تحديد نقاط الضعف والثغرات باستخدام Claude Mythos Preview
على مدى الأسابيع القليلة الماضية، استخدمنا Claude Mythos Preview لتحديد الآلاف من نقاط الضعف في يوم الصفر (أي العيوب التي لم تكن معروفة سابقًا لمطوري البرنامج)، والعديد منها بالغ الأهمية، في كل نظام تشغيل رئيسي وكل متصفح ويب رئيسي، إلى جانب مجموعة من البرامج المهمة الأخرى.
في منشور على مدونة Frontier Red Team الخاصة بنا، نقدم تفاصيل فنية لمجموعة فرعية من هذه الثغرات الأمنية التي تم تصحيحها بالفعل، وفي بعض الحالات، الطرق التي وجدتها Mythos Preview لاستغلالها. لقد كان قادرًا على تحديد جميع نقاط الضعف هذه تقريبًا – وتطوير العديد من برمجيات إكسبلويت ذات الصلة – بشكل مستقل تمامًا، دون أي توجيه بشري. وفيما يلي ثلاثة أمثلة:
- عثرت Mythos Preview على ثغرة أمنية عمرها 27 عامًا في OpenBSD، والذي يتمتع بسمعة طيبة كواحد من أكثر أنظمة التشغيل تشددًا من الناحية الأمنية في العالم، ويستخدم لتشغيل جدران الحماية وغيرها من البنية التحتية الحيوية، وسمحت الثغرة الأمنية للمهاجم بتعطل أي جهاز يعمل بنظام التشغيل عن بعد بمجرد الاتصال به؛
- واكتشفت أيضًا ثغرة عمرها 16 عامًا في FFmpeg – والتي تستخدمها أجزاء لا حصر لها من البرامج لتشفير الفيديو وفك تشفيره – في سطر من التعليمات البرمجية التي وصلت أدوات الاختبار الآلية إلى خمسة ملايين مرة دون اكتشاف المشكلة على الإطلاق؛
- عثر النموذج بشكل مستقل على العديد من نقاط الضعف في نواة Linux – البرنامج الذي يدير معظم خوادم العالم – وربطها معًا للسماح للمهاجم بالتصعيد من وصول المستخدم العادي إلى التحكم الكامل في الجهاز.
لقد أبلغنا مشرفي البرامج ذات الصلة بالثغرات المذكورة أعلاه، وقد تم الآن تصحيحها جميعًا. بالنسبة للعديد من الثغرات الأمنية الأخرى، فإننا نقدم اليوم تجزئة مشفرة للتفاصيل (راجع مدونة الفريق الأحمر)، وسنكشف عن التفاصيل بعد إجراء الإصلاح.
تعزز معايير التقييم مثل CyberGym الفرق الجوهري بين Mythos Preview ونموذجنا الأفضل التالي، Claude Opus 4.6:
استنساخ ثغرات الأمن السيبراني
بالإضافة إلى عملنا، يستخدم العديد من شركائنا بالفعل Claude Mythos Preview لعدة أسابيع. وهذا ما وجدوه:
إن القدرات السيبرانية القوية لـ Claude Mythos Preview هي نتيجة لمهاراتها القوية في البرمجة والتفكير المنطقي. على سبيل المثال، كما هو موضح في نتائج التقييم أدناه، حصل النموذج على أعلى الدرجات من أي نموذج تم تطويره حتى الآن في مجموعة متنوعة من مهام ترميز البرامج.
يمكن العثور على مزيد من المعلومات حول إمكانيات النموذج وخصائص الأمان الخاصة به وخصائصه العامة في بطاقة نظام Claude Mythos Preview.
“لا نخطط لجعل Claude Mythos Preview متاحة بشكل عام، ولكن هدفنا النهائي هو تمكين مستخدمينا من نشر نماذج فئة Mythos بأمان على نطاق واسع – لأغراض الأمن السيبراني، ولكن أيضًا من أجل الفوائد الأخرى التي لا تعد ولا تحصى التي ستجلبها هذه النماذج ذات القدرة العالية. وللقيام بذلك، نحتاج إلى إحراز تقدم في تطوير ضمانات الأمن السيبراني (وغيرها) التي تكتشف وتمنع أخطر مخرجات النموذج. نحن نخطط لإطلاق ضمانات جديدة مع نموذج Claude Opus القادم، مما يسمح لنا بتحسينها وتحسينها من خلال نموذج لا يشكل نفس مستوى المخاطرة مثل Mythos Preview3.
خطط لمشروع Glasswing
إعلان اليوم هو بداية جهد طويل المدى. ولتحقيق النجاح، سيتطلب الأمر مشاركة واسعة النطاق من مختلف أنحاء صناعة التكنولوجيا وخارجها.
