Anthropic Siber Misyonunun Tanıtılması

Bugün Anthropic Siber Misyonunu başlatıyoruz—herkesin bağlı olduğu sistemleri güvence altına almaya yönelik uzun vadeli bir taahhüt. Siber Misyon, yazılım ve sistemleri güvenleştirmek için araçlar, araştırma ve kaynaklar sunarak savunmacıları desteklemek için yeni bir girişim. İki alanla başlıyoruz:

• Kritik altyapı: Elektrik şebekeleri, su sistemleri ve ulaştırma ağlarının arkasındaki operasyonel teknoloji ve hükümet sistemlerini güvenleştirmekle başlıyoruz. Bugün, operasyonel teknolojiyi koruyan savunmacıların yanına frontier modellerini, sahada mühendislerini ve tehdit araştırmasını getiren Critical Infrastructure Defense Program (CIDP) tanıtıyoruz.
• Açık kaynak yazılım: Çoğu yazılımın bağlı olduğu ücretsiz, paylaşılan koddaki açıklıkları bulma, yamaları önerme ve temel kodu güçlendirme. Bugün, açık kaynak projelerine en güçlü modellerimizden düzenli güvenlik taraması sunan OSS Scanner'ı başlatıyoruz—ücretsiz.

Frontier modellerini açıklıkları istismar etmek ve siber operasyonlar yürütmek için kötüye kullanılabilir. En iyi çabalara rağmen, teknolojinin pek çok alanı tehlikeli bir şekilde açıkta kalıyor. Devlet destekli rakipler bu sistemlerde, birçok sektör genelinde, onları kesintiye uğratabilmeleri için yıllarını geçirerek pozisyon almışlar. Kritik altyapı savunmacıları ve OSS topluluğu onlarca yıllık güvenlik deneyimine sahip ancak bu dönemde daha da ağırlaşan ciddi kaynak yetersizliği sorunuyla karşılaşmışlar. Biz bu alanlardaki uzmanlıklarını tanıyıyor ve desteğimizi sunuyoruz. Ayrıca Siber Misyonunuzu genişleterek dünyayı güvenleştirmeye yardımcı olacak yeni alanlarda araçlar, araştırma ve kaynaklar yayınlayacağız.

Project Glasswing kapsamında ortaklar birçok açıklığı ortaya çıkardılar, ancak henüz siber risk açısından yeterli bir azalma elde etmedik. Açıklık bulmak hiç olmadığı kadar kolay, ancak bu bulguları doğrulama, öncelik verme ve düzeltme hala zorlayıcı kalıyor. Project Glasswing'den çıkan dersler temelinde, savunmacıları desteklemek için bu yeni çabaları başlatıyoruz. Bu haftanın başlarında, Project Glasswing'i çok daha fazla savunmacıya en yetenekli modellerimize erişim imkânı sağlayan genişletilmiş Cyber Verification Program'ımıza birleştirdik. Ve Anthropic Siber Misyonu aracılığıyla Anthropic mühendislik yeteneklerini konuşlandıracak, kritik altyapı ve açık kaynak yazılımı güvenleştirenlere araçlar ve finansman sağlayacağız.

Elektrik şebekeleri, su tesisleri, fabrikalar ve ulaştırma ağları onlarca yıl yaşamak üzere inşa edilen kumanda cihazları, kontrol yazılımı ve endüstriyel ağlar üzerinde çalışıyor. Bu sistemler "operasyonel teknoloji" olarak bilinir ve genellikle yamalamak için çevrimdışı alınamaz, bu yüzden bilinen açıklıklar yıllarca çözümlenmemiş kalabilir. Bunları güvenleştirmek uzmanlaşmış bir çalışmadır: ekipman tescilli, değişiklikler risklidir ve bir hata bir fabrikayı kapatabilir. Her boyuttaki operatörler bu çalışmayı desteklemek, neyin açık olduğunu ve çalışan bir sistem üzerinde hangi düzeltmelerin yapılacağını söylemek için güvenilir bir sağlayıcı kümesine bağlıdır.

Bugün, frontier Claude modellerini, sahada mühendislerini ve tehdit araştırmamızı o güvenilir sağlayıcılara getiren Critical Infrastructure Defense Program'ı tanıtıyoruz. Kurucu ortakları Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC ve Rockwell Automation'dır.

Bu kuruluşlar operatörlerin bu sistemleri güvenleştirmek için bağlı oldukları sağlayıcıları temsil ediyor: güvenlik programlarını yürüten danışmanlık ve ileri teknoloji şirketleri, ticari ve endüstriyel ağları koruyan güvenlik şirketleri ve ekipmanı inşa eden ve yamayan üreticiler.

