Сканер кода Claude Security переходит на Mythos 5

Anthropic в пятницу подключила закрытую модель Mythos 5 к сканеру уязвимостей Claude Security и объявила фонд Defender Advantage Fund (0xDAF) на 35 миллионов долларов кредитами. О запуске сообщает The New Stack.

Коротко

• Прямого доступа к модели пользователи не получают: Claude Security возвращает только результаты сканирования репозитория и предложенные исправления, а сама Mythos 5 работает внутри инструментов и обвязки Anthropic.
• Функция работает в режиме публичной беты: включает её администратор Claude Enterprise, а токены Mythos 5 тарифицируются по 10 долларов за миллион входных и 50 за миллион выходных.
• До сих пор Mythos 5 оставалась примерно у 150 партнёров программы Project Glasswing, а публичной версией той же модели была Fable 5 с жёсткими ограничениями, выпущенная в июне.

Схема с выдачей одних лишь результатов снимает часть риска, но упирается в определение собственного кода. Современные репозитории почти всегда содержат чужие открытые библиотеки, и разработчик, склонировавший широко распространённую библиотеку в корпоративный репозиторий, получит на выходе ровно те находки, которые интересны атакующему: такая уязвимость существует везде, куда эта библиотека поставляется. Насколько ограничения Anthropic выдержат этот сценарий, вероятно, станет понятно уже по ходу беты.

Публичного релиза Mythos 5 не было, в июне вышла Fable 5 с жёсткими ограничениями

Mythos 5 показала слишком высокие результаты в задачах из зон высокого риска, и Anthropic отказалась от публичного релиза. Вместо этого в июне вышла Fable 5, та же модель с жёсткими ограничениями. Сама Mythos 5 оставалась доступна примерно 150 партнёрам программы Project Glasswing.

Отдельным сюжетом стал запрет Fable 5 со стороны американского правительства и последующая отмена этого запрета. Сам сканер Anthropic запустила ранее в этом году: корпоративный Claude Security проверяет кодовые базы команд на уязвимости и предлагает исправления для найденных проблем. До пятницы Claude Security работала без Mythos 5.

В анонсе Anthropic объясняет решение так: самый рискованный сценарий возникает при прямом доступе пользователя к модели, когда злоумышленник может направить её на вредоносные задачи. Если пользователь получает только конкретный результат, например патч для уязвимости или предупреждение системы безопасности, риск заметно ниже, и объявленные изменения расширяют доступ к защитным результатам, сохраняя ограничения на прямой доступ к модели.

В Claude Security разработчики получают находки и патчи, но не доступ к самой Mythos 5

Mythos 5 доступна в публичной бете всем пользователям Claude Enterprise, которые работают с Claude Security. Администратор включает режим для своей организации, после чего разработчики и команды безопасности сканируют репозитории с Mythos 5 в роли основного движка и получают предложения по исправлению найденных проблем.

Токены Mythos 5 тарифицируются отдельно: 10 долларов за миллион входных и 50 долларов за миллион выходных. Anthropic подчёркивает, что Claude Security применяет Mythos 5 для сканирования кода, которым владеет сам заказчик, а модель работает внутри собственных инструментов и обвязок Anthropic, а не на стороне клиента.

Anthropic добавляет, что у неё и у её партнёров действуют меры против злоупотреблений, которые проверяют, что модель остаётся в рамках заявленного применения. Прямой доступ к самой Mythos 5 при этом остаётся закрытым: наружу выходят только результаты сканирования и предложенные патчи.

Фонд 0xDAF направит 35 миллионов долларов кредитами на открытый код

Вместе с обновлением сканера Anthropic объявила Defender Advantage Fund, сокращённо 0xDAF. Фонд направит 35 миллионов долларов кредитами на поиск и устранение уязвимостей в открытом программном обеспечении, от которого зависят корпоративные кодовые базы. Параллельно Anthropic работает с другими компаниями рынка кибербезопасности, чтобы те встроили Mythos 5 в свои продукты.

Ранее Anthropic запустила Cyber Verification Program: проверенные защитники ведут в ней работу двойного назначения на моделях Opus и Sonnet, сталкиваясь с меньшим числом блокировок со стороны модели. По словам Anthropic, эти организации в ближайшее время получат защищённый доступ и к Claude Mythos, то есть к той же модели, что теперь стоит за Claude Security.

Сроки выхода из беты

Когда Mythos 5 в Claude Security выйдет из публичной беты, Anthropic не сообщает, как и то, появится ли доступ за пределами Claude Enterprise. Для организаций из Cyber Verification Program защищённый доступ к Mythos обещан без конкретной даты, а порядок распределения 35 миллионов долларов кредитов фонда 0xDAF в анонсе не расписан.