Firefox 150 chiude 271 falle trovate da Mythos
Articolo Precedente
Articolo Successivo
Redazione Scienza e Tecnologia
-
Mozilla ha pubblicato Firefox 150 con fix per 271 vulnerabilità, tutte individuate durante una valutazione iniziale di Mythos Preview, il modello di intelligenza artificiale sviluppato da Anthropic per la sicurezza informatica. Il dato, reso noto nelle scorse ore, cambia radicalmente il tono della discussione sull’AI applicata alla difesa informatica: non si parla più di una promessa teorica, ma di un risultato misurabile concretamente su un browser utilizzato da milioni di persone. Per chi sviluppa software critico – e lo stesso vale per i team di manutenzione dei grandi progetti open source – il punto non è soltanto quanti bug siano emersi, ma quanto si sia accorciato il tempo necessario per individuarli prima che lo facessero terze parti con intenzioni malevole. La fondazione ha avuto accesso anticipato al modello tramite il programma Project Glasswing, lo stesso che ha selezionato un ristretto numero di partner tecnologici di alto profilo.
Un salto quantitativo che diventa qualitativo
Se con Firefox 148, analizzato dal precedente modello Claude Opus 4.6, erano stati corretti 22 bug sensibili, il balzo in avanti con Mythos è impressionante: 271 vulnerabilità scovate e già sanate. Ciò significa un fattore moltiplicativo di circa dodici volte tra una generazione di modello AI e la successiva, un incremento che pochi addetti ai lavori avrebbero pronosticato a così breve distanza. Secondo quanto riferito da Bobby Holley, chief technology officer di Firefox, Mythos Preview non si limita a eseguire test dinamici casuali, ma ragiona sulla logica del programma in modo analogo a un ricercatore umano, anche se ovviamente a una velocità e su una scala che nessun team di esperti potrebbe eguagliare. I rapporti di Anthropic parlano di un tasso di convalida umana dell'89% per la gravità attribuita dal modello e del 98% a un livello di severità di scarto, il che suggerisce un'affidabilità notevole per uno strumento ancora in fase di preview.
L’efficacia dell’AI e i limiti dell’analisi tradizionale
Le vulnerabilità individuate – lo sottolinea la stessa Mozilla – non rappresentano una classe di difetti completamente inedita, né qualcosa che un analista particolarmente preparato non avrebbe mai potuto scovare. La vera rivoluzione è un'altra: finora la scoperta di bug complessi si basava su tecniche di fuzzing, cioè il bombardamento del software con dati casuali, oppure sull’impiego di ricercatori d’élite in grado di seguire il filo logico del codice sorgente per settimane o mesi. Con Mythos, invece, quel costo in termini di tempo e risorse umane si riduce in modo drastico, tanto che Holley ha affermato senza mezzi termini che il modello non è inferiore ai migliori specialisti del settore. È interessante notare come il rapporto tra difensori e attaccanti, storicamente asimmetrico (bastava una falla per compromettere un sistema, mentre chi difende deve coprire un'intera superficie di attacco), possa ora trovare un parziale riequilibrio proprio grazie a queste capacità di analisi automatizzata.
I rischi di uno strumento a doppio taglio
La potenza di Mythos, però, è la stessa che ne ha finora impedito la diffusione pubblica. Anthropic stessa ha definito il modello potenzialmente pericoloso, tanto da limitarne l'accesso a pochi partner selezionati come appunto Mozilla, Amazon, Apple e Google. Un accesso non autorizzato è già stato segnalato da Bloomberg, che ha raccontato di un gruppo esterno in grado di raggiungere il modello attraverso un sottotrattante, indovinandone l'URL grazie alle convenzioni di naming adottate da Anthropic. L'episodio dimostra quanto sia delicata la gestione di strumenti del genere: nelle mani sbagliate, le stesse capacità che permettono di individuare centinaia di vulnerabilità potrebbero essere impiegate per scoprire e sfruttare falle zero-day prima che gli sviluppatori facciano in tempo a correggerle. Mozilla, dal canto suo, ha scelto di concentrarsi sulla rapidità di intervento, riorganizzando le priorità dei propri team per gestire il flusso imponente di segnalazioni e trasformarle in patch stabili e test affidabili.
