- Lỗ hổng phần mềm là điều cố hữu và việc tìm kiếm, vá lỗi theo cách truyền thống thường chậm, tốn kém; chúng có thể gây ra tác động nghiêm trọng khi bị khuếch đại.
- Các Mô hình ngôn ngữ lớn (LLM) được huấn luyện về mã có khả năng vượt trội trong việc phát hiện và khai thác các lỗ hổng, thậm chí có thể xâu chuỗi nhiều lỗ hổng để tạo ra các cuộc tấn công phức tạp.
- Việc triển khai các LLM mạnh mẽ cần được thực hiện có trách nhiệm thông qua hợp tác liên ngành như
Project Glasswingđể nâng cao phòng thủ an ninh mạng toàn cầu, giúp phát hiện và sửa lỗi nhanh hơn.
An initiative to secure the world's software | Project Glasswing
Bugvàvulnerabilitylà những thiếu sót không thể tránh khỏi trong phần mềm, và việc khắc phục chúng theo phương pháp truyền thống rất chậm và tốn kém.LLMs, khi được huấn luyện vềcode, không chỉ có khả năng viết mã mà còn có thể tìm và khai thácvulnerabilitymột cách hiệu quả, ngang bằng hoặc vượt trội hơn các chuyên gia con người.- Mô hình
Claude Mythos Previewcho thấy khả năngcybersecurityvượt trội như một tác dụng phụ của việc giỏi vềcode, không cần huấn luyện chuyên biệt vềcyber. - Các
LLMnày có thể xâu chuỗi nhiềuvulnerabilityriêng lẻ để tạo ra cácexploitphức tạp, đòi hỏi khả năng tư duy tầm xa tương tự như một nhà nghiên cứu an ninh con người. - Triển khai có trách nhiệm là rất quan trọng; các mô hình mạnh mẽ như vậy không được phát hành rộng rãi mà được quản lý thông qua các sáng kiến như
Project Glasswing. Project Glasswinglà chương trình hợp tác với các tổ chức vận hành mã quan trọng nhất thế giới, cung cấptooltiên tiến cho các nhà phát triển để giảm thiểu rủi ro và tăng cường bảo vệ.- Sử dụng
LLM, cácvulnerabilitynghiêm trọng đã được phát hiện trongopen source codecủa cácoperating systemnhưOpenBSD(lỗi 27 năm gâycrash) vàLinux(lỗi leo thang đặc quyềnadministrator). Cybersecuritylà an ninh xã hội và đòi hỏi sự hợp tác liên ngành, lâu dài để xây dựng khả năng phòng thủ tốt hơn, nhằm bảo vệ phần mềm, dữ liệu khách hàng và cơ sở hạ tầng quan trọng.
bug— lỗivulnerability— lỗ hổng bảo mậtLLM— Mô hình ngôn ngữ lớncybersecurity— an ninh mạngcode— mãexploit— mã khai thácopen source code— mã nguồn mởoperating system— hệ điều hànhpatch— bản vátool— công cụ
Giới thiệu về Lỗ hổng Phần mềm
Hầu hết mọi người sử dụng phần mềm hàng ngày không nghĩ về bug. Họ không nghĩ về điều gì có thể xảy ra nếu phần mềm mà họ phụ thuộc vào đột nhiên kém an toàn hơn. Đó là điều mà các nhà phát triển phần mềm phải đối mặt mỗi ngày. Phần mềm luôn tồn tại những thiếu sót và vulnerability (lỗ hổng bảo mật); điều này không có gì mới. Đối với một người bình thường, các bug nhìn chung không phải là điều họ nhận thấy hàng ngày, bởi vì nếu có, chúng sẽ được sửa. Nhưng thỉnh thoảng, lại có những vulnerability gây ra tác động nghiêm trọng thực sự. Chẳng hạn, một bug duy nhất có thể xâm nhập vào phần mềm được chia sẻ mà nhiều sản phẩm hoặc trang web khác nhau đang sử dụng. Vì vậy, một vấn đề có thể bị khuếch đại ra khắp thế giới. Trong lịch sử, việc tìm kiếm và vá các vulnerability luôn là một quá trình chậm, tốn thời gian và đắt đỏ.
LLM và An ninh mạng
Nếu các LLM (Mô hình ngôn ngữ lớn) hiện có khả năng viết mã ở cấp độ của một số nhà phát triển phần mềm giỏi nhất thế giới, chúng cũng có thể được sử dụng để tìm bug và khai thác phần mềm đó một cách hiệu quả tương đương. Các mô hình này sở hữu những khả năng đang nâng cao tiêu chuẩn từ góc độ cybersecurity (an ninh mạng), với khả năng giúp cả những người bảo vệ lẫn những kẻ tấn công tiềm năng.
