Cercetătorii de la firma de securitate cibernetică Calif au folosit tehnici derivate din modelul AI Claude Mythos Preview al Anthropic pentru a descoperi un exploit de escaladare a privilegiilor în macOS, prin combinarea a două vulnerabilități existente, potrivit unui raport publicat miercuri de The Wall Street Journal. Apple a declarat că analizează un raport de 55 de pagini privind descoperirile.
Cum funcționează exploit-ul
Firma de securitate cu sediul în Palo Alto a declarat că echipa sa a combinat două vulnerabilități macOS cu mai multe tehnici de manipulare a memoriei pentru a accesa secțiuni restricționate ale sistemului de operare. Conform unui rezumat al raportului, Calif a menționat că Claude a contribuit la construirea codului de exploatare în cinci zile, deși cercetătorii umani au fost totuși necesari pentru ca lanțul de atac să funcționeze.
Descoperirea vine în contextul inițiativei mai ample a Calif, numită „MAD Bugs” — prescurtare de la Month of AI-Discovered Bugs (Luna bug-urilor descoperite de IA) —, în cadrul căreia firma combină modele AI de ultimă generație cu expertiza umană pentru a identifica vulnerabilități software. Calif a folosit anterior Claude pentru a analiza și reproduce în mod autonom bug-uri din kernel-ul Apple, pentru a efectua inginerie inversă a patch-urilor și pentru a construi exploit-uri de tip proof-of-concept cu intervenție umană minimă.
Actualizările de securitate Apple din mai 2026, lansate luni, au creditat deja „Calif în colaborare cu Claude și Anthropic Research” pentru descoperirea CVE-2026-28952, o vulnerabilitate de tip integer overflow în kernel — unul dintre cele mai clare exemple publice de descoperire a vulnerabilităților de kernel asistată de IA, integrată în fluxurile de lucru de securitate defensivă din domeniu.
Proiectul Glasswing al Anthropic
Descoperirea este strâns legată de inițiativa Project Glasswing a Anthropic, anunțată pe 7 aprilie, care oferă mai mult de 40 de companii tehnologice — printre care Apple, Amazon, Microsoft, Google și CrowdStrike — acces la Claude Mythos Preview pentru cercetare defensivă în domeniul securității cibernetice. Anthropic s-a angajat să aloce până la 100 de milioane de dolari în credite de utilizare pentru program și a refuzat să lanseze modelul public, invocând capacitatea acestuia de a descoperi și exploata în mod autonom vulnerabilități de tip zero-day la o scară pe care niciun model AI anterior nu a demonstrat-o.
În evaluări independente realizate de Institutul de Securitate AI din Regatul Unit, Mythos a reușit să rezolve 73 la sută dintre provocările de securitate cibernetică de nivel expert și a finalizat de la un capăt la altul o simulare de atac asupra unei rețele corporative în 32 de pași. Modelul a identificat deja mii de vulnerabilități de severitate ridicată, inclusiv un bug vechi de 27 de ani din OpenBSD și o eroare de execuție de cod de la distanță veche de 17 ani din FreeBSD.
O fereastră care se îngustează
Exploitul macOS subliniază o tensiune tot mai accentuată în domeniul securității cibernetice: aceleași capabilități AI care îi ajută pe apărători să descopere vulnerabilități comprimă și intervalul de timp dintre lansarea unui patch și crearea unui exploit funcțional. Munca anterioară a lui Calif a demonstrat că Claude poate porni de la un singur rând dintr-un buletin de securitate Apple și ajunge la un kernel panic confirmat în câteva ore. Dario Amodei, directorul executiv al Anthropic, a avertizat că modelele AI chinezești s-ar putea afla la doar șase până la douăsprezece luni în urma lui Mythos, stabilind implicit un termen-limită pentru remedierea zecilor de mii de vulnerabilități pe care modelul le-a identificat.
Surse:
https://blog.calif.io/p/mad-bugs-an-apple-kernel-bug-brought