CISA bruger Anthropic Mythos til at finde sikkerhedssårbarheder i offentlig software

Det amerikanske cybersikkerhedsagentur CISA bruger Anthropic Mythos til at scanne offentlig software for sikkerhedssårbarheder, ifølge personer med kendskab til projektet.

AI-modellen gennemgår offentlig programkode for at finde svagheder, før hackere eller udenlandske efterretningstjenester kan udnytte dem. Kilder oplyser, at gennemgangen allerede har afsløret et stort antal sårbarheder. Myndighederne har dog ikke oplyst, hvor alvorlige fejlene er, eller hvilke systemer der er berørt.

Anthropic Mythos gennemgår offentlig programkode

Ifølge tre Reuters-kilder har CISA taget Anthropic Mythos i brug til at gennemgå offentlige kodearkiver og finde sikkerhedsfejl.

Arbejdet udføres af CISAs Attack Surface Evaluation-team. Gruppen gennemfører penetrationstests og sikkerhedsvurderinger på tværs af amerikanske myndighedssystemer.

Hverken CISA eller Anthropic har officielt bekræftet projektet. Anthropic har afvist at kommentere sagen. En talsmand for CISA har heller ikke givet yderligere oplysninger.

Reuters har ikke kunnet fastslå, hvor meget programkode der er blevet gennemgået. Nyhedsbureauet har heller ikke kunnet bekræfte, hvilke typer sårbarheder der er fundet, eller hvor alvorlige de er.

AI-gennemgange skal have afsløret mange fejl

To kilder oplyser til Reuters, at gennemgangene allerede har identificeret et stort antal sikkerhedssårbarheder.

De ønskede dog ikke at oplyse, om sårbarhederne var kritiske. De afslørede heller ikke, hvilke myndigheder der er berørt.

Resultaterne viser, hvordan Anthropic Mythos kan bruges til at styrke cybersikkerheden. AI kan finde svagheder i software, før angribere opdager og udnytter dem.

Anthropic har forbedret forholdet til Washington

CISAs projekt følger efter en vanskelig periode mellem Anthropic og den amerikanske regering.

Tidligere i år nægtede virksomheden angiveligt at fjerne sikkerhedsforanstaltninger, som forhindrede AI-modellen i at blive brugt til autonome våben eller indenlandsk overvågning.

Pentagon tildelte derefter Anthropic en klassificering som leverandør med risiko i forsyningskæden. Den type klassificering bruges normalt om virksomheder, der mistænkes for at udgøre en spionagerisiko.

En dommer blokerede beslutningen i marts. Derefter blev forholdet angiveligt forbedret, da Anthropic lancerede en privat version af Mythos, som er specialiseret i at finde cybersikkerhedssårbarheder.

Også NSA har testet Anthropic Mythos

Flere amerikanske myndigheder end CISA har vist interesse for Anthropic Mythos.

Axios rapporterede, at National Security Agency (NSA) begyndte at bruge modellen allerede i april, trods Pentagons tidligere klassificering.

Senere rapporterede The New York Times, at NSA-analytikere testede Mythos i klassificerede miljøer. Ifølge avisen var de imponerede over modellens evne til at finde sikkerhedssårbarheder.

Anthropic lancerede senere en offentlig version med navnet Fable. Den indeholdt indbyggede cybersikkerhedsforanstaltninger.

Derefter pressede Det Hvide Hus på for at begrænse udenlandske brugeres adgang til modellen. Beslutningen førte til, at tjenesten midlertidigt blev lukket ned globalt.

Adgangen blev genoprettet i sidste uge. Hverken NSA eller Det Hvide Hus har besvaret anmodninger om en kommentar.