Η Anthropic ανακοίνωσε το Cyber Mission, μια νέα μακροπρόθεσμη πρωτοβουλία που εστιάζει στην ενίσχυση της κυβερνοασφάλειας σε συστήματα από τα οποία εξαρτώνται καθημερινά κράτη, επιχειρήσεις και πολίτες. Η εταιρεία παρουσιάζει την προσπάθεια αυτή ως μια οργανωμένη δέσμευση για την παροχή εργαλείων, έρευνας και πόρων σε οργανισμούς που έχουν αμυντικό ρόλο. Η αρχική στόχευση αφορά δύο πεδία υψηλής σημασίας, τις κρίσιμες υποδομές και το λογισμικό ανοιχτού κώδικα. Σύμφωνα με την ανακοίνωση, πρόκειται για το πρώτο βήμα μιας ευρύτερης στρατηγικής που θα επεκταθεί και σε άλλους τομείς στο μέλλον.
Η κίνηση της Anthropic έρχεται σε μια περίοδο όπου τα προηγμένα μοντέλα AI μπορούν να αξιοποιηθούν τόσο για άμυνα όσο και για επιθετικές κυβερνοεπιχειρήσεις. Η εταιρεία αναγνωρίζει ότι η ευκολότερη ανίχνευση ευπαθειών δεν αρκεί από μόνη της, καθώς η επιβεβαίωση, η ιεράρχηση και η αποκατάσταση των προβλημάτων παραμένουν δύσκολες διαδικασίες. Στο ίδιο πλαίσιο, σημειώνει ότι κρίσιμα τμήματα της τεχνολογικής υποδομής παραμένουν εκτεθειμένα, ενώ αντίπαλοι με κρατική υποστήριξη έχουν αποκτήσει πρόσβαση σε τέτοια περιβάλλοντα εδώ και χρόνια. Η βασική της θέση είναι ότι η ενίσχυση της αμυνόμενης πλευράς απαιτεί συνδυασμό εξειδίκευσης πεδίου και εργαλείων AI.
Δύο αρχικοί άξονες παρέμβασης
Το Cyber Mission ξεκινά με δύο σαφώς ορισμένες κατευθύνσεις. Η πρώτη αφορά την προστασία της λειτουργικής τεχνολογίας που υποστηρίζει ηλεκτρικά δίκτυα, συστήματα ύδρευσης και δίκτυα μεταφορών, καθώς και την προστασία κυβερνητικών συστημάτων. Η δεύτερη αφορά τον εντοπισμό αδυναμιών σε κοινόχρηστο κώδικα ανοιχτού λογισμικού, από τον οποίο εξαρτάται μεγάλο μέρος του σύγχρονου λογισμικού. Για κάθε άξονα, η Anthropic παρουσιάζει και ένα συγκεκριμένο πρόγραμμα ή εργαλείο.
Στις κρίσιμες υποδομές εισάγει το Critical Infrastructure Defense Program, CIDP. Στο λογισμικό ανοιχτού κώδικα λανσάρει το OSS Scanner, μια υπηρεσία τακτικών σαρώσεων ασφαλείας χωρίς χρέωση για τα επιλεγμένα έργα που θα εγγραφούν. Η εταιρεία συνδέει και τις δύο παρεμβάσεις με τα μαθήματα που άντλησε από το Project Glasswing. Όπως εξηγεί, η μέχρι σήμερα εμπειρία έδειξε ότι η ανακάλυψη ευπαθειών είναι μόνο ένα μέρος της αλυσίδας και ότι απαιτούνται καλύτεροι μηχανισμοί για τα επόμενα βήματα.
Τι αλλάζει στην προστασία κρίσιμων υποδομών
Η Anthropic δίνει ιδιαίτερη έμφαση στις δυσκολίες της ασφάλειας σε περιβάλλοντα operational technology. Πρόκειται για συστήματα που έχουν σχεδιαστεί να λειτουργούν επί δεκαετίες, με ιδιόκτητο εξοπλισμό που συχνά είναι δύσκολο να τροποποιηθεί χωρίς ρίσκο. Σε πολλές περιπτώσεις αυτά τα συστήματα δεν μπορούν να τεθούν εκτός λειτουργίας απλώς για να εγκατασταθεί μια ενημέρωση ασφαλείας. Έτσι, γνωστές ευπάθειες μπορεί να παραμένουν άλυτες για χρόνια, αυξάνοντας τον κίνδυνο.
