Rishikimi më i fundit i madh i Mozilla Firefox ka mbërritur me një surprizë të madhe. Prapa skenave: shfletuesit i është dashur të rregullojë 271 dobësi sigurie pasi kodi i tij iu nënshtrua një analize intensive me Claude Mythos, modelin e inteligjencës artificiale të Anthropic të fokusuar në sigurinë kibernetike. Larg nga të qenit një eksperiment i thjeshtë, rasti po konsiderohet si një pikë kthese e mundshme në mënyrën se si mbrohen aplikacionet e mëdha të lidhura me internetin.
Mozilla është mburrur për vite me radhë se Firefox është një nga shfletues me burim të hapur më të audituar dhe të fuqishëmMegjithatë, bashkëpunimi me Anthropic zbuloi një numër të konsiderueshëm dobësish të fshehura. Lajmi i mirë është se këto u rregulluan përpara se të mund të shfrytëzoheshin; shqetësimi rrjedh nga zbulimi i shkallës në të cilën sipërfaqja e sulmit ende fshihte dobësi që as testimi manual dhe as teknikat tradicionale të analizës nuk i kishin zbuluar.
Firefox 150: një përditësim i shënuar nga 271 dobësi të rregulluara
Sipas Bobby Holley, CTO i Mozilla-s, puna është pjesë e një bashkëpunim i drejtpërdrejtë me Anthropic Brenda Projektit Glasswing, programit të kufizuar përmes të cilit kompania e inteligjencës artificiale u lejon partnerëve të teknologjisë të analizojnë softuerë kritikë, skanimi u përqendrua në kodin burimor të shfletuesit, duke i kushtuar vëmendje të veçantë komponentëve të ndjeshëm siç janë motori i renderimit, sandbox-i dhe shtresat e izolimit të procesit.
Holley pranon se, historikisht, industria ka supozuar se Eliminimi i plotë i shfrytëzimeve ishte një qëllim jorealist.Strategjia përfshinte bërjen e sulmeve sa më të vështira të ishte e mundur përmes shtresave të mbrojtjes në thellësi, sandboxing dhe gjuhëve më të sigurta si Rust, por gjithmonë duke pranuar se përfundimisht do të shfaqeshin disa dobësi. Zbulimi masiv i Mythos e përforcon këtë ide, por në të njëjtën kohë tregon se balanca mund të fillojë të ndryshojë në favor të mbrojtësve.
Vetë CTO thekson se një dështim i vetëm i kategorisë së gjetur do të kishte qenë alarm i kuq në vitin 2025 për një objektiv shumë të mbrojturPrandaj vjen marramendja që, sipas Mozilla-s, është përhapur në ekipet e tjera të sigurisë kur kanë parë numrin total të dobësive të zbuluara menjëherë, një skenar që teston aftësinë e reagimit të çdo organizate.
Nga Opusi te Mythos: Një hap përpara në auditimin e inteligjencës artificiale
Bashkëpunimi midis Mozilla-s dhe Anthropic nuk filloi me Mythos. Muaj më parë, fondacioni kishte testuar Klod Opus 4.6Modeli i përparuar i Anthropic u përdor për të shqyrtuar një version më të hershëm të shfletuesit. Ai test i parë rezultoi në korrigjimin e 22 dobësive të sigurisë në Firefox 148, disa prej të cilave të rënda, dhe u konsiderua një arritje e jashtëzakonshme që atëherë.
Megjithatë, mbërritja e Claude Mythos Preview ka nënkuptuar një një rritje në shkallë prej rreth dymbëdhjetë herë në numrin e dobësive të zbuluaraNdërsa Opus 4.6 identifikoi disa dhjetëra dobësi, Mythos ka zbuluar 271 dhe, në testimet e brendshme, ka gjeneruar mbi 180 shfrytëzime funksionale që demonstrojnë shfrytëzimin aktual të këtyre gabimeve. Sa i përket produktivitetit të auditimit, ky është një përmirësim i rëndësishëm.
Mozilla thekson se modeli i Anthropic ka arritur një performancë e krahasueshme me atë të studiuesve të elitës njerëzoreGjëja e rëndësishme, sqarojnë ata, nuk është se zbulon lloje krejtësisht të reja të cenueshmërisë, por se është në gjendje të lokalizojë sistematikisht shumë nga problemet që një ekspert mund të gjente gjithashtu, por në një kohë shumë më të shkurtër dhe në një shkallë që është praktikisht e papërballueshme për ekipet manuale.
