खजाना एंथ्रोपिक 'मिथोस' एआई तक पहुंच प्राप्त करने के लिए जल्दी करता है चेतावनी के बाद कि यह "प्रत्येक प्रमुख ऑपरेटिंग सिस्टम" को हैक कर सकता है

खजाना एंथ्रोपिक 'मिथोस' एआई तक पहुंच प्राप्त करने के लिए जल्दी करता है चेतावनी के बाद कि यह "प्रत्येक प्रमुख ऑपरेटिंग सिस्टम" को हैक कर सकता है

अमेरिकी खजाना विभाग की प्रौद्योगिकी टीम सक्रिय रूप से एंथ्रोपिक पीबीसी के अत्यधिक प्रतिबंधित मिथोस एआई मॉडल तक पहुंच प्राप्त करने की तलाश कर रही है ताकि यह सॉफ्टवेयर कमजोरियों का शिकार करना शुरू कर सके, ब्लूमबर्ग द्वारा उद्धृत स्थिति से परिचित एक व्यक्ति के अनुसार।
WIRED के माध्यम से चित्रण

खजाना मुख्य सूचना अधिकारी सैम कोरकोस ने पिछले सप्ताह विभाग के साइबर सुरक्षा दल को प्रौद्योगिकी पर जानकारी दी और मॉडल तक "इस सप्ताह के अंत तक" पहुंच प्राप्त करने के प्रयासों को निर्देशित किया है।

यह अनुरोध कुछ दिनों बाद आया है जब खजाना मंत्री स्कॉट बेसेंट और फेडरल रिजर्व के अध्यक्ष जेरोम पॉवेल ने शीर्ष वॉल स्ट्रीट सीईओ को खजाना मुख्यालय में एक तत्काल बैठक के लिए बुलाया था।Executives को चेतावनी दी गई थी कि मिथोस और समान फ्रंटियर एआई मॉडल एक नए युग में बढ़े हुए साइबर जोखिम को जन्म दे सकते हैं। एंथ्रोपिक ने स्वयं चेतावनी दी है कि मॉडल कंपनियों द्वारा अपनी प्रणालियों के खिलाफ सक्रिय रूप से परीक्षण किए बिना और किसी भी व्यापक रिलीज से पहले बचाव का निर्माण किए बिना परिष्कृत साइबर हमलों को चलाने में सक्षम हो सकता है।

बैठक में, बैंक के नेताओं को मॉडल को गंभीरता से लेने और कमजोरियों का पता लगाने के लिए आंतरिक रूप से इसका उपयोग करने के लिए दृढ़ता से प्रोत्साहित किया गया।

मिथोस क्या है और प्रतिबंध क्यों हैं?

एंथ्रोपिक ने अपनी नई प्रोजेक्ट ग्लासविंग पहल के हिस्से के रूप में मिथोस (जिसे क्लाउड मिथोस पूर्वावलोकन के रूप में भी संदर्भित किया जाता है) का परिचय दिया। आंतरिक परीक्षण में, मॉडल ने असाधारण आक्रामक साइबर सुरक्षा क्षमताओं का प्रदर्शन किया: यह हर प्रमुख ऑपरेटिंग सिस्टम और हर प्रमुख वेब ब्राउज़र में कमजोरियों की पहचान और शोषण करने में सक्षम था जब किसी उपयोगकर्ता को ऐसा करने के लिए निर्देशित किया गया था। एक प्रलेखित मामले में, इसने एक वेब ब्राउज़र शोषण लिखा जो सफलतापूर्वक चार अलग-अलग कमजोरियों को एक साथ जोड़ता था।

प्रोजेक्ट ग्लासविंग अमेज़ॅन वेब सर्विसेज (एडब्ल्यूएस), एप्पल, ब्रॉडकॉम, सिस्को, क्राउडस्ट्राइक, गूगल, जेपी मॉर्गनचेस, लिनक्स फाउंडेशन, माइक्रोसॉफ्ट, एनवीडिया और पालो ऑल्टो नेटवर्क्स को बढ़ती चिंताओं को दूर करने के लिए एक साथ लाता है कि साइबर सुरक्षा समुदाय के भीतर एआई मॉडल अब कमजोरियों की खोज और शोषण करने में सक्षम हैं जो मनुष्यों की तुलना में तेजी से हैं।

...

