Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Un gruppo di utenti non autorizzati ha ottenuto un accesso abusivo al modello di intelligenza artificiale Mythos di Anthropic, il più potente mai rilasciato e fornito ad un numero limitato di aziende. Questo caso sta sollevando preoccupazioni sulla sicurezza informatica e sul controllo delle tecnologie avanzate di intelligenza artificiale.
Secondo un rapporto di Bloomberg della sera del 21 aprile, un piccolo gruppo di utenti non autorizzati è riuscito ad accedere al modello di intelligenza artificiale Mythos, recentemente rilasciato da Anthropic.
Il modello è stato valutato internamente dall’azienda come estremamente potente, e in grado di scoprire e sfruttare autonomamente diverse vulnerabilità di sistema per lanciare pericolosi attacchi informatici. Fonti a conoscenza dei fatti hanno riferito a Bloomberg che un gruppo di utenti (pochi, a dire il vero) ha ottenuto l’accesso al modello Mythos lo stesso giorno in cui Anthropic ha annunciato per la prima volta il rilascio limitato a un piccolo numero di aziende per i test.
Sono riusciti ad accedere al sistema tramite un ambiente di terze parti/fornitori. Da allora, questo gruppo di utenti ha utilizzato Mythos regolarmente, ma al momento non ci sono prove che lo abbiano utilizzato per condurre attacchi informatici. Le fonti hanno presentato a Bloomberg screenshot e dimostrazioni dal vivo del modello.
Anthropic sta indagando attivamente sulla questione. L’azienda ha dichiarato che non vi sono prove di una violazione o di una fuga di dati dai suoi sistemi principali e che l’accesso era limitato all’ambiente del fornitore.
Questo incidente evidenzia una sfida significativa che Anthropic deve affrontare nel controllare la diffusione della sua tecnologia di intelligenza artificiale, che a quanto pare risulta la più potente e all’avanguardia: garantire che il modello venga utilizzato esclusivamente da partner autorizzati e non venga accidentalmente divulgato all’esterno.
Mythos è l’ultimo modello “di frontiera” di Anthropic. L’azienda ha precedentemente affermato che questo modello rappresenta un “cambiamento radicale” nelle capacità di inferenza e nella sicurezza informatica, grazie alla sua capacità di scoprire autonomamente vulnerabilità zero-day e completare una catena di attacco completa, superando di gran lunga i modelli precedenti.
Per questo motivo, l’azienda ha adottato una rigorosa strategia di “rilascio controllato” (Project Glasswing), limitando i test difensivi a circa 40 organizzazioni accuratamente selezionate, al fine di aiutare banche, agenzie governative e altre realtà a rafforzare proattivamente i propri sistemi contro potenziali minacce informatiche basate sull’intelligenza artificiale.
Questo incidente di accesso non autorizzato ha rapidamente scatenato un ampio dibattito. Appassionati di tecnologia e seguaci dell’IA hanno messo in discussione le misure di sicurezza di Anthropic: “È un altro caso simile dopo la fuga di codice sorgente di Claude del mese scorso?” “Il team di sicurezza dell’azienda è gestito da incompetenti?” Alcuni utenti hanno ironizzato sul fatto che l’azienda potesse aggirare le restrizioni il giorno del rilascio semplicemente indovinando l’URL, definendo le misure di sicurezza “incredibili”.
Questo incidente ha inoltre sconvolto il modello di “rilascio controllato” accuratamente elaborato da Anthropic, attirando potenzialmente maggiore attenzione da parte delle agenzie di regolamentazione e influenzando persino le strategie dell’intero settore per la gestione dei rischi legati all’intelligenza artificiale all’avanguardia. Sebbene al momento non vi siano prove ufficiali che il modello sia stato utilizzato per attacchi malevoli reali, l’evento ha sollevato maggiori preoccupazioni sulla reale possibilità di controllare efficacemente un’intelligenza artificiale così potente.
Anthropic non ha ancora rilasciato una dichiarazione pubblica in merito agli ultimi sviluppi dell’indagine, né il suo account ufficiale ha commentato l’incidente. Secondo quanto riportato da Bloomberg e altri media, la Cybersecurity Agency (CISA) statunitense non ha ancora ottenuto l’accesso a Mythos e diverse istituzioni finanziarie e dipartimenti governativi stanno monitorando attentamente la situazione.
