ఫైర్‌ఫాక్స్ 150 విడుదలకు ముందే 271 భద్రతా లోపాలను ఒక AI మోడల్ కనుగొన్నట్లు సమాచారం

Mozilla యొక్క Firefox దావా ఇప్పటికే ఉద్రిక్తంగా ఉన్న AI భద్రతా చర్చను మరింత పదునెక్కించింది

Anthropic యొక్క Mythos Preview మోడల్ Firefox 150 విడుదలకు ముందే 271 భద్రతా లోపాలను గుర్తించడంలో సహాయపడిందని Mozilla చెబుతోంది, ఇది అధునాతన AI సైబర్‌సెక్యూరిటిపై ఎలా ప్రభావం చూపుతుందనే పోటీలో వెంటనే పణాన్ని పెంచుతోంది.

Ars Technica నివేదించిన ఈ విషయం, ఇప్పటివరకు ప్రధానంగా ఊహాగానాలు, బెంచ్‌మార్క్ దావాలు, మరియు AI కంపెనీల హెచ్చరికలతో నడిచిన చర్చకు అసాధారణంగా స్పష్టమైన ఆధారాన్ని జోడిస్తోంది. ఏప్రిల్ ప్రారంభంలో Anthropic, Mythos లోపాలను కనుగొనడంలో అంత ప్రభావవంతంగా ఉందని, అందుకే దాన్ని తొలుత కొద్ది కీలక పరిశ్రమ భాగస్వాములకు మాత్రమే పరిమితం చేశామని చెప్పింది. Mozilla అనుభవం ఇప్పుడు ఆ సామర్థ్యం ప్రాక్టికల్‌గా ఎలా ఉండవచ్చో చెప్పే అత్యంత స్పష్టమైన నిజ-ప్రపంచ సంకేతాలలో ఒకటి.

Firefox CTO బాబీ హోలీ దీని ప్రభావాలను విస్తృతంగా వివరించి, రక్షణాత్మక భద్రతా బృందాలు చివరకు పైచేయి సాధించవచ్చని వాదించారు. 271 లోపాల తీవ్రతపై విపుల ప్రకటన లేకపోయినా, ఈ సంఖ్యను పట్టించుకోకుండా ఉండటం కష్టం.

పదుల సంఖ్యలో ఉన్న బగ్‌ల నుంచి ఒక్క విడుదల చక్రంలోనే వందల వరకు

మూల నివేదికలో అత్యంత ఆశ్చర్యకరమైన పోలిక AI మరియు మనుషుల మధ్య కాదు, ఒక తరం AI మోడల్ మరియు తదుపరి తరం మధ్య. గత నెల Firefox 148ను విశ్లేషించినప్పుడు Anthropic యొక్క Opus 4.6 మోడల్ 22 భద్రతా-సున్నితమైన బగ్‌లను కనుగొందని హోలీ చెప్పారు. Mythos Preview, Firefox 150ని పరిశీలిస్తూ, 271 లోపాలను వెలుగులోకి తెచ్చిందని సమాచారం.

ఆ సంఖ్యలు నేరుగా పోల్చదగినవైతే, అది అద్భుతమైన జంప్. లోపాల విశ్లేషణలో మోడల్ పురోగతి రేఖీయంగా ఉండకపోవచ్చని ఇది సూచిస్తుంది. లక్ష్య కోడ్ లేదా శోధనా పరిస్థితుల్లో తేడాలు ఉన్నప్పటికీ, అంత తక్కువ సమయంలో కొన్ని పదుల నుంచి వందల కనుగొనుళ్లకు చేరుకోవడం సామర్థ్యంలో గణనీయమైన మార్పును సూచిస్తోంది.

మోడల్ ఈ సమస్యలను విడుదల కాని సోర్స్ కోడ్‌ను విశ్లేషించడం ద్వారా మాత్రమే కనుగొందని మూల నివేదిక చెబుతోంది. ఇది ముఖ్యమైన విషయం, ఎందుకంటే మోడల్‌ను పెద్ద స్థాయిలో నడిచే ఆటోమేటెడ్ fuzzing ఇంజిన్‌గా కాకుండా, codebases‌ను పరిశీలించి సంభావ్య లోపాలను గుర్తించగల reasoning system‌గా నిలబెడుతోంది.

హోలీ ఈ పనిని ఆటోమేటెడ్ fuzzing ద్వారా లేదా సంక్లిష్ట బ్రౌజర్ కోడ్‌ను లోతుగా తర్కించే అత్యుత్తమ మానవ పరిశోధకులు చేసే పనితో పోల్చారు. ప్రాయోగిక తేడా ఖర్చు, వేగం అని ఆయన చెప్పారు. ఒక AI మోడల్ అనేక నెలల తీవ్రమైన నిపుణుల కృషి లేకుండానే భద్రతా లోపాలను కనుగొనగలిగితే, రక్షణాత్మక సమీక్ష మరింత చౌకగా, విస్తరించదగినదిగా మారుతుంది.

