След няколко дни, съвместен експеримент между Антропик и Мозила Това преобърна традиционния начин за намиране на грешки в големи софтуерни проекти. Използване на модела Клод Опус 4.6Компанията с изкуствен интелект успя да локализира 22 уязвимости на Firefox само за две седмици, браузър, който се използва ежедневно от милиони хора в Европа и Испания и се смята за един от еталоните на отворения код.
Далеч от това да е обикновен анекдот, случаят показва до каква степен Изкуственият интелект може да се превърне в инструмент за одит на сигурността с реално въздействие: от тези 22 уязвимости, 14 бяха категоризирани от Mozilla като високосериозни и те вече са коригирани в Firefox 148, версията, която в момента се разпространява сред потребители в ЕС и останалата част от света.
Изкуствен интелект като одитор по сигурността: какво се промени с Claude Opus 4.6
Както и двете организации подробно посочиха, Тестовете бяха проведени в продължение на около две седмици интензивна работа, в който Клод се посвети на прегледа на различни части от кода на Firefox. Браузърът, управляван от Mozilla И със силно присъствие в европейските страни, загрижени за поверителността и отворените стандарти, той беше избран именно защото се счита за... един от най-анализираните и стабилни проекти с отворен код в екосистемата.
Моделът на Anthropic се сблъска с предизвикателство, което обикновено се пада на елитни човешки екипи: преглед хиляди кодови файлове, включително близо 6.000 C++ файла, в търсене на аномални поведения. Резултатът беше серия от 112 уникални доклада, изпратени до системата за проследяване на грешки на Mozilla, включително 22-те недостатъка, които в крайна сметка бяха регистрирани като уязвимости в сигурността със съответния им CVE идентификатор.
За да поставят тези цифри в контекст, инженерите на Mozilla отбелязаха, че През цялата 2025 г. те са отстранили 73 уязвимости с висока степен на сериозност или критични уязвимости.С други думи, след няколко седмици Клод помогна да се открият приблизително една пета от сериозните недостатъци, които обикновено се появяват в рамките на цяла година.Това дава доста ясна представа за скока в скоростта, който изкуственият интелект може да донесе в областта на киберсигурността.
В допълнение към проблемите със сигурността, системата на Anthropic идентифицира почти 90 допълнителни, по-малко значими грешкиТе включваха логически или твърдетелни грешки, които повлияха на стабилността на браузъра и потребителското изживяване. Макар и да не са критични, тези открития също помогнаха за подобряване на цялостната производителност на Firefox.
Един от ключовете за успеха беше начинът, по който се обработваха данните: Anthropic започна с опит за възпроизвеждане на исторически уязвимости на Firefox. да проверят дали Клод е способен да разпознава реални модели на документирани неуспехи. Оттам екипът премина към наистина интересната част: да го помоли да открие Нови грешки в текущата версия на браузъра, което никога преди не е било съобщавано.
Как Клод откри първия бъг само за 20 минути
Началото на експеримента остави повече от един човек от техническите екипи безмълвен. Само двадесет минути след стартиране на анализа на JavaScript двигателя на FirefoxClaude Opus 4.6 сигнализира за това, което изглеждаше като сериозна уязвимост. След съответните проверки, изследователите потвърдиха, че наистина е... Използване на грешка тип „след свободен“, вид грешка в паметта, която, ако бъде използвана правилно, може да позволи на атакуващ да инжектира злонамерен код или да повреди вътрешните данни на браузъра.
За да проверят констатацията, специалистите по антропология проведоха тестовия случай върху виртуална машина с най-новата версия на FirefoxСлед възпроизвеждане на аномалното поведение, проблемът беше внимателно документиран и отнесен до Bugzilla, официалната система за проследяване на грешки на Mozilla, заедно с предложение за корекция, генерирано от самия модел и прегледано от човешки инженери.
Най-поразителното е, че докато детайлите на този първи доклад се финализираха, Клод вече беше засекал около петдесет допълнителни записи с подозрително поведениеТози обем открития за толкова кратко време би бил практически непостижим за човешки екип, работещ самостоятелно, което обяснява защо сътрудничеството привлече толкова голямо внимание в общността по сигурността.
От страна на Mozilla, служители по сигурността посочиха, че Докладите пристигнаха, придружени от минимално количество, правилно изолирани тестови случаи.С други думи, много малки фрагменти от код, които позволяват грешката да бъде задействана директно. Този начин на работа радикално намалява времето, необходимо на инженерите да валидират всяка грешка, фаза, която често се забавя, когато отчетите са неточни или трудни за възпроизвеждане.