Një pikë që organizata këmbëngul të theksojë është se Nuk janë zbuluar dobësi që kanë qenë përtej mundësive të një studiuesi të mirë njerëzor.Kjo përputhet me pikëpamjen e Mozilla-s, e cila nuk beson se inteligjenca artificiale do të krijojë metoda sulmi nga hiçi që sfidojnë plotësisht kuptimin tonë aktual të sigurisë; përkundrazi, ajo amplifikon punën që mund të bëhet tashmë, por pa kufizimet e kohës, lodhjes ose burimeve.
Për një aplikacion kompleks dhe modular si Firefox, i projektuar saktësisht në mënyrë që njerëzit të mund të arsyetojnë rreth pjesëve të tij të ndryshme, kjo qasje ka kuptim. Ajo që ndryshon nuk është aq shumë natyra e gabimeve sesa vetë... aftësia për të zbuluar shumë më tepër në më pak kohëKjo është thelbësore për një shfletues që shërben si një portë hyrëse për mijëra shërbime dhe aplikacione, duke përfshirë platformat financiare, mjetet e punës në distancë dhe shërbimet publike online në Bashkimin Evropian.
Nga modeli ofensiv te përpjekja për një avantazh mbrojtës
Për vite me radhë, siguria e softuerëve ka lëvizur në një Një ekuilibër i pasigurt midis sulmuesve dhe mbrojtësveSipërfaqja e sulmit të një shfletuesi modern është aq e madhe sa është e pamundur ta mbulosh plotësisht me mjete tradicionale, gjë që u ka dhënë sulmuesve një avantazh asimetrik: ata vetëm duhet të gjejnë një dobësi të vendosur mirë për të arritur qëllimin e tyre.
Mozilla pranon se strategjia e saj është mbështetur në një kombinim të mbrojtje në thellësi, sandbox i rreptë dhe përdorim i rëndë i Rust për të minimizuar familje të caktuara gabimesh. Kjo plotësohet nga teknika të tilla si fuzzing, e cila i nënshtrohet kodit hyrjeve të rastësishme për të detyruar dështime të papritura. Megjithatë, vetë ekipi i Firefox pranon se ka zonat e kodit që janë shumë më të vështira për t'u fuzzyerKjo lë boshllëqe në mbulim që mund të shfrytëzohen nga sulmuesit e pacientëve.
Përdorimi i një inteligjence artificiale si Claude Mythos i sjell një pjesë të re këtij enigme. Ndryshe nga testimet e rastësishme ose rishikimet manuale, modeli është i aftë të arsyetoni rreth kodit burimor, identifikoni modele të dyshimta dhe propozoni shfrytëzime të cilat tregojnë nëse një defekt është vërtet kritik. Kjo zvogëlon mbështetjen ekskluzive në ekipe shumë të specializuara, të cilat janë të pakta dhe të paafta të trajtojnë sasinë e softuerit që duhet të rishikohet.
Për Mozilla-n, kjo hap derën për për të ngushtuar gradualisht hendekun midis gabimeve që makinat mund të zbulojnë dhe atyre që ekspertët njerëzorë mund të lokalizojnë.Nëse kostoja e gjetjes së dobësive bie në mënyrë drastike për mbrojtësit, një pjesë e avantazhit strukturor që kishin sulmuesit, të mësuar të kushtonin muaj të tërë pune për të gjetur një të metë të vetme fitimprurëse, zhduket.
Holley pranon se tronditja fillestare e të parit kaq shumë gabimeve njëherësh ishte thjesht një tërmet i brendshëm, por pohon se, sapo tronditja fillestare u qetësua, ndjesia është pozitive: nëse burimet mund të prioritizohen dhe përpjekjet të përqendrohen në korrigjimin e asaj që zbulon IA, Mbrojtësit mund të fillojnë të luajnë me të njëjtat armë.Kjo do të thotë, me kusht që të ketë ekipe të afta për të përthithur vëllimin e rezultateve dhe për t'i përkthyer ato në patch-e efektive.
Rreziqet e një IA kaq të fuqishme sigurie: një shpatë me dy tehe e qartë
Krahas entuziazmit të moderuar të Mozilla-s, pjesa më e madhe e sektorit evropian të sigurisë kibernetike po e ndjek nga afër... potencial për abuzim me mjete si Claude MythosI njëjti sistem që lejon gjetjen e të metave në Firefox mund të përdoret, në duar të gabuara, për të automatizuar zbulimin e dobësive në sistemet operative, portofolet e nxehta, aplikacionet e decentralizuara ose shërbimet kritike të infrastrukturës.
