Mozilla utilizó los mitos de Anthropic para encontrar y corregir 271 errores en Firefox

En medio de una rabia debate sobre el impacto que tendrán los nuevos modelos de IA en la ciberseguridad, Mozilla dijo el martes que su navegador Firefox 150 lanzado esta semana incluye protecciones para 271 vulnerabilidades identificadas mediante el acceso anticipado a Mythos Preview de Anthropic. El equipo de Firefox dice que ha sido necesario recursos y disciplina para adaptarse a la manga de errores que las nuevas herramientas de IA pueden descubrir, pero que este gran ascenso es necesario para la seguridad de los usuarios de Mozilla, dado que las capacidades estarán inevitablemente en manos de los atacantes en breve.

Tanto Anthropic como OpenAI han anunciado nuevos modelos de IA en las últimas semanas que las empresas dicen tener capacidades avanzadas de ciberseguridad que podrían representar un punto de inflexión en la forma en que los defensores y, sobre todo, los atacantes, encuentran vulnerabilidades y configuraciones incorrectas en los sistemas de software. Con esto en mente, las empresas hasta ahora sólo han hecho publicaciones privadas limitadas de sus nuevos modelos, y ambas también han convocado a grupos de trabajo del sector para evaluar los avances y elaborar estrategias. Sin embargo, en la práctica los expertos en ciberseguridad tienen un abanico de opiniones sobre lo consecuentes que serán las nuevas capacidades.

La experiencia de Mozilla, al menos a corto plazo, muestra que las herramientas de IA como Mythos Preview podrían tener un profundo impacto para los cazadores de vulnerabilidades.

"Nuestra creencia es que las herramientas han cambiado las cosas de forma espectacular, porque ahora tenemos técnicas automatizadas que pueden cubrir, por lo que podemos decir, todo el espacio de errores que inducen vulnerabilidades", dice Bobby Holley, director de tecnología de Firefox. Durante años, dice, Firefox y otras organizaciones han confiado en una combinación de técnicas automatizadas de investigación de vulnerabilidades, como la fuzzing de software y la búsqueda manual de vulnerabilidades por parte de investigadores internos y externos para encontrar y corregir defectos. Y los atacantes han tenido esas mismas herramientas y métodos a su disposición.

"Había categorías de errores que podría encontrar con el análisis humano que no podría encontrar con el análisis automatizado y, por tanto, siempre era posible si eras un actor de amenazas y estaba dispuesto a gastar muchos millones de dólares para encontrar un error; intentamos aumentar el precio de ello lo más alto posible", dice Holley.

Holley dice ahora que las capacidades emergentes de IA crearán una especie de bootcamp que todo el software tendrá que pasar de una forma u otra para encontrar y solucionar un conjunto de vulnerabilidades latentes en su código. Empresas como Anthropic y OpenAI parecen estar intentando conseguir que tantos jugadores importantes como sea posible pasen por esta revisión antes de que las capacidades estén más ampliamente disponibles.

"Cada pieza de software tendrá que realizar esta transición, porque cada pieza de software tiene muchos errores enterrados bajo la superficie que ahora se pueden descubrir", dice Holley de Firefox. "Este es un momento transitorio que es difícil y requiere un enfoque coordinado y mucha fuerza para superarlo, pero creo que es un momento finito, aunque los modelos se vuelvan más avanzados. Quizás los modelos más avanzados encuentren algunas cosas aquí o allá, pero creo que, al menos por el lado de Firefox, habiendo tenido algo de ventaja aquí, hemos redondeado la corazón".

Holley dice que el equipo de Firefox tuvo acceso a Mythos Preview como parte de la colaboración directa con Anthropic y que Mozilla no forma parte formalmente de su mayor consorcio, llamado Project Glasswing.

Firefox es de código abierto, un tipo de software que, en general, podría verse especialmente afectado por las nuevas capacidades de búsqueda de errores de IA, ya que muchos proyectos de código abierto se utilizan ampliamente y se confían en todo el mundo y, sin embargo, a menudo son mantenidos por un grupo muy reducido de voluntarios o sólo una persona. Y los efectos podrían ser especialmente consecuentes para “abandonware” que ya no se mantiene en absoluto.