Ra mắt Claude Mythos Preview
Gần đây, chúng tôi đã phát triển một mô hình mới, Claude Mythos Preview. Ngay từ đầu, chúng tôi đã nhận thấy rõ ràng rằng mô hình này sẽ tốt hơn đáng kể trong các khả năng cybersecurity. Có một kiểu tăng trưởng theo cấp số nhân đang tăng tốc, nhưng dọc theo đường cong cấp số nhân đó, có những điểm có ý nghĩa quan trọng. Claude Mythos Preview là một bước nhảy vọt đặc biệt lớn tại điểm đó. Chúng tôi không huấn luyện nó chuyên biệt để giỏi về cyber (an ninh mạng). Chúng tôi huấn luyện nó để giỏi về code (mã), nhưng như một tác dụng phụ của việc giỏi về mã, nó cũng giỏi về cyber.
Khả năng phát hiện lỗ hổng chuỗi
Mô hình mà chúng tôi đang thử nghiệm nhìn chung tốt ngang với một chuyên gia con người trong việc xác định bug. Điều này tốt cho chúng tôi vì chúng tôi có thể tìm thấy nhiều bug hơn sớm hơn và sửa chữa chúng. Nó có khả năng xâu chuỗi các vulnerability lại với nhau. Điều này có nghĩa là, bạn tìm thấy hai vulnerability, mà mỗi cái riêng lẻ không mang lại nhiều lợi ích. Nhưng mô hình này có thể tạo ra các exploit (mã khai thác) từ ba, bốn, hoặc đôi khi năm vulnerability liên tiếp, mang lại một kết quả cuối cùng rất phức tạp. Chúng tôi tin rằng mô hình này có thể làm được điều này rất tốt vì chúng tôi nhận thấy nó rất tự chủ. Nó nói chung tốt hơn trong việc thực hiện các tác vụ tầm xa, giống như những gì một nhà nghiên cứu an ninh con người sẽ làm trong suốt một ngày.
Triển khai có trách nhiệm và Project Glasswing
Rõ ràng, những khả năng trong một mô hình như thế này có thể gây hại nếu rơi vào tay kẻ xấu. Vì vậy, chúng tôi sẽ không phát hành rộng rãi mô hình này. Các mô hình mạnh mẽ hơn sẽ xuất hiện từ phía chúng tôi và từ những bên khác. Do đó, chúng tôi cần có một kế hoạch để ứng phó với điều này. Đó là lý do chúng tôi đang khởi động cái mà chúng tôi gọi là Project Glasswing, nơi chúng tôi hợp tác với nhiều tổ chức đang vận hành một số mã quan trọng nhất thế giới để trao mô hình này vào tay họ, cho phép họ xem xét cách sử dụng các mô hình như vậy để giảm thiểu rủi ro và bảo vệ mọi người. Bằng cách cung cấp cho các nhà phát triển phần mềm này những công cụ tiên tiến trước bất kỳ ai khác, điều đó mang lại cho tất cả chúng ta một lợi thế chung. Nó cho phép chúng ta tìm thấy những điều mà trước đây chúng ta không thể tìm thấy, và giúp chúng ta sửa chữa chúng nhanh hơn nhiều.
Khám phá lỗ hổng thực tế
Làm việc với các đối tác của mình, chúng tôi đã tìm thấy các vulnerability trên hầu hết mọi nền tảng chính. Tôi đã tìm thấy nhiều bug hơn trong vài tuần qua so với toàn bộ phần đời còn lại của mình cộng lại. Chúng tôi đã sử dụng mô hình để quét một loạt open source code (mã nguồn mở), và điều đầu tiên chúng tôi nhắm đến là các operating system (hệ điều hành), bởi vì đây là mã nền tảng của toàn bộ hạ tầng internet. Đối với OpenBSD, chúng tôi đã tìm thấy một bug tồn tại suốt 27 năm, cho phép tôi gửi một vài mảnh dữ liệu đến bất kỳ máy chủ OpenBSD nào và khiến nó crash (sập). Trên Linux, chúng tôi đã tìm thấy một số vulnerability mà với tư cách là một người dùng không có quyền, tôi có thể nâng cấp bản thân lên quyền administrator (quản trị viên) chỉ bằng cách chạy một binary (tệp nhị phân) trên máy của mình. Đối với mỗi bug này, chúng tôi đã thông báo cho những người duy trì phần mềm, và họ đã tiến hành sửa chữa và triển khai các patch (bản vá) để bất kỳ ai đang chạy phần mềm này không còn bị tấn công bởi các lỗ hổng đó nữa. Đối với một nhà phát triển miệt mài duy trì phần mềm, một mô hình có thể giúp họ khám phá các vulnerability trong mã của chính họ và sửa chúng trước khi chúng bị khai thác là một tool (công cụ) vô giá.
