- „Project Glasswing“ yra „Anthropic“ vadovaujamas aljansas, kuris naudoja „Claude Mythos Preview“, kad surastų ir ištaisytų svarbių programinės įrangos pažeidžiamumus prieš juos išnaudojant.
- Konsorciumas vienija tokius milžinus kaip AWS, Apple, Google, Microsoft, NVIDIA, Cisco ar Linux Foundation, be to, daugiau nei 40 organizacijų, atsakingų už pagrindinę skaitmeninę infrastruktūrą.
- „Claude Mythos Preview“ atrado tūkstančius nulinės dienos klaidų, įskaitant dešimtmečių senumo „OpenBSD“, „FFmpeg“ ir „Linux“ branduolio spragas, priversdamas permąstyti kibernetinio saugumo procesus ir ekonomiką.
- „Anthropic“ skiria iki 100 mln. JAV dolerių modelio naudojimo kreditų ir 4 mln. JAV dolerių aukų atvirojo kodo organizacijoms, siekdama sustiprinti visos programinės įrangos grandinės saugumą.
Jei pradėjote matyti pavadinimą Antropo projektas „Glasswing“ Tai visur, ir jūs nesate tikri, kas tai yra; jūs ne vieni. Per labai trumpą laiką tai tapo viena iš labiausiai aptariamų kibernetinio saugumo ir dirbtinio intelekto temų, nes ji apjungia tris galingus ingredientus: itin pajėgų dirbtinio intelekto modelį („Claude Mythos“ apžvalga), a technologijų gigantų koalicija ir pažadą peržiūrėti svarbiausią planetos programinę įrangą, ieškant trūkumų, kurie buvo paslėpti dešimtmečius.
Pati „Anthropic“ pripažįsta, kad mes žengiame į etapą, kuriame tam tikri dirbtinio intelekto modeliai yra geresnis už beveik bet kurį žmogų Pažeidžiamumų aptikimas ir išnaudojimo galimybių kūrimas atveria keblią situaciją: jei šie pajėgumai pateks į netinkamas rankas, kibernetinių atakų pradžios kaina ir sudėtingumas smarkiai sumažės. „Project Glasswing“ bando numatyti šią ateitį ir panaudoti dirbtinį intelektą kaip skydą, kol kiti jo nepanaudos kaip ginklo.
Kas tiksliai yra Antropinis projektas „Glasswing“?
„Anthropic“ apibrėžia „Project Glasswing“ kaip bendradarbiaujanti kibernetinio saugumo iniciatyva Sukurtas „apsaugoti svarbiausią pasaulyje programinę įrangą“ dirbtinio intelekto amžiuje, tai ne tik naujas produktas, bet ir ilgalaikė programa, kurioje dalyvauja vieni didžiausių debesijos paslaugų teikėjų, saugumo bendrovių ir pagrindiniai atvirojo kodo bei finansinių ekosistemų dalyviai.
Techninis branduolys yra Claude'o Mythoso apžvalga (taip pat vadinamas „Claude Mythos“ arba „Mythos Preview“) – bendrosios paskirties periferinis modelis, kurį „Anthropic“ laiko tokiu galingu kibernetinio saugumo užduotims atlikti, kad nusprendė jo neišleisti plačiajai visuomenei. Užuot jį pateikusi kaip dar vieną plačiai naudojamą modelį, ji jį įjungia į „Glasswing“ ir... Jis duoda tik patikimoms organizacijoms Gynybiniams tikslams: pažeidžiamumų aptikimui, saugumo auditams, kontroliuojamiems įsiskverbimo testams ir kt.
Pagrindinė idėja aiški: pažangiausias dirbtinis intelektas jau gali rasti išlikusius trūkumus. dešimtmečius trukusios žmonių peržiūros ir automatizuoti įrankiai„Anthropic“ nori, kad ši galimybė pirmiausia veiktų gynėjų pusėje; kad „Mythos“ rastų spragas, kad pataisymai būtų suderinti su prižiūrėtojais ir tik tada būtų atskleistos techninės detalės.
