Microsoft luta para corrigir bugs encontrados pelo Claude Mythos da Anthropic

O Claude Mythos da Anthropic terá encontrado centenas de vulnerabilidades de segurança em produtos da Microsoft, incluindo 231 falhas graves no SharePoint apenas em abril.

Os resultados mostram como a inteligência artificial pode acelerar a deteção de bugs. No entanto, também realçam a pressão crescente sobre as equipas de engenharia da Microsoft para investigar e corrigir vulnerabilidades rapidamente.

Funcionários da Microsoft elogiaram o Claude Mythos

De acordo com a ProPublica, funcionários da Microsoft elogiaram a Pré-visualização do Claude Mythos da Anthropic durante uma reunião interna realizada em maio.

A Anthropic terá fornecido acesso antecipado a cerca de 40 parceiros, incluindo a Microsoft, Google, Apple e Amazon. A empresa restaurou o acesso ao Mythos 5 após a aprovação do governo dos EUA.

Durante a reunião da Microsoft, os funcionários discutiram a eficácia do modelo a examinar grandes bases de código e a identificar potenciais fragilidades de segurança.

Claude Mythos encontrou 231 vulnerabilidades graves no SharePoint

O Claude Mythos terá identificado 90 vulnerabilidades críticas e 141 importantes no SharePoint durante o mês de abril.

Os números referiam-se apenas ao SharePoint. Foram reportadas centenas de vulnerabilidades adicionais noutros produtos e serviços da Microsoft.

Os gestores da Microsoft instruíram as equipas de engenharia a dar prioridade às questões críticas e importantes. Os programadores tratariam das vulnerabilidades de gravidade moderada mais tarde, porque as equipas não dispunham de recursos suficientes para resolver todas as descobertas de imediato.

Vulnerabilidades moderadas ainda podem criar riscos graves

Uma vulnerabilidade de gravidade moderada pode parecer menos urgente quando analisada individualmente. No entanto, os atacantes podem combinar várias fragilidades de gravidade mais baixa para criar uma cadeia de exploração mais perigosa.

Isto torna a correção atrasada arriscada, especialmente porque as ferramentas de IA melhoram a velocidade a que os investigadores de segurança e os atacantes podem analisar o software.

A Microsoft já alertou que a IA torna mais perigoso adiar as atualizações do Windows. A descoberta mais rápida de vulnerabilidades pode encurtar o período entre a identificação e a exploração de uma falha.

A IA está a mudar o processo de segurança da Microsoft

A Microsoft expandiu a sua estratégia de segurança do Windows baseada em IA, introduzindo ferramentas de IA nos seus pipelines de desenvolvimento, teste e segurança.

A empresa também introduziu recentemente o MAI-Cyber-1-Flash, um modelo de cibersegurança concebido para reduzir o custo das investigações de segurança automatizadas. A Microsoft planeia integrar o modelo no MDASH.

Estes sistemas podem rever mais código e detetar mais fragilidades do que as equipas de segurança tradicionais conseguiram identificar manualmente. No entanto, encontrar mais vulnerabilidades também cria um maior número de correções em atraso.

O código legado da Microsoft aumenta a carga de trabalho

Produtos da Microsoft como o Windows, o SharePoint e o Microsoft 365 contêm código desenvolvido ao longo de várias décadas.

Alguns componentes mais antigos podem não seguir as normas de segurança ou práticas de desenvolvimento modernas. Rever, substituir e modernizar estes sistemas requer recursos de engenharia significativos.

A IA pode ajudar a identificar fragilidades nestas grandes bases de código, mas a Microsoft ainda precisa de programadores para validar as descobertas, produzir correções, testar atualizações e implementar patches sem perturbar os clientes.

Microsoft analisa pessoal e investimentos em segurança

A Microsoft disse à ProPublica que continua a analisar a forma como as suas equipas classificam e priorizam as vulnerabilidades.

A empresa está também a avaliar os níveis de pessoal, os investimentos em segurança e as ferramentas de desenvolvimento, à medida que a IA aumenta o número de problemas descobertos.

O desafio já não se centra apenas em encontrar vulnerabilidades. A Microsoft também tem de garantir que as suas equipas de engenharia as conseguem processar e reparar com rapidez suficiente.

A estratégia de IA mais ampla da empresa poderia ajudá-la a escolher o melhor modelo para cada tarefa. A Microsoft está a desafiar a OpenAI e a Anthropic, evitando depender de um único fornecedor de IA, dando às suas equipas acesso a diferentes modelos com base no custo, desempenho e requisitos de segurança.

A deteção de bugs orientada por IA poderia melhorar significativamente a segurança do software. Poderia também expor mais vulnerabilidades do que as equipas de engenharia conseguem resolver imediatamente, aumentando a importância do pessoal, da definição de prioridades e do desenvolvimento mais rápido de patches.