Antropiku është i vetëdijshëm për këtë rrezik dhe, në fakt, e mban Mythos është i disponueshëm me akses shumë të kufizuar përmes Project Glasswing.Kompani të mëdha teknologjike si Apple, Microsoft, Google, Amazon Web Services, Linux Foundation dhe vetë Mozilla janë pjesë e këtij grupi, i cili përdor modelin për të audituar softuerin e vet dhe, në disa raste, infrastrukturën strategjike. Ideja është të kontrollohet nga afër se çfarë analizohet dhe për çfarë qëllimesh.
Raportet e fundit tregojnë se, në testet e kontrolluara, Claude Mythos ka arritur Identifikoni dhe shfrytëzoni dobësitë zero-day në sistemet e përdorura gjerësishtnga shfletuesit te sistemet operative. Madje është dokumentuar se mund të kryejë operacione komplekse kibernetike në mënyrë mjaft autonome, siç janë simulimet e ndërhyrjeve shumëfazore në rrjetet e korporatave.
Këto aftësi kanë ngjallur interes jo vetëm nga kompanitë, por edhe nga qeveritë dhe agjencitë e inteligjencësNë Shtetet e Bashkuara, për shembull, është raportuar se Agjencia e Sigurisë Kombëtare madje ka përdorur Mythos në rrjete të klasifikuara, pavarësisht rezervave publike në lidhje me përdorimin e mjeteve të tilla në kontekste lufte ose mbikëqyrjeje.
Për Evropën, ku debati mbi Rregullimi i inteligjencës artificiale dhe mbrojtja e të dhënave Është veçanërisht intensive; raste si Firefox dhe Mythos ofrojnë municion për të gjitha palët: nga njëra anë, ato tregojnë vlerën e inteligjencës artificiale të qeverisur mirë për të mbrojtur miliona përdorues; nga ana tjetër, ato nxjerrin në pah nevojën për t'u siguruar që këto lloje modelesh të mos përfundojnë duke nxitur gjenerata të reja sulmesh të automatizuara në shkallë të gjerë.
Ndikimi në ekosistemin e softuerit të hapur dhe te përdoruesit evropianë
Firefox zë një pozicion unik në peizazhin e shfletuesve. Edhe pse ka humbur pjesë të tregut ndaj Chromium dhe derivateve të tij, ai mbetet një një komponent kyç në mjediset ku vlerësohen softueri i lirë dhe privatësia, si shumë administrata publike evropiane, institucione akademike dhe përdorues të përparuar të sistemeve GNU/Linux.
Në këtë kontekst, zbulimi i 271 dobësive mund të interpretohet në dy mënyra. Nga njëra anë, konfirmon se edhe Projektet me burim të hapur të audituara shumë mund të fshehin një numër të madh gabimesh.Thjesht sepse baza e kodit është gjigante dhe rishikimi manual nuk mund të arrijë kudo. Nga ana tjetër, kjo tregon se modeli i zhvillimit të hapur e bën më të lehtë për mjetet e jashtme, duke përfshirë edhe inteligjencën artificiale të përparuar, të inspektojnë kodin dhe të kontribuojnë në përmirësimin e sigurisë së tij.
Mozilla pranon se, me ndihmën e Mythos, tani ka një listë e gjatë detyrash në pritje për të forcuar sigurinë të aplikacionit të tyre kryesor. Për përdoruesit fundorë në Spanjë dhe pjesën tjetër të Evropës, rekomandimi është i thjeshtë: mbajeni shfletuesin të përditësuar për të përfituar nga këto patch-e. Versioni 150 jo vetëm që rregullon gabimet e zbuluara, por gjithashtu ruan ritmin e përmirësimeve në performancë, përputhshmëri dhe veçori të tilla si sandboxing dhe menaxhimi i lejeve të rrjetit lokal.