Pasak bendrovės, „Project Glasswing“ bus nuolatinės pastangos mėnesius (o galbūt ir metus)periodiškai skelbiant rezultatus, teikiant praktines rekomendacijas ir, svarbiausia, pateikiant informaciją apie pažeidžiamumus, ištaisytus komponentuose, kurie yra pasaulinės skaitmeninės infrastruktūros dalis.
Kas dalyvauja „Project Glasswing“ ir kodėl jis toks svarbus?
Antropic tvirtina, kad Jokia organizacija negali to padaryti viena.Norint pasiekti realų poveikį, reikėjo suburti prie vieno stalo tuos, kurie kontroliuoja didžiąją dalį interneto infrastruktūros ir programinės įrangos, kurią naudojame kasdien – tiek patentuotą, tiek atvirojo kodo.
Tarp „Project Glasswing“ konglomerato steigėjų yra tokių aukšto lygio vardų kaip „Amazon Web Services“ (AWS), „Apple“, „Broadcom“, „Cisco“, „CrowdStrike“, „Google“, „JPMorgan Chase“, „Linux Foundation“, „Microsoft“, „NVIDIA“ ir „Palo Alto Networks“.Tai yra, nuo debesijos paslaugų teikėjų iki pirmaujančių bankų, įskaitant techninės įrangos gamintojus, kibernetinio saugumo bendroves ir didelę „Linux“ ekosistemos skėtinę organizaciją.
Be šios pagrindinės grupės, „Anthropic“ išplėtė prieigą prie daugiau nei 40 papildomų organizacijų kurios kuria arba prižiūri svarbiausius programinės įrangos komponentus: operacines sistemas, naršykles, multimedijos bibliotekas, tinklo infrastruktūrą, atvirojo kodo projektus su milijonais vartotojų ir kt. Visos jos gali naudoti „Mythos Preview“ nuskaitykite savo atvirojo kodo sistemas ir projektus, ieškant trūkumų prieš tai, kai kas nors juos išnaudoja.
Dalyvavimas „Linux Foundation“ ir „Apache“ programinės įrangos fondas Tai ypač aktualu, nes didelė dalis pasaulio skaitmeninės infrastruktūros priklauso nuo atvirojo kodo programinės įrangos, kurią prižiūri mažos, dažnai savanorių komandos. Iki šiol tik didelės įmonės, turinčios didelius biudžetus, galėjo sau leisti pažangius įrankius ir atsidavusias komandas; „Glasswing“ siekia panaikinti šią spragą suteikdama joms prieigą prie aukščiausio lygio dirbtinio intelekto ir finansinės paramos.
Dėl plataus dalyvių rato, kuriame yra net tiesioginių konkurentų, „Project Glasswing“ yra vienas iš labiau koordinuotos pramonės pastangos kibernetinio saugumo srityjeLogika paprasta: jei visi gaus naudos iš saugesnės bazinės programinės įrangos, laimi visa ekosistema.
Claude'o Mythoso apžvalga: DI modelis, kuris viską pakeičia
„Claude Mythos Preview“ yra „Glasswing“ variklis ir tuo pačiu metu jo egzistavimo priežastis. „Anthropic“ jį apibūdina kaip bendrosios paskirties ribų modelis su tokiomis pažangiomis programavimo ir samprotavimo galimybėmis, kad kaip šalutinis poveikis jis tapo išskirtiniu kibernetinio saugumo užduotyse.
Pasak pačios bendrovės, „Mythos“ nebuvo specialiai apmokyta saugumo srityje, o siekė tobulėti šioje srityje. kodo analizė, sudėtingų problemų sprendimas ir aukšto lygio techninės užduotysIš ten būtų „atsiradę“ jų gebėjimas aptikti pažeidžiamumus, kurti spragas ir susieti trūkumus, kol būtų pasiektas visiškas sistemos užpuolimas.
Specializuotose metrikose „Anthropic“ lygina „Mythos“ su ankstesniu etaloniniu modeliu „Claude Opus 4.6“. Vidiniame „CyberGym“ etaloniniame teste, skirtame pažeidžiamumų aptikimas ir saugumo analizė„Claude Opus 4.6“ atkuria 66,6 % atvejų, o „Mythos Preview“ – 83,1 % – tai labai reikšmingas skirtumas tokio tipo testams.
