An initiative to secure the world's software | Project Glasswing

TL;DR: Anthropic 启动了“Project Glasswing”计划，利用其新开发的代码模型 Claude Mythos Preview 协助全球关键软件组织发现并修复漏洞，旨在通过集体防御提升网络安全标准。 ## 软件安全的新挑战与大语言模型的双重性 对于绝大多数日常使用软件的人来说，“漏洞”（bugs）通常是一个隐形的概念。用户很少会考虑如果赖以运行的软件安全性突然下降会发生什么，因为大多数漏洞会在被发现后迅速修复，不会造成明显影响。然而，软件开发人员每天都在应对这一现实：软件中始终存在缺陷和漏洞。 偶尔，某些严重漏洞会被发现，尤其是当它们存在于被众多产品或网站广泛使用的共享软件中时，单一问题可能在全球范围内被放大，造成巨大影响。历史上，查找和修补漏洞一直是一个缓慢、耗时且昂贵的过程。 随着大语言模型（LLMs）的发展，这一现状正在改变。现在的 LLMs 能够写出与世界顶尖软件开发人员水平相当的代码。从网络安全的角度来看，这提高了标准：这些模型既能帮助防御者，也可能潜在地帮助攻击者利用软件。 ## Claude Mythos Preview：代码能力的飞跃与安全附带效果 Anthropic 最近开发了一个新模型 **Claude Mythos Preview**。在早期开发阶段，团队就清楚地意识到该模型在网络安全能力方面将有显著提升。虽然能力增长曲线呈加速指数级上升，但 Claude Mythos Preview 在关键转折点上实现了巨大的飞跃。 值得注意的是，Anthropic **并没有专门训练** 该模型在网络安全方面表现优异，而是专注于提升其在**代码处理**方面的能力。然而，作为擅长代码的附带效果，该模型在网络安全领域表现出色。 * **识别能力相当专业水平**：该模型在识别漏洞方面的能力，大体上与专业人类开发者相当。 * **生成复杂利用链**：该模型具备将多个漏洞串联起来的能力。它可以基于三到四个、甚至有时五个单独看来威胁不大的漏洞，按顺序生成利用链，最终实现复杂的攻击效果。 * **高度自主性**：该模型擅长执行类似于人类安全研究人员在一整天内完成的长期任务，展现出高度的自主性。 ## Project Glasswing：建立集体先发优势 鉴于 Claude Mythos Preview 的强大能力，如果其落入不法之手，可能会造成严重危害。因此，Anthropic 决定不广泛发布该模型。然而，未来会有更强大的模型从 Anthropic 及其他公司问世，因此需要制定应对计划。 为此，Anthropic 启动了 **“Project Glasswing”** 项目。该计划的核心是与世界关键代码背后的一些组织合作，将该模型交给他们，研究如何利用这类模型降低风险，保护所有人。 * **集体先发优势**：通过让其他软件开发者优先获得先进工具，整个行业获得了集体先发优势。 * **发现与修复**：这使得团队能够发现以前无法发现的问题，并更快地修复它们。 ## 实际成果：在主要平台中发现严重漏洞 在与合作伙伴协作的过程中，团队几乎在所有主要平台上都发现了漏洞。Anthropic 团队表示，在过去几周内发现的漏洞数量超过了其整个职业生涯中的总和。 团队使用 Claude Mythos Preview 扫描了大量开源代码，首先关注的是操作系统，因为这是支撑整个互联网基础设施的基础代码。以下是部分具体发现： 1. **OpenBSD**：发现了一个存在长达 **27 年** 的漏洞。通过向任何 OpenBSD 服务器发送几组数据，就能导致其崩溃。 2. **Linux**：发现了一些权限提升漏洞。没有任何权限的用户只需在本地运行某些二进制文件，就能将自己的权限提升至管理员级别。 针对每个发现的漏洞，团队都立即通知了实际运行这些软件的维护人员。维护人员随即进行了修复并部署了补丁，使得运行这些软件的用户不再容易受到此类攻击。对于不知疲倦地维护软件的开发者来说，一个能够帮助他们发现自身代码中的漏洞并在被利用之前修复它的模型，是一项无价之宝。 ## 跨行业协作与社会安全 Anthropic 已与美国政府多位官员沟通，并提议与他们合作，共同评估这些模型的风险，协助抵御这些模型带来的潜在威胁。 在当今社会，生活中的一切都离不开软件。软件已经“吞噬”了世界，所有的日常生活都建立在一个信念之上：我们可以依靠支撑这些生活的系统。因此，**网络安全就是社会的安全**。 * **联合防御**：必须联合起来，跨行业协作，共同构建更强大的防御能力。 * **长期投入**：没有任何一个组织能够看到全貌并独自解决这一问题。这项工作不可能在短短几周内完成，至少需要数月，甚至数年的时间。 Anthropic 希望，通过 Project Glasswing 及类似的长期努力，最终能让全世界的软件、用户数据、金融交易以及关键基础设施变得更加安全。 Source: [An initiative to secure the world's software | Project Glasswing (Anthropic)](https://www.youtube.com/watch?v=INGOC6-LLv0)