బ్రౌజర్ భద్రత ఎందుకు ముఖ్యమైన పరీక్షాకేసు

బ్రౌజర్లు ప్రపంచంలో అత్యంత సంక్లిష్టమైన, అత్యంత దాడులకు గురయ్యే వినియోగదారుల సాఫ్ట్‌వేర్ ఉత్పత్తుల్లో ఒకటి. అవి నమ్మదగని ఇన్‌పుట్‌ను నిరంతరం ప్రాసెస్ చేస్తాయి, విస్తారమైన codebases‌ను కలిగి ఉంటాయి, మరియు మెమరీ, రెండరింగ్, స్క్రిప్టింగ్, నెట్‌వర్కింగ్, మరియు సాండ్‌బాక్సింగ్‌ను జాగ్రత్తగా నిర్వహించాలి.

అందువల్ల Firefox AI ఆధారిత లోపాల గుర్తింపు దావాలకు బలమైన పరీక్షా వాతావరణం. ఒక మోడల్ ఆధునిక బ్రౌజర్‌లో గణనీయమైన బగ్‌లను కనుగొనగలిగితే, అది కేవలం toy benchmark గెలవడం కంటే చాలా ముఖ్యమైన పని చేస్తోంది. అది మిలియన్ల వినియోగదారులను ప్రభావితం చేయగల నిజమైన లోపాలు ఉన్న రంగంలో పని చేస్తోంది, మరియు అక్కడ నిపుణ భద్రతా సమీక్ష ఇప్పటికే చాలా అభివృద్ధి చెందినది.

మూల నివేదిక 271 లోపాల తీవ్రత విభజనను పేర్కొనలేదు. ఆ సమాచారం లేదు అనేది ముఖ్యం. వందల సంఖ్యలో తక్కువ తీవ్రత గల సమస్యలు, వందల సంఖ్యలో అధిక ప్రభావం గల లోపాలంత వ్యూహాత్మక ప్రాధాన్యం కలిగివుండవు. అయినప్పటికీ, ప్రజలకు విడుదలకు ముందే పెద్ద సంఖ్యలో భద్రతా-సున్నితమైన బగ్‌లను ముందే గుర్తించగల సామర్థ్యం, సాఫ్ట్‌వేర్ రక్షణ వర్క్‌ఫ్లోల్లో పెద్ద మార్పును సూచిస్తుంది.

రక్షకులు versus దాడి చేసేవారు అనే ప్రశ్నకు సమాధానం చెప్పడం కష్టం అవుతోంది

కొన్ని నెలలుగా, అధునాతన AI గురించి సైబర్‌సెక్యూరిటీ చర్చ భయం మరియు సందేహం మధ్య ఊగిసలాడుతోంది. ఒక వైపు శక్తివంతమైన మోడళ్లు దాడిని సులభతరం చేస్తాయని, మరింత స్కేలబుల్ చేస్తాయని ఆందోళన. మరో వైపు, AI ప్రధానంగా రక్షకులు ఇప్పటికే చేస్తున్న పనిని వేగవంతం చేస్తుందని, హైప్ వాస్తవ ఫలితాలను మించిపోతుందని వాదన.

Mozilla Mythos‌ను ఉపయోగించినట్లు చెప్పడం ఆ చర్చను ముగించదు, కానీ దానిని ముందుకు నెడుతుంది. మూల నివేదిక ప్రకారం, తక్కువ ఖర్చుతో లోపాల గుర్తింపు రక్షకులకు సహాయపడుతుందని హోలీ అభిప్రాయం, ఎందుకంటే సాఫ్ట్‌వేర్ విక్రేతలు దాడి చేసేవారు దుర్వినియోగం చేసేలోపే సమస్యలను కనుగొని సరిచేయగలరు.

ఇది సమంజసం, ముఖ్యంగా frontier మోడళ్లను ఉపయోగించగల, వాటిని secure development pipelines‌లో కలపగల ఇంజినీరింగ్ సామర్థ్యం ఉన్న సంస్థలకు. కానీ అదే సామర్థ్యం, సమాన వ్యవస్థలు విస్తృతంగా అందుబాటులోకి వస్తే లేదా offensive toolchains‌లోకి లీక్ అయితే, దాడి చేసేవారికీ లాభం చేకూర్చగలదు.

మరొక మాటలో చెప్పాలంటే, AI లోపాలను కనుగొనగలదా అనే విషయంకంటే, ఆ సామర్థ్యాన్ని ఎవరు వేగంగా మరియు బాధ్యతగా operationalize చేస్తారు అన్నదే ముఖ్యమై ఉండొచ్చు.