Bendrovė taip pat paskelbė „Mythos“ peržiūros sistemos kortelė Šioje ataskaitoje išsamiai aprašomas ne tik kodavimo ir mąstymo našumas (įskaitant sudėtingus etalonus, tokius kaip USAMO pažangiojoje matematikoje), bet ir saugumo funkcijos bei įgyvendinamos rizikos mažinimo priemonės. Žinia aiški: tai reikšmingas galimybių šuolis ir su tuo reikia elgtis labai atsargiai.
Dėl visų šių priežasčių Antropic nusprendė, kad „Claude Mythos“ peržiūra nebus visuotinai prieinama Išlaikydama dabartinius kibernetinius pajėgumus, bendrovė nori sukurti papildomas apsaugos priemones (įtrauktas į būsimus „Opus“ modelius), kad būtų galima aptikti ir blokuoti pavojingiausius išėjimus, ypač tuos, kurie palengvintų sudėtingas ar didelio masto kibernetines atakas.
„Mythos“ aptikti pažeidžiamumai: nuo „OpenBSD“ iki „Linux“ branduolio
Pramonėje pavojaus varpus sukėlė ne tik pažadai, bet ir konkretūs rezultatai. Vos per kelias darbo savaites „Claude Mythos Preview“ nustatė tūkstančiai nulinės dienos pažeidžiamumų (kūrėjams nežinomi trūkumai) praktiškai visose pagrindinėse operacinėse sistemose, žiniatinklio naršyklėse ir kitose svarbiose programinės įrangos dalyse.
„Anthropic“ paviešino keletą ypač ryškių pavyzdžių, visada po to, kai paveikti prižiūrėtojai ištaisydavo klaidas. Vienas iš labiausiai aptarinėjamų yra 27 metų pažeidžiamumas OpenBSD žaidimeAptariama operacinė sistema garsėja būtent tuo, kad joje ypatingai daug dėmesio skiriama saugumui, ir yra naudojama užkardose bei kitoje svarbioje infrastruktūroje. Klaida leido nuotoliniam užpuolikui sugadinti kompiuterį tiesiog prisijungus prie jo.
Kitas pastebimas atvejis yra 16 metų pažeidžiamumas FFmpeg– visur esanti vaizdo įrašų kodavimo ir dekodavimo biblioteka, kurią naudoja daugybė programų. Pasak „Anthropic“, probleminę kodo eilutę automatiniai testavimo įrankiai vykdė apie penkis milijonus kartų, ir niekas neaptiko spragos. Tačiau „Mythos“ ne tik ją rado, bet ir sugebėjo rasti būdą, kaip ja pasinaudoti.
Sąraše taip pat pateikiami pažeidžiamumai, rasti ir susieti su „Linux“ branduolysCentrinis komponentas, valdantis daugumą pasaulio serverių. Šiuo atveju „Mythos“ pavyko sujungti keletą pažeidžiamumų, kad būtų pasiektas privilegijų eskalavimas nuo paprasto vartotojo iki visiško kompiuterio valdymo – labai rimta situacija gamybinėje aplinkoje.
Be šių pavyzdžių, „Anthropic“ teigia, kad „Mythos“ rado rimtų trūkumų visose pagrindinėse operacinėse sistemose ir naršyklėse, taip pat hipervizoriuose ir kituose virtualizacijos komponentuose, tinklo paketuose, kodekuose ir įvairių tipų kritinėje programinėje įrangoje. Bendrovė paskelbė informaciją apie daugelį šių pažeidžiamumų. kriptografiniai maišos kodai (pvz., SHA-3) kurie įrodo, kad turi technines detales, tačiau neatskleidžia jų, kol nebus prieinamas pataisymas.
Kaip valdyti tūkstančius 0 dienų neapkraunant priežiūros komandų
Aptikti tūkstančius pažeidžiamumų skamba įspūdingai, tačiau tai iškelia labai praktišką problemą: ką daryti su tokia nesėkmių lavina?Daugelį svarbių atvirojo kodo projektų prižiūri mažos, dažnai savanoriškos komandos, kurios negalėtų vienu metu apdoroti šimtų svarbių dirbtinio intelekto sugeneruotų ataskaitų.
