A legújabb jelentős áttekintés A Mozilla Firefox hatalmas meglepetéssel érkezett. A színfalak mögött: a böngészőnek 271 biztonsági rést kellett befoltoznia, miután kódját alaposan elemezte a Claude Mythos, az Anthropic kiberbiztonságra összpontosító mesterséges intelligencia modellje. Az eset távolról sem egyszerű kísérlet, hanem potenciális fordulópontnak tekinthető a nagy internetre csatlakoztatott alkalmazások védelmében.
A Mozilla évek óta dicsekszik azzal, hogy a Firefox az egyik... jobban ellenőrzött és robusztus nyílt forráskódú böngészőkAz Anthropic-kal való együttműködés azonban jelentős számú látens sebezhetőséget tárt fel. A jó hír az, hogy ezeket még a kihasználásuk előtt kijavították; az aggodalom abból fakad, hogy kiderült, milyen mértékben rejtett még mindig a támadási felület olyan gyengeségeket, amelyeket sem a manuális tesztelés, sem a hagyományos elemzési technikák nem észleltek.
Firefox 150: egy frissítés, amely 271 javított sebezhetőséget tartalmazott
Bobby Holley, a Mozilla műszaki igazgatója szerint a munka egy közvetlen együttműködés az Anthropic-kal A Project Glasswing programon belül – amelyen keresztül a mesterséges intelligenciával foglalkozó vállalat lehetővé teszi a technológiai partnerek számára a kritikus szoftverek elemzését – a vizsgálat a böngésző forráskódjára összpontosított, különös figyelmet fordítva az olyan érzékeny komponensekre, mint a renderelő motor, a sandbox és a folyamatizolációs rétegek.
Holley elismeri, hogy a múltban az iparág azt feltételezte, hogy A sebezhetőségek teljes kiküszöbölése irreális cél volt.A stratégia magában foglalta a támadások lehető legnehezebbé tételét mélységi védelmi rétegek, sandboxing és biztonságosabb nyelvek, mint például a Rust segítségével, de mindig elfogadva, hogy végül valamilyen sebezhetőség jelenik meg. A Mythos tömeges felfedezése megerősíti ezt az elképzelést, de egyúttal azt is mutatja, hogy az egyensúly a védők javára kezdhet elbillenni.
Maga a műszaki igazgató rámutat, hogy a kategóriába tartozó egyetlen hiba is vörös riasztás 2025-ben egy fokozottan védett célpont miattEzért van az a szédülés, ami a Mozilla szerint más biztonsági csapatokban is elterjedt, amikor egyszerre ennyi sebezhetőséget fedeztek fel, ami próbára teszi bármely szervezet reakcióképességét.
Az Opustól a Mythosig: Előrelépés a mesterséges intelligencia auditálásában
A Mozilla és az Anthropic együttműködése nem a Mythosszal kezdődött. Hónapokkal korábban az alapítvány tesztelte Claude Opus 4.6Az Anthropic fejlett modelljét a böngésző egy korábbi verziójának felülvizsgálatára használták. Az első teszt 22 biztonsági rést javított ki a Firefox 148-ban, amelyek közül néhány súlyos volt, és már akkor is figyelemre méltó eredménynek számított.
A Claude Mythos Preview érkezése azonban egyben a következőket is jelentette: a felfedezett sebezhetőségek számának körülbelül tizenkétszeresére ugrásszerű növekedéseMíg az Opus 4.6 néhány tucat sebezhetőséget azonosított, a Mythos 271-et tárt fel, és belső tesztelés során több mint 180 működő exploitot generált, amelyek igazolják ezen hibák tényleges kihasználhatóságát. Az audit termelékenysége szempontjából ez jelentős javulás.
A Mozilla hangsúlyozza, hogy az Anthropic modellje elért egy teljesítménye összehasonlítható az elit emberi kutatókévalA lényeg – pontosítják – nem az, hogy teljesen új típusú sebezhetőségeket fedez fel, hanem az, hogy képes szisztematikusan megtalálni számos olyan problémát, amelyet egy szakértő is megtalálhatna, de sokkal rövidebb idő alatt és olyan mértékben, ami gyakorlatilag kezelhetetlen a manuális csapatok számára.
