Anthropic bekrefter Mythos-lekkasje — tredjepartskontraktor og gjettet URL ga Discord-gruppe tilgang
fredag 24. april · KI-generert · Kilde: Fortune
Kontrollere hvilke tredjeparter som har tilgang til Claude-miljøet ditt i dag, ettersom Anthropic bekrefter at Mythos-modellen ble lekket via en tredjepartsleverandør.
Hva skjedde. Ifølge Bloomberg, gjengitt av Fortune 23. april, fikk en gruppe i en privat Discord-kanal tilgang til Anthropics Claude Mythos Preview samme dag modellen ble kunngjort. En av medlemmene var tredjepartskontraktor for Anthropic. Gruppen gjettet seg fram til endepunkt-URL-en basert på tidligere lekkasjer fra Mercor, en KI-treningsstartup.
Anthropic bekrefter overfor Bloomberg at de «etterforsker en rapport om uautorisert tilgang til Claude Mythos Preview gjennom et av våre tredjepartsleverandør-miljøer». Gruppen har ifølge Fortune ikke brukt modellen til angrep, men har fortsatt tilgang.
«Jo flere de legger til i denne elitegruppen, jo mer sannsynlig var det at den ville havne hos noen som ikke burde ha tilgang.» — David Lindner, CISO i Contrast Security
Modellen er det Anthropic har kalt for farlig til å slippe bredt. Den har blitt brukt til å finne en 27 år gammel OpenBSD-sårbarhet, og Mozilla bekreftet tirsdag at en preview identifiserte og patchet 271 sårbarheter i Firefox. Tilgangen var begrenset til 40 selskaper, blant dem Microsoft, Apple og Google, men Lindner peker på at tusenvis av personer i praksis hadde tilgang via disse selskapene.
Hva bør du gjøre?
- Kartlegg hvilke tredjepartskontraktorer og vendor-integrasjoner som har tilgang til nøkkelsystemer hos deg. Mythos-lekkasjen skjedde gjennom én slik relasjon.
- Sett opp overvåkning på endepunkt-URL-er som ikke skal være offentlig gjettbare. Anthropics feil var å bruke forutsigbare naming-konvensjoner som tidligere lekkasjer hadde eksponert.
- Anta at frontier-modeller lekker innen dager etter lansering. Bygg sikkerhetsantakelsene dine på den premissen, ikke på vendor-løfter om begrenset tilgang.
Bakgrunn
Sam Altman i OpenAI kalte denne uken Anthropics markedsføring av Mythos for «fryktbasert markedsføring». Fortune påpeker at det var en sikkerhetssvipp i en offentlig tilgjengelig database som først avslørte Mythos-modellens eksistens. Lekkasjen nå gjør Mythos til den minst hemmelige «for-farlig-til-å-slippe»-modellen i bransjen.