ComcastとBooz Allen、Claude Mythosでエクスプロイトチェーンを発見しコードベースを防御

Anthropicは、重要インフラの防御側にコードベース保護で先行できる機会を与える限定アクセスのプログラムとしてProject Glasswingを立ち上げている。今週は拡張版のCyber Verification Program（CVP）を開始し、条件を満たすセキュリティ専門家に高度なサイバー機能と、ブロック用分類器を緩和した利用環境を提供する。参加組織が共通して挙げたのは、既存ツールが単一の脆弱性を個別に見つけられても、小さな弱点をつなぐエクスプロイトチェーンの追跡は難しいという点である。

Comcastは258の事業上重要なシステム、約1億7000万行のコードを対象にした評価で、公開プラットフォームの認証に関する重大な脆弱性を特定した。単一の欠陥部品が原因ではなく、個別に見れば正しく見える複数のシステムと前提の相互作用から生じていた。エンジニアが稼働中のアプリケーションで到達可能性を確認し、根本原因を追跡して修正し、悪用されていないことも検証した。Noopur Davisは、発見が速く容易になった一方で、大量の発見の検証が新たなボトルネックになっていると述べている。

Booz Allenは、評価期間が固定されるなかでClaude Mythos Previewを使い、通常の期間では見切れない量のソフトウェアを確認し、連鎖しうる弱点を洗い出した。ある事例では、OS読み込み前に動く起動コードの欠陥が見つかった。端末をロックまたはデータ消去するかを判断するセキュリティキーが保護されておらず、設定がオフのまま書き込まれ、後段の保護も有効化されていなかった。Claudeは、その1つの設定を2つの言語で書かれた2つのプログラムにわたり追跡して問題を突き止めた。

Booz Allenによると、1人のアナリストが12日間で138のリポジトリにまたがる8つの本番システムを確認した。同規模のレビューは、従来なら大人数で数か月を要したという。一方でBrad Medairyは、候補の検証、系統的なパターンの重複排除、適切な担当者への振り分けは依然として人が担うと述べている。判断は運用者に残し、モデルが監視できる範囲を広げるという進め方が示されている。