Koostöö Mozilla ja antropoloogiline on Firefoxis avastanud ebatavaliselt palju kriitilisi haavatavusi.See on veebibrauserite turvalisuse teemalist vestlust dramaatiliselt muutnud. See, mis kuni viimase ajani tundus ulmena – tehisintellekt, mis suudab läbi vaadata tohutul hulgal koodi ja leida vigu, mis on aastaid avastamata jäänud –, hakkab toimima reaalsusena.
Vaid mõne nädala jooksul kestnud sisetestimise käigus Anthropici müütose mudel See suutis tuvastada sadu vigu mis olid jäänud inseneride, traditsiooniliste auditeerimisvahendite ja hägusussüsteemide poolt märkamata. Nende hulgas olid vead, mis olid maetud enam kui 10 või isegi 20 aastaks, mõned neist nii tundlikes komponentides nagu brauseri liivakast.
Kvantitatiivne ja kvalitatiivne hüpe vigade tuvastamisel
Mozilla jagatud dokumentatsiooni kohaselt Mythose tulek tähistas tuvastatud haavatavuste arvu enam kui kümnekordset hüpet. Võrreldes Anthropicu varasemate mudelitega olid tööriistad nagu Claude Opus 4.6 varasemates arendustsüklites leidnud paar tosinat kriitilist viga; Mythosega tõusis see arv hüppeliselt 271 kinnitatud haavatavusele ühe Firefoxi analüüsivooru jooksul.
See muudatus kajastub ka brauseri hooldusnumbrites: Ainuüksi 2026. aasta aprillis avaldas Firefox 423 veaparandust, võrreldes 31-ga, mis registreeriti 2025. aasta samal kuul. Kõik need parandused ei tulene otse Mythoselt, kuid Mozilla seob suure osa tõusust uue tehisintellektiga töötamise viisiga.
Organisatsiooni insenerid on seda rõhutanud Need ei ole haavatavused, mis on inimesest eksperdile "võimatud".vaid pigem mastaabiprobleem. Tipptasemel teadlane oleks võinud neid palju leida, aga mitte sellise kiiruse või mahuga, mida võimaldab mudel, mis läbib miljoneid koodiridu ja pakub süstemaatiliselt välja testjuhtumeid.
Selles kontekstis kirjeldavad tehnikaeksperdid, näiteks Mozilla tehnoloogiadirektor Bobby Holley ja silmapaistev insener Brian Grinstead, kogemust järgmiste võimsate fraasidega: Putukate jahi dünaamika on mõne kuuga muutunudTänu võimekamatele mudelitele ja nende sisemiste turbeprotsesside integreerimise peenhäälestamisele.
Neile, kes jälgivad küberturvalisuse arengut Euroopas, on sellel nihkel ilmsed tagajärjed: Avatud lähtekoodiga projektid või piiratud ressurssidega Euroopa ettevõtted võiksid tugineda sarnastele meetoditele et tõsta oma kaitsetaset standarditele, mis veel mõned aastad tagasi olid reserveeritud suurtele tehnoloogiaettevõtetele.
Kriitilised haavatavused: liivakastist HTML-vigadeni
Üks aspekte, mis on kogukonna tähelepanu enim köitnud, on see, et Mythosil õnnestus Firefoxi liivakastis tuvastada tõsiseid viguSee mehhanism toimib "isolatsioonikihina", et piirata kahju brauseriprotsessi ohustamise korral. Selle süsteemi osaga manipuleerimine pole just lihtne.
Mozilla selgitas, et selliste nõrkuste avastamiseks Tehisintellekt pidi läbima mitmeastmelise protsessiProtsess hõlmab brauseriparanduse loomist, selle muudatuse rakendamist instrumenteeritud versioonile ja seejärel tarkvara kõige kaitstuma osa ärakasutamist selle muudetud koodi abil. See jada nõuab loovuse, täpsuse ja range valideerimise kombinatsiooni.
