Anthropic Glasswing: Το μέλλον της κυβερνοασφάλειας στην εποχή της AI

Η εταιρεία τεχνητής νοημοσύνης Anthropic αποκάλυψε το Project Glasswing, μια πρωτοβουλία κυβερνοασφάλειας βασισμένη στο νέο Claude Mythos Preview, ένα μοντέλο που περιγράφεται ως «κυβερνοασφάλεια στην εποχή της τεχνητής νοημοσύνης» και μπορεί αυτόνομα να εντοπίζει ευπάθειες λογισμικού σε μεγάλη κλίμακα. Αντί να κυκλοφορήσει το μοντέλο δημόσια, η Anthropic περιορίζει την πρόσβαση σε ένα κλειστό κονσόρτσιουμ που περιλαμβάνει περισσότερες από 40 εταιρείες, όπως οι Amazon, Microsoft, Apple, Google και το Linux Foundation, μαζί με μια μικρή ομάδα προμηθευτών ασφάλειας όπως οι CrowdStrike, Palo Alto Networks και Cisco.

«Το Mythos κάνει το πρώτο ντόμινο πιο ξεκάθαρο: Μόλις η τεχνολογία αιχμής της τεχνητής νοημοσύνης μπορεί να ανακαλύψει σφάλματα σε μεγάλη κλίμακα, η λογική της πληρωμής ανθρώπων για routine discovery αρχίζει να καταρρέει», λέει ο Jeff Williams, ιδρυτής του OWASP και CTO της Contrast Security.

Σύμφωνα με την Anthropic, ο στόχος είναι να εφαρμοστούν αυτές οι δυνατότητες σε ένα ελεγχόμενο, αμυντικό περιβάλλον, επιτρέποντας στις συμμετέχουσες οργανώσεις να δοκιμάσουν και να βελτιώσουν την ασφάλεια του ευρέως χρησιμοποιούμενου λογισμικού και της υποδομής του.

Δείτε επίσης: Anthropic, Google και Broadcom υπογράφουν τη μεγαλύτερη συμφωνία

Anthropic Glasswing: Αλλαγές στην ανακάλυψη ευπαθειών χάρη στο Claude Mythos

Στις αρχικές δοκιμές, η Anthropic ισχυρίζεται ότι το μοντέλο εντόπισε χιλιάδες ευπάθειες υψηλής σοβαρότητας σε λειτουργικά συστήματα, προγράμματα περιήγησης και άλλα ευρέως χρησιμοποιούμενα λογισμικά. Κάποιες από αυτές είχαν παραμείνει παρά την εκτεταμένη προηγούμενη αναθεώρηση — συμπεριλαμβανομένου ενός ελαττώματος 27 ετών στο OpenBSD, το οποίο θεωρείται ένα από τα πιο ασφαλή λειτουργικά συστήματα και χρησιμοποιείται ευρέως σε κρίσιμες υποδομές.

Όπως συμβαίνει με πολλούς πρώιμους ισχυρισμούς για δυνατότητες AI, τα αποτελέσματα είναι κυρίως αυτοαναφερόμενα και μόνο εν μέρει εξωτερικά επαληθεύσιμα, αλλά δείχνουν μια σαφή κατεύθυνση: Η ανακάλυψη ευπαθειών γίνεται πιο αυτοματοποιημένη και κλιμακούμενη. Αυτή η αλλαγή εγείρει ερωτήματα σχετικά με το πώς οργανώνεται και αξιολογείται η εργασία ασφάλειας.

Για τον Williams του OWASP, η διαταραχή ξεκινά με την οικονομία. Αν τα συστήματα AI μπορούν να εκτελούν ανακάλυψη ευπαθειών σε μεγάλη κλίμακα, η λογική της εξάρτησης από την ανθρώπινη ανακάλυψη σφαλμάτων — ιδιαίτερα για ρουτίνα ανακάλυψης — εξασθενεί.

Αλλά οι επιπτώσεις επεκτείνονται πέρα από τα προγράμματα ανταμοιβής σφαλμάτων. «Αυτό δεν απειλεί μόνο τα bug bounties», λέει. «Απειλεί ολόκληρη την ιδέα ότι η ασφάλεια μπορεί να παραμείνει μια find-and-fix σκέψη. Η εποχή του security backlog έρχεται σε ένα ευπρόσδεκτο τέλος».

Από τη διαχείριση backlog στη διαχείριση κινδύνου exposure-window

Το ζήτημα, όπως το διατυπώνει ο Williams, δεν είναι απλώς πόσες ευπάθειες υπάρχουν, αλλά πώς διαχειρίζονται.

