A Anthropic anunciou duas novas iniciativas de cibersegurança voltadas para problemas diferentes: acelerar a chegada de descobertas de vulnerabilidades aos mantenedores de projetos de software de código aberto e ajudar as empresas que protegem sistemas de tecnologia operacional (OT) usados nos setores de energia, água, manufatura e transporte.
As duas iniciativas baseiam-se nas lições extraídas do Project Glasswing, cujos parceiros, segundo a empresa, descobriram um grande número de vulnerabilidades, mas não reduziram os riscos cibernéticos o suficiente. A Anthropic considera que a descoberta de falhas se tornou mais fácil, enquanto os processos de validação, definição de prioridades e correção ainda levam muito tempo; vulnerabilidades encontradas por meio do Glasswing precisaram de meses para ser corrigidas.
Relatórios gerados automaticamente chegam diretamente aos desenvolvedores
O serviço OSS Scanner é gratuito e usa os modelos mais avançados da Anthropic para examinar periodicamente projetos de código aberto, mas os mantenedores dos projetos precisam primeiro se inscrever. Cada relatório inclui uma descrição da possível vulnerabilidade, uma prova de conceito que demonstra como explorá-la e uma sugestão de correção, quando disponível.
A principal diferença é que os relatórios são enviados aos mantenedores sem revisão humana. A Anthropic afirmou que alguns mantenedores de projetos com capacidade para fazer triagem de vulnerabilidades em grande escala solicitaram todos os resultados descobertos pelos modelos, incluindo os resultados não revisados.
Esse caminho reduz o tempo de notificação, mas aumenta a possibilidade de erros, como uma avaliação incorreta da gravidade. A empresa espera que a proporção de resultados corretos ultrapasse 90%, com o objetivo de aprimorá-la ao longo do tempo. Já os projetos que não têm capacidade para lidar com o fluxo de resultados continuarão recebendo divulgações verificadas por humanos por meio do processo de divulgação coordenada de vulnerabilidades da Anthropic.
Programa de segurança para tecnologia operacional
O Critical Infrastructure Defense Program combina modelos avançados Claude, engenheiros que trabalham nas instalações dos clientes e pesquisas da Anthropic sobre ameaças, em benefício dos provedores de segurança de OT dos quais dependem os operadores de infraestruturas.
Os parceiros fundadores são Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC e Rockwell Automation. O grupo inclui empresas de consultoria e tecnologia, fornecedores de cibersegurança e fabricantes de equipamentos industriais responsáveis por construir e corrigir os sistemas.
A Anthropic explicou que os sistemas de OT frequentemente não podem ser desligados para a aplicação de correções e, por isso, vulnerabilidades conhecidas podem permanecer sem tratamento durante anos. Em casos raros, a aplicação segura de uma correção pode levar décadas. A empresa afirmou que alguns parceiros já começaram a usar o Claude para corrigir vulnerabilidades e ajudar seus clientes a fazer o mesmo.
O que muda na prática?
As duas iniciativas propõem dois modelos diferentes de aplicação da inteligência artificial à segurança: maior velocidade na entrega dos resultados de análises a projetos capazes de fazer a triagem e uma colaboração mais integrada com provedores de segurança de sistemas industriais, nos quais a correção é limitada pela continuidade operacional. No entanto, a fonte não apresenta detalhes independentes sobre o desempenho do OSS Scanner ou sobre os mecanismos de verificação dos relatórios, e o programa industrial começa com um pequeno grupo de provedores, com o objetivo de identificar as estratégias mais eficazes e aplicáveis antes de expandi-lo a parceiros e setores adicionais nos próximos meses.