Tầm quan trọng của An ninh mạng và Hợp tác
Chúng tôi đã nói chuyện với các quan chức chính phủ Hoa Kỳ và đề nghị hợp tác để đánh giá rủi ro của các mô hình này cũng như giúp bảo vệ chống lại chúng. Mọi thứ chúng ta làm trong cuộc sống hiện tại đều phụ thuộc vào phần mềm. Phần mềm đã "nuốt chửng" thế giới. Mọi khía cạnh tương tự trong cuộc sống của chúng ta đều bằng cách nào đó được biểu diễn trong digital domain (miền kỹ thuật số). Và vì vậy, tất cả cuộc sống hàng ngày của chúng ta đều vận hành dựa trên ý tưởng rằng chúng ta có thể tin cậy vào các hệ thống cung cấp năng lượng cho chúng. Cybersecurity chính là an ninh của xã hội chúng ta. Điều cần thiết là chúng ta phải cùng nhau hợp tác trên toàn ngành để xây dựng các khả năng phòng thủ tốt hơn. Không một tổ chức nào có thể nhìn thấy toàn cảnh và tự mình giải quyết vấn đề này. Đây sẽ không phải là một chương trình kéo dài vài tuần. Đây chắc chắn sẽ là công việc của nhiều tháng, có lẽ là nhiều năm. Nhưng điều tôi thực sự hy vọng là vào cuối quá trình này, chúng ta có thể ở một vị thế mà phần mềm của thế giới, dữ liệu khách hàng, các giao dịch tài chính và cơ sở hạ tầng quan trọng sẽ an toàn hơn trước đây.
TL;DR
- Lỗ hổng phần mềm là điều cố hữu và việc tìm kiếm, vá lỗi theo cách truyền thống thường chậm, tốn kém; chúng có thể gây ra tác động nghiêm trọng khi bị khuếch đại.
- Các Mô hình ngôn ngữ lớn (LLM) được huấn luyện về mã có khả năng vượt trội trong việc phát hiện và khai thác các lỗ hổng, thậm chí có thể xâu chuỗi nhiều lỗ hổng để tạo ra các cuộc tấn công phức tạp.
- Việc triển khai các LLM mạnh mẽ cần được thực hiện có trách nhiệm thông qua hợp tác liên ngành như
Project Glasswingđể nâng cao phòng thủ an ninh mạng toàn cầu, giúp phát hiện và sửa lỗi nhanh hơn.
Điểm chính
Bugvàvulnerabilitylà những thiếu sót không thể tránh khỏi trong phần mềm, và việc khắc phục chúng theo phương pháp truyền thống rất chậm và tốn kém.LLMs, khi được huấn luyện vềcode, không chỉ có khả năng viết mã mà còn có thể tìm và khai thácvulnerabilitymột cách hiệu quả, ngang bằng hoặc vượt trội hơn các chuyên gia con người.- Mô hình
Claude Mythos Previewcho thấy khả năngcybersecurityvượt trội như một tác dụng phụ của việc giỏi vềcode, không cần huấn luyện chuyên biệt vềcyber. - Các
LLMnày có thể xâu chuỗi nhiềuvulnerabilityriêng lẻ để tạo ra cácexploitphức tạp, đòi hỏi khả năng tư duy tầm xa tương tự như một nhà nghiên cứu an ninh con người. - Triển khai có trách nhiệm là rất quan trọng; các mô hình mạnh mẽ như vậy không được phát hành rộng rãi mà được quản lý thông qua các sáng kiến như
Project Glasswing. Project Glasswinglà chương trình hợp tác với các tổ chức vận hành mã quan trọng nhất thế giới, cung cấptooltiên tiến cho các nhà phát triển để giảm thiểu rủi ro và tăng cường bảo vệ.- Sử dụng
LLM, cácvulnerabilitynghiêm trọng đã được phát hiện trongopen source codecủa cácoperating systemnhưOpenBSD(lỗi 27 năm gâycrash) vàLinux(lỗi leo thang đặc quyềnadministrator). Cybersecuritylà an ninh xã hội và đòi hỏi sự hợp tác liên ngành, lâu dài để xây dựng khả năng phòng thủ tốt hơn, nhằm bảo vệ phần mềm, dữ liệu khách hàng và cơ sở hạ tầng quan trọng.
