Los mitos de Anthropic forzarán un ajuste de cuentas en materia de ciberseguridad, pero no el que usted cree

antropico dijo esto semana en que el debut de su nuevo modelo Claude Mythos Preview marca un momento crítico en la evolución de la ciberseguridad, representando una amenaza existencial sin precedentes para las estrategias de defensa de software existentes. Entonces, ¿se trata más de una exageración sobre la IA o de un verdadero punto de inflexión?

Según Anthropic, Mythos Preview cruza un umbral de capacidades para descubrir vulnerabilidades en prácticamente todos y cada uno de los sistemas operativos, navegadores u otros productos de software y desarrollar de forma autónoma exploits funcionales para piratería. Con esto en mente, la compañía solo está lanzando el nuevo modelo a unas pocas docenas de organizaciones por ahora, incluidas Microsoft, Apple, Google y la Fundación Linux, como parte de un consorcio denominado Proyecto Glasswing. Pero después de años de especulaciones sobre cómo la IA generativa podría afectar la ciberseguridad, las noticias de esta semana encendieron la controversia sobre si realmente se ha llegado a un ajuste de cuentas y cómo podría verse en la práctica.

Algunos se muestran extremadamente escépticos ante las afirmaciones de Anthropic. Sostienen que los agentes de IA existentes ya pueden ayudar a los usuarios a encontrar y explotar vulnerabilidades de manera mucho más fácil y económica que nunca, y que esta realidad está impulsando mejoras en la forma en que las empresas descubren y parchean su software sin cambiar fundamentalmente el paradigma. Y luego está el factor repugnante de que Anthropic casi seguramente se beneficiará financieramente al posicionar su último modelo como misterioso, excepcionalmente poderoso y exclusivo. Otros investigadores y profesionales, sin embargo, dicen que están de acuerdo con la evaluación de Anthropic y señalan que la compañía ha dicho que Mythos Preview es sólo el primero en lograr capacidades que en última instancia estarán ampliamente disponibles en otros modelos.

"Normalmente soy muy escéptico sobre estas cosas, y la comunidad de código abierto tiende a ser muy escéptica, pero fundamentalmente siento que esto es una amenaza real", dice Alex Zenla, director de tecnología de la firma de seguridad en la nube Edera.

Zenla y otros señalan específicamente una capacidad de Mythos Preview como punto de pivote. Dicen que la IA generativa se está volviendo más capaz de identificar y desarrollar lo que se conoce como “cadenas de explotación”, o grupos de vulnerabilidades que pueden explotarse en secuencia para comprometer profundamente a un objetivo (esencialmente el hackeo al estilo de las máquinas de Rube Goldberg). Muchas de las técnicas de piratería más sofisticadas emplean cadenas de exploits, incluidos los llamados ataques de clic cero que comprometen un sistema sin requerir ninguna interacción por parte del usuario.

"Ya vivimos en un mundo donde las empresas ejecutan software y hardware vulnerables y tienen dificultades para aplicar parches. Muchas empresas no son capaces de proteger su infraestructura; eso no ha cambiado realmente de ayer a hoy", dice Niels Provos, ingeniero e investigador de seguridad desde hace mucho tiempo. "Pero por lo que tengo entendido, Mythos es realmente bueno para encontrar vulnerabilidades de múltiples etapas y luego también proporciona la prueba de explotación. No creo que cambie intrínsecamente el espacio del problema, pero sí cambia el nivel de habilidad requerido para encontrar estas vulnerabilidades y explotarlas".

Un lanzamiento limitado de Mythos Preview para los participantes del Proyecto Glasswing solo les da a los defensores un pequeño tiempo para encontrar debilidades en sus propios sistemas usando el modelo y comenzar a lidiar de manera más amplia con cómo el desarrollo de software, los ciclos de actualización y la adopción de parches deben cambiar antes de que los atacantes tengan un acceso generalizado a tales capacidades.

Los líderes de la industria parecen estar prestando atención a la advertencia. El líder del equipo rojo fronterizo de Anthropic, Logan Graham, dijo a WIRED el martes que a medida que la compañía contactó a las organizaciones sobre el Proyecto Glasswing antes del anuncio de esta semana, las llamadas telefónicas se hicieron cada vez más cortas porque la amenaza potencial se estaba volviendo más obvia.

"Este es un tema que involucra a todos los desarrolladores de modelos. Nuestro objetivo aquí es simplemente comenzar", dijo Graham. "Es realmente importante que Mythos Preview llegue a manos de los defensores para darles una ventaja".