Partnering with Mozilla to improve Firefox’s security

Партнёрство с Mozilla для повышения безопасности Firefox

ИИ-модели теперь способны самостоятельно находить уязвимости высокой степени серьёзности в сложном программном обеспечении. Как мы недавно документировали, Claude обнаружил более 500 уязвимостей нулевого дня (дефектов безопасности, неизвестных разработчикам ПО) в хорошо протестированном открытом программном обеспечении.

В этой публикации мы делимся подробностями сотрудничества с исследователями Mozilla, в ходе которого Claude Opus 4.6 обнаружил 22 уязвимости за две недели. Из них Mozilla присвоила 14 статус высокой степени серьёзности — почти пятую часть всех критических уязвимостей Firefox, устранённых в 2025 году. Иными словами: ИИ позволяет обнаруживать серьёзные уязвимости безопасности с кардинально возросшей скоростью.

В рамках этого сотрудничества Mozilla обработала большое количество наших отчётов, помогла нам понять, какие типы находок заслуживают подачи баг-репорта, и выпустила исправления для сотен миллионов пользователей в Firefox 148.0. Их партнёрство и извлечённые нами технические уроки задают модель того, как ИИ-исследователи безопасности и мейнтейнеры могут работать вместе, чтобы соответствовать вызовам времени.

От оценки моделей к партнёрству в сфере безопасности

В конце 2025 года мы заметили, что Opus 4.5 близок к решению всех задач в CyberGym — бенчмарке, проверяющем, способны ли LLM воспроизводить известные уязвимости безопасности. Мы хотели создать более сложную и реалистичную оценку с более высокой концентрацией технически сложных уязвимостей, подобных тем, что присутствуют в современных веб-браузерах. Поэтому мы собрали набор данных из ранее зафиксированных CVE Firefox, чтобы проверить, сможет ли Claude их воспроизвести.

Мы выбрали Firefox, потому что это одновременно сложная кодовая база и один из наиболее тщательно протестированных и защищённых проектов с открытым исходным кодом в мире. Это делает его более серьёзным испытанием способностей ИИ в поиске новых уязвимостей, чем открытое ПО, которое мы использовали для тестирования наших моделей ранее. Сотни миллионов пользователей полагаются на него ежедневно, а уязвимости браузеров особенно опасны, поскольку пользователи регулярно сталкиваются с ненадёжным контентом и зависят от браузера в вопросах своей безопасности.

Первым шагом мы использовали Claude для поиска ранее выявленных CVE в старых версиях кодовой базы Firefox. Мы были удивлены тем, что Opus 4.6 смог воспроизвести высокий процент этих исторических CVE, учитывая, что обнаружение каждой из них потребовало значительных человеческих усилий. Однако оставалось неясным, насколько можно доверять этому результату, поскольку не исключено, что по крайней мере часть этих исторических CVE уже присутствовала в обучающих данных Claude.

Поэтому мы поручили Claude искать новые уязвимости в текущей версии Firefox — баги, которые по определению не могли быть зарегистрированы ранее. Сначала мы сосредоточились на JavaScript-движке Firefox, а затем расширили поиск на другие области браузера. JavaScript-движок стал удобной отправной точкой: это независимый фрагмент кодовой базы Firefox, который можно анализировать изолированно, и его особенно важно защищать, учитывая широкую поверхность атаки (он обрабатывает ненадёжный внешний код, когда пользователи просматривают веб-страницы).

Всего через двадцать минут исследования Claude Opus 4.6 сообщил, что обнаружил Use After Free (тип уязвимости памяти, позволяющий злоумышленникам перезаписывать данные произвольным вредоносным содержимым) в JavaScript-движке. Один из наших исследователей подтвердил этот баг в независимой виртуальной машине с последним релизом Firefox, затем передал его двум другим исследователям Anthropic, которые также подтвердили баг. Далее мы подали баг-репорт в Bugzilla, трекер задач Mozilla, с описанием уязвимости и предложенным патчем (написанным Claude и валидированным командой отчётности) для помощи в триаже первопричины.

За время, пока мы валидировали и отправляли эту первую уязвимость в Firefox, Claude уже обнаружил ещё пятьдесят уникальных входных данных, вызывающих сбои. Пока мы проводили триаж этих сбоев, с нами связался исследователь из Mozilla. После технического обсуждения наших соответствующих процессов и передачи ещё нескольких уязвимостей, которые мы вручную подтвердили, они предложили нам отправлять все находки массово, без валидации каждой, даже если мы не были уверены, что все вызывающие сбой тестовые случаи имеют последствия для безопасности. К завершению этой работы мы просканировали почти 6 000 файлов на C++ и подали в общей сложности 112 уникальных отчётов, включая уязвимости высокой и средней степени серьёзности, упомянутые выше. Большинство проблем исправлены в Firefox 148, оставшиеся будут исправлены в предстоящих релизах.

