Jaunākā nozīmīgā pārskatīšana par Mozilla Firefox ir ieradies ar lielu pārsteigumu. Aizkulisēs: pārlūkprogrammai nācās labot 271 drošības ievainojamību pēc tam, kad tās kods tika intensīvi analizēts ar Claude Mythos, Anthropic kiberdrošības mākslīgā intelekta modeli. Šis gadījums nebūt nav vienkāršs eksperiments, bet gan tiek uzskatīts par potenciālu pagrieziena punktu lielu internetam pieslēgtu lietojumprogrammu aizsardzībā.
Mozilla jau gadiem ilgi lepojas, ka Firefox ir viens no auditētākas un stabilākas atvērtā pirmkoda pārlūkprogrammasTomēr sadarbība ar Anthropic atklāja ievērojamu skaitu slēptu ievainojamību. Labā ziņa ir tā, ka tās tika novērstas, pirms tās varēja izmantot; bažas rada tas, ka tika atklāts, cik lielā mērā uzbrukuma virsma joprojām slēpa vājās vietas, kuras nebija atklājusi ne manuāla testēšana, ne tradicionālās analīzes metodes.
Firefox 150: atjauninājumā novērstas 271 ievainojamības
Kā apgalvo Bobijs Holijs, Mozilla tehniskais direktors, darbs ir daļa no tieša sadarbība ar Anthropic Projekta Glasswing ietvaros, kas ir ierobežotas piekļuves programma, ar kuras palīdzību mākslīgā intelekta uzņēmums ļauj tehnoloģiju partneriem analizēt kritisku programmatūru, skenēšana koncentrējās uz pārlūkprogrammas pirmkodu, īpašu uzmanību pievēršot jutīgiem komponentiem, piemēram, renderēšanas dzinējam, smilškastes videi un procesu izolācijas slāņiem.
Holijs atzīst, ka vēsturiski nozare ir pieņēmusi, ka Pilnīga eksploitu likvidēšana bija nereāls mērķis.Stratēģija paredzēja uzbrukumus padarīt pēc iespējas grūtākus, izmantojot padziļinātas aizsardzības slāņus, smilškastes tehnoloģiju un drošākas valodas, piemēram, Rust, taču vienmēr pieņemot, ka galu galā parādīsies zināma ievainojamība. Mythos masveida atklāšana apstiprina šo ideju, bet vienlaikus parāda, ka līdzsvars, iespējams, sāk mainīties par labu aizstāvjiem.
Pats CTO norāda, ka viena konstatētā kategorijas kļūme būtu bijusi sarkanais brīdinājums 2025. gadā par īpaši aizsargātu mērķiTādēļ, pēc Mozilla teiktā, reibonis ir izplatījies arī citās drošības komandās, kad tās redz vienlaikus atklāto ievainojamību kopējo skaitu, kas pārbauda jebkuras organizācijas reaģēšanas spējas.
No Opus līdz Mythos: lēciens uz priekšu mākslīgā intelekta auditā
Sadarbība starp Mozilla un Anthropic nesākās ar Mythos. Jau vairākus mēnešus iepriekš fonds bija testējis Kloda opuss 4.6Anthropic uzlabotais modelis tika izmantots, lai pārskatītu vecāku pārlūkprogrammas versiju. Pirmajā testā tika izlabotas 22 drošības ievainojamības Firefox 148 versijā, dažas no tām bija nopietnas, un jau toreiz tas tika uzskatīts par ievērojamu sasniegumu.
Tomēr Claude Mythos Preview ierašanās ir nozīmējusi a aptuveni divpadsmit reižu palielinājies atklāto ievainojamību skaitsLai gan Opus 4.6 identificēja pāris desmitus ievainojamību, Mythos ir atklājis 271 un iekšējās testēšanas laikā ir ģenerējis vairāk nekā 180 funkcionējošus izmantošanas gadījumus, kas demonstrē šo kļūdu faktisko izmantojamību. Audita produktivitātes ziņā tas ir ievērojams uzlabojums.
Mozilla uzsver, ka Anthropic modelis ir sasniedzis sniegums, kas salīdzināms ar elites cilvēku pētnieku sniegumuSvarīgi, viņi precizē, nav tas, ka tā atklāj pilnīgi jaunus ievainojamību veidus, bet gan tas, ka tā spēj sistemātiski atrast daudzas problēmas, ko varētu atrast arī eksperts, taču daudz īsākā laikā un tādā mērogā, kas manuālām komandām ir praktiski nekontrolējams.
