Компания Anthropic пересмотрела собственные правила обмена данными вокруг ее модели Mythos, предназначенной для кибербезопасности. Теперь пользователи смогут делиться сведениями о киберугрозах с другими организациями, которые сталкиваются с похожими рисками и уязвимостями. Решение принято на фоне расширения пилотных практик и интереса к тому, как ИИ помогает выявлять слабые места в системах и быстрее закрывать их.
Что такое Mythos и почему вокруг него меняют правила
Mythos — это модель кибербезопасности от Anthropic, о которой компания объявила 7 апреля. Идея проекта — использовать возможности ИИ для анализа программного кода и поиска уязвимостей, а также для подготовки подходов к их устранению. В экспертной среде отмечают: способность Mythos генерировать решения на высоком уровне потенциально может дать более глубокий и масштабный способ обнаруживать уязвимости и предлагать способы атаки или защиты, хотя это требует аккуратного и контролируемого применения.
Ранее Anthropic придерживалась более ограничительной позиции относительно того, что именно и в каком формате участники могут передавать третьим лицам. Теперь акцент смещается в сторону более широкого распространения полезных результатов — при соблюдении принципов ответственного раскрытия информации.
Связь с «Project Glasswing» и состав участников
Mythos внедряется в рамках программы Anthropic под названием «Project Glasswing». Это контролируемая инициатива, в которой отдельным организациям разрешают использовать незапущенную (не выпущенную публично) версию Claude Mythos Preview. Применение модели предусмотрено исключительно в защитных целях — для задач кибербезопасности.
В числе организаций, допущенных к участию, фигурируют крупнейшие технологические компании, включая Amazon, Microsoft, Nvidia и Apple. Речь идет о партнерах, которые получают доступ к превью-модели и работают над сценариями, где ИИ помогает защищать инфраструктуру и снижать риск атак.
Как именно изменились возможности обмена информацией
На прошлой неделе Anthropic начала информировать партнеров о том, что им в целом разрешено:
- раскрывать факт участия в «Glasswing»;
- по собственному усмотрению делиться результатами, выработанными практиками, инструментами или кодом, которые были созданы в рамках программы.
Позиция компании поясняется официально: компания заявляет о поддержке обмена находками между партнерами и о возможности передавать информацию тем организациям, которые не входят в рамки «Glasswing», если цель — совместно проводить первичную оценку уязвимостей (triage). Под triage в кибербезопасности понимают этап сортировки проблем: что действительно критично, насколько это масштабно, какие системы затронуты и с чего начинать устранение.
При этом Anthropic уточняет: отдельного «специального NDA» именно для «Glasswing» не существовало. Вместо этого, как говорится в комментарии представителя компании, партнеры изначально запрашивали меры конфиденциальности, и соответствующие положения были закреплены в соглашениях, которые участники подписали.
Также подчеркивается, что по мере развития программы ее правила адаптировались, чтобы ключевая информация могла распространяться шире — в том числе за пределами проекта — ради максимального защитного эффекта.
Кому можно передавать данные и в каких рамках
Anthropic указывает, что участники могут направлять информацию профильным адресатам. Среди возможных получателей названы:
- команды по информационной безопасности в других компаниях;
- отраслевые организации и объединения;
- регуляторы и госструктуры;
- поддерживающие лица открытого программного обеспечения (open-source maintainers);
- представители СМИ;
- общественность.
Передача, по заявлению компании, должна осуществляться с учетом норм «ответственного раскрытия» (responsible-disclosure). Это подход, при котором уязвимости не публикуются бездумно: обычно сначала уведомляют затронутых производителей и разработчиков, предоставляют время на исправление, а затем информируют сообщество так, чтобы снизить риск злоупотреблений.
Параллели с военными проектами в США
Данные о Mythos и правилах обмена информацией звучат на фоне другой истории: Пентагон задействует Mythos для поиска и последующего исправления уязвимостей в программном обеспечении по всей системе госорганов США. Об этом сообщал высокопоставленный чиновник в аппарате Министерства обороны, курирующий ключевые технологические направления.
По его словам, ведомство одновременно ускоряет переход от сотрудничества с компанией, поскольку пытается завершить смену технологического поставщика. В контексте ИИ для киберзащиты это означает, что решения на базе моделей могут рассматриваться как важный инструмент для сокращения времени обнаружения проблем и подготовки патчей.
Почему это важно для индустрии
Уточнение правил обмена внутри экосистемы партнеров и за ее пределами отражает общий тренд: киберугрозы носят системный характер и часто затрагивают схожие компоненты — от библиотек в ПО до инфраструктурных практик. Чем быстрее и шире организации обмениваются доказательствами уязвимостей и способами их устранения, тем выше шанс не допустить масштабного ущерба.