С течение на времето обхватът на анализа се разшири от JavaScript енджина до други части от кодовата база на браузъраПоддържане на същата стратегия: локализиране на потенциално опасни модели, генериране на специфичен тестов случай и проверка дали действително е съществувало въздействие върху сигурността. От повече от сто проблема, идентифицирани от Клод, Mozilla потвърди 22 уязвимости в сигурността, 14 от които с висока степен на сериозност., които бяха събрани като CVE в тяхната публична база данни.
Отговорът на Mozilla: режим за реагиране при инциденти и корекции във Firefox 148
След получаване на набора от доклади от Anthropic, Mozilla активира протокол за реагиране при инциденти да класифицират и коригират грешките възможно най-бързо. Екипите по сигурност и разработка започнаха процес на сортиране, за да разделят уязвимости с висока степен на сериозност, умерени проблеми и незначителни грешкивинаги като се отчита потенциалното въздействие върху стотици милиони потребители в Европа и останалата част от света.
Инженерите на фондацията подчертаха, че Техническото качество на докладите направи разликатаВсяка уязвимост беше придружена от ясно доказателство за концепцията, подробна документация и в много случаи дори кандидат-пачове, генерирани от самия изкуствен интелектТова позволи голяма част от корекциите да бъдат подготвени за няколко дни и интегрирани в цикъла на пускане на пазара навреме. Firefox 148.0, публикувана в края на февруари.
Засегнатите уязвимости различни вътрешни компоненти на браузъраОт управлението на паметта и ограниченията за достъп до вътрешните контроли за сигурност, Mozilla е засилила няколко нива на защита за потребителите, когато посещават потенциално злонамерени уебсайтове или зареждат съдържание на трети страни. Това е особено важно в Европейския съюз, където разпоредбите за защита на данните и киберсигурността стават все по-строги.
Организацията потвърди, че Всички уязвимости в сигурността, открити от Клод, са отстранени във Firefox 148.и че останалите дребни грешки ще бъдат отстранени в по-късни версии. За потребителите това означава, че всичко, което трябва да направите, е поддържайте браузъра си актуализиран да се възползват от подобренията, въведени в резултат на това сътрудничество.
Освен цифрите, Mozilla подчерта, че случаят е послужил и за коригиране на вътрешните процедури: Интегрирането на анализи, подпомогнати от изкуствен интелект, ще стане част от тяхната стратегия за сигурност.винаги под човешки надзор и в рамките на отговорни процеси за разкриване на уязвимости.
Може ли изкуственият интелект не само да открива, но и да използва уязвимости?
След като преодоляха фазата на откриване, Anthropic искаха да разберат Докъде могат да стигнат моделите с изкуствен интелект в офанзивни задачи за киберсигурностС други думи: ако Клод е успял да локализира уязвимости, може ли да ги превърне и в работещи експлойти, имитиращи поведението на истински нападател?
За да отговори на този въпрос, екипът взе няколко уязвимости, вече валидирани от Mozilla, и поиска от модела да разработи експлоатационни тестове, способни да четат и записват локални файлове В обективна система, типично действие на успешен ангажимент. Експериментът не беше евтин: Извършени са няколкостотин екзекуции и са похарчени приблизително 4.000 долара за API кредити..
Резултатите обаче смекчиха първоначалния ентусиазъм. Въпреки че Клод показа умение да разбира контекста на уязвимостите, Успя да генерира работещи експлойти само в два конкретни случая.И дори тогава, при много контролирани условия. Атаките Те работеха само в тестови среди с деактивирани мерки за сигурност., като например пясъчникът и други втвърдяващи слоеве, които Firefox използва в реални инсталации.
Mozilla напомни на всички, че Компрометирането на съвременен браузър обикновено изисква свързване на няколко уязвимости. и заобикаляне на различни бариери за сигурност. Самото откриване на конкретен бъг, дори такъв, който се счита за много сериозен, не е достатъчно, за да се поеме контрол над системата. Този момент е особено важен за тези, които се страхуват, че изкуственият интелект автоматично ще превърне всеки недостатък в готова за употреба атака.
Антропик, от своя страна, зае предпазлива позиция: Сегашният изкуствен интелект очевидно е по-добър в откриването на грешки, отколкото в тяхното използване.И цената за разработване на работещ експлойт остава много по-висока от тази за откриване на уязвимост. Въпреки това, компанията призна, че самият факт, че моделът е успял да създаде прости експлойти, вече е причина за безпокойство и че е препоръчително да се предвидят потенциални злонамерени употреби чрез засилване на защитите възможно най-скоро.
