Microsoft enfrenta dificuldades para corrigir bugs encontrados pelo Claude Mythos da Anthropic

O Claude Mythos da Anthropic terá encontrado centenas de vulnerabilidades de segurança em produtos Microsoft, incluindo 231 falhas graves no SharePoint apenas em abril.

As descobertas mostram como a inteligência artificial pode acelerar a deteção de bugs. No entanto, também evidenciam a pressão crescente sobre as equipas de engenharia da Microsoft para investigar e corrigir vulnerabilidades rapidamente.

Funcionários da Microsoft elogiaram o Claude Mythos

De acordo com o ProPublica, funcionários da Microsoft elogiaram o Claude Mythos Preview da Anthropic durante uma reunião interna realizada em maio.

A Anthropic terá fornecido acesso antecipado a cerca de 40 parceiros, incluindo Microsoft, Google, Apple e Amazon. A empresa restaurou desde então o acesso ao Mythos 5 após a aprovação do governo dos EUA.

Durante a reunião da Microsoft, os funcionários discutiram a eficácia com que o modelo podia examinar grandes bases de código e identificar potenciais fragilidades de segurança.

Claude Mythos encontrou 231 vulnerabilidades graves no SharePoint

O Claude Mythos terá identificado 90 vulnerabilidades críticas e 141 importantes no SharePoint durante o mês de abril.

Os números abrangeram apenas o SharePoint. Terão sido descobertas centenas de vulnerabilidades adicionais noutros produtos e serviços Microsoft.

Os gestores da Microsoft instruíram as equipas de engenharia a dar prioridade aos problemas críticos e importantes. Os programadores tratariam das vulnerabilidades de gravidade moderada mais tarde, pois as equipas não dispunham de recursos suficientes para resolver todas as descobertas de imediato.

Vulnerabilidades moderadas ainda podem criar riscos graves

Uma vulnerabilidade de gravidade moderada pode parecer menos urgente quando analisada individualmente. No entanto, os atacantes podem combinar várias fragilidades de menor gravidade para criar uma cadeia de exploração mais perigosa.

Isto torna arriscado adiar as correções, especialmente porque as ferramentas de IA melhoram a velocidade a que os investigadores de segurança e os atacantes podem analisar software.

A Microsoft já alertou que a IA torna mais perigoso adiar as atualizações do Windows. A descoberta mais rápida de vulnerabilidades pode reduzir o período entre a identificação de uma falha e a sua exploração.

A IA está a mudar o processo de segurança da Microsoft

A Microsoft expandiu a sua estratégia de segurança do Windows orientada por IA, introduzindo ferramentas de IA nos seus pipelines de desenvolvimento, testes e segurança.

A empresa também lançou recentemente o MAI-Cyber-1-Flash, um modelo de cibersegurança concebido para reduzir o custo das investigações de segurança automatizadas. A Microsoft planeia integrar o modelo no MDASH.

Estes sistemas podem rever mais código e detetar mais fragilidades do que as equipas de segurança tradicionais conseguiriam identificar manualmente. No entanto, encontrar mais vulnerabilidades também gera uma maior lista de correções pendentes.

O código legado da Microsoft aumenta a carga de trabalho

Produtos da Microsoft como o Windows, o SharePoint e o Microsoft 365 contêm código desenvolvido ao longo de várias décadas.

Alguns componentes mais antigos podem não seguir os padrões de segurança modernos ou as práticas de desenvolvimento. Rever, substituir e modernizar estes sistemas exige recursos de engenharia significativos.

A IA pode ajudar a identificar fragilidades nestas grandes bases de código, mas a Microsoft ainda precisa de programadores para validar as descobertas, produzir correções, testar atualizações e implementar patches sem perturbar os clientes.

A Microsoft analisa o pessoal e os investimentos em segurança

A Microsoft disse ao ProPublica que continua a rever a forma como as suas equipas classificam e priorizam as vulnerabilidades.

A empresa está também a avaliar os níveis de pessoal, os investimentos em segurança e as ferramentas de desenvolvimento, à medida que a IA aumenta o número de problemas descobertos.

O desafio já não se centra apenas em encontrar vulnerabilidades. A Microsoft tem também de garantir que as suas equipas de engenharia conseguem processá-las e corrigi-las com a rapidez suficiente.

A estratégia mais ampla de IA da empresa pode ajudá-la a escolher o melhor modelo para cada tarefa. A Microsoft está a desafiar a OpenAI e a Anthropic ao evitar depender de um único fornecedor de IA, dando às suas equipas acesso a diferentes modelos com base no custo, desempenho e requisitos de segurança.

A deteção de bugs orientada por IA pode melhorar significativamente a segurança do software. Pode também expor mais vulnerabilidades do que as equipas de engenharia conseguem tratar de imediato, aumentando a importância do pessoal, da priorização e do desenvolvimento mais rápido de patches.