Przez dziesięciolecia atakujący mieli przewagę w cyberbezpieczeństwie. Sztuczna inteligencja może to zmienić.

W poście na blogu opublikowanym we wtorek, Mozilla, deweloper przeglądarki Firefox, podała, że wczesna wersja modelu AI Anthropic Claude Mythos – który w ostatnich tygodniach zwrócił uwagę ze względu na swoje rzekome zdolności w cyberbezpieczeństwie – pomogła zidentyfikować 271 luk w przeglądarce podczas wewnętrznych testów. Błędy te zostały załatane w tym tygodniu.

Wyniki podkreślają, jak zaawansowane systemy AI mogą analizować obszerne bazy kodu i lokalizować słabe punkty, które wcześniej wymagały rozległego ręcznego przeglądu przez ludzkich badaczy cyberbezpieczeństwa.

„Gdy te możliwości trafiają w ręce większej liczby obrońców, wiele innych zespołów doświadcza teraz tego samego zawrotu głowy, co my, gdy te odkrycia po raz pierwszy stały się widoczne” – napisała Mozilla. „Dla wzmocnionego celu, tylko jeden taki błąd byłby alarmem w 2025 roku, a tak wiele naraz sprawia, że zastanawiamy się, czy w ogóle da się za tym nadążyć.”

Wcześniej Mozilla testowała inny model Anthropic, który zidentyfikował 22 błędy o znaczeniu bezpieczeństwa w poprzedniej wersji Firefoxa. Pomimo tych sukcesów, Mozilla przyznała, że branża cyberbezpieczeństwa od dawna uważa całkowite wyeliminowanie exploitów oprogramowania za „nierealistyczny cel”.

„Do tej pory branża w dużej mierze walczyła o bezpieczeństwo na remis” – napisała firma. „Dostawcy krytycznego oprogramowania narażonego na działanie internetu, takiego jak Firefox, traktują bezpieczeństwo niezwykle poważnie i mają zespoły ludzi, którzy każdego ranka wstają z myślą o tym, jak zapewnić użytkownikom bezpieczeństwo.”

Mozilla podała, że nowy system AI może analizować kod źródłowy i identyfikować luki w sposób, który wcześniej zależał od rzadkiej ludzkiej wiedzy. Jednakże Mozilla była podbudowana tym, że nie znaleziono żadnych błędów, których nie mógłby wykryć „elitarny ludzki badacz”.

„Niektórzy komentatorzy przewidują, że przyszłe modele AI odkryją całkowicie nowe formy luk, które wymykają się naszemu obecnemu rozumieniu, ale my tak nie uważamy” – powiedzieli. „Oprogramowanie takie jak Firefox jest zaprojektowane w sposób modułowy, aby ludzie mogli wnioskować o jego poprawności. Jest złożone, ale nie dowolnie złożone.”

Wyniki sugerują jednak, że narzędzia AI mogą pozwolić deweloperom odkryć dużą liczbę luk, zanim atakujący je wykorzystają — choć z drugiej strony, w niepowołanych rękach, może to oznaczać poważne kłopoty zarówno dla firm programistycznych, jak i użytkowników.

Uruchomiony w marcu, Mythos to najbardziej zaawansowany model Anthropic do zadań związanych z rozumowaniem, kodowaniem i cyberbezpieczeństwem. Wewnętrzne materiały firmy opisują system jako część nowej kategorii modeli wykraczającej poza wcześniejszą serię Opus firmy.

Testy przeprowadzone przed premierą modelu wykazały, że mógł on zidentyfikować tysiące wcześniej nieznanych luk w zabezpieczeniach w głównych systemach operacyjnych i przeglądarkach internetowych.

Anthropic ograniczył dostęp do systemu poprzez program o nazwie Project Glasswing, który umożliwia wybranym firmom technologicznym – w tym Amazon, Apple i Microsoft – korzystanie z modelu do skanowania oprogramowania w poszukiwaniu słabych punktów. Odzwierciedla to rosnące wysiłki w branży cyberbezpieczeństwa w celu wykorzystania systemów AI do identyfikacji i łatania luk, zanim atakujący będą mogli je wykorzystać.

Jednakże ta sama technologia może również umożliwić nowe formy cyberataków. Badacze bezpieczeństwa twierdzą, że systemy AI zdolne do analizowania kodu na dużą skalę mogą zautomatyzować odkrywanie luk możliwych do wykorzystania w powszechnie używanym oprogramowaniu.

Po uruchomieniu Mythos, testy przeprowadzone przez brytyjski AI Security Institute wykazały, że AI może autonomicznie wykonywać złożone operacje cybernetyczne, w tym ukończyć wieloetapową symulację ataku na sieć korporacyjną bez pomocy człowieka. Te możliwości zwróciły uwagę zarówno rządów, jak i agencji wywiadowczych.

Pomimo wezwania administracji prezydenta Donalda Trumpa do zaprzestania używania technologii Anthropic z powodu konfliktu dotyczącego jej wykorzystania w sprawach wojny i nadzoru, w poniedziałek ujawniono, że Agencja Bezpieczeństwa Narodowego uruchamiała Claude Mythos Preview na tajnych sieciach, według źródeł zaznajomionych z wdrożeniem. Wykorzystanie Mythos podkreśla rosnące zainteresowanie wśród amerykańskich agencji bezpieczeństwa zdolnością modelu do identyfikowania krytycznych luk w oprogramowaniu.

Wydajność modelu ujawniła również ograniczenia w istniejących systemach oceny AI. Wcześniej w tym miesiącu Anthropic przyznał, że kilka benchmarków cyberbezpieczeństwa nie jest już wystarczających do mierzenia możliwości jego najnowszych modeli.

Mozilla podała, że wyniki wskazują na potencjalną zmianę w cyberbezpieczeństwie, gdzie obrońcy mogą zacząć niwelować długotrwałą przewagę, jaką mieli atakujący.

„Jesteśmy niezwykle dumni z tego, jak nasz zespół sprostał temu wyzwaniu, a inni też to zrobią” – napisała Mozilla. „Nasza praca nie jest skończona, ale przekroczyliśmy pewien próg i możemy dostrzec przyszłość znacznie lepszą niż samo nadążanie. Obrońcy w końcu mają szansę wygrać, zdecydowanie.”

Mozilla nie odpowiedziała natychmiast na prośbę o komentarz ze strony Decrypt.