Δείτε επίσης: Η Anthropic εξαγόρασε startup με λιγότερα από 10 άτομα

«Το Mythos κάνει ένα πράγμα οδυνηρά ξεκάθαρο», λέει. «Αυτό δεν είναι πρόβλημα προτεραιότητας. Είναι πρόβλημα exposure-window». Η παραδοσιακή διαχείριση ευπαθειών έχει βασιστεί στην προτεραιότητα — κατάταξη ζητημάτων ανά σοβαρότητα, εκμεταλλευσιμότητα και επιχειρηματική επίπτωση, και στη συνέχεια εργασία μέσω αποκατάστασης με την πάροδο του χρόνου. Ο Williams υποστηρίζει ότι ο περιοριστικός παράγοντας δεν είναι πλέον το πόσο καλά οι οργανώσεις προτεραιοποιούν, αλλά πόσο καιρό οι ευπάθειες παραμένουν εκτεθειμένες.

Προσαρμογή στην κυβερνοάμυνα με τεχνητή νοημοσύνη

Ο Anthony Grieco, SVP και επικεφαλής ασφάλειας και εμπιστοσύνης στην Cisco, τοποθετεί το development σε ένα ευρύτερο επιχειρησιακό πλαίσιο. Σε μια ανάρτηση, ο Grieco υποστηρίζει ότι οι οργανώσεις πρέπει να «ανέβουν στην εποχή της κυβερνοάμυνας με τεχνητή νοημοσύνη», αντικατοπτρίζοντας μια αλλαγή τόσο στο τοπίο απειλών όσο και στις δυνατότητες που απαιτούνται για να ανταποκριθούν.

Η Cisco είναι μεταξύ των οργανώσεων που συμμετέχουν στο Project Glasswing, συμμετέχοντας σε αυτό που η Anthropic περιγράφει ως μια συνεργατική προσπάθεια για την εφαρμογή προηγμένων δυνατοτήτων AI σε use cases αμυντικής ασφάλειας. Ο Grieco τονίζει ότι τα προγράμματα ασφάλειας θα πρέπει να εξελιχθούν παράλληλα με τις ταχέως αναπτυσσόμενες δυνατότητες AI.

«Οι δυνατότητες AI θα συνεχίσουν να προχωρούν, το threat surface θα εξελιχθεί, και οι οργανώσεις που προστατεύουν το διαδίκτυο θα πρέπει να λειτουργούν με την ταχύτητα των μηχανών και την κλίμακα των δικτύων», λέει ο Grieco. «Πολλά από αυτά που βιώνουμε τώρα θα ήταν αδιανόητα πριν από λίγα χρόνια. Δεν υπάρχει γραμμή τερματισμού, μόνο μια δέσμευση να κάνουμε ό,τι είναι δυνατό για να μείνουμε μπροστά από τους αντιπάλους».

Για τους ηγέτες ασφάλειας, αυτός ο συνδυασμός — πιο κλιμακούμενη ανακάλυψη και η ανάγκη να λειτουργούν με μεγαλύτερη ταχύτητα — προκαλεί μακροχρόνιες υποθέσεις σχετικά με το πώς διαχειρίζεται ο κίνδυνος.

Δείτε επίσης: Anthropic: Το Claude AI χρησιμοποιεί το Mac σας όταν λείπετε

Τα backlogs, που θεωρούνταν για καιρό ως μια αναπόφευκτη επιχειρησιακή πραγματικότητα, γίνονται πιο δύσκολο να δικαιολογηθούν αν οι ευπάθειες μπορούν να εντοπιστούν πιο γρήγορα και πιο ολοκληρωμένα.

Το Claude Mythos Preview θα είναι διαθέσιμο μέσω του Claude API, του Amazon Bedrock, του Google Cloud Vertex AI και του Microsoft Foundry. Η εταιρεία έχει επίσης δεσμεύσει χρηματοδότηση για προσπάθειες ασφάλειας ανοιχτού κώδικα, συμπεριλαμβανομένων δωρεών στην Alpha-Omega, το OpenSSF και το Apache Software Foundation για να υποστηρίξει τους συντηρητές που ανταποκρίνονται σε αυτές τις αλλαγές. Οι συντηρητές που ενδιαφέρονται για πρόσβαση μπορούν να υποβάλουν αίτηση μέσω του προγράμματος Claude for Open Source.

Πηγή: www.csoonline.com