Американська компанія з досліджень кібербезпеки Calif 15-го числа підтвердила, що ще не оприлюднена AI-модель Mythos від Anthropic здатна в обхід раніше небаченим способом системи безпеки macOS Apple успішно зламати комп’ютер Mac, що викликало значну увагу до того, як AI-технології можуть використовуватися для кіберзлочинів.
Mythos — що це? Потужна AI-модель, яку Anthropic не наважується оприлюднити
Mythos як рання версія новітньої лінійки моделей Claude AI від Anthropic наразі ще не доступна для публічного використання. Тоді інженери Anthropic заявляли, що Mythos має надзвичайно сильні можливості щодо виявлення вразливостей у програмному забезпеченні — достатньо, щоб використовувати слабкі місця «всіх основних операційних систем і веббраузерів», потенційно спричиняючи масштабні кібератаки, тож тимчасово ізолювали його у внутрішньому середовищі для тестування.
(Anthropic Mythos надто потужний! Білому дому, імовірно, доведеться вимагати урядової перевірки безпеки перед випуском нових AI-моделей)
Попри це, можливості Mythos уже були підтверджені завдяки одному реальному проникницькому тесту. Нещодавно він успішно подолав багаторівневі системи безпеки macOS від Apple і здійснив вторгнення в Mac-систему, яку раніше вважали фактично неприступною.
На злам знадобилося лише п’ять днів! «Ланцюгова атака» прорвала оборону Apple MIE
The Wall Street Journal повідомляє, що за цим вторгненням стояла кібердослідницька організація Calif, розташована в Пало-Алто, штат Каліфорнія, яка працювала у зв’язці з аналітичними можливостями Mythos та отримувала допомогу збоку. Дослідники почали з локального облікового запису без спеціальних привілеїв, використали дві незалежні програмні помилки в macOS у поєднанні з різними техніками експлуатації, з’єднавши їх у повний ланцюг атаки, щоб у підсумку отримати доступ із найвищими системними правами root.
Найкритичнішим проривом атаки стало успішне обходження «системи примусової цілісності пам’яті (MIE)» Apple. Як механізм захисту, створений Apple на основі ARM-технологій, він ефективно блокує атаки на пам’ять і вважається однією з найміцніших ліній безпеки на пристроях Apple.
Команда стверджує, що це також перша в історії оприлюднена атака «ланцюжкових експлойтів (chained exploit)», яка здатна прорвати захист MIE на фізичних пристроях із чипом M5. Ще більше тривожить те, що від виявлення вразливостей до завершення всього ланцюга атаки минуло лише близько п’яти днів.
Calif: AI не всемогутній, ключ — у співпраці людини й машини
Однак у звіті дослідники Calif підкреслили: хоча Mythos демонструє вражаючу здатність до пошуку вразливостей, без синхронних дій професійних хакерів така атака не могла б бути успішною. Тому протягом усього процесу Mythos радше відігравав роль «потужного допоміжного інструменту», а не повністю автономної системи атак.
Станом на зараз Apple не надала відповіді на цю подію, а також не підтвердила, чи випустила патчі проти вразливостей, які використовував Mythos.
Мотиви Anthropic: зробити AI інструментом кіберзахисту
Anthropic наголошує, що розробка Mythos не призначалась для зловмисних атак — натомість компанія прагне використати його як інструмент активного захисту. Для цього Anthropic ініціювала проєкт «Project Glasswing», який має на меті надати дозвіл на те, щоб Mythos допомагав різним сторонам виявляти вразливості системної безпеки, аби їх можна було виправити ще до того, як їх знайдуть зловмисні хакери.
Втім, ця подія також демонструє двосічну природу AI-технологій: той самий потужний модел може бути вірним помічником для мережевого захисту, але за певних умов здатний перетворитися на загрозливий інструмент для злому навіть топових операційних систем. У міру того, як можливості AI продовжують зростати, питання кіберзахисту стає нагальним у всіх напрямах.
Ця стаття про те, що Anthropic Mythos за п’ять днів успішно зламав систему безпеки macOS, спричинила попередження від кібербезпеки Apple, яке з’явилося найперше в новинах ABMedia.
Застереження: Інформація на цій сторінці може походити від третіх осіб і не відображає погляди або думки Gate. Вміст, що відображається на цій сторінці, є лише довідковим і не є фінансовою, інвестиційною або юридичною порадою. Gate не гарантує точність або повноту інформації і не несе відповідальності за будь-які збитки, що виникли в результаті використання цієї інформації. Інвестиції у віртуальні активи пов'язані з високим ризиком і піддаються значній ціновій волатильності. Ви можете втратити весь вкладений капітал. Будь ласка, повністю усвідомлюйте відповідні ризики та приймайте обережні рішення, виходячи з вашого фінансового становища та толерантності до ризику. Для отримання детальної інформації, будь ласка, зверніться до
Застереження.
