La IA de Anthropic halla fallos más rápido de lo que Microsoft puede repararlos, según ProPublica

El modelo de IA Claude Mythos de Anthropic ha estado descubriendo vulnerabilidades de software en productos de Microsoft ↗ 15.51% a un ritmo que supera la capacidad de la empresa para repararlas, según grabaciones y documentos internos de Microsoft obtenidos por ProPublica.propublica

En una reunión de mediados de mayo llamada Proyecto Glasswing, los ingenieros de Microsoft discutieron cómo Mythos había detectado 90 fallos críticos y 141 importantes solo en SharePoint durante abril, encontrando aún más en la primera quincena de mayo. El gerente de ingeniería Hans Andersen instó a sus colegas a reducir la acumulación antes de la fecha límite del 31 de mayo, tras la cual el modelo de Anthropic estaría más disponible. "Por favor, por favor, por favor, si su organización tiene algún fallo de abril, resuélvanlo", dijo Andersen al grupo.propublica

La urgencia era palpable. Cuando un ingeniero preguntó si los adversarios tendrían acceso a sus fallos para el 2 de junio, sus colegas confirmaron: "Sí".

Una carga de parches récord

La presión se ha vuelto visible públicamente. El 14 de julio, Microsoft lanzó parches para más de 600 vulnerabilidades en su actualización mensual Patch Tuesday, un récord histórico. Casi todas fueron calificadas como importantes o críticas, y al menos dos ya estaban siendo explotadas en ataques reales, incluyendo un fallo en SharePoint Server.linkedin+2

"Bueno amigos. Aquí estamos. El apocalipsis de los fallos ha descendido completamente sobre nosotros", escribió Dustin Childs de la Zero Day Initiative en una publicación de blog ese día.thezdi+1

Microsoft dijo a ProPublica que el volumen total "no se estabilizará por un tiempo", pero afirmó que la empresa ha "invertido mucho tanto en personal como en soluciones de clasificación impulsadas por IA".propublica

El panorama general

El desafío va mucho más allá de Microsoft. El 28 de julio, Hitachi anunció que su participación en el Proyecto Glasswing había reducido el modelado de amenazas para bases de código de millones de líneas de semanas a horas, descubriendo vulnerabilidades en software propietario de misión crítica que las herramientas existentes habían pasado por alto.ibtimes

A finales de junio, la alianza de inteligencia Five Eyes emitió una inusual advertencia conjunta de que los modelos de IA de vanguardia estaban "transformando fundamentalmente las capacidades cibernéticas ofensivas y defensivas" y que "el cronograma no es de años, es de meses".euronews+1

Vinh Nguyen, exjefe de IA en la Agencia de Seguridad Nacional y ahora asesor técnico senior de Anthropic, advirtió que el enfoque de clasificación estándar de Microsoft, que prioriza primero los fallos más graves, podría ser inadecuado. Debido a que Mythos puede encadenar fallos de baja gravedad en rutas de ataque devastadoras, dijo, "la estrategia de clasificación actual podría estar subestimando los riesgos".propublica

"No hay alternativa", añadió Nguyen. "Los pacientes están llegando de forma rápida y furiosa".propublica