- október 8-án az Anthropic bejelentette az Anthropic Cyber Mission elindítását, hosszú távú vállalást arra, hogy segítse a rendszerek védelmét, amelyektől a társadalom napi működése függ. A kezdeményezés célja, hogy eszközöket, kutatást és erőforrásokat biztosítson a védelmet nyújtó szervezeteknek a szoftverek és rendszerek biztonságosabbá tételéhez. A program indítása két fő területre fókuszál: a kritikus infrastruktúra védelmére és a nyílt forráskódú szoftverek biztonságának javítására.
Kritikus infrastruktúra: Critical Infrastructure Defense Program (CIDP)
Az Anthropic bejelentése szerint elsőként a villamosenergia-hálózatok, vízellátás, közlekedési rendszerek és kormányzati rendszerek mögötti üzemeltetési technológiák (operational technology, OT) védelmével kezdik. Az új Critical Infrastructure Defense Program (CIDP) a legfejlettebb Claude-modelleket, helyszíni mérnököket és fenyegetéskutatást juttat el azokhoz a szolgáltatókhoz, akik az OT rendszerek biztonságáért felelősek.
A CIDP alapító partnerei: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC és Rockwell Automation — összesen tizenegy szervezet. Ezek a partnerek konzultációt, biztonsági szolgáltatásokat, gyártói támogatást és üzemeltetési szakértelmet képviselik.
Az Anthropic közlése szerint több partner már dolgozik Claude használatával sebezhetőségek feltárásán és javításán, valamint ügyfeleik támogatásán. A cég hangsúlyozza, hogy az OT rendszerek különleges kihívást jelentenek: sok eszköz nem vehető egyszerűen offline javítás céljából, a hibajavítások kockázatosak, és egy rossz lépés akár egy üzem leállásához vezethet. A CIDP első lépése egy szűk szolgáltatói kohorsz együttműködése, hogy megtanulják, mely alkalmazások a leghatékonyabbak és gyakorlatiak.
Az Anthropic nyitja a lehetőséget: azok a vállalatok, amelyek kritikus infrastruktúrához kapcsolódó biztonsági termékeket vagy szolgáltatásokat fejlesztenek (security vendorok, rendszerintegrátorok, berendezésgyártók), regisztrálhatják érdeklődésüket a program iránt.
A bejelentés tartalmazott partnerekből származó idézeteket is, amelyek a program fontosságát, a gépi sebességű támadások elleni gépi védelem szükségességét és a közös védekezési stratégia előnyeit hangsúlyozták.
Nyílt forráskód: OSS Scanner és kapcsolódó támogatások
Az Anthropic közleménye szerint a szoftverek túlnyomó része nyílt forráskódú elemekre épül, amelyeket gyakran kis karbantartó csapatok tartanak fenn. A Project Glasswing alatt az Anthropic több száz széles körben használt open-source projektet szkennelt, sok talált sebezhetőséget emberi triázst követően jelentettek a karbantartóknak a koordinált sebezhetőség-bejelentési folyamatukon keresztül.
Válaszul az igényekre az Anthropic elindítja az OSS Scanner szolgáltatást: egy opt-in, ingyenes rendszeres biztonsági szkennelést kínáló szolgáltatást, amely a vállalat legerősebb modelljeivel végzett vizsgálatokról ad jelentést. A beiratkozott projektek periódikus, modellgenerálta riportot kapnak, amely magában foglal egy működési bizonyítékot a hibák kihasználhatóságáról, magyarázatot és ahol lehetséges javasolt javítást. Ezeket a riportokat emberi ellenőrzés nélkül küldik, így gyorsabb visszajelzést adnak, de tartalmazhatnak pontatlanságokat, például helytelen súlyozást.
Az Anthropic várakozása szerint az OSS Scanner igaz-pozitív aránya 90% fölött lesz, és idővel dolgoznak a javítások minőségének emelésén. A szolgáltatás olyan projektek számára készült, amelyek képesek lépést tartani a felszínre hozott találatokkal; a kisebb kapacitású karbantartóknak továbbra is a koordinált, ember által felülvizsgált bejelentési csatornát ajánlják.
Az OSS Scanner első lépés: céljuk a találatok gyorsabb eljuttatása a karbantartókhoz, több projekt bevonása, a javítások felgyorsítása, a triázs és javítás automatizálásának elősegítése ott, ahol lehetséges, valamint új, biztonságosabb architektúrák és kódolási gyakorlatok kutatása és megosztása.