Az egyik pont, amit a szervezet ragaszkodik a kiemeléshez, az az, hogy Nem észleltek olyan sebezhetőségeket, amelyek egy jó emberi kutató felderítésén túl lennének.Ez összhangban van a Mozilla nézetével, amely nem hiszi, hogy a mesterséges intelligencia a semmiből fog olyan támadási módszereket létrehozni, amelyek teljesen megkérdőjelezik a biztonságról alkotott jelenlegi felfogásunkat; inkább felerősíti a már elvégzendő munkát, de időbeli, fáradtsági vagy erőforrásbeli korlátok nélkül.
Egy olyan összetett, moduláris alkalmazáshoz, mint a Firefox, amelyet pontosan úgy terveztek, hogy az emberek következtetéseket vonhassanak le a különböző részeiről, ez a megközelítés logikus. Ami változik, az nem annyira a hibák jellege, mint inkább a... képesség sokkal többet felfedezni kevesebb idő alattEz kulcsfontosságú egy olyan böngésző számára, amely több ezer szolgáltatáshoz és alkalmazáshoz, többek között pénzügyi platformokhoz, távmunkaeszközökhöz és online közszolgáltatásokhoz biztosít hozzáférést az Európai Unióban.
A támadó modelltől a védekező előny megszerzésére tett kísérletig
Évek óta a szoftverbiztonság egy Kényelmetlen egyensúly a támadók és a védők közöttEgy modern böngésző támadási felülete olyan nagy, hogy lehetetlen teljesen lefedni a hagyományos eszközökkel, ami aszimmetrikus előnyt biztosított a támadóknak: csak egy jól elhelyezett sebezhetőséget kell találniuk a céljuk eléréséhez.
A Mozilla elismeri, hogy stratégiája a következők kombinációján alapult: mélységi védelem, szigorú sandboxolás és a Rust intenzív használata hogy bizonyos hibacsaládokat minimalizáljanak. Ezt olyan technikák egészítik ki, mint a fuzzing, amely véletlenszerű bemeneteknek teszi ki a kódot, hogy váratlan hibákat kényszerítsen ki. A Firefox csapata azonban maga is elismeri, hogy vannak a kód azon területei, amelyeket sokkal nehezebb elmosniEz réseket hagy a lefedettségben, amelyeket a türelmes támadók kihasználhatnak.
Egy olyan mesterséges intelligencia, mint Claude Mythos használata egy új darabot hoz a kirakósba. A véletlenszerű teszteléssel vagy a manuális felülvizsgálattal ellentétben a modell képes… indoklást végez a forráskódról, gyanús mintákat azonosít, és javaslatokat tesz a támadások kihasználására amelyek bizonyítják, hogy egy hiba valóban kritikus-e. Ez csökkenti a kizárólagosan specializált csapatokra való támaszkodást, amelyek szűkösek és nem képesek kezelni a felülvizsgálandó szoftverek mennyiségét.
A Mozilla számára ez megnyitja az utat a következőhöz: hogy fokozatosan áthidaljuk a gépek által észlelt és az emberi szakértők által megtalált hibák közötti szakadékot.Ha a sebezhetőségek felkutatásának költsége drasztikusan csökken a védők számára, akkor a támadók – akik megszokták, hogy hónapokig dolgoznak egyetlen jövedelmező hiba felkutatásán – strukturális előnyének egy része eltűnik.
Holley elismeri, hogy a kezdeti sokk, amit az egyszerre látott sok hiba okozott, nem volt más, mint egy belső földrengés, de fenntartja, hogy miután a kezdeti sokk alábbhagyott, az érzés pozitív: ha az erőforrásokat rangsorolni lehet, és az erőfeszítéseket a mesterséges intelligencia által feltárt hibák kijavítására lehet összpontosítani, A védők elkezdhetnek játszani ugyanazokkal a fegyverekkel.Vagyis, feltéve, hogy vannak olyan csapatok, amelyek képesek feldolgozni az eredmények mennyiségét, és azokat hatékony javításokká alakítani.
Az ilyen erős biztonsági mesterséges intelligencia kockázatai: egyértelműen kétélű fegyver
A Mozilla mérsékelt lelkesedése mellett az európai kiberbiztonsági szektor nagy része szorosan figyeli a folyamatot. az olyan eszközökkel való visszaélés lehetősége, mint a Claude MythosUgyanaz a rendszer, amely lehetővé teszi a Firefox hibáinak megtalálását, rossz kezekben felhasználható lehet az operációs rendszerek, a hot wallet-ek, a decentralizált alkalmazások vagy a kritikus infrastrukturális szolgáltatások sebezhetőségeinek automatizálására.