एंथ्रोपिक की वेबसाइट पर पोस्ट के अनुसार, मॉडल की मजबूत एजेंटिक कोडिंग और तर्क कौशल इसे वर्षों से, यहां तक कि दशकों से बिना पता चले मौजूद सुरक्षा त्रुटियों को उजागर करने और उनका शोषण करने में सक्षम बनाता है, जब उपयोगकर्ता द्वारा निर्देशित किया जाता है। कंपनी द्वारा उद्धृत बेंचमार्किंग परिणाम बताते हैं कि साइबर सुरक्षा-संबंधित कार्यों में मिथोस पूर्वावलोकन और इसके पिछले मॉडलों के बीच एक उल्लेखनीय प्रदर्शन अंतर है। -cxtoday.com

मिथोस ने क्या खोजा: रेड टीम परीक्षण से प्रमुख निष्कर्ष

अलग-अलग कंटेनरों में वास्तविक कोडबेस के खिलाफ नियंत्रित परीक्षण में, मॉडल ने हर प्रमुख ऑपरेटिंग सिस्टम और हर प्रमुख वेब ब्राउज़र में हजारों शून्य-दिन कमजोरियों की पहचान स्वायत्त रूप से की। परीक्षण में एक एजेंटिक वर्कफ़्लो का उपयोग किया गया: 5-स्तरीय भेद्यता संभावना रैंकिंग के आधार पर फ़ाइल प्राथमिकता, समानांतर क्लाउड कोड आह्वान और गंभीरता और शोषण क्षमता के लिए माध्यमिक सत्यापन।

प्रमुख शून्य-दिन खोजों में शामिल हैं:

ओपनबीएसडी (टीसीपी एसएसीके प्रोसेसिंग) में 27-वर्षीय रिमोट क्रैश भेद्यता: एक पूर्णांक अतिप्रवाह हस्ताक्षरित टीसीपी अनुक्रम संख्या तुलना में जो एक नल-पॉइंटर डीरेफरेंस और किसी भी प्रतिक्रिया देने वाले होस्ट के खिलाफ रिमोट इनकार-ऑफ-सर्विस को सक्षम करता है। बग ने मैनुअल कोड समीक्षा और व्यापक फ़ज़िंग अभियानों के दशकों तक जीवित रहना जारी रखा।
एफएफएमपीईजी (एच.264 पार्सर) में 16-वर्षीय बग: एक स्लाइस नंबर टकराव जो 65,536+ स्लाइस के साथ तैयार फ्रेम को संसाधित करते समय एक आउट-ऑफ-बाउंड्स ढेर लेखन को ट्रिगर करता है। भेद्यता 2003 में उत्पन्न हुई, 2010 के एक रिफैक्टर के बाद शोषण योग्य हो गई, और स्वचालित परीक्षण उपकरणों ने कमजोर पथ को पांच मिलियन बार हिट करने के बावजूद पता लगाने से बचा।
फ्रीबीएसडी एनएफएस रिमोट कोड निष्पादन (CVE-2026-4747): आरपीसीएसईसी_जीएसएस प्रमाणीकरण (304-बाइट इनपुट के लिए 96-बाइट बफर) में एक स्टैक बफर ओवरफ्लो एनएफएसवी4 जानकारी प्रकटीकरण के साथ संयुक्त। मिथोस ने स्वायत्त रूप से छह क्रमिक आरपीसी अनुरोधों में फैले 20-गैजेट आरओपी श्रृंखला का निर्माण किया - एक ऐसा काम जो पिछले मॉडल (क्लाउड ओपस 4.6) केवल महत्वपूर्ण मानव मार्गदर्शन के साथ ही प्राप्त कर सकता था।
फ़ायरफ़ॉक्स जावास्क्रिप्ट इंजन परीक्षण परिणाम विशेष रूप से नाटकीय थे:

