Mythos od Anthropic straszy hakerów. Słusznie?

Anthropic odpalił Mythos i natychmiast podzielił środowisko cybersecurity na dwa obozy: tych, którzy widzą w nim superbroń dla hakerów, i tych, którzy uważają, że wszyscy patrzą w złym kierunku.

Mythos jako narzędzie ataku — mit czy realne zagrożenie?

Narracja o AI jako hakerskim kombajnie jest stara jak pierwsze modele językowe zdolne do pisania kodu. Mythos rzeczywiście wykręca lepsze benchmarki w zadaniach związanych z analizą podatności i generowaniem exploitów niż poprzednie modele Anthropic. Jednak eksperci ds. bezpieczeństwa wskazują, że zaawansowany atakujący i tak miał dostęp do narzędzi pozwalających robić to samo — tylko wolniej.

Skala możliwości wzrosła. To fakt. Ale teza, że Mythos demokratyzuje hacking na masową skalę, ignoruje jeden drobiazg: skuteczny atak wymaga nie tylko narzędzia, lecz też celu z luką. A luki tworzy się latami zaniedbań.

Deweloperzy od zawsze traktowali security jako problem na później

To tutaj leży właściwy problem, który Mythos brutalnie obnażył. Środowisko developerskie od dekad wrzuca security na koniec listy priorytetów — za nowe funkcje, za deadline’y, za redukcję długu technicznego. Testy penetracyjne zleca się raz na rok, jeśli w ogóle, a weryfikacja kodu pod kątem podatności to często jeden checkbox w procesie CI/CD.

Experci cytowani przez Wired mówią wprost: Mythos nie stworzył nowych wektorów ataku. On tylko obniżył koszt ich wykorzystania do poziomu, przy którym każda zaniedbana aplikacja staje się łatwym celem. Różnica między wcześniej a teraz to nie jakość ataków, lecz ich potencjalna skala i szybkość.

Model potrafi w minuty przeanalizować publiczne repozytorium kodu, zidentyfikować wzorce sugerujące podatności i wygenerować proof-of-concept exploita. Wcześniej taki proces wymagał godzin pracy doświadczonego pentestera.

Czy branża w końcu przyspieszy z secure-by-design?

Pojawienie się kolejnego modelu AI zdolnego do automatyzacji analizy podatności powinno skończyć z argumentem „nasze systemy są zbyt niszowe, żeby ktoś je atakował”. Mythos nie rozróżnia między startupem z 50 użytkownikami a korporacją z milionem klientów — przetwarza kod z jednakową prędkością w obu przypadkach.

Philosofia secure-by-design, czyli projektowania bezpieczeństwa od pierwszej linii kodu zamiast łatania dziur po fakcie, od lat funkcjonuje jako best practice bez zębów. CISA w USA od 2023 roku aktywnie promuje ten model wśród producentów oprogramowania, ale adopcja jest powolna. Mythos może być tym momentem, który zmieni rachunek kosztów: tańsze okazuje się zaprojektowanie bezpiecznego systemu niż reagowanie na incydent wywołany przez zautomatyzowany atak AI.

Anthropic gra w dwie strony

Antropic jednocześnie sprzedaje Mythos jako narzędzie dla profesjonalnych zespołów red team i deklaruje, że wbudował w model guardrails ograniczające generowanie złośliwego kodu. Historia podobnych deklaracji u innych dostawców AI nie napawa optymizmem — każde ograniczenie dotąd udawało się obejść w ciągu tygodni od premiery.

Firma uruchomiła też program bug bounty rozszerzony o scenariusze związane z nadużyciami modelu. 50 000 dolarów za udokumentowany przypadek ominięcia zabezpieczeń w kontekście generowania exploitów to stawka, która przyciągnie badaczy.

Co musi się zmienić w ciągu najbliższych 12 miesięcy?

Eksperci wskazują na trzy obszary wymagające natychmiastowej reakcji. Po pierwsze, automatyczne skanowanie kodu z wykorzystaniem AI po stronie obronnej musi stać się standardem, nie opcją premium w droższych planach narzędzi deweloperskich. Po drugie, modele odpowiedzialności prawnej za podatności w oprogramowaniu komercyjnym muszą ewoluować — obecne przepisy w większości krajów UE nie nadążają za tempem zagrożeń. Po trzecie, edukacja deweloperów w zakresie bezpieczeństwa musi wejść na poziom podstawowych kursów programowania, a nie specjalizacji dla nielicznych.

Branża ma 12 miesięcy, zanim modele kolejnej generacji obniżą poprzeczkę jeszcze niżej. Według raportu Verizon Data Breach Investigations z 2024 roku, 68% naruszeń bezpieczeństwa nadal wynika z błędów ludzkich i zaniedbań konfiguracyjnych — dokładnie tych, które Mythos potrafi wykryć i wykorzystać automatycznie.”, “coverImageAlt”: “Ilustracja przedstawiająca kod źródłowy z podświetlonymi podatnościami analizowanymi przez AI