Bu çalışma devam ediyor. Birkaç ortak zaten Claude ile açıklıkları düzeltmek ve müşterilerine de bunu yapmalarına yardımcı olmak için çalışıyor. Kritik altyapıyı defaya kadar savunmak zor çünkü yapay zeka birçok şeyi düzeltemiyor, ancak frontier modellerinin gücü kesmek veya suyu güvensiz hale getirmek için kullanılmadan önce zayıflıkları bulup onarabilir. İlk adımımız hangi stratejilerin en etkili ve pratik olduğunu öğrenmek için az sayıda sağlayıcıyla çalışmaktır.

Eğer şirketiniz kritik altyapı için güvenlik ürünleri veya hizmetleri inşa ediyorsa, ilginizi buradan kaydedebilirsiniz.

Haziran ayında, eyalet, yerel, kabile ve bölgesel yönetimler için bir siber savunma programı başlattık. O zamandan beri, frontier Claude modellerini ve teknik desteği ABD'nin yarısından fazlasına ve ülkenin en büyük kamu kritik altyapı operatörlerinden bazılarına sunarak kod taraması ve yamalaması, olay müdahale süreci, kırmızı ekip egzersizi ve diğer güvenlik iş akışlarını hızlandırdık.

Bu konuda en iyi bilen insanları dinliyoruz ve onlardan öğreniyoruz. Yaklaşımımız bu ortamı tanıyan ve operatörlerin güvendiği şirketler, koalisyonlar, hükümetler ve kar amacı gütmeyen kuruluşlarla çalışmak ve en çok ihtiyaç duyulan yerlerde destek sağlamaktır.

Hemen hemen tüm yazılım açık kaynak koda bağlıdır—çoğu gönüllü küçük ekipler tarafından korunur. Project Glasswing altında, yüzlerce yaygın olarak kullanılan açık kaynak projesini taradık, birçok potansiyel açıklığı insanlar tarafından değerlendirip inceledik ve bulduklarımızı koordineli açıklık ifşa sürecimiz aracılığıyla koruyucu bilgisayarlara özel olarak rapor ettik.

Triaj yapabilecek kapasitesi olan bazı koruyucu bilgisayarlar, projelerinde modellerimizin bulduğu her şeyi, incelenmiş olsun veya olmasın, istediler. Buna karşılık, Google'ın OSS-Fuzz'ından ilham alan seçim yöntemli bir hizmet olan OSS Scanner'ı başlatıyoruz. Kayıt olan projeler en yetenekli modellerimizden periyodik tarama alıyor—ücretsiz. Her rapor, hatanın nasıl istismar edileceğinin kanıtlanmış bir konsepti, açıklama ve varsa önerilen düzeltmeyi içeriyor. Raporlar model tarafından oluşturuluyor ve insan incelemesi olmadan gönderiliyor. Bu, koruyucu bilgisayarların bunları daha hızlı almalarını sağlıyor, ancak bazılarının yanlış ciddiyet derecelendirmesi gibi yanlışlıklar içerebileceği anlamına da geliyor. %90'ın üzerinde doğru pozitif oranı bekliyoruz ve zaman içinde doğru pozitif oranını ve rapor kalitesini iyileştirmek için çalışacağız. Ekibin yazısı bunun nasıl çalıştığını ve nasıl kaydolunacağını açıklıyor.

Hizmet, ortaya çıkan bulguların temposu tutabilecek kapasiteye sahip projeler için yönelik. Diğerleri için, CVD politikamız altında insan tarafından doğrulanmış açıklıkları paylaşmaya devam edeceğiz.

OSS Scanner ilk adım. Buradan, açık kaynak çalışmamız şu hedeflere yönelik:

• Bulguları koruyucu bilgisayarlara daha hızlı ulaştır. OSS Scanner'ı daha fazla projeye getir ve buna ihtiyaç duyanlar için insan tarafından doğrulanmış açıklıkları kullan.
• Onarımları hızlandır. Çoğunlukla manuel olan triaj ve yamalamayı, bunu isteyenleri için otomatikleştir.
• Yeni güvenli mimariler ve kodlama uygulamalarını araştır. Daha ileri gitmek isteyen projelerle kod sertleştirmesi veya yeniden yazılması için yöntemleri araştır ve paylaş.