Viens no punktiem, ko organizācija uzstāj uzsvēr, ir tas, ka Nav atklātas ievainojamības, kas nebūtu pieejamas labam cilvēkam-pētniekam.Tas saskan ar Mozilla viedokli, kas neuzskata, ka mākslīgais intelekts no zila gaisa radīs uzbrukuma metodes, kas pilnībā apšaubīs mūsu pašreizējo izpratni par drošību; drīzāk tas pastiprina darbu, ko jau var paveikt, bet bez laika, noguruma vai resursu ierobežojumiem.
Sarežģītai, modulārai lietojumprogrammai, piemēram, Firefox, kas ir izstrādāta tieši tā, lai cilvēki varētu spriest par tās dažādajām daļām, šī pieeja ir loģiska. Mainās ne tik daudz kļūdu raksturs, cik... spēja atklāt daudz vairāk īsākā laikāTas ir ļoti svarīgi pārlūkprogrammai, kas kalpo kā vārti uz tūkstošiem pakalpojumu un lietojumprogrammu, tostarp finanšu platformām, attālinātā darba rīkiem un tiešsaistes sabiedriskajiem pakalpojumiem Eiropas Savienībā.
No uzbrukuma modeļa līdz mēģinājumam iegūt aizsardzības priekšrocības
Gadiem ilgi programmatūras drošība ir mainījusies Nestabils līdzsvars starp uzbrucējiem un aizsargiemMūsdienu pārlūkprogrammas uzbrukuma virsma ir tik liela, ka to nav iespējams pilnībā nosegt ar tradicionālajiem rīkiem, kas uzbrucējiem ir devis asimetriskas priekšrocības: lai sasniegtu savu mērķi, viņiem tikai jāatrod labi novietota ievainojamība.
Mozilla atzīst, ka tās stratēģija ir balstījusies uz vairāku faktoru kombināciju dziļuma aizsardzība, stingra smilškastes vide un intensīva Rūsas izmantošana lai samazinātu noteiktas kļūdu grupas. To papildina tādas metodes kā izplūdināšana, kas pakļauj kodu nejaušiem ievades datiem, lai piespiestu negaidītas kļūmes. Tomēr pati Firefox komanda atzīst, ka pastāv koda apgabali, kurus ir daudz grūtāk izplūdinātTas rada nepilnības pārklājumā, ko var izmantot pacietīgi uzbrucēji.
Izmantojot tādu mākslīgo intelektu kā Klodu Mitosu, šajā puzlē tiek ieviests jauns gabaliņš. Atšķirībā no nejaušas testēšanas vai manuālas pārskatīšanas, modelis spēj izvērtēt pirmkodu, identificēt aizdomīgus modeļus un piedāvāt izmantotās iespējas kas parāda, vai kļūme patiešām ir kritiska. Tas samazina ekskluzīvo paļaušanos uz augsti specializētām komandām, kuru ir maz un kuras nespēj tikt galā ar pārskatāmās programmatūras apjomu.
Mozillai tas paver durvis uz pakāpeniski samazināt plaisu starp kļūdām, ko var atklāt mašīnas, un tām, ko var atrast cilvēku eksperti.Ja ievainojamību atrašanas izmaksas aizstāvjiem ievērojami samazinās, daļa no strukturālās priekšrocības, kas bija uzbrucējiem, kuri bija pieraduši veltīt mēnešiem ilgu darbu viena ienesīga trūkuma meklēšanai, izzūd.
Holijs atzīst, ka sākotnējais šoks, redzot tik daudz kļūdu vienlaikus, bija nekas cits kā iekšēja zemestrīce, taču apgalvo, ka pēc sākotnējā šoka mazināšanās sajūta ir pozitīva: ja resursus var prioritizēt un centienus koncentrēt uz mākslīgā intelekta atklāto kļūdu labošanu, Aizstāvji var sākt spēlēt ar tiem pašiem ieročiem.Tas ir, ar nosacījumu, ka ir komandas, kas spēj absorbēt rezultātu apjomu un pārvērst tos efektīvās korekcijās.