Raskust mõõdetakse ka majanduslikus mõttes. Mozilla preemiaprogramm pakub kuni 20 000 dollarit Nende vigade otsimise skeemi kõrgeim auhind antakse neile, kellel õnnestub Firefoxi liivakastis haavatavus avastada. Sellegipoolest möönab meeskond, et Mythose poolt avastatud liivakastiprobleemide maht ületab kaugelt seda, mida inimteadlased on ajalooliselt saavutanud.
Liivakastist kaugemal, Tehisintellekt on avastanud eriti pikaajalisi vigu ka brauseri teistes kriitilistes valdkondades.Näidete hulgas, mille Mozilla ise on avalikustanud, on umbes 15 aastat kestnud viga HTML-elemendi tõlgendamisel, mis on seotud elemendi käsitlemisega. <legend>ja veel üks viga XSLT mootoris, millel on umbes kaks aastakümmet koodi ja mis on väga spetsiifilistel asjaoludel võimeline põhjustama ohtlikke mäluprobleeme.
Sellised haavatavused, mis ühendavad endas suure tehnilise keerukuse ja potentsiaalse mõju miljonitele kasutajatele, Nad on eriti tundlikud selliste turgude suhtes nagu Hispaania ja Euroopakus Firefoxil on asjakohane kasutajaskond kodu-, haridus- ja avaliku halduse keskkondades.
271 haavatavust versus 22: Müüt muudab probleemi ulatust
Mozilla ja Anthropicu koostööst saadud andmed võimaldavad selget võrdlust: Eelmise põlvkonna antropiliste mudelitega tuvastati 22 kriitilist haavatavust. ühe ülevaatetsükli jooksul; Mythosega tõusis see arv 271 registreeritud ja kinnitatud rikkeni.
Sellest komplektist, Valdav enamus vastas kõrge raskusastmega haavatavusteleväiksem arv neist on liigitatud mõõduka või madala raskusastmega vigadeks. Praktikas tähendab see, et paljusid neist vigadest saab ära kasutada näiliselt süütu kasutajakäitumise kaudu, näiteks spetsiaalselt loodud veebisaidi külastamise kaudu.
Mozilla selgitab, et Haavatavused ulatusid HTML-i parsimise vigadest kuni liivakastimehhanismide probleemideni.sealhulgas protsessidevahelise suhtlusega seotud võidujooksu tingimused. Mõned vead võimaldasid näiteks IndexedDB-s viiteloendurite manipuleerimist, et proovida liivakasti piirangutest mööda hiilida.
Organisatsioon tunnistab, et Paljud neist vigadest oleksid ilma tehisintellekti abita aastaid uinunud olnud.Ökosüsteemis, kus brauserid on Euroopa Liidu pangateenuste, haldusprotseduuride või äritööriistade väravaks, on selle kokkupuuteperioodi vähendamine riski ohjeldamise võtmeks.
Seda stsenaariumi arvestades juhivad küberturvalisuse sektori esindajad tähelepanu sellele, et Mythose tohutu analüüsivõimekus kujutab endast struktuurimuutust.See, mis varem nõudis spetsialistide poolt nädalate või kuude pikkust käsitsi auditeerimist, saab nüüd kokku pakkida päevadepikkuseks automatiseeritud analüüsiks, mida toetavad täiustatud mudelid.
Hübriidprotsess: tehisintellekt leiab vead, inimesed parandavad need
Vaatamata edusammudele, Mozilla on selgelt öelnud, et ei delegeeri haavatavuste automaatset parandamist tehisintellektile.Mythos vastutab koodi jälgimise, kahtlaste mustrite tuvastamise ja paranduste pakkumiste eest, kuid töö viimane etapp langeb ikkagi lihast ja verest inseneride hooleks.
Praktikas on protseduur järgmine: Tehisintellekt genereerib iga rikke kohta üksikasjaliku aruande koos tehniliste kirjelduste ja reprodutseeritavate testijuhtumitega.Seejärel kirjutab inim-arendaja lõpliku paranduse ja teine insener vaatab selle üle. Selle topeltkontrolli protsessi eesmärk on vähendada uute vigade tekkimise ohtu vanade parandamisel.
