Модель Claude Mythos от Anthropic привлекла внимание руководства компаний к управлению уязвимостями еще в начале этого года, и дискуссии вокруг нее продолжают развиваться. В прессе то и дело появляются новые материалы, активно обсуждается то, как ИИ меняет все аспекты кибербезопасности.
За месяцы, прошедшие с момента первоначального выпуска Mythos Preview, произошло несколько изменений в том, что умеет Mythos и кто имеет к нему доступ. Но что это на самом деле означает для вашей программы управления уязвимостями?
Более мощная модель, более широкий доступ
В сентябре компания Anthropic выпустила Claude Mythos 5.1, которую она называет моделью с самыми сильными возможностями в сфере кибербезопасности среди всех ранее представленных. Mythos 5.1 построена на той же базовой модели, что и общедоступная Fable 5.1, но с другими средствами защиты. Затем, в октябре, проект Glasswing — программу раннего доступа, которая предоставляла избранным операторам критической инфраструктуры и отраслевым партнерам доступ к Mythos — объединили в расширенную многоуровневую Cyber Verification Program (CVP). Обновленная программа CVP охватывает весь спектр задач: от повседневной защиты до работы с критической инфраструктурой наивысшей степени важности.
Это означает, что по сравнению с моментом запуска, обнаружение уязвимостей на скорости машины, которое раньше было ограничено узким кругом лиц, станет доступно более широкому кругу защитников. По данным Anthropic, партнеры по программе Glasswing в период с апреля по июль обнаружили более 129 000 проверенных уязвимостей, из которых более 33 000 имели критический или высокий уровень опасности. Больший доступ к средствам обнаружения класса Mythos вроде бы должен означать, что уязвимости будут находиться быстрее и в больших масштабах во многих организациях. Хотя это так, эта внушительная цифра — лишь часть картины.
Обнаружение и эксплуатация — это не одно и то же
В своем анонсе Anthropic отметила, что общедоступная Fable 5.1 теперь может использоваться для поиска уязвимостей в программном обеспечении, но явно не для разработки эксплойтов к ним. Действия, которые могут быть использованы в злонамеренных целях (тестирование на проникновение, создание эксплойтов и т. д.), перенаправляются на менее мощные модели. Тот же принцип разделения применяется и к Mythos. Три уровня доступа CVP ограждают тестирование на проникновение и работу Red Team стеной из двух самых высоких и тщательно проверяемых уровней.
Таким образом, хотя более широкий доступ к возможностям класса Mythos означает более широкий доступ к быстрому поиску проблем, сам по себе он не означает более широкий доступ к атакам на что-либо. Кроме того, Mythos по-прежнему не находится в общем доступе: доступ предоставляется через проверенные организации в рамках CVP, поэтому злоумышленники не могут получить его напрямую.
Это не значит, что автоматизированные атаки не происходят, но это отдельное направление развития, а не то, что связано конкретно с Mythos. Если валить все риски агентного ИИ в одну кучу, можно упустить из виду реальные источники угроз.
Суть управления уязвимостями не изменилась
Многие материалы о Mythos создают ощущение большей угрозы, чем есть на самом деле. Хотя этот инструмент значительно ускоряет поиск уязвимостей, ни одна команда безопасности не патчила все известные CVE даже до появления Mythos. Использование ИИ-агентов для защиты может повысить скорость и масштаб работы команд, но главным отличительным фактором по-прежнему остается умение определять, какие уязвимости находятся в активных, загруженных пакетах, доступны для атаки и создают реальный риск, а какие являются «шумом» с высоким баллом CVSS.
Эксплойты тоже создаются все быстрее. В компании Mandiant среднее время до создания эксплойта теперь оценивают в минус семь дней, что означает: эксплуатация начинается еще до того, как уязвимость будет официально раскрыта. Это делает еще более важным выстраивание программы управления уязвимостями на основе ключевых принципов.
Основы управления уязвимостями становятся еще важнее в эпоху поиска с помощью ИИ:
- Сканируйте и обнаруживайте все в едином месте, включая как CVE, так и уязвимости без CVE.
- Расставляйте приоритеты по принципу того, что реально используется и уязвимо для атак, а не только по высоким баллам.
- Автоматизируйте устранение уязвимостей у источника вместо того, чтобы исправлять каждый дочерний экземпляр по отдельности.
- Рассматривайте безопасность времени выполнения как защитную сетку для всего, что остается уязвимым.
Этот план реагирования на уязвимости не подлежит перезаписи только потому, что обнаружение стало происходить быстрее. Агентный ИИ также может использоваться на вашей стороне, автоматизируя и ускоряя каждый из этих шагов и помогая справляться с огромным объемом находок. Вам не нужно воспринимать каждый заголовок о Mythos как кризис или перестраивать свою программу каждый раз, когда зона доступа снова расширяется.
/)
