CERT-In używa niewydanego Mythosa od Anthropicu do szukania luk w oprogramowaniu

Indyjska agencja cyberbezpieczeństwa CERT-In (Indian Computer Emergency Response Team) dostała dostęp do niewydanego modelu sztucznej inteligencji Mythos firmy Anthropic, podały źródła rządowe w rozmowie z CNBC-TV18. Jak twierdzą te źródła, agencja używa modelu do wskazywania słabości w podatnych systemach i rekomendowania łatek, które je naprawią.

Dzięki temu CERT-In ma narzędzie, które CNBC-TV18 opisuje jako mające szczególnie zaawansowane możliwości wykrywania podatności. Oznacza to też, że wrażliwe informacje o potencjalnie krytycznych systemach mogą trafić na platformę chmurową. Na ten problem zwraca uwagę raport stacji.

Dostęp przez chmurę budzi obawy o dane

Według raportu dostęp do modelu przez chmurę wzbudził zastrzeżenia w rządzie. Urzędnicy obawiają się wysyłania wrażliwych informacji na platformy chmurowe, biorąc pod uwagę ryzyko związane z udostępnianiem danych o potencjalnie krytycznych systemach.

Dla narodowego zespołu reagowania na incydenty komputerowe kwestia danych jest praktyczna. Systemy, które bada CERT-In, mogą być krytyczne, a informacje przekazane platformie chmurowej mogą ujawnić ich słabe punkty. YourStory podał, że zespoły bezpieczeństwa na co dzień pracują z poufnym kodem źródłowym, logami sieciowymi i raportami o incydentach. Wysyłanie takich materiałów na zewnętrzne platformy może budzić obawy o prywatność, dostęp i zgodność z przepisami.

CERT-In nie opiera się wyłącznie na Mythosie. Agencja korzysta też z kilku innych modeli AI do wykrywania podatności, a modele te dają około 80-85% możliwości Mythosa, powiedziały źródła rządowe cytowane przez stację. Korzystanie z kilku modeli może pomóc agencji znajdować luki w zabezpieczeniach i ograniczać obawy dotyczące obchodzenia się z wrażliwymi informacjami. Wdrożenie Mythosa w chmurze wciąż jest główną kwestią.

Ograniczony dostęp przez Project Glasswing

Mythos nie został wydany. Anthropic udostępnił go w ograniczonym zakresie wybranym organizacjom i agencjom w ramach Project Glasswing, podało CNBC-TV18. Inicjatywa skupia się na znajdowaniu i naprawianiu słabości w krytycznych systemach informatycznych. Ma pomóc uczestnikom wykryć luki, zanim wykorzystają je przestępcy. Model nie jest publicznie dostępny.

Liczba 80-85% oznacza, że inne modele pokrywają większość, ale nie wszystkie możliwości Mythosa. Ten brak ma znaczenie, jeśli Mythos potrafi znaleźć błędy, których pozostałe modele nie widzą. Mistral AI udostępnił wagi swojego modelu cyberbezpieczeństwa Large 4, więc organizacje mogą go pobrać i uruchomić we własnej infrastrukturze, podało YourStory. Takie podejście daje większą kontrolę nad tym, gdzie działa AI i jak traktowane są dane. Wymaga jednak wiedzy technicznej i procesów bezpieczeństwa, żeby działało skutecznie.

Bezpośrednie zadanie CERT-In jest wąskie: użyć Mythosa do znalezienia słabości i wskazania poprawek, a przy tym ocenić, czy dostęp przez chmurę jest do przyjęcia dla systemów, które bada.