Šāda spēcīga drošības mākslīgā intelekta riski: nepārprotams divvirzienu zobens
Līdztekus Mozilla mērenajam entuziasmam liela daļa Eiropas kiberdrošības sektora uzmanīgi seko līdzi tādu rīku kā Claude Mythos ļaunprātīgas izmantošanas iespējaTā pati sistēma, kas ļauj atrast trūkumus pārlūkprogrammā Firefox, nonākot nepareizajās rokās, varētu tikt izmantota, lai automatizētu ievainojamību atklāšanu operētājsistēmās, karstajos makos, decentralizētās lietojumprogrammās vai kritiskās infrastruktūras pakalpojumos.
Antropic apzinās šo risku un faktiski to uztur. Mythos ir pieejams ar ļoti ierobežotu piekļuvi, izmantojot Project Glasswing.Šajā grupā ietilpst tādi lieli tehnoloģiju uzņēmumi kā Apple, Microsoft, Google, Amazon Web Services, Linux Foundation un pati Mozilla, kas izmanto šo modeli savas programmatūras un dažos gadījumos arī stratēģiskās infrastruktūras auditam. Ideja ir stingri kontrolēt, kas tiek analizēts un kādiem mērķiem.
Jaunākie ziņojumi liecina, ka kontrolētos testos Klods Mitoss ir sasniedzis Identificēt un izmantot nulles dienas ievainojamības plaši izmantotās sistēmāsno pārlūkprogrammām līdz operētājsistēmām. Ir pat dokumentēts, ka tā var diezgan autonomi veikt sarežģītas kiberoperācijas, piemēram, daudzpakāpju ielaušanās simulācijas korporatīvajos tīklos.
Šīs iespējas ir izraisījušas interesi ne tikai uzņēmumos, bet arī valdības un izlūkdienestiPiemēram, Amerikas Savienotajās Valstīs ir ziņots, ka Nacionālā drošības aģentūra pat ir palaidusi Mythos klasificētos tīklos, neraugoties uz sabiedrības iebildumiem pret šādu rīku izmantošanu kara vai novērošanas kontekstā.
Eiropā, kur debates par Mākslīgā intelekta regulējums un datu aizsardzība Tas ir īpaši intensīvi; tādi gadījumi kā Firefox un Mythos piedāvā munīciju visām pusēm: no vienas puses, tie parāda labi pārvaldīta mākslīgā intelekta vērtību miljonu lietotāju aizsardzībā; no otras puses, tie uzsver nepieciešamību nodrošināt, lai šāda veida modeļi nekļūtu par jaunas paaudzes liela mēroga automatizētiem uzbrukumiem.
Ietekme uz atvērtās programmatūras ekosistēmu un Eiropas lietotājiem
Firefox ieņem unikālu pozīciju pārlūkprogrammu vidē. Lai gan tas ir zaudējis tirgus daļu Chromium un tā atvasinājumiem, tas joprojām ir... galvenā sastāvdaļa vidēs, kurās tiek augstu vērtēta bezmaksas programmatūra un privātums, tāpat kā daudzas Eiropas valsts pārvaldes iestādes, akadēmiskās iestādes un pieredzējuši GNU/Linux sistēmu lietotāji.
Šajā kontekstā 271 ievainojamības atklāšanu var interpretēt divējādi. No vienas puses, tas apstiprina, ka pat Augsti auditēti atvērtā pirmkoda projekti var slēpt lielu skaitu kļūdu.Vienkārši tāpēc, ka koda bāze ir milzīga un manuāla pārskatīšana nevar sasniegt visur. No otras puses, tas parāda, ka atvērtais izstrādes modelis atvieglo ārējiem rīkiem, tostarp progresīvam mākslīgajam intelektam, koda pārbaudi un veicina tā drošības uzlabošanu.
Mozilla atzīst, ka ar Mythos palīdzību tai tagad ir garš saraksts ar nepabeigtiem uzdevumiem drošības stiprināšanai viņu vadošās lietotnes. Galalietotājiem Spānijā un pārējā Eiropā ieteikums ir vienkāršs: regulāri atjaunināt pārlūkprogrammu lai gūtu labumu no šiem ielāpiem. 150. versija ne tikai novērš atklātās kļūdas, bet arī uztur uzlabojumu tempu veiktspējas, saderības un tādu funkciju kā smilškastes tehnoloģija un lokālā tīkla atļauju pārvaldība jomā.
