Хаалттай хаалга нээгдэв: Anthropic кибер аюулгүй байдлын "Cyber Verification Program"-аа өргөтгөж, Claude Mythos-ийн хяналтыг суллалаа

Кибер хамгаалалтын хоёр талт хутга ба хаалттай хаалга

Хэрэв та мэдээллийн аюулгүй байдлын чиглэлээр ажилладаг эсвэл систем дээрээ пентест (penetration testing) хийхээр LLM ашиглаж үзсэн бол нэгэн том саадтай тулгарч байсан нь гарцаагүй: загварын аюулгүй байдлын хамгаалалт буюу guardrails. Аюулгүй байдлын инженер эмзэг байдлын exploit хэлхээг шинжлэх, хортой кодод (malware) reverse engineering хийх эсвэл бодит халдлагын симуляци бэлтгэхэд загварууд ихэвчлэн "I cannot assist with that request" гэсэн хариулт өгч, бүх үйлдлийг шууд блоколдог.

Anthropic-ийн өөрсдийнх нь хийсэн туршилтаар хамгийн сүүлийн үеийн Claude Opus 5.5 загвар нь ердийн горимдоо кибер аюулгүй байдлын давхар зориулалттай (dual-use) 50 даалгаврын 100 хувьд нь эхний prompt дээрээ шууд хаалт тавьж татгалзсан байна.

Гэвч бодит байдал дээр халдагчид хэдийнэ задгай жинтэй (open-weight) загварууд болон jailbreak аргуудыг ашиглан автоматжуулсан халдлагууд хийж байхад, хамгаалагч талын инженерүүд "гар хүлээстэй" хоцрох эрсдэл үүсээд байв. Үүний хариуд Anthropic кибер аюулгүй байдлын мэргэжилтнүүд болон байгууллагуудад зориулсан Cyber Verification Program (CVP)-аа өргөтгөж, шалгарсан хэрэглэгчдэд загварынхаа хаалтыг мэдэгдэхүйц суллах 3 шатлалт шинэ системийг албан ёсоор зарлалаа.

Project Glasswing-ээс CVP хүртэл: 100,000 эмзэг байдлыг илрүүлсэн нь

Энэхүү шинэчлэлийн үндэс нь энэ оны эхээр хаалттай зарлагдсан Project Glasswing санаачилгаас эхтэй. Anthropic тус төслийн хүрээнд Google, AWS, Microsoft, Apple, Broadcom, Linux Foundation зэрэг салбарын гигант компаниудтай хамтран, олон нийтэд цацаагүй байсан нууцлаг Claude Mythos Preview загвараа зөвхөн чухал дэд бүтцийн кодын санг хамгаалах зорилгоор туршиж байв.

Үр дүн нь гайхалтай бас түгшүүртэй байв. Жишээлбэл, Claude Mythos дангаараа сарын дотор л гэхэд Mozilla Firefox-оос өмнө нь хэнд ч мэдэгдээгүй байсан 271 цоорхойг илрүүлсэн бол тус төслийн хугацаанд томоохон үйлдлийн системүүд болон нээлттэй эхийн сангуудаас нийт 100,000 гаруй ноцтой эмзэг байдлыг олж засварлахад тусалжээ.

Claude Mythos зэрэг дараагийн үеийн кодын чадамжтай загварууд нь хүний хамгийн өндөр ур чадвартай хакеруудаас ч илүү хурдтайгаар кодын цоорхойг олох, эсрэгээрээ тэдгээрийг ашиглах (exploit хийх) түвшинд хүрсэн тул Anthropic одоо тус чадамжийг илүү олон инженер, хамгаалалтын багуудад зориулан албан ёсны 3 түвшинтэй CVP болгон нэгтгэлээ.

