Un petit groupe a accédé au modèle le jour de son annonce, en utilisant une combinaison de tactiques, y compris des identifiants d'un sous-traitant tiers.
NurPhoto / Getty Images
Le modèle de cybersécurité Mythos AI d'Anthropic — que la société décrit comme capable d'identifier et d'exploiter des vulnérabilités sur tous les principaux systèmes d'exploitation et navigateurs web — a été accédé par un petit groupe d'utilisateurs non autorisés, a rapporté Bloomberg.
Anthropic a déclaré qu'il enquête sur le rapport. "Nous enquêtons sur un rapport alléguant un accès non autorisé à Claude Mythos Preview via l'un de nos environnements de fournisseurs tiers," a déclaré un porte-parole de la société dans un communiqué à Bloomberg. La société a ajouté qu'elle n'avait trouvé aucune indication que l'incident ait atteint sa propre infrastructure ou se soit propagé en dehors de l'environnement du fournisseur tiers.
Selon Bloomberg, la violation s'est produite le jour même où Anthropic a rendu public son annonce du modèle. Les méthodes des utilisateurs comprenaient l'utilisation d'un accès au système qu'un membre avait acquis à travers un travail d'évaluation de contrat effectué pour un fournisseur d'Anthropic, ainsi que le déploiement d'outils de reconnaissance typiquement trouvés dans la boîte à outils d'un chercheur en cybersécurité. La connaissance de la manière dont Anthropic structure ses points de terminaison de modèle — des informations qui auraient été exposées lorsque Mercor, une startup de formation en IA, a subi une violation de données — a permis au groupe de localiser Mythos en ligne.
Bloomberg rapporte que les individus sont connectés via une communauté privée sur Discord dédiée à faire surgir des informations sur les modèles d'IA avant leur sortie publique, avec des bots automatisés déployés pour balayer des plateformes non sécurisées comme GitHub à la recherche de détails pertinents. Bien que le groupe ait continué à utiliser Mythos régulièrement, la source a dit à Bloomberg qu'il a évité les requêtes liées à la sécurité, optant plutôt pour des tâches bénignes comme le développement web basique dans l'espoir de rester sous le radar d'Anthropic. Bloomberg a également cité la source en disant que le groupe a accès à d'autres modèles non publiés d'Anthropic.
Grâce à un programme de déploiement contrôlé connu sous le nom de Project Glasswing, Anthropic a rendu Mythos disponible à un groupe sélectionné de partenaires qui inclut Apple $AAPL, Amazon $AMZN et Cisco $CSCO, entre autres. Anthropic a structuré la sortie réservée sur invitation autour des préoccupations selon lesquelles les capacités offensantes de l'outil — qui pourraient être utilisées contre l'infrastructure de sécurité des entreprises plutôt que pour la défendre — rendaient une distribution large trop risquée. Amazon propose également Mythos via sa plateforme Bedrock à une liste sélectionnée d'organisations.
La violation met en évidence la difficulté de contrôler l'accès à des outils d'IA puissants même lorsque la distribution est strictement limitée. Bloomberg note également que les banques et les organismes gouvernementaux des deux côtés de l'Atlantique ont fait pression pour être inclus dans le programme d'accès anticipé, espérant utiliser l'outil pour sonder leurs propres systèmes à la recherche de faiblesses.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
