Najnoviji veliki pregled Mozilla Firefox stigao je s velikim iznenađenjem. Iza kulisa: preglednik je morao zakrpati 271 sigurnosnu ranjivost nakon što je njegov kod podvrgnut intenzivnoj analizi s Claudeom Mythosom, Anthropicovim modelom umjetne inteligencije usmjerenim na kibernetičku sigurnost. Daleko od toga da je jednostavan eksperiment, slučaj se smatra potencijalnom prekretnicom u načinu zaštite velikih aplikacija povezanih s internetom.
Mozilla se godinama hvali da je Firefox jedan od više revidiranih i robusnih preglednika otvorenog kodaMeđutim, suradnja s Anthropicom otkrila je znatan broj latentnih ranjivosti. Dobra vijest je da su one ispravljene prije nego što su se mogle iskoristiti; zabrinutost proizlazi iz otkrića u kojoj mjeri je površina napada još uvijek skrivala slabosti koje ni ručno testiranje ni tradicionalne tehnike analize nisu otkrile.
Firefox 150: ažuriranje označeno s 271 ispravljenom ranjivošću
Prema riječima Bobbyja Holleyja, tehničkog direktora Mozille, rad je dio izravna suradnja s Anthropicom Unutar Project Glasswinga, ograničenog programa putem kojeg tvrtka za umjetnu inteligenciju omogućuje tehnološkim partnerima analizu kritičnog softvera, skeniranje se usredotočilo na izvorni kod preglednika, s posebnom pažnjom na osjetljive komponente poput rendering enginea, sandboxa i slojeva izolacije procesa.
Holley priznaje da je industrija, povijesno gledano, pretpostavljala da Potpuno uklanjanje exploita bio je nerealan cilj.Strategija je uključivala što veće otežavanje napada kroz slojeve dubinske obrane, sandboxing i sigurnije jezike poput Rusta, ali uvijek uz prihvaćanje da će se na kraju pojaviti neka ranjivost. Masovno otkriće Mythosa pojačava ovu ideju, ali istovremeno pokazuje da se ravnoteža možda počinje pomicati u korist branitelja.
Sam tehnički direktor ističe da bi jedan jedini neuspjeh pronađene kategorije bio Crvena uzbuna u 2025. za visoko zaštićenu metuStoga se vrtoglavica, prema Mozilli, proširila među drugim sigurnosnim timovima kada su vidjeli ukupan broj ranjivosti otkrivenih odjednom, scenarij koji testira sposobnost reakcije bilo koje organizacije.
Od Opusa do Mythosa: Skoči naprijed u reviziji umjetne inteligencije
Suradnja između Mozille i Anthropica nije započela s Mythosom. Mjesecima ranije, zaklada je testirala Claude Opus 4.6Anthropicov napredni model korišten je za pregled ranije verzije preglednika. Taj prvi test rezultirao je ispravkom 22 sigurnosne ranjivosti u Firefoxu 148, od kojih su neke bile ozbiljne, te se već tada smatrao izvanrednim postignućem.
Dolazak Claudea Mythosa Previewa, međutim, značio je porast broja otkrivenih ranjivosti od oko dvanaest putaDok je Opus 4.6 identificirao nekoliko desetaka ranjivosti, Mythos je otkrio 271 i, u internom testiranju, generirao preko 180 radnih exploita koji demonstriraju stvarnu iskoristivost tih pogrešaka. Što se tiče produktivnosti revizije, ovo je značajno poboljšanje.
Mozilla naglašava da je Anthropicov model postigao performanse usporedive s onima elitnih ljudskih istraživačaVažno je, pojašnjavaju, ne otkrivati potpuno nove vrste ranjivosti, već to što je u stanju sustavno locirati mnoge probleme koje bi i stručnjak mogao pronaći, ali u puno kraćem vremenu i u mjerilu koje je praktički neupravljivo za ručne timove.
Jedna stvar koju organizacija inzistira istaknuti jest da Nisu otkrivene ranjivosti koje bi bile izvan dosega dobrog ljudskog istraživača.To se slaže s Mozillinim stavom, koja ne vjeruje da će umjetna inteligencija niotkuda stvoriti metode napada koje će potpuno dovesti u pitanje naše trenutno razumijevanje sigurnosti; radije, ona pojačava posao koji se već može obaviti, ali bez ograničenja vremena, umora ili resursa.
Za složenu, modularnu aplikaciju poput Firefoxa, dizajniranu upravo tako da ljudi mogu razmišljati o njezinim različitim dijelovima, ovaj pristup ima smisla. Ono što se mijenja nije toliko priroda pogrešaka koliko sposobnost otkrivanja puno više u kraćem vremenuTo je ključno za preglednik koji služi kao ulaz u tisuće usluga i aplikacija, uključujući financijske platforme, alate za rad na daljinu i online javne usluge u Europskoj uniji.
