- Pesquisadores da startup Calif, com apoio do Mythos, IA da Anthropic, abriram caminho para contornar a Memory Integrity Enforcement da Apple no macOS.
- A técnica combina dois bugs com métodos de corrupção de memória, permitindo escalonamento de privilégios e acesso a áreas isoladas do sistema.
- Um relatório de cinquenta e cinco páginas foi entregue pessoalmente aos engenheiros da Apple na sede, em Cupertino; a Apple disse que investiga o material com seriedade.
- O Mythos funciona como multiplicador da capacidade humana na investigação, auxiliando na organização e reprodução de padrões, mas exigiu supervisão humana e permanece restrito a investigação de bugs.
- O caso ocorre em contexto de aumento de vulnerabilidades com IA, levando autoridades dos EUA a reavaliarem a supervisão de modelos capazes de encontrar falhas e a potenciais medidas regulatórias.
A versão beta de uma IA voltada à auditoria de código ajudou pesquisadores a explorar falhas no macOS. Segundo o Wall Street Journal, o Mythos, modelo da Anthropic, participou de testes em abril para contornar proteções do sistema da Apple. Os investigadores apresentaram um relatório de 55 páginas à Apple, presencialmente em Cupertino.
A técnica combina dois bugs com métodos de corrupção de memória para avançar em áreas isoladas do Mac, segundo a publicação. O objetivo seria alcançar o Memory Integrity Enforcement (MIE), a proteção de memória da Apple anunciada no ano passado.
Mythos e o papel da IA na pesquisa de vulnerabilidades
O Mythos é desenvolvido para auditoria de código e investigação de segurança. Em beta restrito, ele integra o Project Glasswing, grupo colaborativo de empresas como Apple e Google.
Thai Duong, CEO da Calif, ressaltou que o Mythos atuou como multiplicador na investigação, ajudando a organizar padrões e a reproduzi-los, embora tenha sido necessária supervisão humana.
Reação da Apple e implicações
A Apple informou que está avaliando o material enviado e trata relatos de vulnerabilidades com seriedade. A empresa não detalhou o conteúdo do relatório, citando a necessidade de correção dos bugs.
A descoberta ocorre em meio a uma discussão mais ampla sobre a velocidade de identificação de falhas com o uso de IA. Autores citados pelo WSJ indicam que o incidente reforça preocupações sobre a prontidão de equipes de TI para corrigir falhas emergentes.
Entre na conversa da comunidade