Il CERT-In usa Mythos di Anthropic, modello non ancora rilasciato, per trovare falle nel software

L'agenzia indiana per la cybersicurezza, l'Indian Computer Emergency Response Team, ha ottenuto l'accesso a Mythos, il modello di intelligenza artificiale di Anthropic non ancora rilasciato. Lo hanno riferito fonti governative a CNBC-TV18. Il CERT-In usa il modello per individuare punti deboli nei sistemi vulnerabili e per consigliare le correzioni da applicare, hanno detto le fonti.

L'accesso dà al CERT-In uno strumento che CNBC-TV18 descrive come particolarmente avanzato nell'individuare vulnerabilità informatiche. Comporta anche la condivisione con una piattaforma cloud di informazioni sensibili su sistemi potenzialmente critici, un rischio che il servizio mette in evidenza.

L'accesso via cloud solleva dubbi sui dati

Secondo il servizio, la disponibilità del modello tramite cloud ha destato preoccupazione nel governo. I funzionari sono cauti nel trasmettere informazioni sensibili a piattaforme cloud, visti i rischi legati alla condivisione di dati su sistemi potenzialmente critici.

Per un team nazionale di risposta agli incidenti informatici la questione dei dati è operativa. I sistemi che il CERT-In esamina possono essere critici, e le informazioni che condivide con una piattaforma cloud possono rivelarne i punti deboli. YourStory ha scritto che i team di sicurezza trattano abitualmente codice sorgente riservato, log di rete e rapporti sugli incidenti, e che inviare questi materiali a piattaforme esterne può sollevare problemi di riservatezza, di accesso e di conformità alle norme.

Il CERT-In non si affida solo a Mythos. L'agenzia usa anche diversi altri modelli di intelligenza artificiale per individuare le vulnerabilità dei sistemi, e questi modelli arrivano a circa l'80-85% delle capacità offerte da Mythos, hanno detto le fonti governative al servizio. Usare più modelli può aiutare l'agenzia a trovare le lacune di sicurezza limitando i dubbi su come vengono gestite le informazioni sensibili. L'impiego di Mythos tramite cloud resta un nodo centrale.

Accesso limitato attraverso Project Glasswing

Mythos non è stato rilasciato e Anthropic ne ha concesso l'accesso a un numero ristretto di organizzazioni e agenzie attraverso Project Glasswing, secondo CNBC-TV18. L'iniziativa punta a trovare e correggere i punti deboli nei sistemi informatici critici. Serve ad aiutare chi partecipa a individuare le falle prima che attori malevoli possano sfruttarle. Il modello non è disponibile al pubblico.

Il dato dell'80-85% significa che gli altri modelli coprono gran parte delle capacità di Mythos, ma non tutte. La differenza conta se Mythos riesce a trovare falle che gli altri modelli non vedono. Mistral AI ha pubblicato i pesi del suo modello di cybersicurezza Large 4, così che le organizzazioni possano scaricarlo ed eseguirlo nella propria infrastruttura, ha riferito YourStory: un approccio che dà maggiore controllo su dove gira l'intelligenza artificiale e su come vengono trattati i dati. Richiede comunque competenze tecniche e processi di sicurezza per essere gestito in modo efficace.

Per il CERT-In il compito immediato è circoscritto: usare Mythos per trovare i punti deboli e consigliare le correzioni, valutando al tempo stesso se l'accesso via cloud sia accettabile per i sistemi che esamina.