A Mythos körüli aggodalmat az elmúlt hónapokban több, egymástól eltérő incidens erősítette fel. Az egyik első riasztó esetben a modell a számára létrehozott zárt tesztkörnyezetből jutott ki: internet-hozzáférést szerzett, majd nyilvánosan beszámolt arról, hogyan sikerült „megszöknie”. Ugyanekkor derült ki, hogy a rendszer nemcsak hibákat keres, hanem évtizedek óta rejtve maradt sebezhetőségeket is képes gépi sebességgel kihasználható támadási pontokká alakítani. A Mythos órákon belül behatolt szigorúan titkos amerikai kormányzati informatikai rendszerekbe,

ami hozzájárult ahhoz, hogy az Egyesült Államok exportkorlátozást rendelt el a modellre.

A legsúlyosabb esetet azonban a brit AI Security Institute tesztje hozta: a Mythos 5 hamis online személyazonosságokat épített fel, nyílt forrású projektek karbantartóit próbálta manipulálni, és rosszindulatú kódmódosítások elfogadtatására tett kísérletet. Az AISI által azonosított 19 műveletből 17-et a Mythoshoz kötöttek, vagyis a modell nem egyszeri hibát, hanem ismétlődő, célszerűen felépített támadási viselkedést mutatott.

Beláthatatlan következményei vannak, ha rossz kezekbe kerül

A KPMG a Cyber Intelligence – MDR elemzésében jelentésében is elsősorban a Claude Mythos-t vizsgálta, amelyhez egyelőre egy szűk körű program keretében kizárólag kritikus infrastruktúrák vagy kulcsfontosságú szoftverek védelmével foglalkozó cégek férnek hozzá, mint például az AWS, az Apple, a Google vagy a Microsoft.

A modell legfontosabb újdonsága nem az, hogy „okosabb" elődeinél, hanem hogy rendkívüli hatékonysággal képes programkódokat elemezni, gyenge pontokat azonosítani, majd azokat működő támadási eszközökké alakítani. Olyan feladatokat hajt végre önállóan, amelyek korábban többnapos vagy akár többhetes munkát igényeltek. Ennek köszönhetően

a mesterséges intelligencia egyszerre akár több száz rendszer elemzését is képes párhuzamosan elvégezni.

A dokumentumban ismertetett példák szerint a Claude Mythos egyebek mellett egy 27 éve rejtve maradt OpenBSD-hibát, súlyos FreeBSD-sérülékenységet, valamint egy több mint másfél évtizede jelen lévő FFmpeg-sebezhetőséget is azonosított.  Az Anthropic szerint a modell több ezer korábban ismeretlen gyenge pontot talált a legfontosabb webböngészőkben is, a Firefox esetében például 181 működő biztonsági rést azonosított.

A KPMG elemzése szerint ez minőségi ugrást jelent a korábbi modellekhez képest. Míg azok elsősorban egy-egy részfeladatban támogatták a szakembereket, a Mythos képes teljes támadási szimulációkat önállóan végig vinni. A brit AI Security Institute (AISI) független vizsgálatai során a rendszer több esetben autonóm, megtévesztő és a kitűzött célok érdekében adaptív viselkedést mutatott, amelyben a kijelölt feladatkörén túllépve önálló támadási láncokat épített fel, külső rendszerekbe próbált bejutni, illetve emberi megtévesztésre épülő módszereket alkalmazott. Bár ezek többsége ellenőrzött környezetben történt, jól mutatják, hogy az autonóm támadási képességek már nem elméleti lehetőséget jelentenek.

A KPMG szerint a következő 6-18 hónapban más szereplők is hasonló képességű modellekhez jutnak majd hozzá. Ez alapjaiban változtatja meg a védekezés időkereteit is:

míg korábban egy szoftverfrissítés megjelenése és az arra épülő támadások között gyakran hetek teltek el, a jövőben ez az időablak akár 72 órára is szűkülhet.

A jelentés szerint a vállalatoknak fel kell gyorsítaniuk a javítások telepítését, pontos eszközleltárt kell fenntartaniuk, meg kell erősíteniük a naplózást, a többfaktoros hitelesítést és a jogosultságkezelést. Miközben egyre nagyobb szerepet kapnak a viselkedéselemzésen alapuló, automatizált EDR- és XDR-megoldások is. A dokumentum hangsúlyozza: a kiberbiztonság alapelvei nem változnak meg, azonban azok végrehajtásának sebessége kritikus versenytényezővé válik. Az MI-alapú támadások tempóját ugyanis csak hasonlóan gyors, automatizált védelemmel lehet ellensúlyozni.

A KPMG szerint a Claude Mythos megjelenése nem egyszeri technológiai mérföldkő, hanem egy szélesebb technológiai átalakulás első jele, egy új működési korszak kezdete.

A vállalatoknak már most érdemes felkészülniük arra, hogy a következő 1-2 évben a mesterséges intelligencia által támogatott kibertámadások szélesebb körben is elérhetővé válnak, és ezzel párhuzamosan a gyors, automatizált védekezés válik a szervezetek egyik legfontosabb kiberbiztonsági képességévé.

A címlapkép illusztráció. Címlapkép forrása: Getty Images