Les partenaires du programme à accès contrôlé peuvent désormais partager les découvertes de vulnérabilité avec les régulateurs, les organismes de l'industrie et le public selon les normes de divulgation responsable.
Bloomberg / Getty Images
Anthropic révise ses règles de divulgation pour le projet Glasswing, permettant aux partenaires utilisant son modèle de cybersécurité Mythos de partager les découvertes de vulnérabilités avec des tiers plutôt que de conserver les informations au sein du programme, a déclaré l'entreprise.
Selon Reuters, les conditions révisées — communiquées aux partenaires depuis la semaine dernière — permettent la divulgation de la participation à Glasswing et autorisent les organisations à partager, à leur discrétion, toutes les découvertes, outils, meilleures pratiques ou codes issus du programme avec un large éventail de parties extérieures, qu'il s'agisse de régulateurs, de groupes industriels, de mainteneurs open-source ou du grand public, à condition que les normes de divulgation responsable soient respectées.
La politique précédente obligeait les partenaires à conserver les découvertes au sein du programme. Les organisations participantes avaient elles-mêmes poussé pour les dispositions de confidentialité, a déclaré Anthropic, invoquant des inquiétudes concernant l'exposition de découvertes sensibles et des craintes que la publicité de leur participation puisse en faire des cibles pour les attaquants. "À mesure que le programme a mûri, nous les avons adaptés pour garantir que les informations clés puissent être partagées largement — y compris en dehors du programme — pour un impact défensif maximal", a déclaré un porte-parole d'Anthropic.
Le changement est intervenu sous la pression des législateurs et d'autres personnes qui ont soutenu que restreindre l'accès aux découvertes de vulnérabilités pourrait désavantager les organisations plus petites. Une lettre envoyée lundi au directeur général d'Anthropic, Dario Amodei, par le représentant Josh Gottheimer (D., N.J.) — co-président d'une commission démocratique de la Chambre sur l'IA — soutenait qu'"aucune entité ne devrait être contractuellement restreinte d'avertir les autres, de coordonner des mesures d'atténuation ou d'informer les parties prenantes pertinentes et de confiance sur des risques cybernétiques urgents", dont le texte a été examiné par The Wall Street Journal. Gottheimer a également encouragé les concurrents d'Anthropic, y compris OpenAI, à adopter une approche similaire.
Le projet Glasswing, lancé en avril, donne à environ 50 grandes entreprises et organisations gérant des infrastructures numériques critiques un accès à Mythos à des fins de cybersécurité défensive. Parmi les partenaires nommés figurent Amazon $AMZN Web Services, Apple $AAPL, Google $GOOGL, Microsoft $MSFT, Nvidia $NVDA, Cisco $CSCO et JPMorgan $JPM. Des divulgations ont déjà commencé à circuler de la part de certains participants : à la fois Palo Alto Networks $PANW et Mozilla ont publiquement crédité Mythos d'avoir mis en lumière des vulnérabilités logicielles à un volume qu'ils ont déclaré n'aurait pas été possible à travers leurs processus standard, a rapporté le Wall Street Journal.
Mythos a identifié des milliers de vulnérabilités zero-day à travers les principaux systèmes d'exploitation et navigateurs lors des tests internes, et peut développer des exploits fonctionnels contre ces failles dès la première tentative dans plus de 83 % des cas, a déclaré Anthropic. L'ampleur de ce que le modèle a découvert a incité le Secrétaire au Trésor Scott Bessent et le Président de la Réserve fédérale Jerome Powell à organiser une réunion avec les PDG des banques pour discuter des risques de cybersécurité. Comme Quartz l'a précédemment rapporté, les banques américaines ayant accès à Mythos travaillent à résoudre une vague de vulnérabilités que le modèle a révélées, avec des conclusions également partagées en aval avec les banques communautaires et régionales qui n'ont pas accès direct au programme.
Même sous les règles assouplies, les partenaires restent liés par les conventions de divulgation responsable — ce qui signifie que tout partage doit tenir compte des délais de correction adéquats et éviter de divulguer des détails qui pourraient être utilisés à mauvais escient, The Next Web noted.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
