Mythosが271件のFirefoxの欠陥を発見――しかし、人間では気づけないようなものはなかった
MozillaのCTOは、AIによって開発者がついにセキュリティでトップに立つチャンスを得られると語る
Mozilla Foundationは、Anthropicのバグ発見用「Mythos」AIモデルをテストしたことを明らかにし、そこで得られた結果はソフトウェア防御側にとっての画期的な転機を示していると感じた。
FOSSの開発チームは火曜日に、AnthropicのOpus 4.6モデルを使ってFirefox 148のバグを探し、22件のバグを見つけたことを読者に思い出させた。
MythosはFirefox 150で271件の脆弱性を見つけた。
MozillaのCTO、Bobby Holleyは、この結果について複雑な気持ちを吐露した。彼は、このように大量の欠陥を直す必要に直面することで、Firefoxチームに「めまい」をもたらしたと表現している。
「防御が強化されたターゲットであれば、この手のバグが1つあるだけで2025年には赤信号（緊急警報）だったはずです。しかもこれだけ同時に多いとなると、追いつき続けること自体が可能なのかどうか、考え込んでしまいます」と彼は書いている。
また、Mythosが特定した膨大な数のバグは、セキュリティチームにとって「トンネルの先に光が見える」ことを意味すると彼は考えている。
「私たちの仕事はまだ終わっていませんが、曲がり角を越えて、ただ追いつき続けるだけよりずっと良い未来を垣間見ることができます」と彼は書き、その後に強調表示をオンにして「防御側にはついに、決定的に勝つチャンスが訪れました。 」と宣言した。
彼がこの予測を提示したのは、「それまで業界は、概ねセキュリティに対して引き分けで戦ってきた」ように感じているからだ。ただし、あらゆる悪用（エクスプロイト）を完全に排除することはほぼ不可能であることは認めている。
返却形式: {"translated": "翻訳されたHTML"}「その代わり、実質的に無制限の予算を持つ俳優（人）だけが手にできるほど、彼らが非常に高額になるように狙いました。そして、そんな高額な資産を燃やす（＝投入して消費する）コストが、そうした俳優（人）をカジュアルな用途に対して思いとどまらせるはずだ、という考えです」と彼は書いています。
彼は、Mozillaが人手を介さずにバグを見つけるために使っているファジング・ツールを改善することで、Mythosはゲームの状況を変えるのだと考えています。
「エリートのセキュリティ研究者は、ファザーができないことを、ソースコードを推論していくことで、かなりの範囲にわたってバグを見つけます」と彼は書いています。「これは有効ですが、時間がかかり、限られた人間の専門知識にボトルネックが生じます。
「数か月前までは、コンピュータはこれをまったくできませんでしたが、今ではその能力が際立っています。私たちは世界最高のセキュリティ研究者たちの仕事を細かく分解して検証する経験を長年積んできました。そしてMythos Previewは、その点でも同等に能力があります。これまでのところ、人間が見つけられるような脆弱性のカテゴリや複雑さの範囲であっても、このモデルでは見つけられないものはありませんでした。」
- Mozilla、企業向けAI提供業者にThunderboltを投げつける
- AnthropicのProject Glasswingが実際に見つけたCVEの数は誰にも分からない
- Mozilla、cqを導入。「エージェント向けのStack Overflow」と説明
- Firefox、AnthropicのAIバグハンターを起用。しかし腐ったRAMは依然としてビットを反転させ続ける
CTOは、Mythosの能力は「直近の時点ではぞっとするように感じられることもあるが、最終的には防御側にとって大変良いニュース」だと考えています。
「機械が発見できるバグと、人間が発見できるバグの間にギャップがあると、攻撃者が有利になります。攻撃者は、単一のバグを見つけるために高コストな人手による努力を数か月分集中させることができます。このギャップを埋めることで、発見がすべて安価になるため、攻撃者の長期的な優位性が削られます。」
その後彼は、またCTRL-Bを押し、さらにCTRL-Iも使って、「心強いことに、エリートの人間研究者では見つけられないはずのバグは、こちらとしては確認できていません。 」と注記しました。
またCTOは、「将来のAIモデルは、我々の現状の理解を覆す形で、まったく新しい種類の脆弱性を掘り当てるだろう」と主張する人たちにも冷水を浴びせました。
彼はそれは起きないだろうと考えています。なぜなら「Firefoxのようなソフトウェアは、人間がその正しさについて推論できるよう、モジュール方式で設計されているからです。複雑ではありますが、無制限に複雑というわけではありません。」
「欠陥は有限であり、私たちはついにそれらをすべて見つけられる世界へと入っていきます。」 ®
