Den seneste store gennemgang af Mozilla Firefox er kommet med en stor overraskelse. Bag kulisserne: Browseren har måttet rette 271 sikkerhedssårbarheder, efter at dens kode har gennemgået intensiv analyse med Claude Mythos, Anthropics cybersikkerhedsfokuserede kunstige intelligens-model. Sagen er langt fra et simpelt eksperiment, men betragtes som et potentielt vendepunkt i, hvordan store internetforbundne applikationer beskyttes.
Mozilla har i årevis pralet med, at Firefox er en af mere reviderede og robuste open source-browsereSamarbejdet med Anthropic afslørede dog et betydeligt antal latente sårbarheder. Den gode nyhed er, at disse blev rettet, før de kunne udnyttes; bekymringen stammer fra opdagelsen af, i hvilken grad angrebsfladen stadig skjulte svagheder, som hverken manuel testning eller traditionelle analyseteknikker havde opdaget.
Firefox 150: en opdatering præget af 271 sårbarheder rettet
Ifølge Bobby Holley, CTO hos Mozilla, er arbejdet en del af en direkte samarbejde med Anthropic Inden for Project Glasswing, det begrænsede program, hvorigennem AI-virksomheden giver teknologipartnere mulighed for at analysere kritisk software, fokuserede scanningen på browserens kildekode med særlig vægt på følsomme komponenter såsom renderingmotoren, sandkassen og procesisoleringslagene.
Holley anerkender, at branchen historisk set har antaget, at Fuldstændig eliminering af udnyttelser var et urealistisk mål.Strategien involverede at gøre angreb så vanskelige som muligt gennem dybdegående forsvarslag, sandboxing og mere sikre sprog som Rust, men altid at acceptere, at der med tiden ville opstå en vis sårbarhed. Den massive opdagelse af Mythos forstærker denne idé, men viser samtidig, at balancen måske begynder at ændre sig til fordel for forsvarerne.
Teknisk chef påpeger selv, at en enkelt konstateret fejl i kategorien ville have været Rød alarm i 2025 for et højt beskyttet målDerfor den svimmelhed, der ifølge Mozilla har spredt sig til andre sikkerhedsteams, når de har set det samlede antal sårbarheder, der er blevet afdækket på én gang, et scenarie, der tester enhver organisations reaktionsevne.
Fra Opus til Mythos: Et spring fremad inden for AI-revision
Samarbejdet mellem Mozilla og Anthropic begyndte ikke med Mythos. Måneder tidligere havde fonden testet Claude Opus 4.6Anthropics avancerede model blev brugt til at gennemgå en tidligere version af browseren. Den første test resulterede i rettelse af 22 sikkerhedssårbarheder i Firefox 148, hvoraf nogle var alvorlige, og blev allerede dengang betragtet som en bemærkelsesværdig præstation.
Ankomsten af Claude Mythos Preview har dog betydet en et spring i skala på omkring tolv gange i antallet af opdagede sårbarhederMens Opus 4.6 identificerede et par dusin sårbarheder, har Mythos afdækket 271 og har i intern test genereret over 180 fungerende exploits, der demonstrerer den faktiske udnyttelse af disse fejl. Med hensyn til revisionsproduktivitet er dette en betydelig forbedring.
Mozilla understreger, at Anthropics model har opnået en præstation sammenlignelig med eliteforskeresDet vigtige, præciserer de, er ikke, at den opdager helt nye typer sårbarheder, men at den systematisk er i stand til at lokalisere mange af de problemer, som en ekspert også kunne finde, men på meget kortere tid og i en skala, der praktisk talt er uhåndterlig for manuelle hold.
Et punkt, som organisationen insisterer på at fremhæve, er, at Der er ikke fundet sårbarheder, som var uden for en god menneskelig forsker's rækkevidde.Dette stemmer overens med Mozillas synspunkt, som ikke mener, at AI vil skabe angrebsmetoder ud af den blå luft, der fuldstændigt udfordrer vores nuværende forståelse af sikkerhed; snarere forstærker det det arbejde, der allerede kan udføres, men uden begrænsninger af tid, træthed eller ressourcer.
For en kompleks, modulær applikation som Firefox, designet præcist til at mennesker kan ræsonnere om dens forskellige dele, giver denne tilgang mening. Det, der ændrer sig, er ikke så meget fejlenes art som evnen til at opdage meget mere på kortere tidDette er nøglen til en browser, der fungerer som en gateway til tusindvis af tjenester og applikationer, herunder finansielle platforme, fjernarbejdsværktøjer og offentlige onlinetjenester i Den Europæiske Union.