Từ vựng
bug— lỗivulnerability— lỗ hổng bảo mậtLLM— Mô hình ngôn ngữ lớncybersecurity— an ninh mạngcode— mãexploit— mã khai thácopen source code— mã nguồn mởoperating system— hệ điều hànhpatch— bản vátool— công cụ
Nội dung chi tiết
Giới thiệu về Lỗ hổng Phần mềm
Hầu hết mọi người sử dụng phần mềm hàng ngày không nghĩ về bug. Họ không nghĩ về điều gì có thể xảy ra nếu phần mềm mà họ phụ thuộc vào đột nhiên kém an toàn hơn. Đó là điều mà các nhà phát triển phần mềm phải đối mặt mỗi ngày. Phần mềm luôn tồn tại những thiếu sót và vulnerability (lỗ hổng bảo mật); điều này không có gì mới. Đối với một người bình thường, các bug nhìn chung không phải là điều họ nhận thấy hàng ngày, bởi vì nếu có, chúng sẽ được sửa. Nhưng thỉnh thoảng, lại có những vulnerability gây ra tác động nghiêm trọng thực sự. Chẳng hạn, một bug duy nhất có thể xâm nhập vào phần mềm được chia sẻ mà nhiều sản phẩm hoặc trang web khác nhau đang sử dụng. Vì vậy, một vấn đề có thể bị khuếch đại ra khắp thế giới. Trong lịch sử, việc tìm kiếm và vá các vulnerability luôn là một quá trình chậm, tốn thời gian và đắt đỏ.
LLM và An ninh mạng
Nếu các LLM (Mô hình ngôn ngữ lớn) hiện có khả năng viết mã ở cấp độ của một số nhà phát triển phần mềm giỏi nhất thế giới, chúng cũng có thể được sử dụng để tìm bug và khai thác phần mềm đó một cách hiệu quả tương đương. Các mô hình này sở hữu những khả năng đang nâng cao tiêu chuẩn từ góc độ cybersecurity (an ninh mạng), với khả năng giúp cả những người bảo vệ lẫn những kẻ tấn công tiềm năng.
Ra mắt Claude Mythos Preview
Gần đây, chúng tôi đã phát triển một mô hình mới, Claude Mythos Preview. Ngay từ đầu, chúng tôi đã nhận thấy rõ ràng rằng mô hình này sẽ tốt hơn đáng kể trong các khả năng cybersecurity. Có một kiểu tăng trưởng theo cấp số nhân đang tăng tốc, nhưng dọc theo đường cong cấp số nhân đó, có những điểm có ý nghĩa quan trọng. Claude Mythos Preview là một bước nhảy vọt đặc biệt lớn tại điểm đó. Chúng tôi không huấn luyện nó chuyên biệt để giỏi về cyber (an ninh mạng). Chúng tôi huấn luyện nó để giỏi về code (mã), nhưng như một tác dụng phụ của việc giỏi về mã, nó cũng giỏi về cyber.
Khả năng phát hiện lỗ hổng chuỗi
Mô hình mà chúng tôi đang thử nghiệm nhìn chung tốt ngang với một chuyên gia con người trong việc xác định bug. Điều này tốt cho chúng tôi vì chúng tôi có thể tìm thấy nhiều bug hơn sớm hơn và sửa chữa chúng. Nó có khả năng xâu chuỗi các vulnerability lại với nhau. Điều này có nghĩa là, bạn tìm thấy hai vulnerability, mà mỗi cái riêng lẻ không mang lại nhiều lợi ích. Nhưng mô hình này có thể tạo ra các exploit (mã khai thác) từ ba, bốn, hoặc đôi khi năm vulnerability liên tiếp, mang lại một kết quả cuối cùng rất phức tạp. Chúng tôi tin rằng mô hình này có thể làm được điều này rất tốt vì chúng tôi nhận thấy nó rất tự chủ. Nó nói chung tốt hơn trong việc thực hiện các tác vụ tầm xa, giống như những gì một nhà nghiên cứu an ninh con người sẽ làm trong suốt một ngày.