Η εταιρεία υποστηρίζει ότι η ασφάλεια αυτών των περιβαλλόντων απαιτεί εξειδικευμένη γνώση και δεν μπορεί να αυτοματοποιηθεί πλήρως. Ένα λάθος μπορεί να οδηγήσει σε διακοπή λειτουργίας ενός εργοστασίου ή άλλης κρίσιμης εγκατάστασης, επομένως οι αλλαγές γίνονται με μεγάλη προσοχή. Για αυτόν τον λόγο, οι φορείς λειτουργίας βασίζονται σε λίγους έμπιστους παρόχους που αξιολογούν τι είναι εκτεθειμένο και ποια βήματα διόρθωσης είναι ασφαλή. Το CIDP στοχεύει ακριβώς σε αυτή την κατηγορία παρόχων, φέρνοντας κοντά τα μοντέλα Claude, επιτόπιους μηχανικούς και έρευνα απειλών.
Το Critical Infrastructure Defense Program και οι συνεργασίες
Σύμφωνα με την ανακοίνωση, ιδρυτικοί εταίροι του CIDP είναι οι Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC και Rockwell Automation. Η σύνθεση αυτής της ομάδας δείχνει ότι η Anthropic θέλει να συνεργαστεί με εταιρείες που ήδη έχουν ενεργό ρόλο σε προγράμματα ασφάλειας, βιομηχανικά δίκτυα και εξοπλισμό πεδίου. Η ίδια αναφέρει ότι το έργο έχει ήδη ξεκινήσει και ότι ορισμένοι συνεργάτες χρησιμοποιούν ήδη το Claude για να διορθώνουν ευπάθειες και να υποστηρίζουν τους πελάτες τους. Η αρχική φάση θα γίνει με μικρό αριθμό παρόχων, ώστε να αξιολογηθούν οι πιο πρακτικές και αποτελεσματικές μέθοδοι.
Η Anthropic δεν υποστηρίζει ότι η AI λύνει όλα τα προβλήματα άμυνας σε κρίσιμες υποδομές. Αντίθετα, παραδέχεται ότι υπάρχουν πολλοί περιορισμοί που δεν αίρονται με την προσθήκη μοντέλων. Ωστόσο, θεωρεί ότι τα frontier models μπορούν να βοηθήσουν στον εντοπισμό και την αποκατάσταση αδυναμιών πριν αυτές αξιοποιηθούν σε επιθέσεις με πραγματικές επιπτώσεις, όπως διακοπές ρεύματος ή προβλήματα στην ποιότητα του νερού. Η κατεύθυνση είναι σαφής: ταχύτερη ανίχνευση και καλύτερη υποστήριξη στη λήψη αποφάσεων για όσους έχουν ήδη την ευθύνη της άμυνας.
Η συνέχεια του Project Glasswing
Το Cyber Mission δεν εμφανίζεται ως απομονωμένη πρωτοβουλία, αλλά ως συνέχεια προηγούμενης δουλειάς της Anthropic. Η εταιρεία αναφέρει ότι μέσω του Project Glasswing εντοπίστηκαν πολλές ευπάθειες, χωρίς όμως να επιτευχθεί η επιθυμητή μείωση του συνολικού κυβερνοκινδύνου. Αυτό οδήγησε στην εκτίμηση ότι η αγορά χρειάζεται όχι μόνο περισσότερα ευρήματα, αλλά καλύτερους μηχανισμούς επαλήθευσης και αποκατάστασης. Με βάση αυτό το συμπέρασμα, το Project Glasswing ενσωματώθηκε πλέον στο διευρυμένο Cyber Verification Program.
Η συγκεκριμένη κίνηση έχει σημασία επειδή διευρύνει την πρόσβαση περισσότερων οργανισμών με αμυντικό ρόλο στα πιο ικανά μοντέλα της εταιρείας. Παράλληλα, η Anthropic δηλώνει ότι θα διαθέσει και μηχανικούς της, καθώς και χρηματοδότηση, εκεί όπου υπάρχουν σοβαρές ελλείψεις πόρων. Είχε προηγηθεί, τον Ιούνιο, πρόγραμμα κυβερνοάμυνας για πολιτειακές, τοπικές, φυλετικές και εδαφικές κυβερνήσεις στις Ηνωμένες Πολιτείες. Όπως αναφέρει, από τότε παρείχε μοντέλα Claude και τεχνική υποστήριξη σε περισσότερες από τις μισές αμερικανικές πολιτείες και σε μεγάλους δημόσιους φορείς κρίσιμων υποδομών.
OSS Scanner για το λογισμικό ανοιχτού κώδικα
Το δεύτερο μεγάλο σκέλος του Cyber Mission αφορά το οικοσύστημα ανοιχτού κώδικα, το οποίο η Anthropic περιγράφει ως θεμέλιο σχεδόν κάθε σύγχρονου λογισμικού. Πολλά από αυτά τα έργα συντηρούνται από μικρές ομάδες ή και εθελοντές, με περιορισμένο χρόνο για τη διαχείριση ευπαθειών. Στο πλαίσιο του Project Glasswing, η εταιρεία είχε σαρώσει εκατοντάδες widely used projects και είχε προωθήσει ιδιωτικά τα ευρήματα στους maintainers μέσω συντονισμένης διαδικασίας γνωστοποίησης. Ορισμένοι maintainers, όμως, ζήτησαν να λαμβάνουν όλα τα πιθανά ευρήματα των μοντέλων, ακόμη και πριν από ανθρώπινο έλεγχο.
