Anthropic gir Mythos 5 til kodeskanning, 35 mill. dollar til åpen kildekode

Anthropic kunngjorde 21. august at sikkerhetsskanningene i Claude Security nå kjører på Claude Mythos 5, den sterkeste modellen selskapet har. Tjenesten er i åpen beta for Claude Enterprise-kunder, og skanningene faktureres som vanlig tokenbruk under avtalen du allerede har, uten eget tillegg.

Modellen har vært innelåst fram til nå. Siden april har Mythos-klassen bare vært tilgjengelig gjennom Project Glasswing, for en liten gruppe organisasjoner som sikrer kritisk programvare. Begrunnelsen er at evnene som finner en sårbarhet er de samme som kan skrive angrepskoden mot den.

«Den største risikoen oppstår når en bruker har direkte tilgang til en modell, der en ondsinnet aktør kan prøve å styre den mot skadelig bruk.» — Anthropic

Løsningen selskapet lander på er å gi ut resultatet, ikke modellen. I Claude Security velger du et repositorium fra claude.ai/security, og hvert funn kommer tilbake med CWE-kategori, konfidens- og alvorlighetsgrad og et forslag til rettelse. Du kan åpne Claude Code på nett for å implementere fiksen, men den interaktive patchingen kjører på modellene organisasjonen din allerede har tilgang til. Mythos-skanningen utvider ikke Mythos-tilgangen til andre flater, og hver rettelse må gjennomgås og godkjennes av et menneske før den kan settes inn.

Samme logikk styrer partnerleddet. Anthropic jobber med sikkerhetsleverandører for å bygge Mythos 5 inn i produktene teamene allerede kjører, slik at sluttbrukeren får akkurat det artefaktet produktet er laget for, for eksempel en liste med foreslåtte patcher, uten å kunne be modellen om en exploit i stedet.

Pengene går til åpen kildekode. Defender Advantage Fund, forkortet 0xDAF, deler ut 35 millioner dollar i Claude-krediter til organisasjoner som hjelper vedlikeholdere med å sikre prosjektene sine. Gjennom Project Glasswing ga Anthropic tidligere 4 millioner dollar i direkte donasjoner til sikkerhetsorganisasjoner for åpen kildekode. De første tildelingene blir få og store pilotgrants, og mottakerne kunngjøres i løpet av noen uker.

Bakgrunn

Cyber Verification Program gir allerede godkjente sikkerhetsteam reduserte sperrer på Opus- og Sonnet-modellene, slik at legitimt arbeid på systemer de har lov til å forsvare ikke stanses midt i. I løpet av de neste ukene utvides programmet med bredere dual-use-evner på de samme modellene, og tilgang til Mythos-klassen skal følge etter. Claude Fable 5 var første steg i samme retning: bredt tilgjengelig, men med dual-use-arbeid innen cybersikkerhet blokkert.

Hva bør du gjøre?

1. Søk på Cyber Verification Program hvis du driver legitimt sikkerhetsarbeid og stadig treffer sperrer. Anthropic ber alle slike team søke nå, og de som allerede er tatt opp trenger ikke gjøre noe.
2. Vedlikeholder du et åpent prosjekt med reell brukermasse, følg med når de første 0xDAF-tildelingene offentliggjøres. Kriteriene er levende sårbarheter i mye brukte prosjekter, automatisering andre kan kopiere, og tiltak som fjerner hele angrepsklasser.
3. Behandle patch-forslagene som utkast. Anthropic krever menneskelig godkjenning før en rettelse implementeres, og konfidensgraden på et funn er en vurdering, ikke en garanti.