Najnovejši večji pregled Mozilla Firefox je prinesel veliko presenečenje. V zakulisju: brskalnik je moral odpraviti 271 varnostnih ranljivosti, potem ko je bila njegova koda podvržena intenzivni analizi s Claudeom Mythosom, Anthropicovim modelom umetne inteligence, osredotočenim na kibernetsko varnost. Primer še zdaleč ni preprost poskus, temveč velja za potencialno prelomnico v načinu zaščite velikih internetno povezanih aplikacij.
Mozilla se že leta hvali, da je Firefox eden izmed bolj preverjeni in robustni brskalniki z odprto kodoVendar pa je sodelovanje z Anthropic razkrilo precejšnje število skritih ranljivosti. Dobra novica je, da so bile te odpravljene, preden jih je bilo mogoče izkoristiti; zaskrbljenost izhaja iz odkritja, v kolikšni meri je površina napada še vedno skrivala slabosti, ki jih niso odkrile niti ročno testiranje niti tradicionalne tehnike analize.
Firefox 150: posodobitev, v kateri je bilo odpravljenih 271 ranljivosti
Po besedah Bobbyja Holleyja, tehničnega direktorja Mozille, je delo del neposredno sodelovanje z Anthropic V okviru projekta Glasswing, omejenega programa, prek katerega podjetje za umetno inteligenco tehnološkim partnerjem omogoča analizo kritične programske opreme, se je pregled osredotočil na izvorno kodo brskalnika, pri čemer je bil poseben poudarek namenjen občutljivim komponentam, kot so mehanizem za upodabljanje, peskovnik in plasti za izolacijo procesov.
Holley priznava, da je industrija zgodovinsko gledano domnevala, da Popolna odprava izkoriščanja je bila nerealističen cilj.Strategija je vključevala čim večjo otežitev napadov z uporabo globinske obrambe, peskovnika in varnejših jezikov, kot je Rust, vendar vedno s sprejemanjem dejstva, da se bo sčasoma pojavila določena ranljivost. Množično odkritje Mythosa to idejo krepi, hkrati pa kaže, da se ravnotežje morda začenja premikati v korist branilcev.
CTO sam poudarja, da bi bila ena sama napaka v najdeni kategoriji rdeči alarm leta 2025 za zelo zaščiten ciljOd tod vrtoglavica, ki se je po mnenju Mozille razširila med druge varnostne ekipe, ko so hkrati odkrile celotno število ranljivosti, kar je scenarij, ki preizkuša reakcijsko sposobnost katere koli organizacije.
Od Opusa do Mythosa: Skok naprej v revidiranju umetne inteligence
Sodelovanje med Mozillo in Anthropico se ni začelo z Mythosom. Nekaj mesecev prej je fundacija testirala Claude Opus 4.6Anthropicov napredni model je bil uporabljen za pregled starejše različice brskalnika. Ta prvi test je privedel do popravka 22 varnostnih ranljivosti v Firefoxu 148, od katerih so bile nekatere resne, in je že takrat veljal za izjemen dosežek.
Prihod Clauda Mythosa Preview pa je pomenil približno dvanajstkratno povečanje števila odkritih ranljivostiMedtem ko je Opus 4.6 odkril nekaj ducatov ranljivosti, jih je Mythos odkril 271 in v internem testiranju ustvaril več kot 180 delujočih ranljivosti, ki dokazujejo dejansko izkoriščanje teh napak. Kar zadeva produktivnost revizije, je to znatno izboljšanje.
Mozilla poudarja, da je Anthropicov model dosegel uspešnost, primerljiva z uspešnostjo elitnih raziskovalcevPomembno, pojasnjujejo, ni to, da odkrije povsem nove vrste ranljivosti, temveč to, da je sposoben sistematično locirati številne težave, ki bi jih lahko odkril tudi strokovnjak, vendar v veliko krajšem času in v obsegu, ki ga ročne ekipe praktično ne morejo obvladati.
Ena točka, ki jo organizacija vztraja pri poudarjanju, je, da Niso bile odkrite nobene ranljivosti, ki bi bile izven dosega dobrega človeškega raziskovalca.To se ujema z Mozillinim stališčem, ki ne verjame, da bo umetna inteligenca iz nič ustvarila metode napada, ki bodo popolnoma izzvale naše trenutno razumevanje varnosti; temveč krepi delo, ki ga je že mogoče opraviti, vendar brez omejitev časa, utrujenosti ali virov.
Za kompleksno, modularno aplikacijo, kot je Firefox, ki je zasnovana prav tako, da lahko ljudje razmišljajo o njenih različnih delih, je ta pristop smiseln. Kar se spremeni, ni toliko narava napak kot to, sposobnost odkriti veliko več v krajšem časuTo je ključnega pomena za brskalnik, ki služi kot prehod do tisočih storitev in aplikacij, vključno s finančnimi platformami, orodji za delo na daljavo in spletnimi javnimi storitvami v Evropski uniji.