Шинэчлэгдсэн 3 түвшний (Access Tiers) бүтэц

Шинэчилсэн Cyber Verification Program нь хөгжүүлэгчид болон байгууллагуудын үйл ажиллагааны цар хүрээнээс хамааран дараах 3 түвшнээр хандалт олгоно:

1. Defense Access (Хамгаалалтын түвшин)

Зорилтот бүлэг: Компаниудын SOC багууд, incident response шинжээчид, хортой код шинжлэгчид, их сургуулиуд, нээлттэй эхийн maintainer-ууд болон хувийн судалгаа хийдэг бие даасан аюулгүй байдлын судлаачид.
Чадвар: Хортой кодод reverse engineering хийх, халдлагын дараах ул мөрийг шинжлэх (forensics), илэрсэн сул талуудыг баталгаажуулах, засварлах код (patch) үүсгэх.
Хүсэлтийн шийдвэрлэлт: Хэдхэн өдрийн дотор шалгагдаж эрх нээгдэнэ.

2. Red Team Access (Халдлагын симуляцийн түвшин)

Зорилтот бүлэг: Зөвхөн баталгаажсан кибер аюулгүй байдлын компаниуд, пентест хийх албан ёсны зөвшөөрөлтэй red team багууд.
Чадвар: Зөвшөөрөгдсөн системүүд дээр жинхэнэ халдлагын векторуудыг загварчлах, exploit хувилбарууд боловсруулах.
Үр дүн: Anthropic-ийн туршилтаар өмнө нь 0 хувийн амжилттай байсан 50 даалгавраас Claude Opus 5.5 энэ түвшинд 34-ийг нь амжилттай гүйцэтгэж чаджээ. Хэдий хаалтыг сулласан ч ransomware бичих эсвэл физик дэд бүтцийг унагах зэрэг хор хөнөөлтэй хүсэлтүүдийг бодит цагт шууд блоклоно.

3. Specialized Access (Онцгой хамгаалалтын түвшин)

Зорилтот бүлэг: Эрчим хүчний сүлжээ, нислэгийн удирдлагын систем, төрийн чухал дэд бүтэц зэрэг эгзэгтэй системүүдийг хариуцдаг маш цөөн тооны магадлан итгэмжлэгдсэн байгууллагууд (Project Glasswing-ийн гишүүд энд шилжинэ).
Чадвар: Системийн хязгаарлалтуудыг хамгийн бага түвшинд хүргэж, тусгай зориулалтын Claude Mythos 5.1 загварт шууд хандах эрхтэй.

Хөгжүүлэгчид болон DevSecOps багуудад энэ нь юу гэсэн үг вэ?

Энэхүү алхам нь зөвхөн "хакерууд"-ын тухай биш, харин нийт программ хангамж хөгжүүлэлтийн экосистемд том дохио өгч байна:

Автоматжуулсан кодын аудит шинэ шатанд гарна: Эх код доторх memory corruption, logic bug, тайлагдашгүй dependency-ийн асуудлуудыг загварууд сая сая мөр кодоос секундийн дотор илрүүлэх боломж бодитоор нээгдэж байна.
Agentic Pentesting эрин үе: CI/CD pipeline дээр зөвхөн статик анализер (SAST) ажиллуулах биш, харин Claude-д суурилсан автоном агентууд шинээр гарсан deployment бүрийг бодит халдлага мэт шалгадаг хөгжүүлэлтийн процесс жишиг болох эхлэл тавигдлаа.
Хамгаалагчдын хурд халдагчдынхаас давж эхэлнэ: Project Glasswing-ийн үр дүн харуулснаар, AI загваруудын хязгаарлалтыг зохих журмаар чөлөөлөх нь сая сая хөгжүүлэгчдийн ашигладаг нээлттэй эхийн төслүүдийг олон нийтэд 0-day дэлгэгдэхээс өмнө нөхөх (patch) боломжийг олгож байна.

Anthropic-ийн энэхүү шийдвэр нь хамгийн чадварлаг AI загваруудыг хатуу цоожтой хайрцагт нуухын оронд баталгаажуулсан инженерүүдийн гарт өгөх нь кибер орон зайг хамгаалах цорын ганц практик гарц гэдгийг харуулж байна. Хэрэв танай баг мэдээллийн аюулгүй байдал, эмзэг байдлын судалгаа чиглэлээр ажилладаг бол Anthropic-ийн verification порталаар дамжуулан хүсэлтээ илгээх боломжтой болжээ.

Эх сурвалж: Anthropic: Cyber Verification Program Announcement, CNA: Anthropic opens its most powerful AI models to more security teams, CellCog: Anthropic Cyber Verification Program Tiers and Access