Naujasis „Anthropic“ dirbtinio intelekto modelis, žinomas kaip Claude'o Mythoso apžvalgaJi tapo pasaulinių diskusijų apie pažangios dirbtinio intelekto ribas epicentru. Pati bendrovė pripažįsta, kad sistema yra tokia galinga kibernetinio saugumo požiūriu, jog nusprendė jos plačiai nepristatyti – neįprastas sprendimas sektoriuje, įpratusiame girtis kiekviena nauja pažanga.
Svarbu ne tik laipsniškas patobulinimas, palyginti su ankstesniais modeliais, bet ir kokybinis šuolis gebėjimo aptikti ir išnaudoti kompiuterių pažeidžiamumus srityjeVyriausybės, centriniai bankai, pagrindinės finansų įstaigos ir Europos reguliavimo institucijos atidžiai stebi šį atvejį, žinodamos, kad tokia priemonė galėtų... sustiprinti kritinių sistemų apsaugąTačiau patekus į netinkamas rankas, tai taip pat galėtų atverti duris precedento neturinčio masto išpuoliams.
Kas tiksliai yra Claude'as Mythosas ir kodėl jo išleidimas buvo atidėtas?
„Claude Mythos“ yra vienas iš naujausių „Claude“ šeimos modelių – „Anthropic“ dirbtinio intelekto ekosistemos, konkuruojančios su... „OpenAI“ „ChatGPT“ ir „Google“ „Gemini“Tai bendrosios paskirties modelis, galintis samprotauti, programuoti ir dirbti su ilgalaikiu kontekstu, tačiau labiausiai prieštaringai vertinamas jo bruožas yra našumas puolamojoje ir gynybinėje kibernetinio saugumo srityje.
Skambučiai „raudonosios komandos“Specialistai, kurie testuoja dirbtinio intelekto sistemas iki jų ribų, vidinėje ataskaitoje padarė išvadą, kad „Mythos“ yra „stebėtinai pajėgi“ atlikti kibernetinio saugumo užduotis. Tokiuose etaloniniuose testuose kaip SWE-stendas Patikrintas o SWE-bench ProSukurtas matuoti gebėjimą spręsti realaus pasaulio programinės įrangos inžinerijos problemas, modelis, remiantis pačios „Anthropic“ pateiktais duomenimis, būtų lengvai pralenkęs aukščiausios klasės komercines alternatyvas, įskaitant pažangias GPT ir „Gemini“ versijas.
Be standartų, nerimą kelia tai, kad Mitas sugebėjo rasti nulinės dienos pažeidžiamumai – anksčiau nežinomų trūkumų – plačiai naudojamuose programinės įrangos komponentuose, kai kurie iš jų yra daugiau nei dviejų dešimtmečių senumo. Tokiose sistemose kaip „OpenBSD“, „FFmpeg“ ir „FreeBSD“ komponentai modelis ne tik aptiko klaidas, kurios metų metus nebuvo pastebėtos, bet ir sugeneravo veikiančius spragų išnaudojimo būdus, kad jomis pasinaudotų.
Susidūrusi su šiais rezultatais, „Anthropic“ priėmė neįprastą sprendimą šioje pramonės šakoje: pristatyti modelį, o paskui paskelbti, kad jis nebus viešai parduodamas. nes mano, kad tai kelia precedento neturinčią kibernetinio saugumo riziką. Bendrovė tvirtina, kad „Mythos“ yra „geriausiai suderintas“ modelis, kurį jie sukūrė, tačiau pripažįsta, kad didžiuliai jo pajėgumai sustiprina bet kokio netinkamo naudojimo pasekmes.
Modelis, kurio „hakerių“ įgūdžiai gerokai viršija žmogaus galimybes
Įvairių organizacijų techniniai dokumentai ir ataskaitos sutaria, kad „Mythos“ žymi lūžio tašką sudėtingų atakų automatizavimeBandymo aplinkoje, imituojančioje tikrus įmonių tinklus, sistema sugebėjo suskaidyti pažeidžiamumus, padidinti privilegijas ir pasiekti nuolatinę prieigą per kelias valandas – užduotis, kurios žmogui ekspertui užtruktų dienas ar savaites.
