CISA używa AI Anthropic do audytu rządowego oprogramowania

Amerykańska agencja cyberbezpieczeństwa CISA wykorzystuje model AI Anthropic Mythos do audytu rządowego oprogramowania - przekazały trzy osoby znające sprawę. Narzędzie ma pomagać w wykrywaniu błędów, które mogłyby zostać wykorzystane przez obce służby lub cyberprzestępców.

Cybersecurity and Infrastructure Security Agency, czyli amerykańska agencja odpowiedzialna za cyberobronę, używa modelu Mythos do skanowania repozytoriów kodu administracji rządowej. Celem audytów jest wykrywanie luk w oprogramowaniu, które mogłyby otworzyć drogę do ataków ze strony zagranicznych szpiegów i cyberprzestępców.

Cyberagencja skanuje rządowy kod

Według jednej z osób znających sprawę skanowanie prowadzi zespół Attack Surface Evaluation działający w strukturach CISA. To grupa zajmująca się oceną bezpieczeństwa cyfrowego oraz ćwiczeniami hakerskimi w administracji publicznej.

Dwie osoby przekazały, że audyty miały już ujawnić dużą liczbę podatności. Nie podano jednak szczegółów dotyczących ich charakteru ani skali zagrożenia. Nie udało się też ustalić, jak dużą część rządowego kodu przeanalizowano.

Anthropic nie odpowiedział na pytania dotyczące tej inicjatywy. Przedstawiciel CISA miał w ubiegłym miesiącu sprawdzić, czy agencja może podzielić się dodatkowymi informacjami, ale nie odpowiedział później na kolejne wiadomości.

Trudne relacje Anthropic z rządem USA

Wykorzystanie Mythos przez CISA to kolejny sygnał rosnącego zainteresowania amerykańskich instytucji narzędziami Anthropic. Dzieje się to mimo napięć między firmą a Białym Domem.

Anthropic, który poufnie złożył dokumenty dotyczące pierwszej oferty publicznej w USA, miał w ostatnich miesiącach burzliwe relacje z administracją. Napięcie sięgnęło szczytu w lutym, gdy firma odmówiła usunięcia zabezpieczeń uniemożliwiających wykorzystanie jej AI do autonomicznej broni lub krajowej inwigilacji.

W reakcji Pentagon nadał Anthropic formalne oznaczenie ryzyka w łańcuchu dostaw. Do tej pory taka etykieta była stosowana wobec zagranicznych firm podejrzewanych o ułatwianie działalności szpiegowskiej.

Szczególna uwaga dla modelu Mythos

Nadzwyczajne wpisanie firmy na czarną listę zostało w marcu zablokowane przez sędziego, a konflikt osłabł po prywatnym udostępnieniu modelu Mythos. Jest on opisywany jako wyjątkowo skuteczny w znajdowaniu i wykorzystywaniu luk cyberbezpieczeństwa.

Z materiału wynika, że z Mythos korzystała także Agencja Bezpieczeństwa Narodowego. NSA miała używać modelu już w kwietniu, mimo wcześniejszego sporu wokół Anthropic. Analitycy agencji testowali Mythos również w środowiskach niejawnych i mieli być pod wrażeniem jego możliwości.

Gdy Anthropic udostępnił publiczną wersję Mythos pod nazwą Fable, wyposażoną - według firmy - w zabezpieczenia cyberbezpieczeństwa, Biały Dom zażądał zakazu korzystania z modelu przez cudzoziemców. Doprowadziło to do globalnego wyłączenia narzędzia, które zniesiono dopiero w ubiegłym tygodniu.