Comment Comcast et Booz Allen utilisent Claude Mythos pour détecter des chaînes d'exploitation et sécuriser leurs bases de code
Les équipes de sécurité de Comcast et de Booz Allen ont utilisé des modèles de la famille Claude Mythos dans le cadre du projet Glasswing pour détecter, valider et corriger des vulnérabilités que leurs scanners existants n’avaient pas identifiées.
Plus tôt cette année, Anthropic a lancé le projet Glasswing, un programme à accès limité destiné à permettre aux organisations qui protègent les infrastructures critiques du monde entier de prendre une longueur d’avance dans la sécurisation de leurs bases de code. Cette semaine, nous avons lancé une nouvelle version étendue de notre programme de cybervérification (CVP), qui met à la disposition des professionnels de la sécurité qualifiés des fonctionnalités avancées de cybersécurité et des classificateurs de blocage moins restrictifs.
Dans le cadre du projet Glasswing, des organisations chargées de la protection des infrastructures critiques ont utilisé les modèles Claude Mythos pour analyser les systèmes qu’elles protègent. Un thème commun s’est dégagé dans toutes ces organisations : si les outils de cybersécurité existants permettent d’identifier des vulnérabilités isolément, les chaînes d’exploitation, dans lesquelles un attaquant combine plusieurs faiblesses mineures pour provoquer une compromission majeure, sont beaucoup plus difficiles à retracer. Des modèles comme Claude Mythos permettent de mettre en relation le code, la configuration et le comportement des applications en temps réel, afin que les organisations puissent détecter aussi bien les bugs classiques limités à un seul fichier que les vulnérabilités complexes intersystèmes qui n'apparaissent que lorsque les composants interagissent.
Nous avons interrogé des responsables de la sécurité de Comcast et de Booz Allen ayant participé au programme sur les vulnérabilités détectées par les modèles de la famille Claude Mythos dans leurs environnements informatiques et sur la façon dont cela change la manière dont leurs équipes se défendent contre les attaques.
Comcast : distinguer les problèmes détectés des vulnérabilités réellement exploitables
Comcast, entreprise internationale de médias et de technologies, a utilisé Claude Mythos Preview pour identifier une vulnérabilité critique d'authentification dans une plateforme accessible au public lors d'une évaluation couvrant 258 systèmes critiques pour l'activité et environ 170 millions de lignes de code. Ce problème aurait pu permettre à un attaquant de contourner les contrôles d'authentification. Il a été corrigé sans qu'aucune trace d'exploitation ait été constatée.
« La détection des vulnérabilités devient plus rapide », déclare Noopur Davis, vice-présidente exécutive, responsable de la sécurité des informations et de la confidentialité des produits chez Comcast. « Elle devient aussi plus facile. Le nombre de problèmes détectés est considérable. C'est désormais leur validation qui constitue le nouveau goulet d'étranglement. »
Cette découverte résulte de la capacité de Claude Mythos Preview à raisonner à l'échelle d'un écosystème logiciel complexe, plutôt que d’évaluer des fichiers ou des composants isolément. La vulnérabilité n'était pas causée par un seul composant défectueux. Elle résultait plutôt de l'interaction de plusieurs systèmes et d'hypothèses qui semblaient correctes lorsqu'elles étaient examinées indépendamment. En conservant le contexte entre le code, la configuration et le comportement des applications, Claude Mythos Preview a identifié une faille de sécurité résultant de l’interaction entre plusieurs composants, ce qui la rendait difficile à détecter avec les approches conventionnelles.
« Les modèles d'IA de pointe permettent désormais de détecter beaucoup plus facilement un grand nombre de vulnérabilités potentielles », explique Mme Davis. « Mais un constat ne devient une vulnérabilité qu'une fois que la validation a confirmé le problème sous-jacent, et une vulnérabilité ne devient exploitable que lorsqu'elle peut réellement être exploitée dans l'environnement cible. »
Les ingénieurs de Comcast ont validé ce constat sur l'application en cours d'exécution et ont confirmé qu'il était effectivement possible d’accéder à la faille de sécurité sous-jacente. L'équipe a ensuite identifié la cause première, mis en œuvre des mesures correctives et vérifié que la vulnérabilité n'avait pas été exploitée avant d'être corrigée. Ce constat était représentatif d’une tendance plus large : certains des problèmes ayant le plus d’impact identifiés par les modèles de la famille Claude Mythos ne résultaient pas d’erreurs de codage individuelles, mais d’interactions subtiles au sein d’environnements logiciels complexes.
« L’accès anticipé à ces modèles a probablement accéléré d’environ un an notre compréhension des capacités de sécurité des modèles d’IA de pointe », explique Mme Davis. « Nous apprécions vraiment la communauté qu’Anthropic a créée autour de ce programme, qui permet aux participants de partager les enseignements tirés de l’expérience et d’aider ainsi l’écosystème dans son ensemble. »
Booz Allen : reconstituer les chaînes d'exploitation
Booz Allen développe et déploie des technologies pour des missions de défense, civiles, de sécurité nationale et commerciales, et son pôle cybersécurité s’efforce de réduire l’écart de réactivité entre les attaquants qui exploitent l’IA et les dispositifs de cyberdéfense traditionnels. Cela inclut la conduite d’exercices de red teaming et la mise en place de dispositifs de défense pour les clients confrontés à des adversaires utilisant l’IA.
