Cloudflare назвала рассуждения ИИ Claude Mythos "работой уровня старшего исследователя"

Cloudflare опубликовала подробный анализ возможностей Claude Mythos – новой ИИ-модели от Anthropic, которая за последние недели наделала немало шума в индустрии кибербезопасности.

Модель продемонстрировала способность находить тысячи уязвимостей в каждой операционной системе и крупном веб-браузере, что заставило банки и другие организации срочно пересматривать свои подходы к защите.

Сверхмощная ИИ-модель от Anthropic помогла обойти систему безопасности Apple

Cloudflare участвует в программе Anthropic под названием Project Glasswing. Идея состоит в том, чтобы опередить злоумышленников в гонке ИИ-вооружений – Anthropic выступает в роли "хорошего парня", который помогает компаниям защититься от новейших киберугроз, используя ИИ для выявления тех же уязвимостей, которые мог бы найти атакующий.

Как пояснили в Anthropic:

Claude Mythos Preview – это универсальная, ещё не выпущенная передовая модель, которая раскрывает суровый факт: ИИ-модели достигли такого уровня программирования, при котором они могут превзойти всех, кроме самых квалифицированных специалистов, в поиске и эксплуатации уязвимостей программного обеспечения… Project Glasswing – это срочная попытка направить эти возможности на оборонительные цели.

В рамках Glasswing избранные технологические компании получают доступ к Mythos Preview для "сканирования и защиты как собственных, так и открытых систем". Anthropic выделяет до 100 миллионов долларов в виде кредитов на использование модели. Среди участников – Amazon Web Services, Apple, Google, Microsoft, Nvidia и сама Cloudflare.

Может показаться странным, что стратегия кибербезопасности строится на выявлении уязвимостей, которые теоретически могут использовать злоумышленники. Однако это давно устоявшаяся практика – компании регулярно нанимают "красные команды" для подобных задач, чтобы затем закрыть обнаруженные бреши. Mythos делает то же самое, но на совершенно ином масштабе благодаря ИИ.

В целом Cloudflare осталась впечатлена моделью, назвав её "настоящим шагом вперёд, а не просто доработкой того, что было раньше". По словам специалистов компании, ключевое отличие Mythos Preview в том, что модель способна брать малозначительные баги, которые обычно незаметно пылятся в бэклоге, и выстраивать из них цепочку в единый, куда более серьёзный эксплойт.

Илон Маск заключил партнёрство с Anthropic, которую называл "злом" – лимиты Claude Code удвоены

Две особенности Mythos, которые особенно выделила Cloudflare при тестировании, – это "построение цепочек эксплойтов" (способность интеллектуально связывать уязвимости в единую атаку) и "генерация доказательств" (демонстрация того, что найденные цепочки действительно работают).

При этом модель далека от совершенства – чего, впрочем, можно ожидать от версии с пометкой "preview". Cloudflare обнаружила, что Mythos иногда выставляет защитные ограничения, которые не имеют смысла и мешают легитимным исследованиям безопасности.

Кроме того, в компании отметили, что многие воспринимают Mythos не совсем верно, концентрируясь на скорости обнаружения уязвимостей для быстрого патчинга. На практике Cloudflare выяснила (на собственном опыте), что модель лучше использовать направленно и дробно, а не просто натравливать одного агента Mythos на масштабный аудит кода без контроля.

Если просто запустить модель на проверку гигантской кодовой базы, она может потерять релевантный контекст в процессе – чего не произошло бы с живым исследователем.

Использование модели напрямую в качестве агента для написания кода подходит для ручного расследования, когда у исследователя уже есть зацепка и нужен второй взгляд. Однако это неподходящий инструмент для достижения широкого покрытия.

В итоге компания пришла к выводу, что эффективное использование Mythos требует "обвязки", сужающей область работы модели, второго агента для отсеивания шума от полезного сигнала, а также множества агентов, работающих как последовательно, так и параллельно. Иными словами, множество "рабочих" Mythos с конкретными задачами показывают себя лучше, чем один суперагент, пытающийся охватить всю кодовую базу целиком.

В перспективе Cloudflare считает, что вместо фокуса исключительно на ускорении патчинга людям стоит сосредоточиться на архитектуре.

Более сложный вопрос – как должна выглядеть архитектура вокруг уязвимости. Принцип в том, чтобы усложнить эксплуатацию для атакующего даже при наличии бага, чтобы промежуток между раскрытием уязвимости и выпуском патча имел меньшее значение.

Это означает защиту, которая стоит перед приложением и блокирует доступ к багу. Это означает проектирование приложения так, чтобы уязвимость в одной части кода не давала атакующему доступ к другим частям. Это означает возможность развернуть исправление во всех местах, где работает код, одновременно, а не ждать, пока отдельные команды проведут деплой.

Как именно Cloudflare планирует применять Mythos в этом направлении, компания пока не раскрывает, но обещает "поделиться подробностями о том, что это значит для клиентов, в ближайшие недели".

Anthropic запустила Claude for Small Business – 15 готовых сценариев и интеграция со сторонними системами

Anthropic запустила Claude for Legal с 12 плагинами и 20+ интеграциями для юристов

Cloudflare давно работает с ИИ – ранее компания заявляла, что "различие между ботами и людьми всё больше теряет смысл", по крайней мере в том, как сайты обращаются с пользователями.

Так что глубокое погружение в агентный подход к кибербезопасности выглядит логичным шагом – особенно если Mythos действительно настолько опережает предшественников, как утверждает Cloudflare.