При проведении подобного поиска багов во внешнем ПО мы всегда осознаём, что могли упустить нечто критичное в кодовой базе, что сделало бы находку ложноположительной. Мы стараемся проявлять должную осмотрительность и валидировать баги самостоятельно, но всегда есть место для ошибки. Мы чрезвычайно признательны Mozilla за прозрачность их процесса триажа и за помощь в корректировке нашего подхода, чтобы мы отправляли только те тестовые случаи, которые их интересовали (даже если не все из них в итоге оказались релевантны для безопасности). Исследователи Mozilla с тех пор начали самостоятельно экспериментировать с Claude в целях безопасности.

От обнаружения уязвимостей к написанию примитивных эксплойтов

Чтобы оценить верхние пределы способностей Claude в кибербезопасности, мы также разработали новую оценку, позволяющую определить, способен ли Claude эксплуатировать какие-либо из обнаруженных нами багов. Иными словами, мы хотели понять, может ли Claude также создавать инструменты, которые хакер использовал бы для эксплуатации этих багов и выполнения вредоносного кода.

Для этого мы предоставили Claude доступ к уязвимостям, которые мы отправили в Mozilla, и попросили его создать эксплойт для каждой из них. Чтобы доказать успешную эксплуатацию уязвимости, мы попросили Claude продемонстрировать реальную атаку. В частности, мы требовали, чтобы он прочитал и записал локальный файл в целевой системе, как это сделал бы злоумышленник.

Мы проводили этот тест несколько сотен раз с разными начальными условиями, потратив примерно $4 000 на API-кредиты. Несмотря на это, Opus 4.6 смог превратить уязвимость в рабочий эксплойт лишь в двух случаях. Это говорит нам о двух вещах. Во-первых, Claude значительно лучше находит эти баги, чем эксплуатирует их. Во-вторых, стоимость обнаружения уязвимостей на порядок ниже стоимости создания эксплойта для них. Тем не менее сам факт того, что Claude смог автоматически разработать грубый браузерный эксплойт, пусть и лишь в нескольких случаях, вызывает беспокойство.

«Грубый» — важная оговорка. Эксплойты, написанные Claude, работали только в нашей тестовой среде, из которой намеренно были удалены некоторые средства защиты, присутствующие в современных браузерах. В первую очередь это касается песочницы, задача которой — снизить последствия подобных уязвимостей. Таким образом, «эшелонированная защита» Firefox была бы эффективна против этих конкретных эксплойтов. Но уязвимости, позволяющие выйти за пределы песочницы, не являются чем-то неслыханным, а атака Claude — это один из необходимых компонентов комплексного эксплойта. Подробнее о том, как Claude разработал один из этих эксплойтов для Firefox, можно прочитать в нашем блоге Frontier Red Team.

Будущее ИИ-кибербезопасности

Эти ранние признаки разработки эксплойтов с помощью ИИ подчёркивают важность ускорения процесса обнаружения и исправления уязвимостей для защитников. С этой целью мы хотим поделиться несколькими техническими и процедурными лучшими практиками, которые мы выработали в ходе этого анализа.

Во-первых, исследуя «агенты патчинга», использующие LLM для разработки и валидации исправлений багов, мы выработали ряд методов, которые, как мы надеемся, помогут мейнтейнерам использовать LLM вроде Claude для более быстрого триажа и обработки отчётов о безопасности.1

По нашему опыту, Claude работает лучше всего, когда у него есть возможность проверять собственную работу с помощью другого инструмента. Мы называем этот класс инструментов «верификатором задач»: доверенный метод подтверждения того, что результат работы ИИ-агента действительно достигает поставленной цели. Верификаторы задач обеспечивают агенту обратную связь в реальном времени по мере исследования кодовой базы, позволяя ему углублённо итерировать до достижения успеха.

Верификаторы задач помогли нам обнаружить описанные выше уязвимости Firefox,2 а в отдельных исследованиях мы выяснили, что они также полезны для исправления багов. Хороший агент патчинга должен верифицировать как минимум две вещи: что уязвимость действительно устранена и что штатная функциональность программы сохранена. В нашей работе мы создали инструменты, которые автоматически проверяли, можно ли по-прежнему воспроизвести исходный баг после предложенного исправления, и отдельно запускали тестовые наборы для выявления регрессий (изменений, случайно ломающих что-то ещё). Мы полагаем, что мейнтейнеры лучше всего знают, как создавать такие верификаторы для своих кодовых баз; ключевой вывод в том, что предоставление агенту надёжного способа проверки обоих этих свойств кардинально улучшает качество его результатов.