సాఫ్ట్‌వేర్ అభివృద్ధిలో ఏమి మారుతుంది

Mozilla ఫలితం నిజమని తేలితే, AI సహాయంతో code review ఒక nice-to-have నుంచి పెద్ద సాఫ్ట్‌వేర్ ప్రాజెక్టుల కోసం ప్రాథమిక అవసరంగా మారవచ్చు. మూల నివేదిక ప్రకారం, హోలీ Wired కు, ప్రతి సాఫ్ట్‌వేర్ కూడా త్వరలో ఈ రకమైన AI-aided analysis‌తో వ్యవహరించాల్సి వస్తుందని చెప్పారు, ఎందుకంటే ప్రతి సాఫ్ట్‌వేర్ కూడా బయట నుంచి అదే సామర్థ్యానికి గురవుతుంది.

దీని వల్ల కొత్త కనీస ప్రమాణం ఏర్పడుతుంది. బలమైన AI టూలింగ్‌ను code inspection కోసం వినియోగించని ప్రాజెక్టులు, దాడి చేసేవారు లేదా పోటీదారుల ముందు వెనుకబడవచ్చు. భద్రతా సమీక్ష, సంప్రదాయ testing, fuzzing, మరియు మానవ పరిశోధనపై AI triage పొరలా మారవచ్చు.

ఇది security teams లోని పనివిభజనను కూడా మార్చవచ్చు. అత్యంత నైపుణ్యం గల పరిశోధకులు తక్కువ ప్రయోజనం ఉన్న code paths‌ను మాన్యువల్‌గా పరిశీలించడంలో తక్కువ సమయం, model-generated findings‌ను ధృవీకరించడంలో, ప్రాధాన్యత ఇవ్వడంలో, మరియు exploit చేయడంలో లేదా సరిచేయడంలో ఎక్కువ సమయం గడపవచ్చు. ఆ దృశ్యంలో, AI elite security పనిని భర్తీ చేయదు; దాని ఆర్థిక వ్యవస్థను మార్చుతుంది.

లేని వివరాలూ ఇంకా ముఖ్యం

హెడ్‌లైన్‌లో ఉన్న సంఖ్య impressive‌గా ఉన్నా, ఇంకా అనుత్తరిత ప్రశ్నలు చాలా ఉన్నాయి. మూల నివేదికలో ఎన్ని లోపాలు తీవ్రమైనవో, ఎన్ని ఇప్పటికే ఉన్న అంతర్గత టూల్స్‌తో కనుగొనబడేవో, లేదా false-positive రేటు ఎలా ఉందో వెల్లడించలేదు. పనితీరు విస్తృతంగా పునరావృతం చేయడానికి కష్టం అయ్యే గైడెన్స్, tooling, లేదా prompting‌పై ఆధారపడిందా అన్నదీ స్పష్టం కాదు.

ఈ జాగ్రత్తలు ఫలితం ప్రాధాన్యతను తగ్గించవు. అవి ఇప్పటికీ ఏమి తెలియదో మాత్రమే నిర్వచిస్తాయి. భద్రతా దావాలు బలంగా ఉంటాయి, బయటి పరిశోధకులు వాటిని కాలక్రమేణా అనేక codebases మరియు ఆపరేషనల్ సెట్టింగుల్లో ధృవీకరించగలిగితే.

AI in cyber defenseలో ఒక సరిహద్దు క్షణం

ఈ అనిశ్చితులున్నప్పటికీ, Mozilla యొక్క వివరణ ఒక సరిహద్దు సంఘటనలా అనిపిస్తోంది. ఇప్పటి వరకు frontier AI మరియు cyber సామర్థ్యం గురించి దావాలు తరచుగా ఊహాజనితంగా లేదా స్వప్రయోజనపరంగా అనిపించేవి. ఒక బ్రౌజర్ తయారీదారు, ఒక ప్రధాన విడుదలలో 271 లోపాలను కనుగొనడంలో మోడల్ సహాయపడిందని చెప్పడం, ఈ చర్చకు మరింత స్పష్టమైన రూపాన్ని ఇస్తుంది.

ఆ సంఖ్య నిజమైన, అర్థవంతమైన భద్రతా లోపాలను ప్రతిబింబిస్తే, అధునాతన AI ఇప్పుడు software assurance యొక్క ఆర్థిక వ్యవస్థను మార్చడం ప్రారంభించినట్టే. దీని అర్థం రక్షకులు నిర్ణయాత్మకంగా గెలిచారని కాదు, హోలీ వాదించినట్లుగా. కానీ machine speedలో code మీద reasoning చేసే సామర్థ్యం ఇక భవిష్యత్తు అవకాశం కాదు, ఒక ప్రాయోగిక భద్రతా అంశంగా మారుతున్న కొత్త దశలో పోటీ ప్రవేశించిందని ఇది సూచిస్తోంది.

తర్వాత ప్రశ్న AI vulnerability research‌లో ప్రాముఖ్యముందా అనేది కాదు. మిగతా సాఫ్ట్‌వేర్ పరిశ్రమ, అది ఇప్పటికే ఉన్న ప్రపంచానికి ఎంత వేగంగా తగులుకుంటుంది అన్నదే.

ఈ వ్యాసం Ars Technica నివేదిక ఆధారంగా ఉంది. మూల వ్యాసాన్ని చదవండి.