπεύουν ένα πολύ μεγάλο μέρος της κοινής επιφάνειας κυβερνοεπιθέσεων στον κόσμο. Αναμένουμε ότι αυτή η εργασία θα επικεντρωθεί σε εργασίες όπως εντοπισμός τοπικών τρωτών σημείων, έλεγχος μαύρου κουτιού δυαδικών δοκιμών τελικών σημείων και έλεγχος δυαδικών σημείων ασφαλείας.
Η δέσμευση της Anthropic για 100 εκατομμύρια δολάρια σε πιστώσεις χρήσης μοντέλου στο Project Glasswing και σε άλλους συμμετέχοντες θα καλύψει σημαντική χρήση σε όλη αυτή την προεπισκόπηση της έρευνας. Στη συνέχεια, το Claude Mythos Preview θα είναι διαθέσιμο στους συμμετέχοντες με 25 $/125 $ ανά εκατομμύριο διακριτικά εισόδου/εξόδου (οι συμμετέχοντες μπορούν να έχουν πρόσβαση στο μοντέλο στο Claude API, στο Amazon Bedrock, στο Google Cloud’s Vertex AI και στο Microsoft Foundry).
Εκτός από τη δέσμευσή μας για πιστώσεις χρήσης μοντέλου, έχουμε δωρίσει 2,5 εκατομμύρια $ στο Alpha-Omega και το OpenSSF μέσω του Linux Foundation και 1,5 εκατομμύρια $ στο Apache Software Foundation για να επιτρέψουμε στους συντηρητές λογισμικού ανοιχτού κώδικα να ανταποκριθούν σε αυτό το μεταβαλλόμενο τοπίο (οι συντηρητές που ενδιαφέρονται για πρόσβαση μπορούν να υποβάλουν αίτηση μέσω του προγράμματος Claude for Open Source).
Σκοπεύουμε να αυξηθεί το εύρος αυτής της εργασίας και να συνεχιστεί για πολλούς μήνες, και θα μοιραστούμε όσα περισσότερα μπορούμε, ώστε άλλοι οργανισμοί να μπορούν να εφαρμόσουν τα μαθήματα για τη δική τους ασφάλεια. Οι εταίροι θα ανταλλάσσουν πληροφορίες και βέλτιστες πρακτικές, στο βαθμό που είναι σε θέση, μεταξύ τους. εντός 90 ημερών, η Anthropic θα αναφέρει δημόσια όσα μάθαμε, καθώς και τις ευπάθειες που επιδιορθώθηκαν και τις βελτιώσεις που έγιναν που μπορούν να αποκαλυφθούν. Θα συνεργαστούμε επίσης με κορυφαίους οργανισμούς ασφαλείας για να δημιουργήσουμε ένα σύνολο πρακτικών συστάσεων για το πώς θα πρέπει να εξελίσσονται οι πρακτικές ασφαλείας στην εποχή της τεχνητής νοημοσύνης. Αυτό θα περιλαμβάνει ενδεχομένως:
- Διαδικασίες αποκάλυψης ευπάθειας.
- Διαδικασίες ενημέρωσης λογισμικού.
- Ασφάλεια ανοιχτού κώδικα και εφοδιαστικής αλυσίδας.
- Κύκλος ζωής ανάπτυξης λογισμικού και πρακτικές ασφαλούς σχεδιασμού.
- Πρότυπα για ρυθμιζόμενες βιομηχανίες.
- Κλιμάκωση διαλογής και αυτοματισμός. και
- Αυτοματοποίηση επιδιόρθωσης.
Η Anthropic ήταν επίσης σε συνεχείς συζητήσεις με αξιωματούχους της κυβέρνησης των ΗΠΑ σχετικά με το Claude Mythos Preview και τις επιθετικές και αμυντικές δυνατότητές του στον κυβερνοχώρο. Όπως αναφέραμε παραπάνω, η διασφάλιση της υποδομής ζωτικής σημασίας είναι κορυφαία προτεραιότητα εθνικής ασφάλειας για τις δημοκρατικές χώρες. σε αυτά τα καθήκοντα.
Ελπίζουμε ότι το Project Glasswing μπορεί να κάνει μεγαλύτερη προσπάθεια στη βιομηχανία και στον δημόσιο τομέα, με όλα τα μέρη να βοηθούν στην αντιμετώπιση των μεγαλύτερων ερωτημάτων σχετικά με τον αντίκτυπο των ισχυρών μοντέλων στην ασφάλεια. Προσκαλούμε άλλα μέλη του κλάδου της τεχνητής νοημοσύνης να συμμετάσχουν μαζί μας για να βοηθήσουν στον καθορισμό των προτύπων για τον κλάδο. Μεσοπρόθεσμα, ένας ανεξάρτητος φορέας τρίτου μέρους – που μπορεί να συγκεντρώσει οργανισμούς ιδιωτικού και δημόσιου τομέα – μπορεί να είναι το ιδανικό σπίτι για συνεχή εργασία σε αυτά τα μεγάλης κλίμακας έργα κυβερνοασφάλειας.
