印度CERT-In用Anthropic未发布的Mythos模型查找软件漏洞

印度政府消息人士向CNBC-TV18透露，印度网络安全机构印度计算机应急响应小组已获准使用Anthropic尚未发布的人工智能模型Mythos。消息人士称，CERT-In正用该模型查找脆弱系统中的弱点，并提出修补建议。

CNBC-TV18称，这一权限让CERT-In拿到了一款在发现网络安全漏洞方面能力尤为突出的工具。这也意味着，有关潜在关键系统的敏感信息可能需要发送到一个云平台上。报道特别指出了这一顾虑。

云端访问引发数据担忧

报道称，该模型以云端方式提供使用，这在政府内部引起了担忧。官员们对把敏感信息发送到云平台心存戒备，因为共享潜在关键系统的数据本身带有风险。

对一个国家级计算机应急响应小组来说，数据问题是实际操作层面的。CERT-In检查的系统可能是关键系统，它分享给云平台的信息可能暴露弱点。YourStory报道称，安全团队日常要处理机密源代码、网络日志和事件报告。把这类信息发送到外部平台，会在隐私、访问权限和监管合规方面引起担忧。

CERT-In并非只依赖Mythos。消息人士告诉该媒体，该机构还在使用另外几款AI模型检测系统漏洞，这些模型的能力大约相当于Mythos的80%至85%。同时使用多款模型，可以帮助该机构找出安全缺口，同时减少外界对敏感信息处理方式的担忧。Mythos的云端部署仍是核心考量。

通过Project Glasswing获得的有限权限

据CNBC-TV18报道，Mythos尚未发布，Anthropic通过Project Glasswing向部分选定机构和政府部门提供了有限的使用权限。该计划聚焦于发现并修复关键信息技术系统中的弱点，目的是帮助参与方在恶意行为者利用之前找出安全缺陷。该模型并未公开提供。

80%至85%这个数字意味着，其他模型覆盖了Mythos的大部分能力，但不是全部。如果Mythos能发现其他模型漏掉的缺陷，这一差距就很重要。YourStory报道称，Mistral AI已公开其Large 4网络安全模型的权重，机构可以下载并在自己的基础设施内运行。这种做法让人对AI在哪里运行、数据如何处理有更大的控制权。但这一方式仍需技术能力和安全流程才能有效管理。

对CERT-In来说，眼下任务很明确：用Mythos查找弱点并提出修复建议，同时权衡它所检查的系统能否接受云端访问。