Támogatások: az Anthropic finanszírozást nyújtott olyan szervezeteknek, amelyek széles körben használt open-source kódok mögött állnak, többek között a Python Software Foundation, Alpha-Omega és OpenSSF a Linux Foundation alatt, valamint az Apache Software Foundation számára. Emellett támogatják az Akrites és Gold Eagle kezdeményezéseket, amelyek több forrásból gyűjtik és koordinálják a sebezhetőség-jelentéseket, hogy ne terheljék túl a karbantartókat. A Defender Advantage Fund (0xDAF), amelyet az Anthropic augusztusban indított, pilot programokat támogat, és fenntartja az OSS Scanner ingyenességét.
Karbantartók emellett pályázhatnak a Claude for Open Source programra ingyenes Claude Max előfizetésekért, és jelentkezhetnek az kibővített Cyber Verification Programra a Claude kibervédelmi képességeinek nagyobb körű eléréséért.
Project Glasswing, Cyber Verification Program és indoklás
Az Anthropic korábbi Project Glasswing munkája során sok sebezhetőséget fedeztek fel, de a vállalat szerint ez nem eredményezett még elegendő kockázatcsökkenést. Ez vezetett ahhoz, hogy a Glasswinget beolvasztották az kibővített Cyber Verification Programba, amely szélesebb körben ad hozzáférést Anthropic legerősebb modelljeihez a védelmi munkában részt vevőknek.
A cég álláspontja szerint ugyanazok a fejlett modellek, amelyek támadóként is felhasználhatók, nagy lehetőséget jelentenek a védelem számára, ha felelősen, alaposan validálva és biztonságosan alkalmazzák őket. Rövid távon azonban még nincs biztos előny a védők oldalán: a sebezhetőségek kihasználásának költsége csökkent, míg a sebezhetőségek ellenőrzése, bejelentése és javítása lassú, emberi folyamatokon alapul.
Az Anthropic célja, hogy a Cyber Mission révén mérnöki erőforrást, eszközöket és finanszírozást telepítsen azokhoz, akik kritikus infrastruktúrát és nyílt forráskódú szoftvereket védenek, és hogy megosszák a kutatásokat, eszközöket és tapasztalatokat, beleértve azokat is, amelyek nem működtek jól.
Korábbi lépések és jövőbeli tervek
Júniusban az Anthropic már indított egy kibervédelmi programot állami, helyi, törzsi és területi kormányzatok számára; azóta a cég frontier Claude-modelleket és technikai támogatást nyújtott több mint az Egyesült Államok államainak felének és néhány nagy közszolgáltató operátornak, gyorsítva kódvizsgálatot és javítást, incidenskezelést, red teaminget és egyéb biztonsági munkafolyamatokat.
A következő hónapokban az Anthropic tervei szerint a CIDP-t több partnerre és ágra terjesztik ki, és nyilvánosan megosztják majd a tapasztalataikat, beleértve a sikertelen próbálkozásokat is. Emellett más AI-fejlesztőkkel, biztonsági cégekkel és kormányokkal való együttműködést várnak, ahol az segíti a védőket.
A nyílt forráskód és az ellátási lánc további védelmére irányuló munka magában foglalja a szoftvírás új módjainak, valamint az rendszerek védelmének kutatását és megosztását. Az Anthropic arra hívja a kritikus open-source projektek karbantartóit, hogy iratkozzanak fel az OSS Scannerre, valamint minden méretű biztonsági csapat jelentkezzen a kibővített Cyber Verification Programra.
Összegzés
Az Anthropic Cyber Mission egy többirányú kezdeményezés, amely Claude frontier modelleket, helyszíni mérnököket, kutatást és pénzügyi támogatást kínál a kritikus infrastruktúra és a nyílt forráskódú ökoszisztéma védelméhez. A Critical Infrastructure Defense Program és az OSS Scanner az első nyilvános komponensek; az Anthropic szerint ezek a lépések a védelem megerősítését és a sebezhetőségek gyorsabb feltárását, priorizálását és javítását segítik elő az elkövetkező években.
Ha egy szervezet biztonsági termékeket vagy szolgáltatásokat épít kritikus infrastruktúrához, vagy egy open-source projekt karbantartója, az Anthropic regisztrációs és jelentkezési csatornákat biztosít a programokhoz való csatlakozáshoz.
