Anthropic sagt, sein neuestes KI-Modell kann Schwachstellen in der Softwaresicherheit aufdecken

Anthropic sagte am Dienstag, dass sein noch nicht veröffentlichtes künstliche Intelligenz-Modell namens Claude Mythos sich als äußerst geschickt bei der Aufdeckung von Software-Schwachstellen erwiesen hat.
Mythos hat Tausende von Schwachstellen in gängigen Anwendungen aufgedeckt, für die kein Patch oder Fix existiert, was das in San Francisco ansässige KI-Startup veranlasste, eine Allianz mit Cybersicherheitsspezialisten zu bilden, um die Abwehr gegen Hacking zu stärken und eine breite Verbreitung zu verhindern.
„Wir haben ein neues Modell, das wir ausdrücklich nicht der Öffentlichkeit zugänglich machen“, sagte Mike Krieger von Anthropic Labs auf einer HumanX AI-Konferenz in San Francisco.
Stattdessen lässt Anthropic Cybersicherheitsspezialisten und Ingenieure aus der Open-Source-Community mit Mythos zusammenarbeiten, um das Modell als Verteidigungswaffe einzusetzen und sie „quasi im Voraus zu bewaffnen“, erklärte Krieger.
Die Sprünge in den Fähigkeiten von KI-Modellen haben Bedenken hervorgerufen, dass Hacker solche Werkzeuge zum Erraten von Passwörtern oder zum Knacken von Verschlüsselungen verwenden könnten, die Daten schützen sollen.
Die älteste der von Mythos aufgedeckten Schwachstellen ist 27 Jahre alt, und keine davon wurde laut Anthropic von ihren Herstellern bemerkt, bevor sie vom KI-Modell identifiziert wurden.
Mythos ist die neueste Generation von Anthropic's Claude-Familie von KI, und ein kürzlich aufgetretener Leak einiger seiner Codes veranlasste das Startup, einen Blogbeitrag zu veröffentlichen, der davor warnte, dass er beispiellose Cybersicherheitsrisiken birgt.
„KI-Modelle haben ein Niveau an Coding-Fähigkeiten erreicht, auf dem sie alle bis auf die erfahrensten Menschen bei der Suche und Ausnutzung von Software-Schwachstellen übertreffen können“, sagte Anthropic in einem Blogbeitrag. „Die Folgen – für Volkswirtschaften, öffentliche Sicherheit und nationale Sicherheit – könnten gravierend sein.“
Die von Mythos aufgedeckten Software-Schwachstellen waren laut Anthropic oft subtil und ohne KI schwer zu erkennen. Als Beispiel nannte es, dass Mythos einen bisher unbemerkten Fehler in einer Videosoftware fand, die von ihren Entwicklern mehr als 5 Millionen Mal getestet worden war.
Als Vorsichtsmaßnahme hat Anthropic eine Version von Mythos mit den Cybersicherheitsunternehmen CrowdStrike und Palo Alto Networks sowie mit Amazon, Apple und Microsoft in einem Projekt namens „Glasswing“ geteilt.
Netzwerkgiganten wie Cisco und Broadcom nehmen an dem Projekt teil, ebenso wie die Linux Foundation, die das kostenlose, quelloffene Linux-Betriebssystem fördert.
„Diese Arbeit ist zu wichtig und zu dringend, um sie allein zu erledigen“, sagte Anthony Grieco, Chief Security and Trust Officer von Cisco, in einer gemeinsamen Mitteilung zu Glasswing. „KI-Fähigkeiten haben eine Schwelle überschritten, die die Dringlichkeit, kritische Infrastrukturen vor Cyberbedrohungen zu schützen, grundlegend verändert, und es gibt kein Zurück mehr.“
Ungefähr 40 Organisationen, die an der Entwicklung, Wartung oder dem Betrieb von Computersystemen beteiligt sind, sollen sich Glasswing angeschlossen haben. Projektpartner werden ihre Erkenntnisse zu Mythos teilen, so Anthropic, das rund 100 Millionen US-Dollar an Rechenressourcen für die Mission bereitstellt. Frühe Arbeiten mit KI-Modellen haben gezeigt, dass sie Software- und Hardware-Schwachstellen in einem bisher nicht möglichen Tempo und Umfang finden und beheben können, so Grieco.
„Das Zeitfenster zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung durch einen Angreifer hat sich verkleinert – was früher Monate dauerte, geschieht jetzt mit KI in Minuten“, sagte Elia Zaitsev, Chief Technology Officer von Crowdstrike.
„Claude Mythos Preview zeigt, was jetzt für Verteidiger in großem Maßstab möglich ist, und Angreifer werden unweigerlich versuchen, dieselben Fähigkeiten auszunutzen“, fügte er hinzu.
Anthropic hat Gespräche mit der US-Regierung bezüglich Mythos geführt, trotz einer Anordnung des Weißen Hauses im Februar, alle Verträge mit dem Startup zu beenden. Diese Anordnung wurde von einem Bundesrichter auf Eis gelegt, während eine Klage von Anthropic durch die Gerichte läuft.