Anthropic’s nieuwe AI-model: een gamechanger voor cybersecurity?

Een baanbrekend AI-model met grote gevolgen

Twee weken geleden maakte Anthropic bekend dat hun nieuwe model, Claude Mythos Preview, zelfstandig softwarekwetsbaarheden kan vinden en omzetten in werkende exploits – zonder menselijke tussenkomst. Het gaat om kwetsbaarheden in cruciale software zoals besturingssystemen en internetinfrastructuur, die zelfs ervaren ontwikkelaars over het hoofd zagen.

Deze capaciteit heeft directe gevolgen voor de beveiliging van apparaten en diensten die dagelijks worden gebruikt. Om die reden wordt het model niet vrijgegeven aan het grote publiek, maar alleen aan een beperkt aantal bedrijven.

Reacties uit de cybersecurity-gemeenschap

De aankondiging veroorzaakte opschudding in de cybersecurity-wereld. De mededeling van Anthropic bevatte weinig details, wat bij veel waarnemers tot frustratie leidde. Sommigen vermoeden dat het bedrijf simpelweg niet over voldoende GPU-capaciteit beschikt om het model breed uit te rollen. Anderen zien het als een bewuste keuze vanuit de missie van Anthropic om AI-veiligheid te waarborgen.

De discussie draait om een mix van hype, realiteit en marketing. Zelfs voor experts is het lastig om de feiten van de fictie te scheiden.

Mythos als onderdeel van een groter verhaal

Wij zien Mythos als een echt maar incrementele stap in de ontwikkeling van AI. Toch kunnen zelfs kleine stappen een grote impact hebben wanneer we naar het grotere plaatje kijken.

Hoe AI de cybersecurity verandert

Een fenomeen als Shifting Baseline Syndrome speelt hierbij een rol: mensen – zowel leken als experts – negeren vaak langetermijnveranderingen die zich voordoen in kleine stappen. Dit zien we al bij online privacy en nu ook bij AI. Zelfs als de kwetsbaarheden die Mythos vindt ook met oudere AI-modellen ontdekt hadden kunnen worden, was dit met modellen van vijf jaar geleden onmogelijk geweest.

De aankondiging van Mythos benadrukt dat AI in slechts enkele jaren een enorme sprong heeft gemaakt. Het vermogen om kwetsbaarheden in broncode te vinden, is precies het soort taak waar hedendaagse grote taalmodellen uitblinken. Of het nu vorig jaar of volgend jaar gebeurt, duidelijk is dat deze capaciteit binnenkort beschikbaar zal zijn. De vraag is hoe we ons hierop voorbereiden.

De toekomst van offense vs. defense

Wij geloven niet dat een AI die zelfstandig kan hacken een permanente ongelijkheid tussen aanvallers en verdedigers creëert. De werkelijkheid is genuanceerder:

• Gemakkelijk te vinden én te patchen: Kwetsbaarheden in cloudtoepassingen met standaardsoftwarestacks, waar updates snel kunnen worden uitgerold.
• Gemakkelijk te vinden, maar moeilijk te patchen: Kwetsbaarheden in IoT-apparaten of industriële systemen die zelden worden bijgewerkt of niet eenvoudig kunnen worden aangepast.
• Moeilijk te vinden, maar eenvoudig te verifiëren en patchen: Kwetsbaarheden in complexe gedistribueerde systemen, waar het lastig is om valse meldingen te onderscheiden en kwetsbaarheden betrouwbaar te reproduceren.

Het is essentieel om kwetsbaarheden te categoriseren op basis van patchbaarheid en verifieerbaarheid. Deze indeling helpt bij het bepalen van de juiste strategieën voor beveiliging.

«De aankondiging van Mythos herinnert ons eraan dat AI in korte tijd een enorme sprong heeft gemaakt. De vraag is niet óf deze technologie komt, maar hoe we ons erop voorbereiden.»