Od ofenzivnog modela do pokušaja obrambene prednosti
Godinama se sigurnost softvera kretala u Neugodna ravnoteža između napadača i braničaPovršina napada modernog preglednika toliko je velika da ju je nemoguće u potpunosti pokriti tradicionalnim alatima, što je napadačima dalo asimetričnu prednost: samo trebaju pronaći dobro postavljenu ranjivost kako bi postigli svoj cilj.
Mozilla priznaje da se njezina strategija oslanjala na kombinaciju dubinska obrana, strogi sandbox i intenzivno korištenje Rusta kako bi se minimizirale određene obitelji pogrešaka. To se nadopunjuje tehnikama poput fuzzinga, koji podvrgava kod nasumičnim ulazima kako bi se izazvali neočekivani kvarovi. Međutim, sam Firefox tim priznaje da postoje područja koda koja je puno teže fuzziratiTo ostavlja praznine u pokrivenosti koje strpljivi napadači mogu iskoristiti.
Korištenje umjetne inteligencije poput Claudea Mythosa uvodi novi dio te slagalice. Za razliku od nasumičnog testiranja ili ručnih pregleda, model je sposoban za obrazložiti izvorni kod, identificirati sumnjive obrasce i predložiti iskorištavanje koji pokazuju je li kvar zaista kritičan. To smanjuje isključivo oslanjanje na visoko specijalizirane timove, koji su rijetki i ne mogu se nositi s količinom softvera koji treba pregledati.
Za Mozillu, ovo otvara vrata postupno smanjiti jaz između pogrešaka koje strojevi mogu otkriti i onih koje ljudski stručnjaci mogu locirati.Ako trošak pronalaženja ranjivosti drastično padne za branitelje, dio strukturne prednosti koju su imali napadači, navikli posvećivati mjesece rada lovu na jednu jedinu profitabilnu manu, nestaje.
Holley priznaje da je početni šok od toliko pogrešaka odjednom bio pravi unutarnji potres, ali tvrdi da je, nakon što je početni šok prošao, osjećaj pozitivan: ako se resursi mogu prioritizirati, a napori usmjeriti na ispravljanje onoga što umjetna inteligencija otkrije, Branitelji mogu početi igrati istim oružjem.To jest, pod uvjetom da postoje timovi sposobni apsorbirati količinu rezultata i pretvoriti ih u učinkovite zakrpe.
Rizici tako moćne sigurnosne umjetne inteligencije: očiti mač s dvije oštrice
Uz umjereni entuzijazam Mozille, velik dio europskog sektora kibernetičke sigurnosti pomno prati potencijal za zlouporabu alata poput Claudea MythosaIsti sustav koji omogućuje pronalaženje nedostataka u Firefoxu mogao bi se, u pogrešnim rukama, koristiti za automatizaciju otkrivanja ranjivosti u operativnim sustavima, vrućim novčanicima, decentraliziranim aplikacijama ili uslugama kritične infrastrukture.
Anthropic je svjestan tog rizika i, zapravo, održava Mythos je dostupan uz vrlo ograničen pristup putem Projekta Glasswing.Velike tehnološke tvrtke poput Applea, Microsofta, Googlea, Amazon Web Servicesa, Linux Foundationa i same Mozille dio su ove grupe koja koristi model za reviziju vlastitog softvera, a u nekim slučajevima i strateške infrastrukture. Ideja je strogo kontrolirati što se analizira i u koje svrhe.
Nedavna izvješća pokazuju da je Claude Mythos u kontroliranim testovima dosegao Identificirajte i iskoristite zero-day ranjivosti u široko korištenim sustavimaod preglednika do operativnih sustava. Čak je dokumentirano da može prilično autonomno izvoditi složene kibernetičke operacije, poput višefaznih simulacija upada u korporativne mreže.
Ove mogućnosti izazvale su interes ne samo tvrtki, već i vlade i obavještajne agencijeU Sjedinjenim Državama, na primjer, objavljeno je da je Nacionalna sigurnosna agencija čak pokrenula Mythos na tajnim mrežama, unatoč javnim rezervama prema korištenju takvih alata u ratnim ili nadzornim kontekstima.
Za Europu, gdje je rasprava o Regulacija umjetne inteligencije i zaštita podataka Posebno je intenzivno; slučajevi poput Firefoxa i Mythosa nude municiju svim stranama: s jedne strane, pokazuju vrijednost dobro upravljane umjetne inteligencije za zaštitu milijuna korisnika; s druge strane, ističu potrebu da se osigura da ove vrste modela ne potiču nove generacije velikih automatiziranih napada.
Utjecaj na ekosustav otvorenog softvera i na europske korisnike
Firefox zauzima jedinstvenu poziciju u svijetu preglednika. Iako je izgubio tržišni udio u korist Chromiuma i njegovih derivata, ostaje... ključna komponenta u okruženjima gdje se cijene slobodni softver i privatnost, kao i mnoge europske javne uprave, akademske institucije i napredni korisnici GNU/Linux sustava.
