Journal Modèle Mythos : Anthropic bluffe, en partie

Posté par  . Licence CC By‑SA.
Étiquettes :
3
12
avr.
2026

Anthropic a prétendu avoir un modèle si puissant (le bien nommé Mythos) qu'il est bien trop dangereux de le mettre à disposition du grand public et qu'ils donneraient en priorité l'accès aux grands noms de la tech (Amazon, Apple, Broadcom, Cisco, CrowdStrike, la fondation Linux, Microsoft entre autres). Selon eux, Mythos auraient trouvé "des milliers de zero-days critiques". Sauf que… pas vraiment :

Anthropic déclare qu’elle ne peut pas réellement confirmer que les milliers de bogues que Mythos affirme avoir trouvés sont tous de véritables vulnérabilités de sécurité critiques. Elle a simplement extrapolé ce chiffre à partir du fait que, dans environ 90 % des « 198 rapports de vulnérabilité examinés manuellement, [les] experts contractuels [d’Anthropic] étaient exactement d’accord avec l’évaluation de gravité de Claude ». source

De son côté, RedHat dit que

  • Des fonctionnalités comme ASLR et SELinux, qui font partie de la configuration par défaut de RHEL, rendent souvent un code vulnérable difficile à exploiter de manière significative dans un environnement de production.
  • Certaines vulnérabilités identifiées par l’IA sont en réalité des bugs fonctionnels sans véritable possibilité d’exploitation.
  • De nombreux problèmes, comme ceux liés au protocole NFS, sont considérés comme présentant un risque faible dans l’écosystème de Red Hat, car les daemons concernés sont rarement exposés à Internet lorsque l’architecture de sécurité est correctement conçue. (le gras est de moi)

Cela dit tout n'est pas à jeter et RedHat reconnaît que « Mythos, toutefois, représente plus qu’un déluge de rapports de vulnérabilités générés par l’IA ; c’est une voie potentielle vers l’industrialisation des cyberattaques. Il est en mesure d’abaisser la barrière à l’entrée pour la recherche avancée de bogues et l’enchaînement de vulnérabilités connexes. »

(Traduction collégiale de réseaux de neurones humains et artificiels)

  • # x

    Posté par  (site web personnel) . Évalué à 2 (+0/-0).

    Des fonctionnalités comme ASLR et SELinux, qui font partie de la configuration par défaut de RHEL, rendent souvent un code vulnérable difficile à exploiter de manière significative dans un environnement de production.

    pour selinux, je ne sais pas, mais pour le ASLR, le truc a l'air de réussir à bypass celui du noyal sans trop de problèmes.

    For example, the Linux kernel implements a defense technique called KASLR (kernel address space layout randomization) that illustrates why chaining is necessary. KASLR randomizes where the kernel’s code and data live in memory, so an adversary who can write to an arbitrary location in memory still doesn’t know what they’re overwriting: the write primitive is blind. But an adversary who also has a different read vulnerability can chain the two together: first, use the read vulnerability to bypass KASLR, and second, use the write vulnerability to change the data structure that grants them elevated privileges.

    We have nearly a dozen examples of Mythos Preview successfully chaining together two, three, and sometimes four vulnerabilities in order to construct a functional exploit on the Linux kernel. For example, in one case, Mythos Preview used one vulnerability to bypass KASLR, used another vulnerability to read the contents of an important struct, used a third vulnerability to write to a previously-freed heap object, and then chained this with a heap spray that placed a struct exactly where the write would land, ultimately granting the user root permissions.

    (y'a un exemple plus concret vachement plus bas dans l'article)

    Certaines vulnérabilités identifiées par l’IA sont en réalité des bugs fonctionnels sans véritable possibilité d’exploitation.

    certaines. Du coup ça peut vouloir dire que beaucoup de vulnérabilités identifies ont une véritable possibilité d'exploitation.

    De nombreux problèmes, comme ceux liés au protocole NFS, sont considérés comme présentant un risque faible dans l’écosystème de Red Hat, car les daemons concernés sont rarement exposés à Internet lorsque l’architecture de sécurité est correctement conçue.

    certes. mais une fois que mythos a réussi à pénétrer ton SI, il va peut-être finir par croiser ton nfs troué.

    Cf Stuxnet pour un exemple de machin capables de se propager loin dans un environnement assez exotique.

    (le gras est de moi)

    le gras c'est la vie

Envoyer un commentaire

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.