Bunu açık kaynak koruyucular ve vakıfların rehberliğine dayalı olarak yapacağız ve diğer projelerin bunu çoğaltabilmesi için neyin işe yaradığını paylaşacağız. Python Software Foundation, Linux Foundation aracılığıyla Alpha-Omega ve OpenSSF, Apache Software Foundation dahil olmak üzere yaygın olarak kullanılan açık kaynak kodun arkasında yer alan kuruluşları destekledik ve Akrites'i ve Gold Eagle'ı destekledik—bunlar çok sayıda kaynaktan açıklık raporlarını toplayıp koordine ederek koruyucuların bunlarla kapanmamasını sağlıyor. Ağustos ayında başlattığımız Defender Advantage Fund (0xDAF), bu alanlardaki pilot programları destekliyor ve OSS Scanner'ı ücretsiz tutuyor.

Koruyucular Claude for Open Source'a ücretsiz Claude Max abonelikleri için de başvuru yapabilir ve Cyber Verification Program'a Claude'un siber savunma yeteneklerine genişletilmiş erişim için.

Yüksek siber yeteneğe sahip yapay zeka modellerine saldırganlar da geniş ölçüde erişebiliyor. Ancak savunma araçları—bizim olanlar da dahil olmak üzere—henüz ihtiyaç duyan savunmacıların yeteri kadarına ulaşamamış. OSS Scanner, Cyber Verification Program'ımız, ortaklarımızın platformumuz üzerinde inşa ettikleri savunma ürünleri ve Claude Security bunlardan bazı çabalarımız ve daha yakında olabildiğince başkaları ekleyeceğiz.

Tahmininiz budur ki iki yılında yapay zeka savunmayı destekleyecek: hataları göndermeden önce yakalaması daha kolay olacak, sıfırdan temelden güvenli yazılım yazmak ve modeller ile sistemleri aktif olarak savunmak. Ama yakın vadede bu doğru olmayabilir. Açıklıkları istismar etme maliyeti düştü; doğrulama, açıklama ve onarma yavaş ve hala insanlara bağlı. Glasswing'de, bir açıklığı bulunması ile düzeltilmesi arasında birçok kez aylar geçtiğine tanık olduk. Operasyonel teknoloji ile, bir düzeltme çalışan makinelere güvenle uygulanabilene kadar beklemek zorunda kalabilir—bazı nadir durumlarda bu onlarca yıl alabilir.

Başarı kritik altyapı (su, güç, ulaştırma ve iletişim) gibi sistemlerin yetenekli rakiplerin saldırısı karşısında daha az istismar edilebilir yolla çalışmaya devam etmesi ve bir şey başarılı olduktan sonra daha hızlı kurtarma anlamına geliyor. Bu yıllar alacak ve Anthropic Siber Misyonunun, biz ve kamu ve özel sektörle birlikte neyin işe yaradığını öğrenmesiyle değişmesini bekliyoruz.

Gelecek aylardan, Critical Infrastructure Defense Program'ı daha fazla ortağa ve daha fazla sektöre getireceğiz ve öğrendiklerimizi paylaşacağız—işe yarayanları da dahil olmak üzere. Ayrıca diğer yapay zeka geliştiricilerinin, güvenlik şirketlerinin ve hükümetlerin kendi çabalarını yürütmesini ve onlar birleştirilebilecek yerlerde işbirliği yapmak istiyoruz.

Ayrıca açık kaynağı ve daha geniş tedarik zincirini güvenleştirmeye yardımcı olacak çalışmamızı genişleteceğiz. Bu yazılım yazmanın yeni yollarını ve sistemleri savunmanın yeni yollarını araştırmayı içeriyor. Yazılım ve tedarik zincirlerini güvenleştirmelerine yardımcı olacak frontier araştırması, araçları ve kaynakları paylaşmak niyetindeyiz.

Bizimle çalışmak istiyorsanız:

• Kritik altyapı için güvenlik ürünleri veya hizmetleri inşa eden şirketler—güvenlik satıcıları, sistem integratörleri ve ekipman üreticileri dahil olmak üzere—onu genişlettiğimiz Critical Infrastructure Defense Program'a ilginizi kaydedebilirsiniz.
• Kritik açık kaynak projelerin temel koruyucuları OSS Scanner'a kaydolabilirler.
• Her büyüklükteki güvenlik ekipleri—kritik altyapı operatörleri ve açık kaynak koruyucuları dahil olmak üzere—modellerimize erişim için genişletilmiş Cyber Verification Program'a başvurabilirler.