U tom kontekstu, otkriće 271 ranjivosti može se protumačiti na dva načina. S jedne strane, to potvrđuje da čak i Visoko revidirani projekti otvorenog koda mogu skrivati velik broj grešaka.Jednostavno zato što je baza koda ogromna i ručni pregled ne može dosegnuti svugdje. S druge strane, to pokazuje da otvoreni model razvoja olakšava vanjskim alatima, uključujući naprednu umjetnu inteligenciju, pregled koda i doprinosi poboljšanju njegove sigurnosti.
Mozilla priznaje da, uz pomoć Mythosa, sada ima dugi popis neizvršenih zadataka za jačanje sigurnosti njihove vodeće aplikacije. Za krajnje korisnike u Španjolskoj i ostatku Europe preporuka je jednostavna: ažurirati preglednik kako bi imali koristi od ovih zakrpa. Verzija 150 ne samo da ispravlja otkrivene greške, već i održava tempo poboljšanja performansi, kompatibilnosti i značajki kao što su sandbox i upravljanje dozvolama lokalne mreže.
Nadalje, slučaj Firefoxa može poslužiti kao presedan za drugi projekti otvorenog koda Ovi se alati svakodnevno koriste u poduzećima, javnim tijelima i kritičnim uslugama. Široko rasprostranjeni alati - web poslužitelji, kriptografske biblioteke, razvojni okviri - mogli bi imati koristi od sličnih revizija temeljenih na umjetnoj inteligenciji, što je posebno relevantno u Europskoj uniji, gdje direktive o kibernetičkoj sigurnosti i digitalnoj otpornosti postaju sve strože.
Izazov, kako i sama Mozilla priznaje, jest taj što mnogi od tih projekata nemaju dovoljni ljudski ili ekonomski resursi za apsorpciju toka nalaza koje model poput Mythosa može generirati. Tu na scenu stupaju i zaklade za slobodni softver i javne politike koje podržavaju sigurnost otvorenog koda, pitanje koje je već pokrenuto u Bruxellesu nakon incidenata poput Log4Shella.
Nova faza u odnosu između ljudi i umjetne inteligencije u kibernetičkoj sigurnosti
Osim anegdote o ranjivostima 271, slučaj Firefoxa pokreće promjena fokusa u odnosu između ljudskih istraživača i umjetne inteligencije u kibernetičkoj sigurnosti. Umjesto suprotstavljanja jednih drugima, Mozilla se zalaže za model u kojem napredni alati proširuju mogućnosti sigurnosnih timova, bez zamjene njihove prosudbe ili iskustva.
Organizacija opisuje Claudea Mythosa kao neku vrstu neumorni istraživač sigurnostisposobni pregledati velike količine koda, predlagati iskorištavanja i identificirati obrasce rizika. Uz njih, ljudski stručnjaci ostaju odgovorni za određivanje prioriteta, potvrđivanje, ispravljanje i odlučivanje o tome koje se promjene uvode u konačni proizvod.
Ova suradnička vizija ima izravne implikacije na europsko tržište kibernetičke sigurnosti, gdje već posluju tvrtke i istraživački centri. Eksperimentiraju s umjetnom inteligencijom za revizije koda, analizu zlonamjernog softvera ili otkrivanje upada.Ako se Mozillini rezultati repliciraju u drugim projektima, mogli bismo vidjeti skraćeno vrijeme reakcije na kritične kvarove i smanjenje pritiska na preopterećene sigurnosne timove, barem djelomično.
Istovremeno, iskustvo Anthropica i Mozille jasno pokazuje važnost Ponovno procijenite metode korištene za mjerenje performansi AI modela u sigurnosnim zadacima. Sam Anthropic je priznao da mnogi trenutni kriteriji već nisu bili dovoljni u procjeni stvarnih mogućnosti njegovih najnovijih sustava, što zahtijeva osmišljavanje zahtjevnijih i reprezentativnijih testova.
Ako postoji jedna stvar oko koje se i Mozilla i Anthropic slažu, to je da, za sada, Ne postoji potpuna zamjena za ljudsku prosudbu u upravljanju rizicima. Umjetna inteligencija ubrzava i proširuje potragu za problemima, ali odluka o tome što popraviti, kako to učiniti i u kojem vremenskom okviru i dalje ovisi o timovima ljudi koji moraju uravnotežiti sigurnost, utjecaj na korisnike i dostupne resurse.
Sve ukazuje na to da će se izlazak Firefoxa 150 sa zakrpama za 271 ranjivost koje je označio Claude Mythos pamtiti kao trenutak kada Kibersigurnost je napravila ozbiljan korak prema inteligentnoj automatizaciji.Mozillin preglednik tako postaje studija slučaja o tome kako integrirati umjetnu inteligenciju visoke razine u životni ciklus razvoja i održavanja kritičnog proizvoda, a da se pritom ne izgube iz vida povezani rizici ili potreba za strogim ljudskim nadzorom. Za korisnike, razvojne programere i kreatore politika u Španjolskoj i Europi, lekcija je jasna: umjetna inteligencija više nije samo futuristički koncept, već alat koji počinje mijenjati ravnotežu u bitci koja je desetljećima bila nagnuta u korist napadača.