Fra den offensive model til forsøget på en defensiv fordel
I årevis har softwaresikkerhed bevæget sig ind i en En ustabil balance mellem angribere og forsvarereAngrebsfladen i en moderne browser er så stor, at det er umuligt at dække den fuldstændigt med traditionelle værktøjer, hvilket har givet angribere en asymmetrisk fordel: de behøver kun at finde en velplaceret sårbarhed for at nå deres mål.
Mozilla indrømmer, at deres strategi har været baseret på en kombination af forsvar i dybden, streng sandboxing og kraftig brug af Rust for at minimere visse fejlfamilier. Dette suppleres af teknikker som fuzzing, der udsætter koden for tilfældige input for at fremtvinge uventede fejl. Firefox-teamet anerkender dog selv, at der er områder af koden, der er meget sværere at fuzzeDette efterlader huller i dækningen, som kan udnyttes af patientangribere.
Ved at bruge en kunstig intelligens som Claude Mythos introduceres en ny brik i puslespillet. I modsætning til tilfældig testning eller manuelle gennemgange er modellen i stand til at ræsonnere om kildekoden, identificere mistænkelige mønstre og foreslå udnyttelser som viser, om en fejl virkelig er kritisk. Dette reducerer den udelukkende afhængighed af højt specialiserede teams, som er knappe og ude af stand til at håndtere den mængde software, der skal gennemgås.
For Mozilla åbner dette døren for at gradvist mindske kløften mellem de fejl, som maskiner kan opdage, og dem, som menneskelige eksperter kan lokalisere.Hvis omkostningerne ved at finde sårbarheder falder drastisk for forsvarere, forsvinder en del af den strukturelle fordel, som angribere havde, da de var vant til at dedikere måneders arbejde til at jagte en enkelt profitabel fejl.
Holley indrømmer, at det første chok over at se så mange fejl på én gang var intet mindre end et indre jordskælv, men fastholder, at da det første chok først havde lagt sig, er følelsen positiv: hvis ressourcerne kan prioriteres, og indsatsen kan fokuseres på at rette op på det, AI'en afslører, Forsvarerne kan begynde at spille med de samme våben.Det vil sige, forudsat at der er teams, der er i stand til at absorbere mængden af resultater og omsætte dem til effektive programrettelser.
Risici ved så kraftfuld sikkerheds-AI: et klart tveægget sværd
Udover Mozillas moderate entusiasme følger en stor del af den europæiske cybersikkerhedssektor nøje med. potentiale for misbrug af værktøjer som Claude MythosDet samme system, der gør det muligt at finde fejl i Firefox, kan i de forkerte hænder bruges til at automatisere opdagelsen af sårbarheder i operativsystemer, hot wallets, decentraliserede applikationer eller kritiske infrastrukturtjenester.
Anthropic er opmærksom på denne risiko og fastholder faktisk Mythos er tilgængelig med meget begrænset adgang via Project GlasswingStore teknologivirksomheder som Apple, Microsoft, Google, Amazon Web Services, Linux Foundation og Mozilla selv er en del af denne gruppe, der bruger modellen til at revidere sin egen software og i nogle tilfælde strategisk infrastruktur. Ideen er at kontrollere nøje, hvad der analyseres, og til hvilke formål.
Nylige rapporter tyder på, at Claude Mythos i kontrollerede tests har nået Identificer og udnyt zero-day sårbarheder i udbredte systemerfra browsere til operativsystemer. Det er endda blevet dokumenteret, at den kan udføre komplekse cyberoperationer ret autonomt, såsom flertrins-indtrængningssimuleringer på virksomhedsnetværk.
Disse muligheder har vakt interesse ikke kun fra virksomheder, men også fra regeringer og efterretningstjenesterI USA er det for eksempel blevet rapporteret, at National Security Agency (NSA) endda har kørt Mythos på klassificerede netværk, på trods af offentlige forbehold over for brugen af sådanne værktøjer i krigs- eller overvågningssammenhænge.
For Europa, hvor debatten om AI-regulering og databeskyttelse Det er særligt intenst; sager som Firefox og Mythos tilbyder ammunition til alle sider: på den ene side viser de værdien af velstyret AI til at beskytte millioner af brugere; på den anden side fremhæver de behovet for at sikre, at disse typer modeller ikke ender med at give næring til nye generationer af storstilede automatiserede angreb.
Indvirkning på det åbne softwareøkosystem og på europæiske brugere
Firefox indtager en unik position i browserlandskabet. Selvom den har mistet markedsandele til Chromium og dets derivater, er den fortsat en en nøglekomponent i miljøer, hvor fri software og privatliv værdsættes, ligesom mange europæiske offentlige forvaltninger, akademiske institutioner og avancerede brugere af GNU/Linux-systemer.
