Federalny CIO sceptyczny wobec modelu Mythos od Anthropic mimo planowanej implementacji

Federalny Dyrektor ds. Informacji Greg Barbaccia zapowiedział, że rząd USA podchodzi do modelu Mythos firmy Anthropic z umiarkowanymi oczekiwaniami. Podczas spotkania Workday Federal Forum podkreślił zarówno możliwości modelu w zakresie wzmacniania cyberobrony, jak i istotne wyzwania związane z jego wdrożeniem w realnych warunkach rządowych sieci.

Barbaccia przyznał, że jego bezpośrednia znajomość modelu Mythos ogranicza się do testów i ocen benchmarkowych. Obecnie żadna agencja federalna nie wdrożyła jeszcze tego rozwiązania. Choć Biuro Narodowego Dyrektora ds. Cyberbezpieczeństwa koordynuje podejście rządu do AI w cyberbezpieczeństwie, jego ocena kierunku rozwoju tej technologii była jednoznaczna: „Wkrótce osiągniemy etap, w którym AI będzie w stanie dorównać w obronie. Musimy dojść do punktu, w którym boty będą wykrywać inne boty”.

Na początku miesiąca Barbaccia wysłał wiadomość do agencji rządowych, informując, że Urząd Zarządzania i Budżetu rozpoczął przygotowania do kontrolowanego wdrożenia modelu Mythos w federalnych instytucjach. Jego podejście odzwierciedla pogląd, że te same zdolności, które czynią Mythos potencjalnym zagrożeniem ofensywnym, mogą być cenne w obronie.

Anthropic poinformowało, że podczas testów model zidentyfikował tysiące nieznanych wcześniej, krytycznych luk w zabezpieczeniach w głównych systemach operacyjnych i przeglądarkach internetowych – wiele z nich istniało od dziesięcioleci. Dla federalnych zespołów ds. bezpieczeństwa kluczowe pytanie brzmi nie tyle, czy te możliwości są realne, ale czy sprawdzą się w złożonych, chronionych sieciach agencji rządowych.

Barbaccia nie ukrywał, że istnieje luka między testami laboratoryjnymi a rzeczywistością: „Myślę, że model podniesie poziom umiejętności, czyniąc niedoświadczonych operatorów cyberbezpieczeństwa bardziej efektywnymi. Ale wciąż nie wiadomo, jak sprawdzi się w realnych warunkach, czyli w sieci chronionej przez ludzkich obrońców i wyposażonej w systemy alertowania”. Jak dodał, dotychczasowe oceny opierają się głównie na wynikach laboratoryjnych.

To rozróżnienie ma kluczowe znaczenie dla federalnych zespołów ds. bezpieczeństwa, które muszą ocenić, jak podejść do modelu Mythos. Znalezienie luki a jej skuteczne wykorzystanie w chronionej sieci to dwa zupełnie różne wyzwania. Barbaccia wskazał na katalog CVE – rządową listę znanych luk w oprogramowaniu – jako obszar, w którym szybkość modelu mogłaby mieć praktyczne zastosowanie. Analiza takiego katalogu przez człowieka zajmuje dużo czasu, podczas gdy model taki jak Mythos mógłby przebrnąć przez niego znacznie szybciej.

Jednak szybkość sama w sobie nie decyduje o realnym zagrożeniu. Jak wyjaśnił Barbaccia: „Istnieje różnica między luką, którą można wykorzystać w 4-nanosekundowym oknie podczas uruchamiania BIOS-u, a rzeczywistością jej eksploatacji w świecie rzeczywistym. Musimy zrozumieć, podobnie jak przy zabezpieczaniu całej powierzchni zagrożeń, gdzie znajdują się nasze najcenniejsze aktywa i jak je chronić, aby ochrona była adekwatna do wartości tego, co chronimy”.

Takie podejście jest znane federalnym obrońcom sieci, którzy działają w warunkach ograniczonych zasobów i muszą priorytetyzować, które luki należy naprawić w pierwszej kolejności. Mythos potencjalnie zmienia reguły gry, przyspieszając ten proces triage’u.