Žinodama tai, „Anthropic“ sukūrė žmogaus klasifikavimo ir patvirtinimo procesasModelis pirmiausia suskirsto trūkumus pagal jų sunkumą ir galimą poveikį; tik tie pažeidžiamumai, kurie viršija tam tikrą ribą, perduodami profesionaliems žmonių vertintojams, kuriuos samdo pati „Anthropic“, kurie rankiniu būdu peržiūri kiekvieną ataskaitą prieš susisiekdami su už paveiktą projektą atsakingais asmenimis.
Kai įmonė turi prieigą prie šaltinio kodo, idėja yra prie kiekvienos ataskaitos pridėti kandidato pleistras Sukurtas (ir peržiūrimas) modelio ir aiškiai pažymėtas, kad prižiūrėtojas žinotų, jog tai gauta iš automatizuotos sistemos. Tada siūloma bendradarbiauti tobulinant pataisą, kol ji pasieks gamybinę kokybę, taip sumažinant papildomą darbo krūvį kūrimo komandoms.
Kalbant apie laiko juostą, antropologija laikosi sistemos, suderintas atskleidimasPranešusi apie pažeidžiamumą ir bendradarbiaudama kurdama sprendimą, bendrovė paprastai palaukia apie 45 dienas nuo pataisos prieinamumo, prieš paskelbdama išsamią techninę informaciją. Tai suteikia tiekėjams ir administratoriams laiko įdiegti atnaujinimus, kol išsami informacija nebus panaudota kenkėjiškais tikslais.
Kalbant apie visą „Project Glasswing“ projektą, „Anthropic“ taip pat įsipareigojo jį įgyvendinti per ne ilgesnį kaip 90 dienų nuo pradžios Ji paskelbs ataskaitą, kurioje išsamiai aprašys, ko išmoko, visus ištaisytus pažeidžiamumus ir pradinį praktinių rekomendacijų rinkinį, kaip saugumo praktika turėtų vystytis dirbtinio intelekto amžiuje.
Finansavimas, naudojimo kreditai ir atvirojo kodo palaikymas
Kad tai neliktų tik teorija, „Anthropic“ skyrė lėšų. Viena vertus, bendrovė įsipareigojo prisidėti iki 100 mln. USD naudojimo kreditų „Claude Mythos“ apžvalga projekto „Glasswing“ dalyviams ir kitoms papildomoms organizacijoms, kurios prisijungia per tyrimo peržiūrą.
Šie kreditai padengs didelę modelio naudojimo dalį, kad dalyvaujančios įmonės ir projektai galėtų analizuoti dideles kodų bazes ir ištisas sistemas be jokių tiesioginių išlaidų. Kai šis etapas bus baigtas, „Mythos Preview“ bus prieinama dalyviams, mokant 25 USD už milijoną įėjimo žetonų ir 125 USD už milijoną išėjimo žetonų. Prieiga pasiekiama per „Claude API“, „Amazon Bedrock“, „Google Cloud Vertex AI“ ir „Microsoft Foundry“.
Be paskolų, „Anthropic“ tiesiogiai paaukojo lėšų, kurių vertė siekia 4 mln. dolerių atvirojo kodo saugumo organizacijomsTiksliau, ji skyrė 2,5 mln. JAV dolerių „Alpha-Omega“ ir „OpenSSF“ (per „Linux Foundation“) ir 1,5 mln. JAV dolerių „Apache Software Foundation“. Tikslas – suteikti atvirojo kodo programinės įrangos kūrėjams išteklių, kad jie galėtų reaguoti į šį naują scenarijų, kai pažeidžiamumai gali atsirasti bangomis.
Projektų vadovai, norintys pasinaudoti šiomis galimybėmis, gali kreiptis dėl prieigos per programą. Claude'as atvirojo kodo programuotojamsTai suteikia specialų kanalą atvirai ekosistemai, skirtą naudoti „Mythos“ ir kitus „Claude“ modelius saugumo užduotims atlikti. Tai bandymas ištaisyti dešimtmečius trukusį disbalansą, kai aukščiausiu lygiu galėjo konkuruoti tik organizacijos su didelėmis saugumo komandomis.
Lygiagrečiai, a Kibernetinio patikrinimo programa Skirta teisėtiems saugumo specialistams ir tyrėjams, ji leis kontroliuojamą prieigą prie pažangių modelio galimybių prašyti pagal griežtesnę valdymo sistemą, nors detalės dar nėra galutinai patvirtintos.
