La Cybersecurity and Infrastructure Security Agency (CISA) ha avviato una collaborazione con Anthropic per utilizzare Mythos, un modello di intelligenza artificiale avanzato, nella scansione del codice dei software governativi statunitensi. L’obiettivo è individuare vulnerabilità di sicurezza prima che possano essere sfruttate da attori malevoli. Le prime analisi, sebbene ancora parziali, avrebbero già portato alla luce numerosi bug, ma restano ignoti il livello di criticità e l’esatta portata dei problemi rilevati.
Mythos: un modello AI riservato a partner selezionati
Mythos non è un modello accessibile al pubblico. Anthropic lo ha sviluppato per un numero ristretto di partner e clienti governativi, con un’architettura pensata per massimizzare l’affidabilità e la trasparenza nelle risposte. A differenza di altri modelli generici, Mythos è stato addestrato anche per analizzare codice complesso alla ricerca di pattern insoliti e potenziali falle di sicurezza. La sua adozione da parte della CISA segna un passo significativo nell’impiego dell’AI per la protezione delle infrastrutture critiche.
Vulnerabilità scovate: numeri senza dettagli
Fonti vicine al progetto riferiscono di un numero elevato di vulnerabilità individuate durante i primi test. Tuttavia, la CISA non ha ancora diffuso dati precisi né classificazioni di gravità. Questa cautela è comprensibile: rendere pubblici i dettagli su software ancora potenzialmente esposti potrebbe facilitare attacchi mirati. Resta il fatto che l’automazione dell’analisi statica del codice tramite AI potrebbe diventare uno standard nella cybersecurity governativa.
La collaborazione nonostante le tensioni
L’iniziativa arriva in un contesto di rapporti non sempre distesi tra Anthropic e l’amministrazione federale. Negli ultimi mesi sono emerse divergenze su questioni legate alla regolamentazione dell’AI e all’impiego di queste tecnologie in ambito militare o di difesa. Nonostante tali attriti, la partnership con la CISA dimostra che, quando si tratta di sicurezza informatica, la priorità condivisa è quella di proteggere i sistemi critici, al di là delle controversie politiche o commerciali.
Cosa significa per chi legge
L’uso di modelli come Mythos apre scenari concreti anche per aziende e pubbliche amministrazioni che vogliono anticipare gli attaccanti. Ecco alcuni spunti:
- Automazione nei test di sicurezza: l’AI può ridurre tempi e costi dell’auditing manuale, a patto che i risultati siano validati da esperti umani.
- Necessità di trasparenza: senza dati pubblici sulla severità delle vulnerabilità trovate, è difficile valutare l’efficacia reale del modello. Un approccio bilanciato tra riservatezza e condivisione potrebbe giovare all’intero ecosistema.
- Possibile modello per altre agenzie: l’esperienza della CISA potrebbe spingere altre organizzazioni governative nel mondo a sperimentare strumenti simili, accelerando l’adozione di AI nella sicurezza software.