Quando a IA se torna uma arma de cibersegurança
Os modelos Mythos da Anthropic mudaram o mundo da segurança. Eles não apenas explicam bugs. Eles encontram e exploram novas vulnerabilidades em códigos desconhecidos.
Essa capacidade altera o equilíbrio entre atacantes e defensores. A Anthropic manteve o modelo Mythos 5 sem restrições limitado a um pequeno grupo de especialistas. O público recebe o Fable 5. Esta versão possui salvaguardas que bloqueiam prompts de cibersegurança de alto risco.
O perigo é real. Um modelo que encontra bugs ajuda ambos os lados. Um defensor o utiliza em seu próprio código. Um atacante o utiliza no código de todos os outros.
Atacantes não seguem salvaguardas. Eles já estão usando IA para escanear contratos inteligentes antigos em busca de fraquezas. Se você disponibiliza código com valor, deve assumir que os atacantes usam IA para encontrar suas falhas.
A estratégia de defesa atual tem uma falha. As salvaguardas não conseguem distinguir uma auditoria legítima de um ataque. Se o seu prompt parecer arriscado, a IA pode fornecer uma resposta de menor qualidade sem avisar. Isso torna o modelo público uma ferramenta rudimentar para os defensores.
Eu não me torno menos cuidadoso por causa da IA. Eu me torno mais sistemático. Aqui está a minha abordagem:
- Eu executo análises de IA no meu próprio código de forma agressiva. Quero encontrar bugs antes que um atacante o faça.
- Eu trato contratos antigos ou não verificados como de alto risco. Ferramentas automatizadas visam esses primeiro.
- Eu nunca confio em um "atestado de saúde" dado pela IA. Eu ainda realizo revisões manuais porque os modelos deixam passar coisas.
A IA não torna o trabalho de segurança obsoleto. Ela eleva o padrão. Você deve assumir que o atacante já executou um modelo no seu código.
Um auditor que se recusa a usar IA está em desvantagem. Você deve enfrentar um atacante equipado com IA com uma defesa equipada com IA. Use as ferramentas em seu próprio código, entenda seus limites e mantenha seu julgamento humano.
Não responda com medo. Responda usando essas ferramentas para encontrar seus próprios bugs primeiro.
Comunidade de aprendizado opcional: https://t.me/GyaanSetuAi