Az Anthropic tisztában van ezzel a kockázattal, és valójában fenntartja azt. A Mythos nagyon korlátozott hozzáféréssel érhető el a Project Glasswingen keresztül.Olyan nagy technológiai vállalatok, mint az Apple, a Microsoft, a Google, az Amazon Web Services, a Linux Foundation és maga a Mozilla is részei ennek a csoportnak, amely a modellt saját szoftvereinek, és bizonyos esetekben stratégiai infrastruktúrájának auditálására használja. Az ötlet az, hogy szorosan ellenőrizzék, hogy mit és milyen célokra elemeznek.
A legfrissebb jelentések szerint Claude Mythos ellenőrzött tesztek során elérte a A széles körben használt rendszerek nulladik napi sebezhetőségeinek azonosítása és kihasználásaa böngészőktől az operációs rendszerekig. Sőt, azt is dokumentálták, hogy képes meglehetősen önállóan komplex kiberműveleteket végrehajtani, például többlépcsős behatolás-szimulációkat vállalati hálózatokon.
Ezek a képességek nemcsak a vállalatok, hanem a kormányok és hírszerző ügynökségekAz Egyesült Államokban például arról számoltak be, hogy a Nemzetbiztonsági Ügynökség (NSA) még titkosított hálózatokon is futtatott Mythos támadást, annak ellenére, hogy a nyilvánosság fenntartásokat tett az ilyen eszközök háborús vagy megfigyelési kontextusban történő használatával kapcsolatban.
Európában, ahol a vita a MI-szabályozás és adatvédelem Különösen intenzív a helyzet; az olyan esetek, mint a Firefox és a Mythos, minden oldalnak muníciót kínálnak: egyrészt megmutatják a jól irányított mesterséges intelligencia értékét a felhasználók millióinak védelmében; másrészt rávilágítanak arra, hogy biztosítani kell, hogy az ilyen típusú modellek ne váljanak a nagyszabású automatizált támadások új generációinak táplálékává.
Hatás a nyílt szoftverek ökoszisztémájára és az európai felhasználókra
A Firefox egyedülálló helyet foglal el a böngészők világában. Bár veszített piaci részesedéséből a Chromium és származékaival szemben, továbbra is jelentős szereplő. kulcsfontosságú elem azokban a környezetekben, ahol a szabad szoftvereket és a magánéletet értékelik, ahogyan számos európai közigazgatási szerv, akadémiai intézmény és a GNU/Linux rendszerek haladó felhasználója is.
Ebben az összefüggésben a 271-es sebezhetőség felfedezése kétféleképpen értelmezhető. Egyrészt megerősíti, hogy még A szigorúan auditált nyílt forráskódú projektek számos hibát rejthetnek.Egyszerűen azért, mert a kódbázis hatalmas, és a manuális ellenőrzés nem érhet el mindenhová. Másrészt azt is mutatja, hogy a nyílt fejlesztési modell megkönnyíti a külső eszközök, beleértve a fejlett mesterséges intelligenciát is, számára a kód vizsgálatát és a biztonság javításához való hozzájárulást.
A Mozilla elismeri, hogy a Mythos segítségével most már rendelkezik egy a biztonság megerősítésére irányuló függőben lévő feladatok hosszú listája zászlóshajó alkalmazásukról. A spanyolországi és európai végfelhasználók számára a javaslat egyszerű: frissítse a böngészőt hogy profitáljon ezekből a javításokból. A 150-es verzió nemcsak a felfedezett hibákat javítja, hanem fenntartja a teljesítmény, a kompatibilitás és az olyan funkciók fejlesztésének ütemét is, mint a sandboxing és a helyi hálózati engedélyek kezelése.
Továbbá a Firefox-ügy precedensként szolgálhat egyéb nyílt forráskódú projektek Ezeket az eszközöket naponta használják vállalkozások, közintézmények és kritikus szolgáltatások. A széles körben alkalmazott eszközök – webszerverek, kriptográfiai könyvtárak, fejlesztői keretrendszerek – profitálhatnak a hasonló, mesterséges intelligencia által vezérelt auditokból, ami különösen fontos az Európai Unióban, ahol a kiberbiztonságra és a digitális ellenálló képességre vonatkozó irányelvek egyre szigorúbbak.