क्लाउड ओपस 4.6: कई सौ प्रयासों में से केवल 2 कार्यशील शोषण विकसित किए।
मिथोस पूर्वावलोकन: 181 कार्यशील शोषण विकसित किए और 29 अतिरिक्त मामलों में रजिस्टर नियंत्रण प्राप्त किया।
ओएसएस-फ़ज़ परिणामों ने समान छलांग दिखाई:

मिथोस ने 595 टियर-1/2 क्रैश (प्लस कई टियर-3–5), जिसमें पूरी तरह से पैच किए गए लक्ष्यों पर पूर्ण मनमाना कोड निष्पादन (टियर-5 नियंत्रण-प्रवाह अपहरण) के कई टियर-5 शामिल हैं, उत्पन्न किए।
ये खोजें उल्लेखनीय रूप से कम लागत पर प्राप्त की गईं - कई व्यक्तिगत शून्य-दिन रन $50 से कम की लागत पर थे, पूर्ण ओपनबीएसडी परीक्षण अभियान $20,000 से कम और लिनक्स कर्नेल एन-दिन शोषण $2,000 से कम प्रत्येक पर थे।

दोहरे-उपयोग जोखिमों के कारण, एंथ्रोपिक ने मिथोस को सार्वजनिक रूप से जारी नहीं किया है। इसके बजाय, यह प्रोजेक्ट ग्लासविंग के माध्यम से चुनिंदा रूप से सत्यापित संगठनों - जिसमें प्रमुख तकनीकी कंपनियां, साइबर सुरक्षा फर्म, जेपी मॉर्गन चेस और लिनक्स फाउंडेशन शामिल हैं - के लिए केवल रक्षात्मक उद्देश्यों के लिए प्रदान किया जा रहा है (हमलेवरों द्वारा उनका शोषण करने से पहले अपने स्वयं के सिस्टम में त्रुटियों को खोजने और पैच करने के लिए स्कैन करना)। एंथ्रोपिक ने इन प्रयासों का समर्थन करने के लिए $100 मिलियन तक के उपयोग क्रेडिट देने की प्रतिबद्धता जताई है।

कई प्रमुख वित्तीय संस्थानों ने पहले से ही आंतरिक परीक्षण शुरू कर दिया है:

जेपी मॉर्गन चेस को सार्वजनिक रूप से प्रोजेक्ट ग्लासविंग के हिस्से के रूप में नामित किया गया था।
गोल्डमैन सैक्स, सिटीग्रुप, बैंक ऑफ अमेरिका और मॉर्गन स्टेनली को भी पहुंच प्राप्त हो गई है या प्रक्रिया में हैं, जो मामले से परिचित लोगों के अनुसार हैं।
कंपनी ने अपनी प्रोजेक्ट ग्लासविंग घोषणा में कहा कि वह मॉडल के बारे में सरकारी अधिकारियों के साथ "लगातार चर्चा" कर रही है और "स्थानीय, राज्य और संघीय प्रतिनिधियों के साथ काम करने के लिए तैयार है।"

पेंटागन आपूर्ति-श्रृंखला जोखिम पदनाम

खजाना की पहुंच के लिए धक्का उल्लेखनीय है क्योंकि पेंटागन ने इस साल की शुरुआत में एक विवाद के बाद एंथ्रोपिक को एक अमेरिकी आपूर्ति-श्रृंखला जोखिम के रूप में औपचारिक रूप से नामित किया था कि कंपनी की एआई तकनीक का उपयोग सैन्य द्वारा कैसे किया जा सकता है। रक्षा विभाग ने एंथ्रोपिक को छह महीने का समय दिया ताकि उसकी सेवाओं को किसी अन्य प्रदाता में स्थानांतरित किया जा सके। एंथ्रोपिक सक्रिय रूप से संघीय अदालत में इस पदनाम को चुनौती दे रहा है।

इसके बावजूद, कोरकोस - जो पहले पेंटागन लेबल से पहले खजाना के भीतर एंथ्रोपिक के क्लाउड एआई टूल के उपयोग को प्रोत्साहित करते थे - अब विभाग के मिथोस की जांच के प्रयासों को आगे बढ़ा रहे हैं।

* * *

टाइलर डरडेन
मंगलवार, 04/14/2026 - 10:40