Anthropic lancia il Project Glasswing: Claude Mythos trova migliaia di zero-day in ogni sistema operativo e browser
Anthropic ha annunciato il Project Glasswing, una nuova iniziativa di sicurezza offensivo-difensiva che riunisce alcune delle maggiori aziende tecnologiche mondiali attorno a un modello di intelligenza artificiale inedito, chiamato Claude Mythos Preview, capace di individuare autonomamente vulnerabilità critiche in software ampiamente diffusi a livello globale.
Il progetto coinvolge Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, NVIDIA e Palo Alto Networks, oltre ad Anthropic stessa, con l’obiettivo dichiarato di mettere le capacità offensive dell’IA al servizio della difesa delle infrastrutture software più critiche al mondo.
Claude Mythos, un modello che supera i revisori umani
Claude Mythos Preview è una versione frontier non ancora rilasciata al pubblico. Secondo quanto documentato da Anthropic, il modello ha già identificato migliaia di vulnerabilità zero-day ad alta severità in ogni principale sistema operativo e in ogni principale browser, oltre che in altri sistemi software rilevanti. Tre esempi concreti, già corretti dai rispettivi maintainer, illustrano la portata delle capacità del modello.
Il primo riguarda OpenBSD, sistema operativo noto per il suo orientamento alla sicurezza e utilizzato per la gestione di firewall e infrastrutture critiche: Mythos Preview ha individuato una vulnerabilità vecchia di 27 anni che avrebbe consentito a un attaccante remoto di mandare in crash qualsiasi macchina che eseguisse il sistema operativo semplicemente connettendosi ad essa.
Il secondo caso riguarda FFmpeg, libreria utilizzata da un numero elevatissimo di applicazioni per la codifica e la decodifica video: il modello ha trovato una falla presente da 16 anni in una riga di codice che gli strumenti di testing automatizzato avevano analizzato cinque milioni di volte senza mai rilevarla.
Il terzo esempio, forse il più significativo dal punto di vista della minaccia, riguarda il kernel Linux, il software che alimenta la maggior parte dei server mondiali: Mythos Preview ha individuato e concatenato in modo autonomo più vulnerabilità per consentire a un attaccante di scalare da un accesso utente ordinario al controllo completo della macchina, senza alcuna guida umana dopo il prompt iniziale.
Capacità emergenti, non addestrate
Un elemento di particolare rilievo evidenziato da Anthropic è che queste capacità non sono state introdotte deliberatamente nel modello attraverso un addestramento specifico sulla sicurezza informatica. Si tratta, invece, di capacità emerse come conseguenza indiretta dei progressi generali nelle abilità di coding, ragionamento e autonomia del modello. Sul benchmark CyberGym, Claude Mythos Preview raggiunge l’83,1% nella riproduzione di vulnerabilità note, contro il 66,6% del precedente Claude Opus 4.6.
Anthropic, accesso controllato e impegno economico
Proprio perché le stesse capacità che rendono il modello prezioso per i difensori potrebbero essere sfruttate da attori malevoli, Anthropic ha scelto di non renderlo disponibile al pubblico generale. L’accesso è stato esteso a un gruppo di oltre 40 organizzazioni che sviluppano o gestiscono infrastrutture software critiche. Anthropic ha stanziato fino a 100 milioni di dollari in crediti di utilizzo per Mythos Preview nell’ambito del progetto, oltre a 4 milioni di dollari in donazioni dirette a organizzazioni dedicate alla sicurezza open source.
Project Glasswing, un cambio di paradigma per la difesa cibernetica
Il Project Glasswing si inserisce in un contesto in cui i costi globali della criminalità informatica sono stimati intorno ai 500 miliardi di dollari annui. L’iniziativa rappresenta un tentativo esplicito di dare ai difensori un vantaggio strutturale in un’era in cui le capacità offensive potenziate dall’intelligenza artificiale sono destinate a proliferare rapidamente, anche al di là degli attori impegnati a utilizzarle in modo responsabile. Come ha sottolineato Anthropic nella documentazione di lancio, nessuna organizzazione può affrontare da sola questi problemi: sviluppatori di modelli frontier, aziende software, ricercatori di sicurezza, maintainer open source e governi hanno tutti un ruolo essenziale da svolgere.
Fonte primaria: anthropic.com/glasswing