Turklāt Firefox lieta var kalpot par precedentu citi atvērtā pirmkoda projekti Šie rīki tiek izmantoti ikdienā uzņēmumos, valsts iestādēs un kritiski svarīgos pakalpojumos. Plaši ieviesti rīki — tīmekļa serveri, kriptogrāfiskās bibliotēkas, izstrādes sistēmas — varētu gūt labumu no līdzīgām mākslīgā intelekta darbinātām revīzijām, kas ir īpaši aktuāli Eiropas Savienībā, kur kiberdrošības un digitālās noturības direktīvas kļūst arvien stingrākas.
Kā atzīst pati Mozilla, problēma ir tā, ka daudziem no šiem projektiem nav pietiekami cilvēkresursi vai ekonomiskie resursi, lai absorbētu atklājumu plūsmu ko var ģenerēt tāds modelis kā Mythos. Šeit spēlē lomu gan brīvās programmatūras fondi, gan publiskā politika, kas atbalsta atvērtā pirmkoda drošību, — jautājums, kas jau ir aktualizēts Briselē pēc tādiem incidentiem kā Log4Shell.
Jauns posms cilvēku un mākslīgā intelekta attiecībās kiberdrošībā
Papildus anekdotei par 271 ievainojamībām, Firefox lieta izvirza arī šādu jautājumu: uzmanības maiņa attiecībās starp cilvēkiem-pētniekiem un mākslīgo intelektu kiberdrošībā. Tā vietā, lai vienu pretstatītu otram, Mozilla atbalsta modeli, kurā progresīvi rīki paplašina drošības komandu iespējas, neaizstājot to spriestspēju vai pieredzi.
Organizācija raksturo Klodu Mītu kā sava veida nenogurstošs drošības pētnieksspējīgi pārskatīt lielu koda apjomu, ierosināt ievainojamības un identificēt riska modeļus. Līdztekus tiem cilvēku speciālisti joprojām ir atbildīgi par prioritāšu noteikšanu, apstiprināšanu, labošanu un lēmumu pieņemšanu par to, kuras izmaiņas ieviest gala produktā.
Šai sadarbības vīzijai ir tieša ietekme uz Eiropas kiberdrošības tirgu, kur jau darbojas uzņēmumi un pētniecības centri. Viņi eksperimentē ar mākslīgo intelektu koda auditiem, ļaunprogrammatūras analīzei vai ielaušanās atklāšanai.Ja Mozilla rezultāti tiks atkārtoti citos projektos, mēs varētu redzēt, ka reakcijas laiks uz kritiskām kļūmēm saīsināsies un spiediens uz pārslogotajām drošības komandām samazināsies, vismaz daļēji.
Vienlaikus Anthropic un Mozilla pieredze skaidri parāda, cik svarīgi ir Pārvērtēt metodes, ko izmanto mākslīgā intelekta modeļu veiktspējas mērīšanai drošības uzdevumos. Pati Anthropic ir atzinusi, ka daudzi pašreizējie etaloni jau nav spējuši novērtēt jaunāko sistēmu reālās iespējas, tāpēc ir jāizstrādā prasīgāki un reprezentatīvāki testi.
Ja ir viena lieta, par ko šķietami ir vienisprātis gan Mozilla, gan Anthropic, tad tā pagaidām ir tāda, ka Cilvēka spriedumam nav pilnīga aizvietotāja riska pārvaldībā. Mākslīgais intelekts paātrina un paplašina problēmu meklēšanu, taču lēmums par to, ko labot, kā to izdarīt un kādā laika posmā, joprojām ir atkarīgs no cilvēku komandām, kurām ir jāpanāk līdzsvars starp drošību, ietekmi uz lietotājiem un pieejamajiem resursiem.
Viss norāda uz Firefox 150 izlaišanu ar ielāpiem 271 ievainojamībai, ko atzīmēja Klods Mitoss, kas tiek atcerēts kā brīdis, kad Kiberdrošība spēra nopietnu soli viedas automatizācijas virzienā.Tādējādi Mozilla pārlūkprogramma kļūst par gadījuma pētījumu par to, kā integrēt augsta līmeņa mākslīgo intelektu kritiski svarīga produkta izstrādes un uzturēšanas dzīves ciklā, nezaudējot no redzesloka saistītos riskus vai nepieciešamību pēc rūpīgas cilvēka uzraudzības. Lietotājiem, izstrādātājiem un politikas veidotājiem Spānijā un Eiropā mācība ir skaidra: mākslīgais intelekts vairs nav tikai futūristisks jēdziens, bet gan instruments, kas sāk mainīt līdzsvaru cīņā, kas gadu desmitiem bija bijusi par labu uzbrucējiem.