سيحصل شركاء مشروع Glasswing على حق الوصول إلى Claude Mythos Preview للعثور على نقاط الضعف أو نقاط الضعف في أنظمتهم الأساسية وإصلاحها – وهي الأنظمة التي تمثل جزءًا كبيرًا جدًا من سطح الهجمات الإلكترونية المشتركة في العالم. ونتوقع أن يركز هذا العمل على مهام مثل اكتشاف الثغرات الأمنية المحلية، واختبار الصندوق الأسود للثنائيات، وتأمين نقاط النهاية، واختبار اختراق الأنظمة.
سيغطي التزام Anthropic بمبلغ 100 مليون دولار أمريكي من أرصدة استخدام النموذج لمشروع Glasswing والمشاركين الإضافيين الاستخدام الكبير خلال هذه المعاينة البحثية. بعد ذلك، ستكون معاينة Claude Mythos متاحة للمشاركين بسعر 25 دولارًا أمريكيًا/125 دولارًا أمريكيًا لكل مليون رمز مميز للإدخال/الإخراج (يمكن للمشاركين الوصول إلى النموذج على Claude API وAmazon Bedrock وGoogle Cloud’s Vertex AI وMicrosoft Foundry).
بالإضافة إلى التزامنا بأرصدة استخدام النموذج، فقد تبرعنا بمبلغ 2.5 مليون دولار أمريكي إلى Alpha-Omega وOpenSSF من خلال Linux Foundation، و1.5 مليون دولار أمريكي إلى Apache Software Foundation لتمكين مشرفي البرامج مفتوحة المصدر من الاستجابة لهذا المشهد المتغير (يمكن للمشرفين المهتمين بالوصول التقديم من خلال برنامج Claude for Open Source).
ونحن نعتزم توسيع نطاق هذا العمل والاستمرار فيه لعدة أشهر، وسوف نشارك أكبر قدر ممكن من المعلومات حتى تتمكن المنظمات الأخرى من تطبيق الدروس المستفادة على أمنها الخاص. سيتبادل الشركاء، إلى الحد الذي يستطيعون، المعلومات وأفضل الممارسات مع بعضهم البعض؛ وفي غضون 90 يومًا، ستقدم Anthropic تقريرًا علنيًا عما تعلمناه، بالإضافة إلى نقاط الضعف التي تم إصلاحها والتحسينات التي تم إجراؤها والتي يمكن الكشف عنها. وسنتعاون أيضًا مع المنظمات الأمنية الرائدة لإصدار مجموعة من التوصيات العملية حول كيفية تطور الممارسات الأمنية في عصر الذكاء الاصطناعي. من المحتمل أن يشمل ذلك:
- عمليات الكشف عن نقاط الضعف؛
- عمليات تحديث البرامج؛
- أمن المصادر المفتوحة وسلاسل التوريد؛
- دورة حياة تطوير البرمجيات وممارسات التصميم الآمن؛
- معايير الصناعات الخاضعة للتنظيم؛
- قياس الفرز والأتمتة؛ و
- أتمتة التصحيح.
تجري Anthropic أيضًا مناقشات مستمرة مع مسؤولي الحكومة الأمريكية حول Claude Mythos Preview وقدراتها السيبرانية الهجومية والدفاعية. وكما أشرنا أعلاه، فإن تأمين البنية التحتية الحيوية يمثل أولوية قصوى للأمن القومي للدول الديمقراطية – وظهور هذه القدرات السيبرانية هو سبب آخر يجعل الولايات المتحدة وحلفائها يحافظون على قيادة حاسمة في تكنولوجيا الذكاء الاصطناعي. وللحكومات دور أساسي تلعبه في المساعدة على الحفاظ على تلك الريادة، وفي تقييم وتخفيف مخاطر الأمن القومي المرتبطة بنماذج الذكاء الاصطناعي. ونحن على استعداد للعمل مع الممثلين المحليين وعلى مستوى الولايات والفيدراليين للمساعدة في هذه المهام.
نأمل أن يتمكن مشروع Glasswing من زرع جهد أكبر عبر الصناعة والقطاع العام، حيث تساعد جميع الأطراف في معالجة أكبر الأسئلة حول تأثير النماذج القوية على الأمن. نحن ندعو أعضاء صناعة الذكاء الاصطناعي الآخرين للانضمام إلينا للمساعدة في وضع معايير الصناعة. وفي الأمد المتوسط، قد تكون هيئة خارجية مستقلة ــ قادرة على الجمع بين مؤسسات القطاعين العام والخاص ــ المكان المثالي لمواصلة العمل في مشاريع الأمن السيبراني واسعة النطاق هذه.
