Що таке Mythos AI і чому він може становити загрозу для глобальної кібербезпеки?

Anthropic виключив можливість випуску своєї останньої моделі ШІ, Mythos, для громадськості через загрозу, яку вона становить для глобальної кібербезпеки.

Однак американський технологічний стартап, що стоїть за чат-ботом Claude, підтвердив у середу, що розслідує повідомлення про те, що група людей отримала несанкціонований доступ до Mythos. Заявлений інцидент викликав занепокоєння щодо темпів розробки та здатності технологічних компаній утримувати свої найризикованіші продукти поза загальним доступом. Тут ми розглянемо Mythos та його потенційний вплив.

Що таке Mythos? Mythos — це модель ШІ — базова технологія, яка живить такі інструменти, як чат-боти — яка, за словами Anthropic, становить серйозну потенційну загрозу для кібербезпеки будь-якої організації. Anthropic оголосив про існування Mythos 7 квітня, але заявив, що він не буде випущений публічно через його здатність виявляти невідомі недоліки в ІТ-системах. Ці недоліки, теоретично, могли б бути використані хакерами.

Anthropic заявив, що Mythos може виявляти та використовувати "zero-day" недоліки у кожній важливій ІТ-операційній системі та веб-браузері — якщо користувач попросить його зробити це. Zero-day так називаються тому, що організації та розробники про них зовсім не знають і не мали часу їх виправити до того, як нападник завдасть удару.

Anthropic описав це як "переломний момент для кібербезпеки". Деякі з непомічених недоліків існували десятиліттями, заявила компанія з Сан-Франциско.

Стартап дозволив технологічним фірмам та банкам, включаючи Apple та Goldman Sachs, отримати доступ до моделі та оцінити ризики, які вона може становити для їхнього бізнесу та клієнтів.

Anthropic оголосив Project Glasswing 8 квітня, щоб дозволити компаніям тестувати Mythos на кібербезпеку. Фото: Samuel Boivin/NurPhoto/Shutterstock Чому це викликає занепокоєння? Mythos є відчутним доказом, за словами Інституту безпеки ШІ Великої Британії (AISI), руйнівних можливостей передового ШІ. З моменту появи ChatGPT від OpenAI у 2022 році експерти попереджали, що ШІ може завдати серйозної шкоди в реальному світі.

Існує також ширший аспект: Mythos є показником темпів прогресу в галузі ШІ. Передові моделі, як правило, швидко відтворюються іншими фірмами, включаючи розробників моделей з відкритим кодом, які вільно доступні для користувачів. У спільному листі до керівників бізнесу минулого місяця міністр технологій Великої Британії Ліз Кендалл та міністр безпеки Ден Джарвіс заявили, що компаніям потрібно "відповідно планувати" швидке зростання можливостей ШІ протягом наступного року. ШІ, звичайно, може використовуватися і для захисту від кібератак.

Ще одне занепокоєння полягає в тому, що Mythos може потрапити не в ті руки, незважаючи на те, що він не був випущений для громадськості. Цей страх здійснився цього тижня, коли Anthropic підтвердив, що "кілька" користувачів на приватному онлайн-форумі отримали доступ до моделі.

Однак виникає також питання про важливість тисяч вразливостей, які виявив Mythos. Чи можуть вони завдати серйозної шкоди? Крім того, виявлення ІТ-недоліку — це не те саме, що його використання.

Чи були Mythos оцінені експертами? AISI, який є провідним світовим органом з безпеки ШІ, розглянув Mythos і заявив, що це "крок вперед" порівняно з попередніми моделями з точки зору загрози для кібербезпеки. Серед червоних прапорів — здатність проводити багатоетапні атаки та виявляти ІТ-недоліки без людського керівництва.

Він також досяг першого місця в очах AISI: успішно завершив 32-етапну симуляцію кібератаки в тесті, створеному інститутом. Він може атакувати слабкі, малі ІТ-системи, заявив AISI, хоча не міг дати висновок щодо добре захищених систем. Інститут завершив свою оцінку спостереженням, яке часто повторюється в інших місцях: системи ШІ можуть тільки покращуватися з часом.

Річард Хорн, головний виконавчий директор Національного центру кібербезпеки Великої Британії, заявив на конференції CyberUK у Глазго цього тижня, що поява Mythos допоможе заохотити компанії замінити "застарілі технології". "Це просто підвищує терміновість", — додав він.

Однак інші експерти заявили, що Mythos — це більше еволюція, ніж революція. Aisle, компанія, яка займається кібербезпекою ШІ, проаналізувала основні заяви Anthropic: що вона виявила тисячі zero-day вразливостей у великих операційних системах та браузерах, включаючи одну у FreeBSD, родича UNIX. Вона виявила, що інші, набагато дешевші моделі також здатні знаходити ці проблеми. Це не означає, що можливості Mythos не були значними, сказали вони, але що існує більше нюансів, ніж передбачав терміновий тон Anthropic.

Існує також обережність з боку експертів, що більшість зломів все ще походять від добре відомих ризиків, таких як слабка аутентифікація та вже відомі вразливості, які не були виправлені.
Деякі експерти припускають, що існує елемент ажіотажу навколо заяв Anthropic про Mythos та того, як стартап, оцінений приблизно в 800 мільярдів доларів (592 мільярди фунтів стерлінгів), представив їх. Mythos, безсумнівно, є потужною моделлю. Однак драматичне оголошення Anthropic надало йому значний ефірний час і зосередило його продукт у ширшій, галузевій дискусії про те, як ШІ може сприяти кіберризику.

Як залучені технологічні компанії та банки? Близько 40 компаній, включаючи Google, JP Morgan та Goldman, отримали ранній доступ до Mythos через ініціативу під назвою Project Glasswing, яка призначена для надання компаніям можливості тестувати модель ШІ як частину їхніх кіберзахистів. Anthropic стверджує, що вони поділяться тим, що дізнаються, "щоб вся галузь могла отримати вигоду".

Однак партнери по запуску не надали жодних деталей про те, на що, на їхню думку, здатний Mythos, і яку загрозу він може становити.

Це не зупинило банки та регуляторів від спекуляцій щодо його потенційного впливу. І це не без причини: якщо попередження Anthropic правильні, потрапляння Mythos не в ті руки може спричинити хаос у банках і потенційно поставити під загрозу ширшу фінансову систему.

Моделювання уряду США для найгіршого сценарію банківського зламу, проведене ще до створення Mythos, показало, що прямі дебети можуть не спрацювати, залишивши неоплаченими орендну плату, іпотеку та заробітну плату, тоді як онлайн-банкінг та зняття готівки в банкоматах можуть бути заблоковані. Пасажири можуть опинитися в невизначеному становищі, оскільки автобуси та заправні станції відхилятимуть платежі. Це може викликати паніку, що призведе до напливу вкладників до конкуруючих банків, оскільки клієнти забиратимуть гроші зі своїх рахунків через страх, що збої можуть поширитися.

Занепокоєння щодо потенційних загроз Mythos спонукало секретаря казначейства США Скотта Бессента скликати зустріч з керівниками великих американських банків, включаючи Goldman та Citi, у Вашингтоні на початку цього місяця.

Регулятори Великої Британії додали Mythos до порядку денного зустрічей Cross Market Operational Resilience Group цього тижня. Це ставить його в центр обговорень на високому рівні між старшими банкірами, а також посадовцями Казначейства, Банку Англії, Управління з фінансового нагляду та Національного центру кібербезпеки.