Firefoxi arendajad tunnistavad, et praeguses seisus Nad pole leidnud usaldusväärset viisi täielikult tehisintellekti loodud plaastrite juurutamise automatiseerimiseks.Nad eelistavad Mythose soovitatud koodi kasutada viitena, omamoodi mustandina, mis kiirendab tööd, aga mitte suletud lahendusena, mis on valmis lõppkasutajani jõudma.
See eristamine aitab eristada kahte sageli segamini aetud arutelu. Ühelt poolt, Tehisintellekt osutub turvameeskondade "radari" laiendamisel väga tõhusaks.valepositiivsete tulemuste vähendamiseks ja leidude prioriseerimiseks. Teisest küljest on selle võime automaatselt tööstuskvaliteediga koodi toota piiratud ja nõuab intensiivset jälgimist.
Organisatsioonilises mõttes See viitab lähitulevikule, kus julgeolek tugineb segamudelileTehisintellekt tegeleb uurimise ja hüpoteeside genereerimise raske tööga, samas kui inimspetsialistid langetavad olulisi otsuseid selle kohta, mida, kuidas ja mis järjekorras parandada.
Nii töötab Mythos Firefoxis turvakanal
Selle punktini jõudmiseks ei andnud Mozilla lihtsalt oma koodi mudelile üle ja ei oodanud tulemusi. Organisatsioon lõi auditeerimiskanali, mis integreerib Mythose olemasoleva automatiseeritud testimise ja hägususe analüüsi infrastruktuuriga., jaotades töökoormuse mitme masina ja testimiskeskkonna vahel.
Protsess tugineb Firefoxi modulaarsele arhitektuurile: See komponentidel põhinev struktuur lihtsustab tehisintellektil täpselt määratletud koodiplokkide analüüsimist.Käivitage spetsiifilisi testjuhtumeid ja tagastage aruandeid, mida inimmeeskonnad saavad seejärel kiiremini valideerida.
Mythos toimib põhjaliku audiitorina, mis See vaatab üle miljoneid koodiridu, genereerib pahatahtlikke või äärmuslikke sisendeid ja jälgib, kuidas brauser reageerib.Kui see tuvastab anomaalse käitumise – ületäitumise, mälu rikkumise või võidujooksu –, dokumenteerib see selle ja pakub välja toimimisviisi.
Paralleelselt, Tehisintellekt ise filtreerib välja suure osa valepositiivsetest tulemustest, mis on ajalooliselt turvameeskondi üle koormanud.Varem genereerisid paljud tööriistad nii palju kasutuid hoiatusi, et aruannete ülevaatamisele kulunud aeg kaalus üles eelised. Praeguste mudelite puhul tehakse osa sellest sõelumisest automaatselt.
Tulemuseks on olnud märkimisväärne kollektiivne pingutus: Tuvastatud haavatavuste parandamises on osalenud üle saja Mozilla inimese., kusjuures parandused on levitatud erinevate brauseriversioonide vahel (sealhulgas vahepealsed versioonid nagu 149.0.2, 150.0.1 või 150.0.2), et lüngad võimalikult kiiresti täita.
Kaitsev eelis ja kaheotstarbeline risk küberturvalisuses
Selliste tööriistade nagu Mythos tekkimine tõstatab põhimõttelise küsimuse: Kas need võimed kallutavad kaalukausi nende kasuks, kes kaitsevad süsteeme, või nende kasuks, kes püüavad neid murda? Ei Mozilla ega Anthropic paku lõplikku vastust, kuid nad osutavad mõnele põhielemendile.
Ühelt poolt on vastutavad isikud, näiteks Anthropici tegevjuht Dario Amodei, suhteliselt optimistlikul seisukohal. Nende argument on see, et avastatavate vigade arv on piiratud. antud koodis ja et kui uusi tööriistu vastutustundlikult hallata, võiksid need võimaldada suure osa aastate jooksul kogunenud haavatavuste "puhastamist".