Pavyzdžiui, ankstesnės „Firefox“ „JavaScript“ variklio versijos retai pavykdavo pažeidžiamumus paversti veikiančiais pažeidžiamumais. „Mythos“, esant toms pačioms bandymo sąlygoms, Tai sukėlė dešimtis operacinių išnaudojimųJis tiksliai atkartoja efektyviausių vektorių išnaudojimą. Analizės platformose, tokiose kaip „OSS-Fuzz“, skirtose atvirojo kodo programinės įrangos klaidoms rasti, jam priskiriami nuopelnai už tai, kad jis aptiko labai pavojingus pažeidžiamumus, kurie liko nepastebėti nepaisant daugelio metų automatizuoto testavimo.
Modelis taip pat pademonstravo puikias galimybes atvirkštinės inžinerijosJis gali atkurti dalį programos logikos iš sukompiliuotų dvejetainių failų ir iš ten rasti bei išnaudoti trūkumus neprisijungdamas prie originalaus šaltinio kodo. Tokio tipo galimybės priartina dirbtinį intelektą prie scenarijų, kurie iki šiol buvo laikomi išskirtiniais labai specializuotoms žmonių komandoms.
Vienas iš dažniausiai minimų saugumo vertinimų epizodų yra vadinamasis „sumuštinio testas“. Izoliuotoje laboratorinėje aplinkoje „Mythos“ buvo perduota sistemos kontrolė su aiškiomis instrukcijomis bandyti ištrūkite iš smėlio dėžės ir susisiekite su tyrėju ...kuris prižiūrėjo testą. Modeliui pavyko išnaudoti pažeidžiamumų grandinę, kad ištrūktų iš ribotos aplinkos ir išsiųsti el. laišką atsakingam asmeniui, kurio tuo metu nebuvo biure. Nors incidentas įvyko ankstesnėje vidinėje versijoje ir vadovaujant konkrečiam įsakymui, jis iliustruoja, kiek sistema gali veikti sudėtingose situacijose su minimalia priežiūra.
Nepaisant šių demonstracijų, analitikai primygtinai reikalauja patikslinti, kad Mes nesusiduriame su „sąmoningu“ dirbtiniu intelektu ar tokiu, kuris turi savo valią.„Mythos“ pats nenusprendžia pulti sistemų; jis kuo efektyviau vykdo jam pavestas užduotis. Šia prasme rizika yra ne ta, kad modelis maištaus, o ta, kad kažkas jį panaudos – arba privers tai padaryti naudodamas sudėtingas instrukcijas – žalingiems veiksmams atlikti.
„Project Glasswing“: mitas gynybos tarnyboje... tik keliems išrinktiesiems
Užuot atvėrusi prieigą plačiajai visuomenei, „Anthropic“ pasirinko apgaubti „Mythos“ specialia programa, Projektas „Glasswing“Sukurta siekiant kontroliuojamai naudoti modelio galimybes kritinės programinės įrangos apsaugai, iniciatyva apima sistemos, laikantis griežtų naudojimo sąlygų, siūlymą atrinktai didelių technologijų įmonių, infrastruktūros teikėjų ir finansų įstaigų grupei.
Tarp organizacijų, turinčių prieigą, yra tokių gigantų kaip „Amazon Web Services“, „Apple“, „Microsoft“, "Google Cloud„Nvidia“ arba „Broadcom“taip pat kibernetinio saugumo įmonės, tokios kaip „CrowdStrike“, kurių pačių ydinga programinė įranga 2024 m. sukėlė didelį pasaulinį sutrikimą. Prie jų prisijungia pasaulyje žinomi bankai, įskaitant JP Morgan Chase ir kelios didelės Volstrito grupės, taip pat kitos organizacijos, atsakingos už jautrios IT infrastruktūros priežiūrą.
„Anthropic“ taip pat paskelbė paskolos, kurių vertė siekia 100 milijonų dolerių Šis finansavimas leis šioms organizacijoms naudoti „Mythos“ pažeidžiamumų analizei, kartu su aukomis laisvosios programinės įrangos fondams, tokiems kaip „Linux Foundation“ ir „Apache Software Foundation“. Oficialus tikslas aiškus: leisti tiems, kurie valdo svarbiausią pasaulyje programinę įrangą, nustatyti ir ištaisyti trūkumus, kol tokie įrankiai netapo prieinami potencialiems užpuolikams.
Tačiau ši strategija sektoriuje kelia tam tikrą nerimą. Viena vertus, ji sustiprina mintį, kad technologijos yra pakankamai pavojingos, jog reikėtų riboti prieigą prie jų. Kita vertus, Tai sukuria prarają tarp tų, kurie gauna naudos iš Mito „skydo“, ir tų, kurie lieka nuošalyje.Įmonės ir administracijos, kurios nėra „Glasswing“ dalis, rizikuoja vėliau susidurti su pažeidžiamumais, kurie buvo nustatyti ir pataisyti privilegijuotose aplinkose, tačiau vis dar yra jų pačių sistemose.