Od ofenzivnega modela do poskusa obrambne prednosti
Varnost programske opreme se je že leta premikala v Neravnovesje med napadalci in branilciPovršina napada sodobnega brskalnika je tako velika, da jo je nemogoče v celoti pokriti s tradicionalnimi orodji, kar napadalcem daje asimetrično prednost: za dosego svojega cilja morajo le najti dobro postavljeno ranljivost.
Mozilla priznava, da je bila njena strategija odvisna od kombinacije obramba v globino, strogo delovanje v peskovniku in intenzivna uporaba Rusta da bi zmanjšali določene družine napak. To dopolnjujejo tehnike, kot je fuzzing, ki kodo izpostavi naključnim vhodom, da povzroči nepričakovane napake. Vendar pa ekipa Firefox sama priznava, da obstajajo področja kode, ki jih je veliko težje zameglitiTo pušča vrzeli v pokritosti, ki jih lahko izkoristijo potrpežljivi napadalci.
Uporaba umetne inteligence, kot je Claude Mythos, v to sestavljanko vnese nov delček. Za razliko od naključnega testiranja ali ročnih pregledov je model sposoben razloge o izvorni kodi, prepoznavanje sumljivih vzorcev in predlaganje izkoriščanja ki pokažejo, ali je napaka resnično kritična. To zmanjšuje izključno odvisnost od visoko specializiranih ekip, ki so redke in ne morejo obvladati količine programske opreme, ki jo je treba pregledati.
Za Mozillo to odpira vrata do postopoma zmanjšati vrzel med napakami, ki jih lahko zaznajo stroji, in tistimi, ki jih lahko odkrijejo človeški strokovnjaki.Če se stroški iskanja ranljivosti za branilce drastično zmanjšajo, izgine del strukturne prednosti, ki so jo imeli napadalci, vajeni posvečati mesece dela iskanju ene same donosne napake.
Holley priznava, da je bil začetni šok ob toliko napakah hkrati pravi notranji potres, vendar vztraja, da je občutek po tem, ko je začetni šok popustil, pozitiven: če je mogoče vire prednostno razvrstiti in prizadevanja osredotočiti na popravljanje tega, kar umetna inteligenca razkrije, Branilci lahko začnejo igrati z istim orožjem.Seveda, če obstajajo ekipe, ki so sposobne absorbirati količino rezultatov in jih prevesti v učinkovite popravke.
Tveganja tako močne varnostne umetne inteligence: očiten dvorezen meč
Ob zmernem navdušenju Mozille velik del evropskega sektorja kibernetske varnosti pozorno spremlja dogajanje. možnost zlorabe orodij, kot je Claude MythosIsti sistem, ki omogoča iskanje napak v Firefoxu, bi se lahko v napačnih rokah uporabil za avtomatizacijo odkrivanja ranljivosti v operacijskih sistemih, vročih denarnicah, decentraliziranih aplikacijah ali storitvah kritične infrastrukture.
Anthropic se zaveda tega tveganja in dejansko vztraja Mythos je na voljo z zelo omejenim dostopom prek projekta Glasswing.Velika tehnološka podjetja, kot so Apple, Microsoft, Google, Amazon Web Services, Linux Foundation in sama Mozilla, so del te skupine, ki uporablja model za revidiranje lastne programske opreme in v nekaterih primerih tudi strateške infrastrukture. Ideja je natančno nadzorovati, kaj se analizira in za kakšne namene.
Nedavna poročila kažejo, da je Claude Mythos v nadzorovanih testih dosegel Prepoznavanje in izkoriščanje ranljivosti ničelnega dne v široko uporabljenih sistemihod brskalnikov do operacijskih sistemov. Dokumentirano je celo, da lahko precej avtonomno izvaja kompleksne kibernetske operacije, kot so večstopenjske simulacije vdorov v poslovna omrežja.
Te zmogljivosti so vzbudile zanimanje ne le pri podjetjih, temveč tudi pri vlade in obveščevalne agencijeV Združenih državah Amerike so na primer poročali, da je Nacionalna varnostna agencija celo uporabljala Mythos v tajnih omrežjih, kljub javnim zadržkom glede uporabe takšnih orodij v vojnih ali nadzornih kontekstih.
Za Evropo, kjer je razprava o Regulacija umetne inteligence in varstvo podatkov Še posebej intenzivno je; primeri, kot sta Firefox in Mythos, ponujajo strelivo vsem stranem: po eni strani kažejo na vrednost dobro vodene umetne inteligence za zaščito milijonov uporabnikov; po drugi strani pa poudarjajo potrebo po zagotovitvi, da te vrste modelov ne bodo spodbudile novih generacij obsežnih avtomatiziranih napadov.
Vpliv na ekosistem odprte programske opreme in na evropske uporabnike
Firefox ima edinstven položaj na trgu brskalnikov. Čeprav je izgubil tržni delež v korist Chromiuma in njegovih derivatov, ostaja ključna komponenta v okoljih, kjer sta cenjena prosta programska oprema in zasebnost, tako kot številne evropske javne uprave, akademske ustanove in napredni uporabniki sistemov GNU/Linux.
