La Agencia de Seguridad e Infraestructura de Ciberseguridad de EE. UU. (CISA) está implementando Mythos, un modelo avanzado de IA de Anthropic, para auditar los repositorios de código del gobierno federal. Esta iniciativa, llevada a cabo por el equipo de Evaluación de la Superficie de Ataque de CISA, busca escanear sistemas de software internos para descubrir vulnerabilidades de seguridad de manera proactiva.

Se informa que la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) está desplegando Mythos, el modelo avanzado de IA de Anthropic, para auditar los repositorios de código del gobierno federal, lo que indica una creciente dependencia de la inteligencia artificial para el descubrimiento proactivo de vulnerabilidades.

Según Reuters, en esta iniciativa, el equipo de Evaluación de la Superficie de Ataque de la CISA está utilizando Mythos para escanear sistemas de software internos en busca de fallos de seguridad que actores de amenazas, incluidos servicios de inteligencia extranjeros y grupos cibercriminales, podrían explotar.

El equipo, conocido por realizar pruebas de penetración y evaluaciones de seguridad en toda la infraestructura federal, está aprovechando la capacidad del modelo para identificar errores de codificación complejos y posibles rutas de ataque a gran escala.

Los primeros hallazgos sugieren que las auditorías asistidas por IA ya han descubierto un número significativo de vulnerabilidades. Sin embargo, los detalles específicos sobre los sistemas afectados o los niveles de gravedad siguen sin divulgarse.

Reuters afirmó que no está claro qué tan extenso es el escaneo o cuánto código gubernamental ha sido analizado, pero el movimiento señala el creciente uso de la IA para la validación de seguridad automatizada.

La Agencia Cibernética de EE. UU. utiliza Mythos de Anthropic

Mythos, desarrollado por la firma de IA Anthropic, ha sido descrito como altamente eficaz para identificar y explotar vulnerabilidades de software, lo que lo hace particularmente valioso para las pruebas de seguridad ofensiva y los ejercicios de red teaming.

Su adopción por parte de la CISA se produce a pesar de las recientes tensiones de Anthropic con el gobierno de EE. UU., que anteriormente calificó a la empresa como un riesgo para la cadena de suministro después de que esta se negara a eliminar las salvaguardias que evitan el mal uso de sus modelos para la vigilancia o armas autónomas.

Un juez federal bloqueó posteriormente esa designación, y las relaciones entre Anthropic y las agencias gubernamentales parecen haber mejorado.

Los informes indican que la Agencia de Seguridad Nacional (NSA) también ha estado experimentando con Mythos en entornos clasificados desde al menos abril, y se dice que los analistas están impresionados por su rendimiento en los escenarios de descubrimiento y explotación de vulnerabilidades.

El despliegue más amplio de Mythos sigue al lanzamiento controlado de una versión pública, Fable, que incluye restricciones de seguridad adicionales y capacidades de ciberseguridad limitadas.

Sin embargo, el escrutinio regulatorio se intensificó cuando el gobierno de EE. UU. restringió brevemente el acceso extranjero al modelo, citando preocupaciones de seguridad nacional.

Esos controles de exportación fueron levantados hace poco, resaltando los desafíos políticos continuos que rodean a los sistemas de IA potentes. El uso de herramientas impulsadas por IA como Mythos representa una evolución significativa en la forma en que los gobiernos abordan la seguridad del software.

Las auditorías de código tradicionales suelen requerir mucho tiempo y recursos. Sin embargo, los modelos de IA pueden analizar bases de código vastas rápidamente, señalando fallos lógicos sutiles o configuraciones inseguras que, de otro modo, podrían pasar desapercibidas.

Por ejemplo, un sistema de IA como Mythos puede rastrear automáticamente los flujos de datos a través de múltiples servicios para identificar puntos de inyección o rutas de escalada de privilegios, tareas que normalmente requerirían una revisión manual exhaustiva por parte de ingenieros de seguridad.

A medida que las ciberamenazas continúan creciendo en sofisticación, la integración de la IA en los flujos de trabajo de gestión de vulnerabilidades puede convertirse en una práctica estándar tanto en el sector público como en el privado.

Sin embargo, el despliegue de herramientas tan potentes también plantea preguntas sobre la supervisión, el mal uso y el equilibrio entre la innovación en seguridad y el control de políticas.

Fuentes:
https://cybersecuritynews.com/u-s-cyber-defense-agency-using-anthropics-mythos/