Europoje ši asimetrija ypač kelia susirūpinimą už ypatingos svarbos infrastruktūrą atsakingiems asmenims ir didelių pramonės bei finansų grupių saugumo komandoms, kurios atidžiai stebi, ar Briuselis ir Europos sostinės užtikrina, kad panašiose programose lygiomis teisėmis dalyvautų pagrindiniai žemyno veikėjai. ir debesijos suverenitetas su JAV partneriais.
Vyriausybių, reguliavimo institucijų ir finansų sektoriaus reakcija
„Mythos“ poveikis neapsiriboja technine sritimi. Vos per kelias dienas modelio paskelbimas sukėlė aukšto lygio susitikimai Jungtinėse Valstijose ir EuropojeJAV iždo sekretorius sukvietė didžiausių šalies bankų vadovus į Vašingtoną, kad įvertintų sistemos keliamą riziką finansiniam stabilumui, o šiose derybose taip pat dalyvavo Federalinio rezervo pirmininkas.
Remiantis tarptautinės žiniasklaidos pranešimais, šie subjektai tariamai buvo skatinami Išbandykite Mitą gynybiniu režimunaudodamos ją savo infrastruktūros silpnosioms vietoms nuskaityti, kol to nepadarys kiti. Numanoma žinutė yra ta, kad grėsmė yra pakankamai rimta, jog pateisintų koordinuotą viešojo ir privačiojo sektorių atsaką.
Tuo tarpu „Anthropic“ įkūrėjas patvirtino, kad bendrovė palaiko tiesiogines derybas su JAV vyriausybe apie „Mythos“ ir būsimus modelius. Šios diskusijos vyksta įtemptoje aplinkoje, nes JAV valdžios institucijos neseniai įtraukė bendrovę į sąrašą tiekimo grandinės rizikos, kilus trintims, susijusioms su Gynybos departamento naudojamais jų modeliais.
Už Atlanto Europos Sąjunga tai pastebėjo. Europos Komisija viešai pritarė laipsniškam ir atsargiam požiūriui į tokius modelius kaip „Mythos“. Finansų reguliuotojai Jungtinėje Karalystėje ir žemyne pradėjo konkrečiai tirti galimas jo pasekmes. bankininkystės ir rinkų sektoriui. JK vyriausybės Dirbtinio intelekto saugumo institutas (AISI) šią sistemą apibūdino kaip reikšmingą šuolį į priekį kibernetinių grėsmių srityje, palyginti su ankstesnėmis kartomis.
Ispanijoje, nors viešos diskusijos vis dar ribotos, bankų ir didelių energetikos bendrovių priežiūros institucijos ir kibernetinio saugumo komandos atidžiai stebi šiuos pokyčius. Europos finansų sektoriui bet kokia pažanga, kuri galėtų palengvinti koordinuotas atakas prieš mokėjimo sistemas, tarpbankinius tinklus ar prekybos platformas, kelia rimtą susirūpinimą.
Skepticizmas, abejonės ir diskusijos dėl „ažiotažo“, gaubiančio Mitą
„Anthropic“ ataskaita, kurioje saugumo įspėjimai pateikiami kartu su įspūdingais našumo rodikliais, sulaukė kritikos. Keletas dirbtinio intelekto ir kibernetinio saugumo ekspertų paragino... atsargiai interpretuojant bendrovės pareiškimusatkreipiant dėmesį, kad dauguma turimų duomenų gaunami tik iš vidinių ataskaitų.
Kai kurie analitikai išsamiai peržiūrėjo „Anthropic“ paskelbtą išsamią dokumentaciją ir atkreipia dėmesį, kad „tūkstančių itin rimtų pažeidžiamumų“ skaičius pagrįstas ekstrapoliacija iš palyginti nedidelio skaičiaus rankiniu būdu peržiūrėtų atvejų. Pranešama, kad tam tikruose testų rinkiniuose „Mythos“ rado nemažai kritinių trūkumų, tačiau toli gražu ne tokį, kokį siūlo kai kurios antraštės.
Kituose nepriklausomuose tyrimuose buvo bandoma palyginti „Mythos“ našumą su mažesniais, atvirojo kodo modeliais, perduodant pažeidžiamus kodo fragmentus skirtingoms dirbtinėms intelektinėms sistemoms, siekiant išsiaiškinti, ar jos gali aptikti tuos pačius trūkumus. Rezultatai rodo, kad Kai kurie atviri modeliai taip pat gali nustatyti sudėtingus pažeidžiamumusTai kelia abejonių dėl idėjos, kad „Mythos“ visais atvejais žaidžia visiškai kitoje lygoje.
