Sztuczna inteligencja znalazła setki luk w Firefoksie. Mozilla mówi o przełomie w bezpieczeństwie

Jeszcze kilka tygodni temu informacje o nowym modelu AI od Anthropic brzmiały jak zapowiedź kolejnego eksperymentu dla wąskiego grona partnerów technologicznych, jednak sprawa nabrała znacznie większego znaczenia. Mozilla ujawniła, że narzędzie o nazwie Mythos Preview pomogło wykryć aż 271 potencjalnych luk bezpieczeństwa w najnowszej wersji przeglądarki Firefox.

Przez lata wyszukiwanie podobnych podatności wymagało żmudnej pracy ekspertów analizujących kod linijka po linijce. Tym razem dużą część tej pracy wykonał model sztucznej inteligencji, który według inżynierów Mozilli osiągnął skuteczność porównywaną do najlepszych specjalistów zajmujących się wykrywaniem zagrożeń.

Dla producentów oprogramowania oznacza to nową rzeczywistość. Każdy fragment kodu może zostać przeanalizowany szybciej niż kiedykolwiek wcześniej, a ukryte przez lata błędy mogą nagle wypłynąć na powierzchnię.

Firefox stał się poligonem dla nowej generacji AI

Mozilla przyznała, że wcześniejsze testy z innymi modelami językowymi przynosiły znacznie skromniejsze efekty. Poprzedni model Anthropic miał wykryć zaledwie 22 problemy w starszej wersji przeglądarki. Po uruchomieniu Mythos liczba znalezionych błędów wzrosła ponad dziesięciokrotnie. Bobby Holley, dyrektor techniczny Firefoksa, nie ukrywał zaskoczenia skalą wyników. Według niego system był w stanie wskazać słabe punkty, których ręczne wyszukanie mogłoby zająć zespołom wiele miesięcy. W teorii dla twórców przeglądarki oznacza to skrócenie czasu między napisaniem kodu a wykryciem potencjalnego zagrożenia. W praktyce AI potrafi zalewać błędnymi zgłoszeniami, jednak może z Mythos faktycznie będzie inaczej.

To szczególnie ważne dla projektów open source, gdzie ogromne repozytoria często pozostają pod opieką niewielkich zespołów programistów. W takich warunkach automatyczne wyszukiwanie podatności może stać się narzędziem, które realnie odciąży ludzi odpowiedzialnych za bezpieczeństwo.

AI zaczyna wyprzedzać człowieka w analizie kodu

Najbardziej zaskakujący nie sam fakt użycia AI, lecz tempo postępu. Jeszcze kilka miesięcy temu podobne modele miały poważne problemy z analizą rozbudowanych projektów programistycznych. Dziś system potrafi przejrzeć ogromne fragmenty kodu i wskazać miejsca, które mogą prowadzić do poważnych naruszeń. Mozilla twierdzi, że nie zauważyła kategorii błędów, których model nie potrafiłby rozpoznać. To stawia pytanie o przyszłość całej branży cyberbezpieczeństwa. Jeśli narzędzia oparte na sztucznej inteligencji będą rozwijały się w podobnym tempie, firmy mogą wkrótce przejść z defensywy do znacznie bardziej aktywnej ochrony swoich systemów.

Anthropic nie chce wypuścić modelu do wszystkich

Anthropic nie zamierza na razie udostępniać Mythos szerokiej publiczności. Firma obawia się, że narzędzie mogłoby zostać wykorzystane nie tylko do ochrony systemów, ale również do szukania luk przez cyberprzestępców.

Z tego powodu model trafił jedynie do wybranych partnerów w ramach programu Glasswing. W gronie testujących znalazły się organizacje technologiczne, finansowe i zespoły zajmujące się bezpieczeństwem infrastruktury cyfrowej.

Obawy nie są bezpodstawne. Narzędzie zdolne do znajdowania błędów szybciej niż człowiek może stać się równie cenne dla obrońców, jak i dla osób szukających sposobów na włamania.

Cyberbezpieczeństwo może właśnie wchodzić w nową erę

W Mozilli coraz częściej mówi się o momencie, w którym obrońcy po raz pierwszy mogą zyskać przewagę nad atakującymi. Do tej pory twórcy oprogramowania zwykle reagowali dopiero po odkryciu podatności. Model taki jak Mythos może odwrócić ten schemat i pozwolić znajdować zagrożenia zanim zrobią to cyberprzestępcy.