Ως απάντηση, η Anthropic παρουσιάζει το OSS Scanner ως υπηρεσία opt-in, εμπνευσμένη από το Google OSS-Fuzz. Τα έργα που συμμετέχουν θα λαμβάνουν περιοδικές σαρώσεις από τα ισχυρότερα μοντέλα της εταιρείας χωρίς χρέωση. Κάθε αναφορά θα περιλαμβάνει απόδειξη ιδέας για το πώς μπορεί να αξιοποιηθεί το σφάλμα, επεξήγηση και προτεινόμενη διόρθωση όπου είναι διαθέσιμη. Οι αναφορές παράγονται από τα μοντέλα και αποστέλλονται χωρίς ανθρώπινο έλεγχο, κάτι που επιταχύνει την παράδοση αλλά αυξάνει και την πιθανότητα ανακριβειών, όπως λανθασμένη εκτίμηση της σοβαρότητας.
Όρια, στόχοι και υποστήριξη προς maintainers
Η εταιρεία δηλώνει ότι αναμένει ποσοστό αληθώς θετικών ευρημάτων άνω του 90%, με πρόθεση να το βελτιώνει σταδιακά μαζί με την ποιότητα των διορθώσεων. Παρά ταύτα, το OSS Scanner δεν προορίζεται για κάθε έργο. Η υπηρεσία απευθύνεται σε ομάδες που έχουν την ικανότητα να παρακολουθούν τον όγκο των ευρημάτων και να ενεργούν γρήγορα. Για έργα που δεν μπορούν να διαχειριστούν τέτοιο φόρτο, η Anthropic λέει ότι θα συνεχίσει να χρησιμοποιεί γνωστοποιήσεις επαληθευμένες από ανθρώπους στο πλαίσιο της πολιτικής CVD.
Η μελλοντική στόχευση, όπως περιγράφεται, είναι τριπλή. Πρώτον, τα ευρήματα να φτάνουν γρηγορότερα στους maintainers. Δεύτερον, να επιταχυνθεί η αποκατάσταση μέσω αυτοματοποίησης της διαλογής και της δημιουργίας διορθώσεων όπου αυτό είναι επιθυμητό. Τρίτον, να διερευνηθούν πιο ασφαλείς αρχιτεκτονικές και πρακτικές ανάπτυξης κώδικα, ακόμη και με επανεγγραφή τμημάτων λογισμικού όπου χρειάζεται. Η Anthropic προσθέτει ότι θα κινηθεί με καθοδήγηση από maintainers και ιδρύματα του χώρου του ανοιχτού κώδικα, ενώ ήδη χρηματοδοτεί οργανισμούς όπως το Python Software Foundation, το OpenSSF και το Apache Software Foundation.
Η ευρύτερη σημασία της πρωτοβουλίας
Το Cyber Mission δείχνει πώς η συζήτηση για την AI στην κυβερνοασφάλεια μετατοπίζεται από τις γενικές υποσχέσεις σε πιο συγκεκριμένα λειτουργικά σενάρια. Η Anthropic επιλέγει δύο πεδία όπου το πρόβλημα δεν είναι μόνο τεχνικό, αλλά και οργανωτικό, δηλαδή ποιος έχει την ευθύνη, τον χρόνο και την εξειδίκευση να επέμβει. Αυτό έχει ιδιαίτερη βαρύτητα στις κρίσιμες υποδομές, όπου ο κυβερνοκίνδυνος μπορεί να μετατραπεί άμεσα σε φυσικό ή κοινωνικό κίνδυνο. Έχει επίσης βαρύτητα στο ανοιχτό λογισμικό, όπου η ανθεκτικότητα ολόκληρου του οικοσυστήματος λογισμικού συχνά εξαρτάται από μικρές ομάδες συντηρητών.
Από την άλλη πλευρά, η ίδια η ανακοίνωση είναι προσεκτική στον τρόπο με τον οποίο περιγράφει τον ρόλο της AI. Δεν κάνει λόγο για πλήρη αυτοματοποίηση της άμυνας, αλλά για ενίσχυση των ειδικών με ταχύτερη ανάλυση, καλύτερη προτεραιοποίηση και υποστήριξη στη διόρθωση. Αυτή η έμφαση είναι κρίσιμη, επειδή αναγνωρίζει τα όρια των μοντέλων σε περιβάλλοντα όπου το κόστος του λάθους είναι υψηλό. Το επόμενο διάστημα θα δείξει αν τα εργαλεία αυτά μπορούν να προσφέρουν μετρήσιμο όφελος χωρίς να επιβαρύνουν τους αμυνόμενους με περισσότερο θόρυβο από αυτόν που ήδη καλούνται να διαχειριστούν.