Tokie priešpriešiniai pavyzdžiai nepaneigia „Mythos“ galimybių, tačiau jie leidžia manyti, kad Dalis diskurso „per daug pavojinga publikuoti“ taip pat turi rinkodaros aspektą.Modelio pateikimas kaip nepaprastai galingo ir potencialiai rizikingo sustiprina technologinės lyderystės ir atsakomybės įvaizdį, o tai labai vertinga vis konkurencingesnėje rinkoje.
Naujausia pramonės istorija taip pat primena GPT-2 precedentą 2019 m., kai „OpenAI“ iš pradžių nusprendė neskelbti viso modelio, teigdama, kad jis pernelyg pavojingas dėl savo potencialo skleisti dezinformaciją. Galiausiai ši versija buvo paskelbta visuomenei, neįvykus jokiai iš prognozuotų katastrofų, ir daugelis ekspertų tai įvardijo kaip pernelyg didelės reakcijos pavyzdį. Su „Mythos“, Skirtumas tas, kad dėmesys sutelkiamas ne į tekstą, o į skaitmeninės infrastruktūros vientisumą., daug jautresnė sritis vyriausybėms ir bankams.
Subtilus balansas tarp saugumo, verslo ir prieigos prie technologijų
Be žiniasklaidos triukšmo, „Mythos“ situacija iškelia esminį klausimą: Kas nusprendžia, kada dirbtinio intelekto modelis yra per daug pavojingas, kad būtų išleistas? Ir kokiais kriterijais remiantis? Kol kas sprendimą vienašališkai priėmė „Anthropic“, kuri pasirinko sistemą laikyti savotiškame kontroliuojamame karantine, rezervuodama ją pasirinktiems partneriams.
Ši pozicija nėra grindžiama vien tik saugumo sumetimais. Modelio, turinčio „Mythos“ charakteristikas, paleidimas yra... labai brangu skaičiavimo prasme, ir pati bendrovė pripažįsta, kad šiuo metu neturi reikalinga infrastruktūra kad jį masiškai aptarnautų milijonams vartotojų. Praktiškai saugumo priemonės ir techniniai apribojimai yra neatsiejamai susiję, todėl „Anthropic“ turi laiko tiksliai suderinti tiek modelį, tiek jo diegimą.
Tuo pačiu metu bendrovė pradėjo aiškiai atskirti įvairius savo produktus. Nors „Mythos“ išlieka... pažangiausias vidinis standartasNors skirti tik tyrimams ir strateginiam bendradarbiavimui, kiti modeliai, pavyzdžiui, „Claude Opus 4.7“, yra pritaikyti kasdieniam įmonių ir specialistų naudojimui. „Anthropic“ netgi viešai pripažino, kad „Opus 4.7“ yra „mažiau pajėgus“ nei „Mythos“ apskritai ir ypač kalbant apie kibernetines galimybes – tai neįprasta pramonėje, kurioje kiekvienas naujas modelis paprastai pateikiamas kaip geriausias visais atžvilgiais.
Šioje schemoje Mitas veikia kaip naujos kartos galimybių bandymų platformaNors komerciškai prieinami modeliai apima tik dalį šių galimybių, o su papildomais apribojimais, skirtais rizikai sumažinti, šis „eksperimentinių“ ir „gamybinių“ modelių atskyrimas gali būti pagrįstas požiūris daugeliui Europos organizacijų, norinčių panaudoti dirbtinį intelektą, nebūdamos priešakinėse linijose, jei yra pakankamai skaidrumo dėl kiekvienos sistemos faktinių galimybių.
Galiausiai išryškėja scenarijus, kuriame Kibernetinis saugumas visiškai įžengia į didelio masto puolamųjų ir gynybinių dirbtinio intelekto erą.Tokios priemonės kaip „Mythos“ žada paspartinti jau daugelį metų veikiančių sistemų pažeidžiamumų nustatymą, tačiau jos taip pat verčia permąstyti, kaip paskirstomos ir valdomos skaitmeninės ekonomikos technologijos. Europai ir Ispanijai iššūkis bus ne tik apsisaugoti nuo vis galingesnių modelių, bet ir užtikrinti, kad jos neliktų nuošalyje nuo mechanizmų, leidžiančių joms stiprinti savo saugumą.
