Anthropic afferma che il suo ultimo modello AI può esporre debolezze nella sicurezza del software

Anthropic ha dichiarato martedì che il suo modello di intelligenza artificiale non ancora rilasciato, chiamato Claude Mythos, si è dimostrato estremamente abile nell'esporre le debolezze del software.
Mythos ha messo a nudo migliaia di vulnerabilità in applicazioni di uso comune per le quali non esiste alcuna patch o correzione, spingendo la startup di AI con sede a San Francisco a formare un'alleanza con specialisti di cybersecurity per rafforzare le difese contro gli attacchi hacker e a trattenere un'ampia distribuzione.
"Abbiamo un nuovo modello che stiamo esplicitamente non rilasciando al pubblico", ha detto Mike Krieger di Anthropic Labs durante una conferenza HumanX AI a San Francisco.
Invece, Anthropic sta permettendo a specialisti di cybersecurity e ingegneri della comunità open-source di lavorare con Mythos per utilizzare il modello come arma difensiva "in un certo senso armandoli in anticipo", ha spiegato Krieger.
I balzi nelle capacità dei modelli AI sono stati accompagnati da preoccupazioni riguardo agli hacker che utilizzano tali strumenti per scoprire password o decifrare la crittografia destinata a proteggere i dati.
La più vecchia delle vulnerabilità scoperte da Mythos risale a 27 anni fa, e nessuna era apparentemente stata notata dai suoi creatori prima di essere individuata dal modello AI, secondo Anthropic.
Mythos è l'ultima generazione della famiglia di AI Claude di Anthropic, e una recente fuga di parte del suo codice ha spinto la startup a rilasciare un post sul blog avvertendo che presentava rischi di cybersecurity senza precedenti.
"I modelli AI hanno raggiunto un livello di capacità di codifica tale da poter superare tutti tranne gli esseri umani più abili nel trovare e sfruttare le vulnerabilità del software", ha affermato Anthropic in un post sul blog. "Le conseguenze – per le economie, la sicurezza pubblica e la sicurezza nazionale – potrebbero essere gravi."
Le vulnerabilità del software esposte da Mythos erano spesso sottili e difficili da rilevare senza AI, secondo Anthropic. Come esempio, ha affermato che Mythos ha trovato un difetto precedentemente non notato in un software video che era stato testato più di 5 milioni di volte dai suoi creatori.
Come precauzione, Anthropic ha condiviso una versione di Mythos con le società di cybersecurity CrowdStrike e Palo Alto Networks, così come con Amazon, Apple e Microsoft, in un progetto che ha soprannominato "Glasswing".
I giganti del networking Cisco e Broadcom stanno partecipando al progetto, insieme alla Linux Foundation, che promuove il sistema operativo per computer Linux gratuito e open-source.
"Questo lavoro è troppo importante e troppo urgente per farlo da soli", ha dichiarato Anthony Grieco, chief security and trust officer di Cisco, in un comunicato congiunto su Glasswing. "Le capacità dell'AI hanno superato una soglia che cambia fondamentalmente l'urgenza necessaria per proteggere le infrastrutture critiche dalle minacce informatiche, e non si può tornare indietro."
Circa 40 organizzazioni coinvolte nella progettazione, manutenzione o gestione di sistemi informatici hanno aderito a Glasswing. I partner del progetto condivideranno i loro risultati su Mythos, secondo Anthropic, che sta fornendo circa 100 milioni di dollari di risorse computazionali per la missione. I primi lavori con i modelli AI hanno dimostrato che possono aiutare a trovare e correggere vulnerabilità software e hardware a un ritmo e su una scala non precedentemente possibili, secondo Grieco.
"La finestra tra la scoperta di una vulnerabilità e il suo sfruttamento da parte di un avversario si è ridotta – ciò che una volta richiedeva mesi ora avviene in minuti con l'AI", ha affermato Elia Zaitsev, chief technology officer di Crowdstrike.
"Claude Mythos Preview dimostra ciò che ora è possibile per i difensori su larga scala, e gli avversari cercheranno inevitabilmente di sfruttare le stesse capacità", ha aggiunto.
Anthropic ha dichiarato di aver avuto discussioni con il governo degli Stati Uniti riguardo a Mythos nonostante un decreto della Casa Bianca a febbraio per interrompere tutti i contratti con la startup. Tale direttiva è stata sospesa da un giudice federale mentre una contestazione legale da parte di Anthropic procede attraverso i tribunali.