Antropico ha detto questo settimana in cui il debutto del suo nuovo modello Claude Mythos Preview segna un momento critico nell’evoluzione della sicurezza informatica, rappresentando una minaccia esistenziale senza precedenti per le strategie di difesa del software program esistenti. Quindi si tratta più di una campagna pubblicitaria sull’IA o di un vero punto di svolta?
Secondo Anthropic, Mythos Preview supera una soglia di capacità per scoprire le vulnerabilità praticamente in ogni sistema operativo, browser o altro prodotto software program e sviluppare autonomamente exploit funzionanti per l’hacking. Con questo in mente, per ora la società sta rilasciando il nuovo modello solo a poche dozzine di organizzazioni, tra cui Microsoft, Apple, Google e Linux Basis, come parte di un consorzio denominato Challenge Glasswing. Ma dopo anni di speculazioni su come l’intelligenza artificiale generativa potrebbe avere un impatto sulla sicurezza informatica, la notizia di questa settimana ha acceso polemiche sul fatto che la resa dei conti sia davvero arrivata e come potrebbe essere nella pratica.
Alcuni sono estremamente scettici riguardo alle affermazioni di Anthropic. Sostengono che gli agenti AI esistenti possono già aiutare gli utenti a trovare e sfruttare le vulnerabilità in modo molto più semplice ed economico che mai, e che questa realtà sta alimentando miglioramenti nel modo in cui le aziende scoprono e applicano patch ai loro software program senza cambiare radicalmente il paradigma. E poi c’è il fatto che Anthropic trarrà quasi certamente beneficio dal punto di vista finanziario dal posizionamento del suo ultimo modello come misterioso, straordinariamente potente ed esclusivo. Altri ricercatori e professionisti, tuttavia, affermano di essere d’accordo con la valutazione di Anthropic e sottolineano che la società ha affermato che Mythos Preview è solo il primo a raggiungere capacità che alla tremendous saranno ampiamente disponibili in altri modelli.
“Di solito sono molto scettico su queste cose, e la comunità open supply tende advert essere molto scettica, ma fondamentalmente sento che questa è una minaccia reale”, afferma Alex Zenla, responsabile tecnologico della società di sicurezza cloud Edera.
Zenla e altri indicano specificamente una funzionalità di Mythos Preview come punto cardine. L’intelligenza artificiale generativa, dicono, sta diventando sempre più capace di identificare e sviluppare quelle che sono conosciute come “catene di exploit”, o gruppi di vulnerabilità che possono essere sfruttati in sequenza per compromettere profondamente un obiettivo, essenzialmente l’hacking in stile macchina di Rube Goldberg. Molte delle tecniche di hacking più sofisticate utilizzano catene di exploit, inclusi i cosiddetti attacchi zero-click che compromettono un sistema senza richiedere alcuna interazione da parte dell’utente.
“Viviamo già in un mondo in cui le aziende utilizzano software program e {hardware} vulnerabili e faticano a installare le patch. Molte aziende non sono in grado di proteggere la propria infrastruttura, e questo non è cambiato da ieri a oggi”, afferma Niels Provos, ingegnere e ricercatore di sicurezza di lunga knowledge. “Ma da quello che ho capito, Mythos è davvero bravo a individuare vulnerabilità in più fasi e quindi a fornire anche la prova dello sfruttamento. Non penso che cambi intrinsecamente l’ambito del problema, ma cambia il livello di abilità richiesto per trovare queste vulnerabilità e sfruttarle.”
Una versione limitata di Mythos Preview per i partecipanti al Challenge Glasswing offre ai difensori solo un breve periodo di tempo per individuare i punti deboli nei propri sistemi utilizzando il modello e iniziare advert affrontare in modo più ampio il modo in cui lo sviluppo del software program, i cicli di aggiornamento e l’adozione delle patch devono cambiare prima che gli aggressori abbiano accesso diffuso a tali funzionalità.
I chief del settore sembrano prestare ascolto all’avvertimento. Il chief della squadra rossa di frontiera di Anthropic, Logan Graham, ha dichiarato martedì a WIRED che mentre la società contattava le organizzazioni sul progetto Glasswing prima dell’annuncio di questa settimana, le telefonate diventavano sempre più brevi perché la potenziale minaccia stava diventando più evidente.
“Questo è un problema che coinvolge tutti gli sviluppatori di modelli. Il nostro obiettivo qui è solo dare il through alle cose”, ha detto Graham. “È davvero importante che Mythos Preview finisca nelle mani dei difensori per dare un vantaggio.”
