Dự án Glasswing: Đánh giá khả năng tìm lỗ hổng của Mythos
"Project Glasswing evaluated Anthropic's Mythos Preview LLM for vulnerability research. The model demonstrated significant advancements in exploit chain construction and proof generation, surpassing previous general-purpose LLMs in identifying and verifying exploitable bugs. However, the model exhibited inconsistent 'organic refusals' for legitimate security research tasks, highlighting the need for additional safeguards for broader deployment."
Mythos Preview có thể giúp tìm ra các lỗ hổng bảo mật nghiêm trọng, nhưng sự không nhất quán trong cơ chế từ chối có thể gây rủi ro.
Việc tự động hóa kiểm tra bảo mật có thể giảm chi phí cho doanh nghiệp, nhưng cần cân nhắc tín hiệu trên nhiễu để tránh lãng phí nguồn lực.
Cloudflare vừa đánh giá mô hình ngôn ngữ lớn (LLM) Mythos Preview của Anthropic trong dự án Glasswing để tìm lỗ hổng bảo mật. Kết quả cho thấy Mythos vượt trội hơn các LLM thông thường trong việc xây dựng chuỗi khai thác và chứng minh khả năng khai thác.
Đây là một công cụ hữu ích cho các đội bảo mật, đặc biệt khi chi phí thuê GPU đang tăng. Mythos có thể tự động tìm và kết hợp các lỗ hổng nhỏ thành một cuộc tấn công hoàn chỉnh, điều mà các mô hình trước đây chưa làm được. Nó cũng tự động tạo mã để kiểm tra lỗ hổng, xác nhận tính khả thi của chúng.
Khả năng mới của Mythos Preview
Mô hình này có hai điểm mạnh chính: xây dựng chuỗi khai thác và tạo bằng chứng khai thác. Một cuộc tấn công thường kết hợp nhiều lỗ hổng nhỏ, và Mythos có thể liên kết chúng lại với nhau. Nó không chỉ tìm ra lỗ hổng mà còn chứng minh cách khai thác chúng, giống như một chuyên gia bảo mật.
Từ chối thực hiện yêu cầu hợp lệ
Tuy nhiên, Mythos đôi khi từ chối thực hiện các yêu cầu nghiên cứu bảo mật hợp lệ, dù không có các biện pháp bảo vệ bổ sung như các mô hình Opus 4.7 hay GPT-5.5. Điều này không nhất quán: cùng một yêu cầu có thể được chấp nhận hoặc từ chối tùy thuộc vào cách diễn đạt. Cloudflare nhận thấy việc này không đủ tin cậy để đảm bảo an toàn.
Vấn đề tín hiệu trên nhiễu
Việc xác định lỗ hổng thực sự cần ưu tiên sửa chữa là một thách thức. AI có thể tạo ra nhiều cảnh báo sai, làm tăng khối lượng công việc cho đội bảo mật. Cloudflare đã xây dựng các bước xác minh bổ sung để giải quyết vấn đề này.
Câu hỏi thường gặp
Mythos Preview khác gì so với các LLM khác?
Mythos Preview vượt trội trong việc xây dựng chuỗi khai thác và tạo bằng chứng khai thác, kết hợp nhiều lỗ hổng nhỏ thành một cuộc tấn công hoàn chỉnh.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker Newsdataflow
Nhiều người quan tâm đến mức độ nghiêm trọng của các lỗ hổng được tìm thấy, nhưng Cloudflare có thể không công khai thông tin này.
Xem thảo luận ➔ - Hacker Newsxnorswap
Một số người nghi ngờ bài viết này có thể được tạo ra bởi một LLM, vì giọng văn thường thấy trong các blog doanh nghiệp.
Xem thảo luận ➔ - Hacker Newswnevets
Một số người lo ngại rằng Cloudflare có thể bị chỉ trích vì quảng bá Mythos.
Xem thảo luận ➔ - Hacker Newssf_tristanb
Nhiều người muốn biết số liệu cụ thể về số lượng lỗ hổng được tìm thấy, bao nhiêu lỗ hổng là thực và bao nhiêu là sai.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, khả năng tự động tìm và kết hợp lỗ hổng của Mythos có thể giúp các doanh nghiệp Việt Nam tiết kiệm chi phí và thời gian trong việc kiểm tra bảo mật. Tuy nhiên, sự không nhất quán trong việc từ chối yêu cầu có thể gây khó khăn khi sử dụng trong thực tế. Điều đáng chú ý là các biện pháp bảo vệ bổ sung là cần thiết trước khi triển khai rộng rãi.