Për më tepër, rasti i Firefox mund të shërbejë si precedent për projekte të tjera me burim të hapur Këto mjete përdoren çdo ditë në biznese, organe publike dhe shërbime kritike. Mjetet e përdorura gjerësisht - serverat web, bibliotekat kriptografike, kornizat e zhvillimit - mund të përfitojnë nga auditime të ngjashme të mundësuara nga inteligjenca artificiale, gjë që është veçanërisht e rëndësishme në Bashkimin Evropian, ku direktivat mbi sigurinë kibernetike dhe qëndrueshmërinë dixhitale po bëhen gjithnjë e më të rrepta.
Sfida, siç e pranon vetë Mozilla, është se shumë nga këto projekte nuk e kanë burime të mjaftueshme njerëzore ose ekonomike për të përthithur fluksin e gjetjeve që një model si Mythos mund të gjenerojë. Këtu hyjnë në lojë si fondacionet e softuerit të lirë ashtu edhe politikat publike që mbështesin sigurinë me burim të hapur, një çështje që është ngritur tashmë në Bruksel pas incidenteve si Log4Shell.
Një fazë e re në marrëdhënien midis njerëzve dhe inteligjencës artificiale në sigurinë kibernetike
Përtej anekdotës së 271 dobësive, ajo që ngre çështja e Firefox është një ndryshim i fokusit në marrëdhënien midis studiuesve njerëzorë dhe inteligjencës artificiale në sigurinë kibernetike. Në vend që t’i kundërvijë njëri-tjetrin, Mozilla mbështet një model në të cilin mjetet e përparuara zgjerojnë aftësitë e ekipeve të sigurisë, pa zëvendësuar gjykimin ose përvojën e tyre.
Organizata e përshkruan Claude Mythos si një lloj studiues i palodhur i sigurisëi aftë të shqyrtojë sasi të mëdha kodi, të propozojë shfrytëzime dhe të identifikojë modelet e rrezikut. Krahas tyre, specialistët njerëzorë mbeten përgjegjës për përcaktimin e përparësive, konfirmimin, korrigjimin dhe vendimmarrjen se cilat ndryshime futen në produktin përfundimtar.
Ky vizion bashkëpunues ka implikime të drejtpërdrejta për tregun evropian të sigurisë kibernetike, ku tashmë operojnë kompani dhe qendra kërkimore që... Ata po eksperimentojnë me inteligjencën artificiale për auditimet e kodit, analizën e programeve keqdashëse ose zbulimin e ndërhyrjeve.Nëse rezultatet e Mozilla-s përsëriten në projekte të tjera, mund të shohim shkurtim të kohës së reagimit ndaj dështimeve kritike dhe zvogëlim të presionit mbi ekipet e sigurisë të mbingarkuara, të paktën pjesërisht.
Në të njëjtën kohë, përvoja e Anthropic dhe Mozilla e bën të qartë rëndësinë e Rivlerësoni metodat e përdorura për të matur performancën e modeleve të IA-së në detyrat e sigurisë. Vetë Anthropic ka pranuar se shumë standarde aktuale kanë dështuar tashmë në vlerësimin e aftësive reale të sistemeve të saj më të fundit, gjë që bën të nevojshme hartimin e testeve më të kërkuara dhe përfaqësuese.
Nëse ka një gjë për të cilën Mozilla dhe Anthropic duket se bien dakord, është se, për momentin, Nuk ka zëvendësim të plotë për gjykimin njerëzor në menaxhimin e riskut. IA përshpejton dhe zgjeron kërkimin për probleme, por vendimi se çfarë të rregullohet, si të bëhet dhe në çfarë afati kohor varet ende nga ekipet e njerëzve që duhet të balancojnë sigurinë, ndikimin e përdoruesit dhe burimet e disponueshme.
Gjithçka tregon se Firefox 150 me patch-e për 271 dobësi të raportuara nga Claude Mythos mbahet mend si momenti kur Siguria kibernetike ndërmori një hap serioz drejt automatizimit inteligjent.Shfletuesi i Mozilla-s bëhet kështu një studim rasti se si të integrohet inteligjenca artificiale e nivelit të lartë në ciklin jetësor të zhvillimit dhe mirëmbajtjes së një produkti kritik, pa humbur nga sytë rreziqet që lidhen me të ose nevojën për mbikëqyrje të ngushtë njerëzore. Për përdoruesit, zhvilluesit dhe politikëbërësit në Spanjë dhe Evropë, mësimi është i qartë: inteligjenca artificiale nuk është më vetëm një koncept futurist, por një mjet që po fillon të ribalancojë peshoren në një betejë që kishte qenë e anuar në favor të sulmuesve për dekada të tëra.
