Anthropics Mythos er holdt relativt hemmelig på grunn av antatt risiko mot programvare. Wall Street Journals Robert McMillan rapporterte 14. mai at sikkerhetsforskere ved Calif i Palo Alto har avslørt en ny måte å omgå Apples sikkerhetsteknologi på, basert på teknikker oppdaget under testing av en tidlig Mythos-versjon i april. 9to5Mac videreformidler rapporten.
Eksploiten kombinerer to bugs og en håndfull teknikker for å korrumpere Mac-minnet og oppnå tilgang til områder av enheten som skal være utilgjengelige. Det er en klassisk privilege-escalation-kjede, og hvis den lenkes med andre angrep kan en angriper i prinsippet ta kontroll over maskinen. Calif leverte en 55-siders rapport personlig i Cupertino.
Det interessante er nyansen Calif selv legger inn. CEO Thai Dong sier til WSJ at angrepet ikke kunne vært gjennomført av Mythos alene; det krevde svært menneskelig sikkerhetsekspertise fra Califs egne hackere. Mythos genererte med andre ord ikke eksploiten autonomt; den var et verktøy som akselererte menneskelig forskning.
Apple har bekreftet at de tar imot rapporten og etterforsker. Dong sier til WSJ at buggene sannsynligvis fikses raskt. Detaljene holdes tilbake til Apple har lukket hullene.
For utviklere er det to ting å feste seg ved. For det første: KI-assisterte sikkerhetsforskning er nå nær nok produksjon at den finner reelle hull i Apples sikkerhetsmodell. For det andre: Calif-sjefen er tydelig på at modellen ikke er en autonom hacker, men en kraftforsterker for eksisterende ekspertise.
Hva bør du gjøre?
- Følg Apples Security Updates-side de neste ukene for patcher som ikke er CVE-tildelt ennå.
- Sjekk din egen trusselmodell hvis du selvhoster på Mac. Privilege-eskaleringer som krever lokal tilgang er mest kritiske på delte Mac-er eller utviklingsmaskiner med flere brukerkontoer.
- Tenk gjennom hvordan KI-assisterte verktøy endrer pen-testing-arbeidet ditt. Hvis Calif kan akselerere oppdagelse av macOS-hull med Mythos, kan din interne sikkerhetsforsker gjøre tilsvarende på din kodebase med Claude eller GPT-modeller.