Ролята на отворения код и неговото въздействие в Европа
Случаят с Firefox илюстрира добре как Софтуерът с отворен код играе ключова роля в дигиталната инфраструктура използвани от европейските граждани. Браузъри като Firefox не само позволяват достъп до мрежата, но и служат като платформа за онлайн обществени услуги, банкиране, електронно управление и бизнес инструменти, които функционират съгласно регулаторните рамки на ЕС, като например Регламента за киберустойчивост или GDPR.
Че един модел с изкуствен интелект е успял да открие значителни недостатъци в такъв щателно проверен проект Това показва, че винаги има празнини за запълване, дори когато на пръв поглед „хиляди очи са насочени към нас“. За много общности за свободен софтуер, включително тези с присъствие в Испания и други европейски страни, възможността за включване на инструменти като Claude може да означава значително подобрение в ранното откриване на грешкиособено в проекти с ограничени ресурси.
Това обаче не са само автоматични предимства. През последните години няколко проекта с отворен код се оплакаха от вълни от генерирани от изкуствен интелект доклади с висок процент фалшиви положителни резултатикоито отнемат време и не добавят реална стойност. Разликата в работата на Anthropic беше в методологията: те приоритизираха изпращането добре обосновани доклади, с минимални тестови случаи и кандидат-пачове, вместо да заливат Mozilla с общи предупреждения.
Този подход е в съответствие с начина, по който ЕС се опитва да регулира изкуствения интелект: насърчаване на употреби, които осигуряват ясни ползи — като например подобряване на сигурността на критична инфраструктура — като същевременно се наблюдава потенциалното използване на тези инструменти за обидни или злоупотребяващи дейности. Въпреки че сътрудничеството беше глобално, европейските потребители на Firefox се възползваха директно от внедряването на тези корекции във версия 148 на браузъра.
Междувременно, Anthropic посочи, че иска да продължи да работи по съответните проекти в рамките на екосистемата с отворен кодвключително ключови компоненти като ядрото на Linux. За европейския технологичен сектор, където много компании и публични администрации разчитат на решения с отворен код, тази линия на работа отваря вратата към по-задълбочени и по-достъпни одити на сигурността, отколкото е било възможно преди.
Какво извличат екипите за продукти и сигурност от всичко това?
Това, което се случи с Firefox, не е от интерес само за технологичните гиганти или големите Linux дистрибуции. То предлага и няколко практически урока за... екипи за разработка в Испания и Европа които изграждат дигитални услуги, уеб приложения или SaaS решения с огромен обхват.
Първият е съвсем прост: Цената на първоначален одит, подпомогнат от изкуствен интелект, е спаднала драстично.Това, което преди изискваше седмици работа от екип от специалисти, сега може да бъде претърпяно първоначално автоматизирано почистване на част от цената, стига да е допълнено от човешка проверка. При проекти, подготвящи се за сертифициране за безопасност или за спазване на европейските разпоредби, това може да е от решаващо значение.
Вторият е свързан с вътрешните процеси: Скоростта на откриване започва да надминава човешкия капацитет за корекция.Ако инструмент като Claude е способен да генерира десетки отчети само за няколко дни, ключът вече не е в намирането на грешки, а в наличието на гъвкави механизми за приоритизирането им и поправянето им, без да се блокира разработването на продукта.
Трето, опитът с Mozilla показва, че Не е достатъчно да се свърже изкуствен интелект с хранилището и да се приемат всички негови пачовеОт съществено значение е да има това, което Anthropic нарича „проверяващи задачи“: автоматизирани тестове, които потвърждават, че уязвимостта е премахната и че промяната не нарушава работата на други части на системата. Без този слой рискът от въвеждане на регресии се увеличава значително.
И накрая, важно е да не се губи от поглед офанзивното измерение. Въпреки че, както стоят нещата днес Моделите с изкуствен интелект са по-добри в намирането на грешки, отколкото в тяхното използване.Тази разлика може да се стесни през следващите години. За европейските компании и публичните администрации, изпреварването на този сценарий означава интегриране на тези инструменти в защитата им, преди по-малко съвестните нападатели да вземат превес.
Като цяло, сътрудничеството между Anthropic и Mozilla с Клод Опус 4.6 като главен герой Това рисува картина, в която изкуственият интелект се консолидира като нов тип одитор по сигурността: способен да прегледа за дни това, което преди отнемаше месеци, да открие сериозни уязвимости в проекти, утвърдени като Firefox, и да подтикне екипите за разработка – също в Испания и останалата част от Европа – да модернизират своите процеси за защита и реагиране на критични повреди.