A kihívás, ahogy azt maga a Mozilla is elismeri, az, hogy ezek közül a projektek közül soknak nincs meg a elegendő emberi vagy gazdasági erőforrás a megállapítások áramlásának befogadására amit egy olyan modell, mint a Mythos, képes generálni. Itt jönnek képbe mind a szabad szoftveralapítványok, mind a nyílt forráskódú biztonságot támogató közpolitikák, ez a kérdés már felmerült Brüsszelben is, olyan incidenseket követően, mint a Log4Shell.
Új szakasz az ember és a mesterséges intelligencia kapcsolatában a kiberbiztonságban
A 271-es sebezhetőségekről szóló anekdotán túl a Firefox-ügy egy olyan kérdést vet fel, mint a hangsúly megváltozása az emberi kutatók és a mesterséges intelligencia kapcsolatában a kiberbiztonságban. Ahelyett, hogy egymás ellen állítaná a rendszereket, a Mozilla egy olyan modellt szorgalmaz, amelyben a fejlett eszközök kibővítik a biztonsági csapatok képességeit anélkül, hogy helyettesítenék ítélőképességüket vagy tapasztalatukat.
A szervezet Claude Mythos-t egyfajtaként írja le fáradhatatlan biztonsági kutatóképes nagy mennyiségű kód áttekintésére, sérülékenység-kihasználási javaslatok feltevésére és kockázati minták azonosítására. Emellett az emberi szakemberek felelősek a priorizálásért, a megerősítésért, a javításért és a végső termékbe bevezetendő változtatások eldöntéséért.
Ennek az együttműködésen alapuló jövőképnek közvetlen következményei vannak az európai kiberbiztonsági piacra, ahol már most is működnek olyan vállalatok és kutatóközpontok, amelyek… Kódellenőrzésekhez, kártevő-elemzéshez vagy behatolásészleléshez kísérleteznek a mesterséges intelligenciával.Ha a Mozilla eredményeit más projektekben is megismétlik, akkor a kritikus hibákra adott reakcióidők lerövidülhetnek, és a túlterhelt biztonsági csapatokra nehezedő nyomás legalább részben csökkenhet.
Ugyanakkor az Anthropic és a Mozilla tapasztalatai egyértelművé teszik a következők fontosságát: Értékelje újra az AI-modellek teljesítményének mérésére használt módszereket biztonsági feladatokban. Maga az Anthropic is elismerte, hogy számos jelenlegi benchmark már nem felelt meg a legújabb rendszereinek valós képességeinek felmérésében, ami igényesebb és reprezentatívabb tesztek kidolgozását teszi szükségessé.
Ha van valami, amiben a Mozilla és az Anthropic is egyetért, az az, hogy egyelőre... Az emberi ítélőképességet semmi sem helyettesítheti teljesen a kockázatkezelésben. A mesterséges intelligencia felgyorsítja és kiterjeszti a problémák keresését, de a megoldás mibenlétének, módjának és ütemtervének eldöntése továbbra is a csapatoktól függ, akiknek egyensúlyt kell teremteniük a biztonság, a felhasználói hatás és a rendelkezésre álló erőforrások között.
Minden arra utal, hogy a Firefox 150 megjelenése, amely Claude Mythos által jelzett 271 sebezhetőség javításait tartalmazza, arra a pillanatra emlékeztet, amikor A kiberbiztonság komoly lépést tett az intelligens automatizálás felé.A Mozilla böngészője így esettanulmányként szolgál arra vonatkozóan, hogyan lehet a magas szintű mesterséges intelligenciát integrálni egy kritikus termék fejlesztési és karbantartási életciklusába anélkül, hogy szem elől tévesztenék a kapcsolódó kockázatokat vagy a szoros emberi felügyelet szükségességét. A spanyol és európai felhasználók, fejlesztők és politikai döntéshozók számára a tanulság egyértelmű: a mesterséges intelligencia már nem csupán egy futurisztikus koncepció, hanem egy olyan eszköz, amely kezdi újra egyensúlyba hozni a mérleget egy olyan csatában, amely évtizedekig a támadók javára billent.