Kibernetinio saugumo poveikis ekonomikai ir ekspertų darbui
Tokių modelių kaip „Claude Mythos Preview“ atsiradimas kelia grėsmę pakeisti ne tik technologijas, bet ir pažeidžiamumo atradimo ekonomikaKai kurie ekspertai atkreipia dėmesį, kad kai toks dirbtinis intelektas gali ieškoti klaidų dideliu mastu, tampa abejotina logika mokėti žmonėms už įprastų klaidų paiešką.
Jeffas Williamsas, OWASP įkūrėjas ir „Contrast Security“ technologijų direktorius, tai apibendrina tiesiai šviesiai: kai dirbtinis intelektas gali atlikti „rinkimo ir kasimo darbą“ dideliu mastu, Prioritetas nebėra tas, kurias pažeidžiamumus pirmiausia taisyti. ir tai lemia, kiek laiko organizacija išlieka pažeidžiama. Tai ne tiek prioritetų nustatymo problema, kiek poveikio laikotarpis.
Dėl to reikia visiškai permąstyti procesus: nuolatinį skenavimą, integravimo ir diegimo procesus, apimančius beveik realiuoju laiku diegiamas pataisas, automatizuotą atrankos procesą ir masinį pataisų valdymą, taip pat viziją, kaip... įmonės programinės įrangos saugumas kaip kažkas integruota nuo ankstyvųjų vystymosi ciklo etapų (saugus pagal dizainą), o ne kaip priedas pabaigoje.
Tokių įmonių kaip „Cisco“, „Microsoft“ ir „AWS“ vadovai sutinka, kad mes žengiame į dirbtinio intelekto valdomos kibernetinės gynybos eraOrganizacijos, kurios saugo internetą, turės veikti „mašinų greičiu ir tinklo mastu“, diegdamos automatinius įrankius tiek perimetro apsaugai, tiek giliojo kodo ir sistemos analizei.
Daugeliui kibernetinio saugumo specialistų „Project Glasswing“ reiškia ir galimybė ir grėsmėViena vertus, tai padidina savo gebėjimą aptikti problemas ir sumažinti atakų paviršių; kita vertus, tai gali mesti iššūkį verslo modeliams, pagrįstiems užduotimis, kurių kainą dirbtinis intelektas gali radikaliai sumažinti. Svarbiausia bus specializuotis tose proceso dalyse, kuriose žmogaus sprendimas išlieka esminis.
Ryšiai su vyriausybėmis ir geopolitinė rizika
Atsižvelgdama į Claude'o Mythoso „Preview“ puolimo ir gynybos potencialą, „Anthropic“ reguliariai diskutuoja su Jungtinių Valstijų valdžios institucijos ir kitų demokratinių vyriausybių. Bendrovė tvirtina, kad kritinės infrastruktūros apsauga nuo šio naujo tipo grėsmės dabar yra svarbus klausimas. Nacionalinė apsaugair kad sąjungininkės šalys privalo išlaikyti aiškų pranašumą dirbtinio intelekto technologijų srityje, kad neatsidurtų nepalankioje padėtyje prieš priešiškus valstybės veikėjus.
Bendrovė perspėja, kad dirbtinis intelektas gali padaryti visų rūšių kibernetines atakas pavojingesnes. dažnesnis, pigesnis ir žalingesnisTai palengvina nusikalstamų grupuočių ir valstybinių subjektų koordinuotas kampanijas tokiose šalyse kaip Kinija, Iranas, Šiaurės Korėja ir Rusija. Jei užpuolikai naudoja dirbtinio intelekto įrankius savo metodams tobulinti, atrodo neišvengiama, kad gynėjai darys tą patį, kad neatsiliktų.
Šiame kontekste „Project Glasswing“ pristatomas kaip pirmas rimtas bandymas koordinuoti privatų sektorių ir vyriausybę dėl galingiausių dirbtinio intelekto modelių keliamos rizikos. Vidutinės trukmės laikotarpiu „Anthropic“ netgi siūlo nepriklausomą įstaigą, galinčią suvienyti įmones ir valdžios institucijas, kuri galėtų būti tinkama vieta didelio masto kibernetinio saugumo projektams įgyvendinti.
