Føderal CIO er forsiktig med AI-modellen Mythos – men planlegger utprøving

Den amerikanske føderale CIO-en Greg Barbaccia er forsiktig optimistisk når det gjelder AI-modellen Mythos fra selskapet Anthropic. Under en konferanse tirsdag uttalte han at myndighetene vurderer modellen med klare forventninger, samtidig som de erkjenner både dens muligheter og de betydelige usikkerhetene knyttet til hvordan den vil fungere i praksis.

Barbaccia har til nå kun hatt indirekte erfaring med Mythos gjennom evalueringer og benchmark-tester. Ingen føderale etater har tatt i bruk modellen ennå. Likevel understreker han at arbeidet med å integrere AI i cybersikkerhetsarbeidet er i full gang.

«Vi nærmer oss snart en tid der AI-basert forsvar vil kunne henge med i utviklingen,» sa Barbaccia til CyberScoop under Workday Federal Forum, arrangert av Scoop News Group. «Vi må komme dit hvor botene finner botene.»

Tidligere denne måneden sendte Barbaccia ut en e-post til departementene for å informere om at Office of Management and Budget nå legger til rette for en kontrollert utprøving av modellen i føderale etater. Han peker på at de samme egenskapene som gjør Mythos til et potensielt offensivt våpen, også kan være avgjørende for forsvaret.

Anthropic har tidligere opplyst at modellen har identifisert tusenvis av ukjente, kritiske sårbarheter i store operativsystemer og nettlesere under testing – mange av dem flere tiår gamle. Spørsmålet for føderale sikkerhetsteam er imidlertid ikke om disse evnene er reelle, men om de fungerer like godt i komplekse, beskyttede nettverk som de amerikanske myndighetene faktisk bruker.

Barbaccia var åpen om denne utfordringen. «Jeg tror modellen vil heve kompetansenivået og gjøre mindre erfarne cybersikkerhetseksperter mer effektive,» sa han. «Men vi vet fortsatt ikke hvor effektiv den vil være mot reelle trusselmiljøer – altså nettverk som er beskyttet av menneskelige forsvarere og har varslingssystemer på plass.» Evalueringene han har sett, er så langt basert på laboratorietester.

Denne distinksjonen er avgjørende for føderale sikkerhetsteam som vurderer hvordan de skal forholde seg til modellen. Å identifisere en sårbarhet og å utnytte den i et beskyttet miljø, er to svært forskjellige problemer. Barbaccia trakk frem CVE-katalogen, den amerikanske regjeringens oversikt over kjente programvarefeil, som et område der Mythos potensielt kan ha stor verdi. En menneskelig analytiker ville brukt betydelig tid på å gjennomgå slike lister, mens en modell som Mythos kan gjøre det langt raskere.

Men hastighet alene avgjør ikke om en sårbarhet utgjør en reell trussel. «Det er forskjell på noe som kan utnyttes i et 4-nanosekunders vindu under en BIOS-oppstart, og hva som faktisk blir utnyttet i den virkelige verden,» forklarte han. «Vi må forstå, akkurat som når vi sikrer hele trusseloverflaten, hvor de mest kritiske verdiene befinner seg. Og hvordan vi beskytter dem på en måte som er verdt innsatsen.»

Denne tilnærmingen er kjent for føderale nettverksforsvarere, som opererer under strenge ressursbegrensninger og må prioritere hvilke sårbarheter de skal håndtere først. Mythos kan potensielt endre hastigheten på denne prioriteringen – men bare hvis den viser seg å fungere i reelle trusselmiljøer.