Teisest küljest hoiatavad Mozilla eksperdid ja turvaametnikud, et Samu meetodeid, mida kasutatakse haavatavuste leidmiseks ja parandamiseks, saab kasutada ka solvavatel eesmärkidel.Kui pahatahtlikud laienduskampaaniadKuigi Anthropic on hoidnud Mythose piiratud juurdepääsuga programmis ja rakendab vastutustundlikke avalikustamispoliitikaid, pole mingit garantiid, et pahatahtlikud isikud ei katseta sarnaseid tehnikaid.
Praktikas tähendab see seda Ründajate ja kaitsjate võidujooks siseneb uude faasiKui organisatsioon suudab täiustatud tehisintellekti abil avastada sadu vigu mõne päevaga, võiks kuritegeliku motiiviga rühmitus proovida sarnaseid mudeleid kasutada ärakasutatavate vigade leidmiseks rakendustes, finantsteenustes või kriitilises infrastruktuuris.
Euroopa äristruktuuri – sealhulgas idufirmade, tehnoloogiavaldkonna VKEde ja väljakujunenud tarkvarafirmade – jaoks Sõnum on selge: "mõistlikult turvalise koodi" arendamisest ei piisa.Konkurentsieelis sõltub üha enam kiirematest tuvastus- ja parandusprotsessidest kui konkurentidel (ja potentsiaalsetel ründajatel).
Mõju ettevõtetele ja arendajatele Hispaanias ja Euroopas
Sellistel turgudel nagu Hispaania või EL tervikuna, kus Küberjulgeoleku eeskirjad muutuvad rangemaks. Selliste standarditega nagu NIS2 ja peatselt vastu võetav kübervastupidavusvõime seadus toimib Firefoxi ja Mythose juhtum peaaegu eelvaatena sellele, mida sektorilt oodatakse.
Paljud Euroopa ettevõtted, eriti keskmise suurusega, Nad töötavad vähendatud turvavarustusega kellel on raskusi suurte koodibaaside läbivaatamisega tänapäevaste auditite nõutava detailsusega. Mozilla kogemus näitab, et spetsiaalsete tehisintellekti mudelite kasutamine võib saada regulatiivsete standardite täitmise võtmeelemendiks.
Hispaanias digitaalseid tooteid loovatele idufirmadele ja arendajatele Tehisintellektil põhinevate auditite integreerimist tarkvara elutsüklisse hakatakse nägema vähem valikuna ja rohkem vajadusena.Asi pole ainult intsidentide ennetamises, vaid ka klientidele, investoritele ja partneritele näitamises, et haavatavuste avastamiseks ja parandamiseks on olemas tugevad protsessid.
See juhtub muuhulgas seetõttu, et tootearhitektuuri ümbermõtestamine automatiseeritud analüüsi hõlbustamiseksIsoleerige kriitilised komponendid (autentimine, tundlike andmete käitlemine, avalikud API-d) ja valmistage ette pidevad integratsioonitorustikud, kus iga koodimuudatust saab tehisintellekti abil turvaülevaatuse läbi viia.
See sunnib meid ka mõtlema nende vahendite kahesuguse kasutamise riskidIga organisatsioon, mis tegeleb eriti tundlike andmetega, peab hindama mitte ainult seda, kuidas ta tehisintellektist kasu saab, vaid ka seda, kuidas ta kaitseb oma mudeleid, andmevooge ja tulemusi volitamata juurdepääsu eest.
See, mis on juhtunud Mythose ja Firefoxiga, näitab seda Tehisintellekt ei ole enam tarkvaraturvalisuses marginaalne elementvaid keskne osa, mis määratleb uuesti nii vigade leidmise viisi kui ka tasakaalu süsteemide kaitsjate ja neid ohtu seadvate isikute vahel.