Les évaluations de sécurité de Booz Allen ont une durée déterminée et les ingénieurs ne peuvent examiner qu’une quantité limitée de code source, de fichiers de configuration et de logiciels compilés dans le temps imparti. Une couverture plus large ne suffirait pas à elle seule à combler cet écart, car les attaques réelles reposent généralement sur l’exploitation successive de faiblesses mineures touchant le code, la configuration, la gestion des identités et les paramètres de déploiement, et retracer manuellement ces connexions dans un vaste portefeuille de logiciels est long, même pour un spécialiste expérimenté.
Booz Allen a utilisé Claude Mythos Preview pour examiner un volume de logiciels bien supérieur à ce qu'une mission de courte durée aurait normalement permis, et pour identifier les faiblesses pouvant être combinées pour former des chaînes d'exploitation.
« La capacité de Mythos à raisonner de manière transversale, plutôt que de se contenter de repérer des problèmes de code isolés, nous a surpris », explique Sahil Sanghvi, vice-président de l'ingénierie IA chez Booz Allen. « Cela a permis de relier le comportement des applications, la configuration, l'identité, les autorisations et le contexte de déploiement pour former des hypothèses de sécurité cohérentes. » L’équipe a également pu passer de la détection des problèmes à leur correction plus rapidement que prévu, le modèle aidant à élaborer des correctifs et à rassembler des éléments probants pour les ingénieurs responsables des systèmes concernés.
Dans un cas, un modèle de la famille Claude Mythos a détecté une faille dans le code qui s'exécute lors de la mise sous tension d'un appareil, avant le chargement du système d'exploitation. Ce code détermine si l'appareil doit se verrouiller ou effacer ses données, et prend cette décision à l'aide d'une clé de sécurité stockée sur la machine. La clé n'était pas protégée, si bien que le système d'exploitation, dont elle était censée limiter les actions, pouvait la remplacer par une clé contrôlée par un attaquant, puis transmettre à la machine des instructions que celle-ci considérerait comme fiables. Un attaquant pourrait retarder indéfiniment l’étape de verrouillage ou d’effacement, ce qui laisserait un appareil perdu, volé ou compromis entièrement accessible alors qu’il aurait dû se verrouiller.
Le système a eu plusieurs occasions de verrouiller la clé, mais aucune n'a été saisie. Lorsque la clé a été enregistrée pour la première fois, le paramètre qui devait la protéger était désactivé. Le code qui a enregistré la clé dans le matériel a transmis ce paramètre sans le corriger. Une mesure de protection distincte qui aurait pu verrouiller la clé ultérieurement n'a jamais été activée. Claude a détecté la vulnérabilité en suivant ce seul paramètre à travers deux programmes différents écrits dans deux langages différents, puis en confirmant que rien n'avait jamais verrouillé la clé.
« Mythos peut créer rapidement un grand nombre de vulnérabilités potentielles, mais les équipes doivent toujours valider les résultats, regrouper les signalements redondants qui relèvent d'un même problème systémique et transmettre les problèmes aux équipes responsables de leur correction », explique Brad Medairy, président de la division National Cybersecurity de Booz Allen. « Un analyste a passé en revue huit systèmes de production répartis dans 138 dépôts en douze jours. Sans Mythos, un examen de portefeuille de cette ampleur nous aurait pris plusieurs mois avec une équipe plus importante. »
Pour Booz Allen, cela ouvre la voie à une nouvelle approche des contrôles de sécurité : les spécialistes conservent la responsabilité des décisions qui nécessitent une appréciation humaine, tandis que le modèle leur permet de surveiller une part beaucoup plus importante de leur portefeuille.
« Nos recherches montrent que les modèles de pointe peuvent exécuter de manière autonome l’intégralité de la chaîne d’attaque informatique », explique Medairy. « Les organisations doivent assurer une évaluation continue de leur sécurité et maintenir des dispositifs de cyberdéfense permanents. »
Et maintenant ?
Alors que les modèles dotés des capacités de Claude Mythos s'intègrent progressivement aux activités quotidiennes des équipes de sécurité, les organisations peuvent examiner leurs propres systèmes comme le ferait un attaquant expérimenté, retracer comment le code, la configuration et les composants hérités interagissent et combler les failles entre eux avant que quiconque ne trouve un moyen de s'y introduire. Nous avons créé le projet Glasswing pour offrir cette capacité en priorité aux défenseurs, et nous continuerons d’élargir l’accès via notre nouveau programme de cybervérification (CVP), afin qu’un plus grand nombre d’organisations exploitant des logiciels critiques puissent la mettre à profit.