In che modo Comcast e Booz Allen utilizzano Claude Mythos per individuare catene di exploit e proteggere le proprie codebase

All'inizio di quest'anno, Anthropic ha lanciato Project Glasswing, un programma ad accesso limitato pensato per offrire a chi si occupa della difesa delle infrastrutture critiche globali un vantaggio iniziale nel mettere in sicurezza le proprie codebase. Questa settimana abbiamo lanciato una versione nuova e ampliata del nostro Cyber Verification Program (CVP), che mette a disposizione dei professionisti della sicurezza idonei capacità informatiche avanzate e classificatori di blocco meno restrittivi.

Nell'ambito di Project Glasswing, le organizzazioni che difendono le infrastrutture critiche hanno messo i modelli Claude Mythos al lavoro sui sistemi che proteggono. In tutte queste organizzazioni è emerso un tema: mentre gli strumenti di sicurezza informatica esistenti sono in grado di identificare singole vulnerabilità in modo isolato, le catene di exploit, in cui un attaccante collega diverse debolezze individualmente minori in un percorso che conduce a qualcosa di grave, sono molto più difficili da rilevare. Modelli come Claude Mythos aiutano a mettere insieme codice, configurazione e comportamento delle applicazioni in esecuzione, in modo che le organizzazioni possano individuare sia i comuni bug circoscritti a un singolo file, sia le sofisticate vulnerabilità intersistemiche che emergono solo quando i componenti interagiscono.

Abbiamo parlato con i leader della sicurezza di Comcast e Booz Allen che hanno partecipato al programma di ciò che i modelli della classe Claude Mythos hanno rilevato nei loro ambienti e di come questo stia cambiando il modo in cui i team si difendono dagli attacchi.

Comcast: separare i risultati dalle vulnerabilità sfruttabili

Comcast, azienda globale nel settore dei media e della tecnologia, ha utilizzato Claude Mythos Preview per individuare una vulnerabilità critica legata all'autenticazione in una piattaforma rivolta al pubblico durante una valutazione che ha interessato 258 sistemi di fondamentale importanza per l'attività aziendale e circa 170 milioni di righe di codice. Il problema avrebbe potuto consentire a un attaccante di aggirare i controlli di autenticazione ed è stato risolto prima che venisse rilevata qualsiasi prova di sfruttamento.

"La scoperta sta diventando più rapida", ha affermato Noopur Davis, EVP, Chief Information Security and Product Privacy Officer presso Comcast. "La scoperta sta diventando più semplice. Il volume dei risultati è enorme. La validazione di questi volumi di risultati costituisce il nuovo collo di bottiglia".

Il risultato è emerso dalla capacità di Claude Mythos Preview di ragionare all'interno di un complesso ecosistema software, anziché valutare singoli file o componenti in modo isolato. La vulnerabilità non era causata da un singolo componente difettoso. È invece derivata dall'interazione di più sistemi e presupposti che apparivano corretti se esaminati in modo indipendente. Mantenendo il contesto nel codice, nella configurazione e nel comportamento delle applicazioni, Claude Mythos Preview ha individuato una lacuna di sicurezza emersa tra più componenti interagenti, difficile da rilevare con approcci convenzionali.

"I modelli di IA di frontiera stanno rendendo molto più semplice generare risultati su larga scala", ha affermato Davis. "Tuttavia, un rilevamento diventa una vulnerabilità solo dopo che la convalida ne conferma il problema sottostante, e una vulnerabilità diventa sfruttabile solo quando può essere effettivamente sfruttata nell'ambiente di destinazione".

Il team di sviluppo di Comcast ha convalidato il risultato sull'applicazione in esecuzione e ha confermato che, nella pratica, era possibile arrivare al problema di sicurezza sottostante. Il team ha quindi individuato la causa principale, implementato la correzione e verificato che la vulnerabilità non fosse stata sfruttata prima di essere risolta. Il risultato era rappresentativo di una tendenza più ampia: alcune delle problematiche a maggiore impatto individuate dai modelli Claude di classe Mythos non sono scaturite da singoli errori di programmazione, bensì da sottili interazioni in ambienti software complessi.

"L'accesso anticipato ha probabilmente accelerato di circa un anno la nostra comprensione delle capacità di sicurezza dei modelli di IA di frontiera", ha affermato Davis. "Apprezziamo molto la community che Anthropic ha costruito attorno a questo programma: consente ai partecipanti di condividere le lezioni apprese, offrendo così un contributo all'ecosistema più ampio".

Booz Allen: ricostruire le catene di exploit

Booz Allen sviluppa e implementa tecnologie per missioni in ambito civile, commerciale, di difesa e di sicurezza nazionale. Inoltre, la sua divisione dedicata alla sicurezza informatica lavora per colmare il divario di velocità tra gli avversari che si avvalgono dell'IA e le difese informatiche tradizionali. Ciò include lo svolgimento di esercitazioni red team e la creazione di difese per i clienti che si trovano ad affrontare avversari dotati di IA.