Kad privati įmonė prisipažįsta sukūrusi modelį su tokių pavojingų kibernetinių pajėgumų Tai, kad jis nedrįsta to viešai paskelbti, yra paradoksalu, ypač po to, kai pats patyrė saugumo incidentų (pvz. vidinių dokumentų nutekėjimas (dėl konfigūracijos klaidų). „Anthropic“ atsako, kad šie gedimai buvo ribotos operacinės problemos, o ne struktūriniai trūkumai, ir teigia, kad po šių incidentų sustiprino savo procesus.
Bet kuriuo atveju, diskusijos apie tai, kas turėtų turėti prieigą prie tokio kalibro modelių, kokiomis sąlygomis ir kokia priežiūra, dar toli gražu nesibaigė. „Project Glasswing“ taip pat veikia kaip politinė ir reguliavimo laboratorija kad ištirtų galimus atsakymus.
Ką „Project Glasswing“ reiškia įmonėms ir kūrėjams?
Net ir organizacijoms, kurios nėra „Glasswing“ dalis, „Claude Mythos Preview“ ir šio aljanso egzistavimas turės labai konkrečių pasekmių. Visų pirma, daugelis programinės įrangos priklausomybės kuriuos naudoja visi (operacinės sistemos, bibliotekos, žiniatinklio serveriai, platformos), bus tikrinami beprecedenčiu saugumo patikrinimu.
Tai išvers į CVE ir pataisymų banga Artimiausiais mėnesiais ir metais dešimtmečius slėptos klaidos vėl iškils į paviršių, todėl dar svarbiau bus nuolat atnaujinti programas. Įmonės, kurios iš inercijos ar tinginystės toliau naudos senesnes versijas, pastebės, kad jų pažeidžiamumų plotas augs eksponentiškai.
Startuoliams ir produktų komandoms „Glasswing“ yra ženklas, kad Saugumas nebėra pasirenkama prabanga. Tai nėra kažkas, kas palikta vėlesniam laikui, o pagrindinis reikalavimas bet kuriai programinei įrangai, kuri siekia integruotis su dideliais klientais, kritine infrastruktūra ar reguliuojama aplinka. Dirbtiniu intelektu pagrįstų kodo ir jo tiekimo grandinės peržiūrų integravimas taps vis įprastesnis.
Atvirojo kodo ekosistemos požiūriu, aukos ir tokios programos kaip „Claude for Open Source“ yra istorinė galimybė: pirmą kartą nedidelio skaičiaus žmonių prižiūrimi projektai galės gauti paramą iš aukščiausios klasės dirbtinio intelekto modelius, kad būtų peržiūrėtos jų kodų bazės, kažkas, kas anksčiau buvo skirta milžinams, turintiems atskirus saugumo skyrius.
Platesniu mastu „Project Glasswing“ žymi lūžio tašką: Tai buvo pažeidžiamumų atradimo pramoniniu mastu naudojant dirbtinį intelektą era. Tai jau vyksta. Ar tai leis sukurti saugesnį tinklą, ar padaugės atakų, priklausys nuo to, kaip gerai tokioms iniciatyvoms kaip „Glasswing“ pavyks išlaikyti gynėjus vienu žingsniu priekyje.
Viskas rodo, kad nuo šiol programinės įrangos saugumas nebebus išsklaidytas ir rankinis darbas, o taps nuolatiniu procesu, kuriam padės dirbtinis intelektas ir kurį koordinuos keli veikėjai, o tokie projektai kaip „Anthropic“ projektas „Glasswing“ bus pavyzdys, kaip atsakingai valdyti modelius, turinčius tokias galingas galimybes kaip „Claude Mythos Preview“.
Aistringas rašytojas apie baitų pasaulį ir technologijas apskritai. Man patinka dalytis savo žiniomis rašydamas, būtent tai ir darysiu šiame tinklaraštyje, parodysiu jums įdomiausius dalykus apie programėles, programinę įrangą, techninę įrangą, technologijų tendencijas ir kt. Mano tikslas – padėti jums paprastai ir smagiai naršyti skaitmeniniame pasaulyje.