Мы не можем гарантировать, что все сгенерированные агентом патчи, прошедшие эти тесты, достаточно хороши для немедленного мёржа. Однако верификаторы задач повышают нашу уверенность в том, что созданный патч устранит конкретную уязвимость, сохранив функциональность программы, — и тем самым достигнет того, что считается минимальным требованием для правдоподобного патча. Разумеется, при рецензировании патчей, написанных ИИ, мы рекомендуем мейнтейнерам применять ту же тщательность проверки, что и к любому другому патчу от внешнего автора.

Если рассматривать процесс подачи багов и патчей в более широком контексте: мы знаем, что мейнтейнеры перегружены. Поэтому наш подход заключается в том, чтобы предоставить мейнтейнерам информацию, необходимую для доверия к отчётам и их верификации. Команда Firefox выделила три компонента наших подач, которые были ключевыми для доверия к нашим результатам:

Сопроводительные минимальные тестовые случаиПодробные доказательства концепции (proof-of-concept)Кандидаты на патчи

Мы настоятельно рекомендуем исследователям, использующим инструменты поиска уязвимостей на основе LLM, прилагать аналогичные свидетельства верификации и воспроизводимости при подаче отчётов, основанных на результатах работы таких инструментов.

Мы также опубликовали наши принципы координированного раскрытия уязвимостей, где описываем процедуры, которые мы будем использовать при работе с мейнтейнерами. На данный момент наши процессы следуют стандартным отраслевым нормам, но по мере совершенствования моделей нам, возможно, придётся корректировать свои процессы, чтобы соответствовать растущим возможностям.

Острота момента

Передовые языковые модели теперь являются исследователями уязвимостей мирового класса. Помимо 22 CVE, обнаруженных в Firefox, мы использовали Claude Opus 4.6 для выявления уязвимостей в других важных программных проектах, таких как ядро Linux. В ближайшие недели и месяцы мы продолжим рассказывать о том, как мы используем наши модели и работаем с сообществом открытого исходного кода для повышения безопасности.

Opus 4.6 в настоящее время значительно лучше справляется с обнаружением и исправлением уязвимостей, чем с их эксплуатацией. Это даёт преимущество защитникам. А с недавним запуском Claude Code Security в ограниченном исследовательском превью мы предоставляем возможности обнаружения уязвимостей (и их исправления) непосредственно клиентам и мейнтейнерам открытого ПО.

Однако, глядя на темпы прогресса, маловероятно, что разрыв между способностями передовых моделей к обнаружению и эксплуатации уязвимостей сохранится надолго. Если и когда будущие языковые модели преодолеют этот барьер эксплуатации, нам потребуется рассмотреть дополнительные меры защиты или другие действия для предотвращения злонамеренного использования наших моделей.

Мы призываем разработчиков воспользоваться этим окном возможностей и удвоить усилия по повышению безопасности своего ПО. Со своей стороны, мы планируем значительно расширить наши усилия в области кибербезопасности, в том числе за счёт работы с разработчиками по поиску уязвимостей (в рамках описанного выше процесса CVD), создания инструментов для помощи мейнтейнерам в триаже баг-репортов и прямого предложения патчей.

Если вы заинтересованы в поддержке наших усилий в области безопасности — написании новых инструментов для обнаружения уязвимостей в ПО с открытым исходным кодом; триаже, патчинге и отчётности по уязвимостям; а также разработке надёжного процесса CVD для эры ИИ — подайте заявку на работу в Anthropic здесь.

Примечания

Все рекомендации, изложенные здесь, основаны на нашем опыте использования Claude, но должны быть применимы к любой предпочитаемой вами LLM.Которые Mozilla исправила самостоятельно.

Связанные материалы

PwC развёртывает Claude для создания технологий, проведения сделок и трансформации корпоративных функций для клиентов

PwC развернёт Claude Code и Cowork, начиная с команд в США и расширяясь на глобальный штат из сотен тысяч специалистов, создаст совместный Центр компетенций и обучит и сертифицирует 30 000 специалистов PwC по работе с Claude.

Anthropic заключает партнёрство на $200 миллионов с Gates Foundation

Представляем Claude для малого бизнеса

Мы запускаем Claude для малого бизнеса — набор коннекторов и готовых рабочих процессов, которые интегрируют Claude в инструменты, используемые малым бизнесом каждый день.

Подпишитесь на рассылку Frontier Red Team

Получайте обновления о наших последних исследованиях и результатах red-teaming.