Anthropic svela Project Glasswing: l’obiettivo è trovare con l’IA tutti i buchi rimasti nella rete

Martedì 7 aprile Anthropic ha comunicato la nascita di un nuovo progetto che promette di segnare una nuova era nel campo della cybersicurezza. Si chiama Project Glasswing ed è, prima di tutto, un'alleanza. Non una qualunque, ma un consorzio che riunisce alcuni dei nomi più pesanti dell'economia digitale globale, da Amazon ad Apple, da Microsoft a Google, passando per Cisco, NVIDIA, Linux Foundation e colossi finanziari come JPMorganChase. L'obiettivo, decisamente ambizioso, è mettere in sicurezza i software più critici del pianeta, quelli che sostengono infrastrutture, reti e servizi essenziali.

Al centro del progetto c'è Claude Mythos Preview, un modello di IA "frontier" che non è ancora stato rilasciato pubblicamente, anche se alcuni leak delle scorse settimane hanno fatto trapelare le sue enormi potenzialità, nonché i possibili rischi.

La sicurezza affidata a un'IA che trova le falle dei sistemi

Secondo la stessa Anthropic, le capacità Claude Mythos Preview segnano un salto qualitativo definitivo. Il modello, che nei file leakati è stato definito "il più potente mai realizzato" dall'azienda, è in grado di leggere il codice, ragionare e individuare vulnerabilità su larga scala, spesso meglio di quanto farebbe qualunque essere umano, tranne i più esperti del settore.

I primi risultati, per quanto in gran parte siano stati dichiarati dalla stessa azienda sviluppatrice, sembrano comunque delineare prospettive che qualche anno fa sarebbero apparse fantascientifiche. Claude Mythos avrebbe già individuato migliaia di falle ad alta gravità in sistemi operativi e browser, incluse vulnerabilità rimaste invisibili per decenni. Emblematico il caso di un bug vecchio 27 anni in OpenBSD, un sistema open source considerato a lungo una roccaforte della sicurezza. Come spiegato dalla stessa Anthropic, non si tratta di un sistema addestrato esclusivamente per la cybersicurezza, ma di uno strumento capace di combinare competenze di programmazione avanzata e capacità di ragionamento.

Un progetto difensivo che vuole prevenire i rischi

Nella presentazione di questa partnership tra colossi, Anthropic ha insistito sulla natura di Glasswing come uno strumento difensivo, una specie di investigatore digitale per scovare i problemi e risolverli prima che espongano sistemi vitali a criticità o attacchi esterni.

"Data la velocità di progresso dell'intelligenza artificiale, non passerà molto tempo prima che tali capacità si diffondano, potenzialmente anche al di fuori della portata degli attori impegnati a implementarle in modo sicuro", ha spiegato l'azienda nel comunicato ufficiale. "Le conseguenze, per l'economia, la sicurezza pubblica e la sicurezza nazionale, potrebbero essere gravi. Il Progetto Glasswing rappresenta un tentativo urgente di mettere queste capacità al servizio della difesa".

Per la messa a punto, il modello non sarà disponibile al pubblico, ma verrà reso accessibile solo a un gruppo ristretto di partner e a oltre 40 organizzazioni che gestiscono infrastrutture critiche. Il motivo è semplice. La stessa azienda si è resa conto che le potenzialità del modello sono tali che, se usate nel modo sbagliato, potrebbero riuscire a "bucare" qualsiasi sistema informatico proprio grazie alla capacità di scovare le crepe nei sistemi di sicurezza.

Per evitare questo problema, Anthropic ha quindi scelto di limitarne la diffusione e di collaborare anche con istituzioni governative, prevedendo fino a 100 milioni di dollari in crediti per l'utilizzo del modello e 4 milioni in donazioni dirette per sostenere la sicurezza dei progetti aperti.

Dalla caccia ai bug alla sicurezza automatizzata

L'arrivo di sistemi come Mythos apre una frattura nel modello economico della sicurezza informatica. Per anni, la scoperta delle vulnerabilità si è basata su esperti umani e programmi di bug bounty. Ora, la possibilità di automatizzare la ricerca su larga scala cambia le regole del gioco. Il punto non è solo trovare più bug, ma farlo nel modo più rapido ed efficiente possibile. La finestra temporale tra la scoperta di una vulnerabilità e il suo sfruttamento si è ridotta drasticamente: da mesi a minuti. In questo scenario, la sicurezza non può più essere un'attività "a posteriori", ma deve diventare continua e integrata.

Secondo diversi osservatori del settore, potrebbe essere l'inizio della fine di quello che in gergo viene definito "l'arretrato di sicurezza", ossia quell'accumulo cronico di vulnerabilità non risolte che ha caratterizzato per anni lo sviluppo software. Dopotutto, il nome stesso, Glasswing, appare come una dichiarazione d'intenti. Il nome richiama una farfalla dalle ali trasparenti. Una metafora efficace per uno strumento che vuole rendere visibili le fragilità nascoste prima che qualcuno le sfrutti.