I den sammenhæng kan opdagelsen af 271 sårbarheder fortolkes på to måder. På den ene side bekræfter det, at selv Omfattende reviderede open source-projekter kan skjule et stort antal fejl.Simpelthen fordi kodebasen er enorm, og manuel gennemgang ikke kan nå alle steder. På den anden side viser det, at den åbne udviklingsmodel gør det lettere for eksterne værktøjer, herunder avanceret AI, at inspicere koden og bidrage til at forbedre dens sikkerhed.
Mozilla anerkender, at de med hjælp fra Mythos nu har en lang liste over udestående opgaver for at styrke sikkerheden af deres flagskibsapplikation. For slutbrugere i Spanien og resten af Europa er anbefalingen enkel: hold din browser opdateret at drage fordel af disse programrettelser. Version 150 retter ikke kun de fundne fejl, men opretholder også tempoet for forbedringer i ydeevne, kompatibilitet og funktioner som sandboxing og administration af lokale netværkstilladelser.
Derudover kan Firefox-sagen tjene som præcedens for andre open source-projekter Disse værktøjer bruges dagligt i virksomheder, offentlige organer og kritiske tjenester. Bredt anvendte værktøjer – webservere, kryptografiske biblioteker, udviklingsframeworks – kunne drage fordel af lignende AI-drevne revisioner, hvilket er særligt relevant i Den Europæiske Union, hvor direktiver om cybersikkerhed og digital modstandsdygtighed bliver stadig strengere.
Udfordringen, som Mozilla selv indrømmer, er, at mange af disse projekter ikke har tilstrækkelige menneskelige eller økonomiske ressourcer til at absorbere strømmen af resultater som en model som Mythos kan generere. Det er her, både fonde for fri software og offentlige politikker, der støtter open source-sikkerhed, kommer i spil, et problem, der allerede er blevet rejst i Bruxelles efter hændelser som Log4Shell.
En ny fase i forholdet mellem mennesker og AI inden for cybersikkerhed
Ud over anekdoten om de 271 sårbarheder, rejser Firefox-sagen en ændring af fokus i forholdet mellem menneskelige forskere og AI inden for cybersikkerhed. I stedet for at sætte den ene op mod den anden, går Mozilla ind for en model, hvor avancerede værktøjer udvider sikkerhedsteams' muligheder uden at erstatte deres dømmekraft eller erfaring.
Organisationen beskriver Claude Mythos som en slags utrættelig sikkerhedsforskeri stand til at gennemgå store mængder kode, foreslå exploits og identificere risikomønstre. Ved siden af dem er menneskelige specialister fortsat ansvarlige for at prioritere, bekræfte, korrigere og beslutte, hvilke ændringer der introduceres i det endelige produkt.
Denne fælles vision har direkte konsekvenser for det europæiske marked for cybersikkerhed, hvor virksomheder og forskningscentre allerede opererer De eksperimenterer med AI til koderevisioner, malwareanalyse eller indtrængningsdetektion.Hvis Mozillas resultater replikeres i andre projekter, kan vi muligvis opleve, at reaktionstider på kritiske fejl forkortes, og presset på overbelastede sikkerhedsteams reduceres, i det mindste delvist.
Samtidig gør Anthropics og Mozillas erfaringer det klart, hvor vigtigt det er at Reevaluer de metoder, der bruges til at måle AI-modellers ydeevne i sikkerhedsopgaver. Anthropic har selv indrømmet, at mange nuværende benchmarks allerede ikke har levet op til forventningerne til at vurdere de reelle muligheder i deres nyeste systemer, hvilket nødvendiggør design af mere krævende og repræsentative tests.
Hvis der er én ting, som både Mozilla og Anthropic synes at være enige om, så er det, at for nu, Der er ingen fuldstændig erstatning for menneskelig dømmekraft inden for risikostyring. AI accelererer og udvider søgningen efter problemer, men beslutningen om, hvad der skal rettes, hvordan det skal gøres, og inden for hvilken tidslinje afhænger stadig af teams af mennesker, der skal balancere sikkerhed, brugerpåvirkning og tilgængelige ressourcer.
Alt peger på, at udgivelsen af Firefox 150 med programrettelser til 271 sårbarheder markeret af Claude Mythos vil blive husket som det øjeblik, hvor Cybersikkerhed tog et seriøst skridt i retning af intelligent automatisering.Mozillas browser bliver således et casestudie om, hvordan man integrerer kunstig intelligens på højt niveau i udviklings- og vedligeholdelsescyklussen for et kritisk produkt, uden at miste de tilhørende risici eller behovet for tæt menneskelig overvågning af syne. For brugere, udviklere og politikere i Spanien og Europa er lektien klar: kunstig intelligens er ikke længere bare et futuristisk koncept, men et værktøj, der begynder at afbalancere vægtskålene i en kamp, der i årtier har været hældet til fordel for angribere.
