پروژه Glasswing: گزارش اول آنتروپیک از امنیت نرم‌افزار با هوش مصنوعی
هوش مصنوعیخلاصهٔ کامل‌تر
آنتروپیک ماه گذشته پروژه Glasswing رو راه‌اندازی کرد — تلاشی مشترک با حدود ۵۰ شریک برای پیدا کردن آسیب‌پذیری‌های امنیتی در مهم‌ترین نرم‌افزارهای زیرساختی جهان، قبل از اینکه مدل‌های هوش مصنوعی قدرتمندتر بتونن علیه این نرم‌افزارها به‌کار گرفته بشن. مدل اصلی این پروژه Claude Mythos Preview هست که هنوز به‌صورت عمومی منتشر نشده.
نتایج اولیه چشمگیره: شرکا در یک ماه بیش از ده‌هزار آسیب‌پذیری با شدت بالا یا بحرانی پیدا کردن. Cloudflare به‌تنهایی ۲۰۰۰ باگ کشف کرده که ۴۰۰ تاش بحرانی یا با شدت بالاست، و نرخ false positive اون (گزارش‌های اشتباه) حتی از تسترهای انسانی هم کمتره. Mozilla هم با Mythos Preview در Firefox 150 بیش از ۲۷۱ آسیب‌پذیری پیدا کرد — ده برابر بیشتر از نسخه قبلی با Claude Opus 4.6.
در کنار پروژه Glasswing، آنتروپیک به‌طور مستقل بیش از ۱۰۰۰ پروژه متن‌باز رو اسکن کرده و Mythos Preview در اون‌ها حدود ۶۲۰۲ آسیب‌پذیری با شدت بالا یا بحرانی تخمین زده. از ۱۷۵۲ موردی که توسط شرکت‌های امنیتی مستقل بررسی شدن، ۹۰.۶٪ واقعی بودن و ۶۲.۴٪ شدت بالا یا بحرانی داشتن. یکی از نمونه‌های مهم، یک آسیب‌پذیری در کتابخونه رمزنگاری wolfSSL بود که در میلیاردها دستگاه استفاده میشه — Mythos Preview یک اکسپلویت (کد بهره‌برداری) ساخت که به مهاجم اجازه می‌داد گواهینامه‌های SSL جعلی برای بانک‌ها یا سرویس‌های ایمیل بسازه.
گلوگاه اصلی دیگه پیدا کردن باگ نیست؛ سرعت تأیید، گزارش‌دهی و رفع آسیب‌پذیری‌هاست که به چالش شده. نگهدارندگان پروژه‌های متن‌باز الان زیر فشار گزارش‌های انبوه هستن و بعضی حتی خواستن آنتروپیک سرعت افشاء رو کم کنه چون وقت کافی برای طراحی پچ ندارن. به‌طور میانگین، رفع یک باگ بحرانی دو هفته طول می‌کشه.
آنتروپیک برای کمک به مدافعان سایبری چند ابزار عملی معرفی کرده: Claude Security (بتا عمومی برای مشتریان Enterprise) که در سه هفته اول بیش از ۲۱۰۰ آسیب‌پذیری رو پچ کرده، Cyber Verification Program که به متخصصان امنیتی اجازه می‌ده بدون محدودیت‌های معمول از مدل‌ها استفاده کنن، و ابزارهای اسکن مشترک با شرکا از جمله threat model builder و harness اتوماسیون.
آنتروپیک صراحتاً می‌گه که مدل‌هایی با قابلیت‌های Mythos به‌زودی توسط شرکت‌های دیگه هم ساخته می‌شن، اما هنوز هیچ شرکتی — از جمله خودشون — محافظ‌های کافی برای جلوگیری از سوءاستفاده نداره. به همین دلیل Mythos هنوز منتشر نشده. پروژه Glasswing قراره به دولت‌های آمریکا و متحدانش هم گسترش پیدا کنه، و انتشار عمومی Mythos منوط به توسعه محافظ‌های قوی‌تره.
نکات کلیدی:
- Claude Mythos Preview در یک ماه بیش از ۱۰,۰۰۰ آسیب‌پذیری بحرانی پیدا کرد
- نرخ صحت یافته‌ها ۹۰.۶٪ بوده — بهتر از تسترهای انسانی
- مشکل اصلی الان رفع باگ‌هاست، نه پیدا کردنشون
- Mythos هنوز عمومی نشده چون محافظ‌های کافی وجود نداره
- Claude Security برای Enterprise منتشر شده و ابزارهای اسکن برای شرکا در دسترسه
- آسیب‌پذیری wolfSSL از نمونه‌های مهم کشف‌شده‌ست که الان پچ شده