Triển khai có trách nhiệm và Project Glasswing
Rõ ràng, những khả năng trong một mô hình như thế này có thể gây hại nếu rơi vào tay kẻ xấu. Vì vậy, chúng tôi sẽ không phát hành rộng rãi mô hình này. Các mô hình mạnh mẽ hơn sẽ xuất hiện từ phía chúng tôi và từ những bên khác. Do đó, chúng tôi cần có một kế hoạch để ứng phó với điều này. Đó là lý do chúng tôi đang khởi động cái mà chúng tôi gọi là Project Glasswing, nơi chúng tôi hợp tác với nhiều tổ chức đang vận hành một số mã quan trọng nhất thế giới để trao mô hình này vào tay họ, cho phép họ xem xét cách sử dụng các mô hình như vậy để giảm thiểu rủi ro và bảo vệ mọi người. Bằng cách cung cấp cho các nhà phát triển phần mềm này những công cụ tiên tiến trước bất kỳ ai khác, điều đó mang lại cho tất cả chúng ta một lợi thế chung. Nó cho phép chúng ta tìm thấy những điều mà trước đây chúng ta không thể tìm thấy, và giúp chúng ta sửa chữa chúng nhanh hơn nhiều.
Khám phá lỗ hổng thực tế
Làm việc với các đối tác của mình, chúng tôi đã tìm thấy các vulnerability trên hầu hết mọi nền tảng chính. Tôi đã tìm thấy nhiều bug hơn trong vài tuần qua so với toàn bộ phần đời còn lại của mình cộng lại. Chúng tôi đã sử dụng mô hình để quét một loạt open source code (mã nguồn mở), và điều đầu tiên chúng tôi nhắm đến là các operating system (hệ điều hành), bởi vì đây là mã nền tảng của toàn bộ hạ tầng internet. Đối với OpenBSD, chúng tôi đã tìm thấy một bug tồn tại suốt 27 năm, cho phép tôi gửi một vài mảnh dữ liệu đến bất kỳ máy chủ OpenBSD nào và khiến nó crash (sập). Trên Linux, chúng tôi đã tìm thấy một số vulnerability mà với tư cách là một người dùng không có quyền, tôi có thể nâng cấp bản thân lên quyền administrator (quản trị viên) chỉ bằng cách chạy một binary (tệp nhị phân) trên máy của mình. Đối với mỗi bug này, chúng tôi đã thông báo cho những người duy trì phần mềm, và họ đã tiến hành sửa chữa và triển khai các patch (bản vá) để bất kỳ ai đang chạy phần mềm này không còn bị tấn công bởi các lỗ hổng đó nữa. Đối với một nhà phát triển miệt mài duy trì phần mềm, một mô hình có thể giúp họ khám phá các vulnerability trong mã của chính họ và sửa chúng trước khi chúng bị khai thác là một tool (công cụ) vô giá.
Tầm quan trọng của An ninh mạng và Hợp tác
Chúng tôi đã nói chuyện với các quan chức chính phủ Hoa Kỳ và đề nghị hợp tác để đánh giá rủi ro của các mô hình này cũng như giúp bảo vệ chống lại chúng. Mọi thứ chúng ta làm trong cuộc sống hiện tại đều phụ thuộc vào phần mềm. Phần mềm đã "nuốt chửng" thế giới. Mọi khía cạnh tương tự trong cuộc sống của chúng ta đều bằng cách nào đó được biểu diễn trong digital domain (miền kỹ thuật số). Và vì vậy, tất cả cuộc sống hàng ngày của chúng ta đều vận hành dựa trên ý tưởng rằng chúng ta có thể tin cậy vào các hệ thống cung cấp năng lượng cho chúng. Cybersecurity chính là an ninh của xã hội chúng ta. Điều cần thiết là chúng ta phải cùng nhau hợp tác trên toàn ngành để xây dựng các khả năng phòng thủ tốt hơn. Không một tổ chức nào có thể nhìn thấy toàn cảnh và tự mình giải quyết vấn đề này. Đây sẽ không phải là một chương trình kéo dài vài tuần. Đây chắc chắn sẽ là công việc của nhiều tháng, có lẽ là nhiều năm. Nhưng điều tôi thực sự hy vọng là vào cuối quá trình này, chúng ta có thể ở một vị thế mà phần mềm của thế giới, dữ liệu khách hàng, các giao dịch tài chính và cơ sở hạ tầng quan trọng sẽ an toàn hơn trước đây.