Le valutazioni di sicurezza di Booz Allen hanno una durata fissa e, prima che si concludano, i team informatici possono esaminare solo una quantità limitata di codice sorgente, configurazioni e software compilato. Una copertura più ampia da sola non basterebbe a colmare questa lacuna, poiché gli attacchi reali sfruttano solitamente una concatenazione di piccole vulnerabilità presenti nel codice, nella configurazione, nell'identità e nelle impostazioni di distribuzione. Ricostruire manualmente queste connessioni all'interno di un ampio portafoglio software è un'operazione lenta, anche per un operatore qualificato.

Booz Allen ha utilizzato Claude Mythos Preview per esaminare una quantità di software decisamente superiore a quella che un breve periodo di collaborazione avrebbe normalmente consentito, e per individuare vulnerabilità che potevano essere concatenate in sequenze di exploit.

"Mythos ha sorpreso per la capacità di ragionare superando i confini, anziché limitarsi a individuare singoli problemi nel codice", ha affermato Sahil Sanghvi, Vicepresidente dell'ingegneria IA presso Booz Allen. "Ha aiutato a collegare comportamento delle applicazioni, configurazione, identità, autorizzazioni e contesto di distribuzione in ipotesi di sicurezza coerenti". Inoltre, il lavoro è passato dalla fase di scoperta a quella di risoluzione più rapidamente di quanto il suo team si aspettasse; il modello ha infatti contribuito a delineare le correzioni e a raccogliere prove per il team di sviluppo responsabile dei sistemi interessati.

In un caso, un modello Claude di classe Mythos ha individuato una falla nel codice che viene eseguito all'accensione di un dispositivo, prima del caricamento del sistema operativo. Quel codice stabilisce se il dispositivo debba bloccarsi o cancellare i propri dati e prende tale decisione utilizzando una chiave di sicurezza memorizzata sulla macchina. La chiave era stata lasciata priva di protezione; di conseguenza, il sistema operativo che essa avrebbe dovuto limitare poteva sostituirla con una chiave controllata da un attaccante e, successivamente, fornire al dispositivo istruzioni che quest'ultimo avrebbe considerato attendibili. Un attaccante potrebbe ritardare a tempo indeterminato la fase di blocco o cancellazione, mantenendo un dispositivo smarrito, rubato o compromesso pienamente accessibile, quando invece avrebbe dovuto bloccarsi o cancellarsi da solo.

Il sistema ha avuto diverse occasioni per bloccare la chiave, ma ognuna è andata sprecata. Quando la chiave è stata salvata per la prima volta, l'impostazione che l'avrebbe protetta era disattivata. Il codice che ha scritto la chiave sull'hardware ha trasmesso quell'impostazione senza correggerla. Una misura di sicurezza separata che avrebbe potuto bloccare la chiave in un secondo momento non è mai stata attivata. Claude ha scoperto la vulnerabilità analizzando quell'unica impostazione attraverso due programmi diversi scritti in due linguaggi di programmazione differenti, per poi confermare che non esistesse alcun meccanismo di blocco per la chiave.

"Mythos è in grado di generare rapidamente un ampio insieme di candidati, ma i team devono comunque convalidare quanto emerso, eliminare i duplicati nei pattern sistemici e indirizzare le problematiche ai responsabili competenti", ha affermato Brad Medairy, President of National Cybersecurity di Booz Allen. "Un analista ha esaminato otto sistemi di produzione tra 138 repository in dodici giorni." Senza Mythos, una revisione del portafoglio di tale portata avrebbe richiesto diversi mesi con un team più numeroso".

Per Booz Allen, ciò indica un modo diverso di gestire le revisioni della sicurezza: un approccio in cui i team di operatori mantengono il potere decisionale, mentre il modello amplia la porzione di portafoglio che sono in grado di tenere sotto controllo.

"La nostra ricerca dimostra che i modelli di frontiera sono in grado di eseguire in modo autonomo l'intera cyber kill chain", ha affermato Medairy. "Per stare al passo, le organizzazioni devono effettuare revisioni continue della sicurezza informatica e mantenere difese costanti".

Prossimi passi

Man mano che i modelli dotati delle capacità di Claude Mythos entrano a far parte del lavoro quotidiano nel campo della sicurezza, le organizzazioni possono esaminare i propri sistemi proprio come farebbe un attaccante esperto, ricostruendo le interazioni tra codice, configurazione e componenti legacy e colmando le lacune esistenti prima che qualcun altro riesca a sfruttarle. Abbiamo creato Project Glasswing per offrire innanzitutto questa capacità a chi si occupa di difesa, e continueremo ad ampliarne l'accesso tramite il nostro nuovo Cyber Verification Program (CVP), in modo che un numero maggiore di organizzazioni che utilizzano software critici possa avvalersene.

Scopri di più sul Cyber Verification Program (CVP).