Cos'è Claude Mythos e quali rischi comporta?

Nelle ultime settimane, il mondo dell'AI è stato in fermento a seguito delle affermazioni fatte dalla principale azienda, Anthropic, riguardo al suo nuovo modello, Claude Mythos.

L'azienda afferma che lo strumento può superare gli esseri umani in alcuni compiti di hacking e di sicurezza informatica, il che ha suscitato discussioni tra regolatori, legislatori e istituzioni finanziarie sui pericoli che potrebbe rappresentare per i servizi digitali.

A diverse aziende tecnologiche è stato concesso l'accesso a Mythos tramite un'iniziativa chiamata Project Glasswing, progettata per rafforzare la resilienza a Mythos stesso.

Ma altri sottolineano che è nell'interesse di Anthropic suggerire che il suo strumento abbia capacità mai viste prima, il che significa - come sempre con l'AI - che il compito di distinguere tra affermazioni giustificate e hype può essere complicato.

Cos'è Claude Mythos?

Mythos è uno degli ultimi modelli di Anthropic sviluppato come parte del suo più ampio sistema AI chiamato Claude. Comprende l'assistente AI dell'azienda e la famiglia di modelli, rivaleggiando con ChatGPT di OpenAI e Gemini di Google.

È stato rivelato da Anthropic all'inizio di aprile come "Mythos Preview".

I ricercatori che testano come i modelli AI gestiscono richieste o compiti particolari, noti come "red-teams", hanno affermato in un rapporto che Mythos era "sorprendentemente capace nei compiti di sicurezza informatica".

Hanno scoperto che lo strumento poteva individuare bug dormienti nascosti in codice vecchio di decenni e sfruttarli facilmente.

Quindi, piuttosto che renderlo ampiamente disponibile agli utenti di Claude, Anthropic ha concesso a 12 aziende tecnologiche l'accesso tramite il Project Glasswing, che ha descritto come "uno sforzo per proteggere il software più critico del mondo".

Tra queste figurano il gigante del cloud computing Amazon Web Services, i produttori di dispositivi Apple, Microsoft e Google, e i produttori di chip Nvidia e Broadcom.

Crowdstrike, il cui aggiornamento software difettoso ha causato un grave blackout globale nel luglio 2024, è anch'essa tra i partner del progetto, con Anthropic che afferma di aver concesso l'accesso a Mythos anche a oltre 40 organizzazioni responsabili di software critici.

In un video rilasciato insieme al lancio del Project Glasswing, il capo di Anthropic Dario Amodei ha dichiarato di essersi offerto di collaborare con funzionari del governo degli Stati Uniti per "aiutare a difendersi dal rischio di questi modelli".

Perché ci sono preoccupazioni?

Anthropic afferma che durante i test ha riscontrato che il modello era altamente qualificato nei compiti di sicurezza informatica e hacking, superando gli esseri umani.

"Mythos Preview ha già trovato migliaia di vulnerabilità ad alta gravità, incluse alcune in ogni principale sistema operativo e browser web", ha affermato Anthropic il 7 aprile.

"Dato il ritmo del progresso dell'AI, non passerà molto tempo prima che tali capacità si diffondano, potenzialmente oltre gli attori che si impegnano a implementarle in modo sicuro."

Ha affermato che poteva individuare - senza molta supervisione - bug critici che necessitavano di un'azione immediata in vecchi sistemi, inclusa una vulnerabilità presente in un sistema da 27 anni, e suggerire modi per sfruttarli.

Alcuni ministri delle finanze, banchieri centrali e finanzieri hanno da allora espresso serie preoccupazioni al riguardo, temendo che il modello possa minare la sicurezza dei sistemi finanziari.

Il ministro delle finanze canadese François-Philippe Champagne ha dichiarato alla BBC che Mythos era stato discusso durante una riunione del Fondo Monetario Internazionale (FMI) a Washington DC questa settimana.

"Certamente è abbastanza serio da meritare l'attenzione di tutti i ministri delle finanze", ha detto, descrivendo la tecnologia come un "unknown unknown" (un ignoto sconosciuto).

Il capo della Bank of England, Andrew Bailey, ha dichiarato alla BBC "dobbiamo esaminare molto attentamente ora cosa questo ultimo sviluppo dell'AI potrebbe significare per il rischio di criminalità informatica".

Nel frattempo, l'UE ha dichiarato che è in discussione anche con Anthropic riguardo alle sue preoccupazioni su Mythos.

Cosa hanno detto gli esperti di cyber?

Ciaran Martin, ex capo del National Cyber Security Centre del Regno Unito, ha dichiarato alla BBC all'inizio di questa settimana che l'affermazione che Mythos potesse scoprire vulnerabilità critiche molto più velocemente di altri modelli AI aveva "realmente scosso le persone".

"La seconda cosa è che anche con le debolezze esistenti che conosciamo, ma contro cui le organizzazioni potrebbero non essersi protette, potrebbero non essere ben difese, è semplicemente un hacker davvero bravo", ha detto.

Molti analisti ed esperti indipendenti di sicurezza informatica non sono ancora stati in grado di testarlo da soli e alcuni rimangono scettici sulle prestazioni di Mythos.

L'AI Safety Institute del Regno Unito ha recentemente concluso che, sebbene fosse un modello molto potente, la sua più grande minaccia sarebbe contro sistemi vulnerabili e mal difesi.

"Non possiamo dire con certezza se Mythos Preview sarebbe in grado di attaccare sistemi ben difesi", hanno detto i suoi ricercatori.

Quindi, dove c'è una buona sicurezza informatica, questo modello, in teoria, speriamo verrebbe fermato.

Dovremmo preoccuparci?

Le paure relative all'AI non sono nuove.

Nuovi modelli e strumenti escono continuamente e sono spesso accompagnati da promesse di rivoluzionare le nostre vite, nel bene o nel male.

Sfruttare questo mix di paura ed eccitazione sull'AI e sul suo impatto futuro è diventato anche un segno distintivo del settore e delle sue strategie di marketing negli ultimi anni.

Nel caso di Mythos, non sappiamo ancora abbastanza per sapere se queste speranze o paure sono giustificate, o più un riflesso dell'hype che circonda l'industria.

In entrambi i casi, secondo l'NSCS, la cosa più importante che possiamo fare ora è non farsi prendere dal panico e concentrarsi invece sulla necessità di fare bene le basi della sicurezza informatica.

Dopotutto, la maggior parte degli hacker non ha bisogno di super strumenti AI per violare i sistemi quando attacchi molto più semplici sono spesso sufficienti.

"Per alcuni questo è un evento apocalittico, per altri sembra essere un sacco di hype", ha detto Martin alla BBC.

Ma ha detto che si trattasse di questo strumento o di quelli successivi realizzati da Anthropic o dai suoi rivali, accanto al rischio c'era l'opportunità di costruire un mondo online più sicuro.

"Nel medio termine, c'è l'opportunità di utilizzare questi strumenti per risolvere molte delle vulnerabilità sottostanti di Internet", ha detto.

Iscriviti alla nostra newsletter Tech Decoded per seguire le principali storie e tendenze tecnologiche del mondo. Fuori dal Regno Unito? Iscriviti qui.