V tem kontekstu je odkritje 271 ranljivosti mogoče razlagati na dva načina. Po eni strani potrjuje, da celo Visoko revidirani odprtokodni projekti lahko skrivajo veliko število hroščev.Preprosto zato, ker je kodna baza ogromna in ročni pregled ne more doseči povsod. Po drugi strani pa to dokazuje, da model odprtega razvoja zunanjim orodjem, vključno z napredno umetno inteligenco, olajša pregled kode in prispeva k izboljšanju njene varnosti.
Mozilla priznava, da ima s pomočjo Mythosa zdaj dolg seznam čakajočih nalog za okrepitev varnosti njihove vodilne aplikacije. Za končne uporabnike v Španiji in preostali Evropi je priporočilo preprosto: redno posodabljajte brskalnik da bi imeli koristi od teh popravkov. Različica 150 ne le odpravlja odkrite napake, temveč ohranja tudi tempo izboljšav zmogljivosti, združljivosti in funkcij, kot sta peskovnik in upravljanje dovoljenj lokalnega omrežja.
Poleg tega lahko primer Firefox služi kot precedens za drugi projekti odprte kode Ta orodja se vsakodnevno uporabljajo v podjetjih, javnih organih in kritičnih storitvah. Široko uporabljena orodja – spletni strežniki, kriptografske knjižnice, razvojni okviri – bi lahko imela koristi od podobnih revizij, ki jih poganja umetna inteligenca, kar je še posebej pomembno v Evropski uniji, kjer direktive o kibernetski varnosti in digitalni odpornosti postajajo vse strožje.
Izziv, kot priznava tudi sama Mozilla, je v tem, da mnogi od teh projektov nimajo zadostni človeški ali ekonomski viri za absorpcijo toka ugotovitev ki jih lahko ustvari model, kot je Mythos. Tukaj pridejo v poštev tako fundacije za prosto programsko opremo kot javne politike, ki podpirajo varnost odprte kode, kar je vprašanje, ki je bilo v Bruslju že izpostavljeno po incidentih, kot je bil Log4Shell.
Nova faza v odnosu med ljudmi in umetno inteligenco na področju kibernetske varnosti
Poleg anekdote o ranljivostih 271 primer Firefoxa odpira še sprememba fokusa v odnosu med človeškimi raziskovalci in umetno inteligenco v kibernetski varnosti. Namesto da bi se medsebojno spopadala, se Mozilla zavzema za model, v katerem napredna orodja širijo zmogljivosti varnostnih ekip, ne da bi nadomestila njihovo presojo ali izkušnje.
Organizacija opisuje Clauda Mythosa kot nekakšnega neutrudni raziskovalec varnostisposobni pregledati velike količine kode, predlagati izkoriščanje in prepoznati vzorce tveganja. Poleg tega so človeški strokovnjaki še vedno odgovorni za določanje prioritet, potrjevanje, popravljanje in odločanje o tem, katere spremembe se uvedejo v končni izdelek.
Ta skupna vizija ima neposredne posledice za evropski trg kibernetske varnosti, kjer že delujejo podjetja in raziskovalni centri. Eksperimentirajo z umetno inteligenco za preglede kode, analizo zlonamerne programske opreme ali zaznavanje vdorov.Če bodo Mozillini rezultati ponovljeni v drugih projektih, se lahko skrajšajo odzivni časi na kritične napake in vsaj delno zmanjša pritisk na preobremenjene varnostne ekipe.
Hkrati izkušnje Anthropic in Mozille jasno kažejo na pomen Ponovno ocenite metode, ki se uporabljajo za merjenje učinkovitosti modelov umetne inteligence pri varnostnih nalogah. Anthropic je sam priznal, da številni trenutni primerjalni testi že niso zadostovali pri ocenjevanju dejanskih zmogljivosti njihovih najnovejših sistemov, kar zahteva zasnovo zahtevnejših in reprezentativnih testov.
Če se Mozilla in Anthropic strinjata glede ene stvari, je to zaenkrat, Ni popolnega nadomestila za človeško presojo pri upravljanju tveganj. Umetna inteligenca pospešuje in širi iskanje težav, vendar je odločitev o tem, kaj popraviti, kako to storiti in v kakšnem časovnem okviru, še vedno odvisna od ekip ljudi, ki morajo uravnotežiti varnost, vpliv na uporabnike in razpoložljive vire.
Vse kaže na to, da se bo izdaja Firefoxa 150 s popravki za 271 ranljivosti, ki jih je označil Claude Mythos, spominjala kot trenutek, ko Kibernetska varnost je naredila resen korak k inteligentni avtomatizaciji.Mozillin brskalnik tako postane študija primera o tem, kako integrirati visokonivojsko umetno inteligenco v življenjski cikel razvoja in vzdrževanja ključnega izdelka, ne da bi pri tem pozabili na povezana tveganja ali potrebo po natančnem človeškem nadzoru. Za uporabnike, razvijalce in oblikovalce politik v Španiji in Evropi je lekcija jasna: umetna inteligenca ni več le futurističen koncept, temveč orodje, ki začenja ponovno uravnotežiti tehtnico v bitki, ki je bila desetletja nagnjena v korist napadalcev.
