AI finder hundredevis af Firefox‑fejl

Mozilla har testet Anthropic‑modellen Mythos til at finde sårbarheder i Firefox og fik et opsigtsvækkende resultat: 271 identificerede fejl i Firefox 150. Ifølge Mozilla CTO Bobby Holley markerer testen et muligt vendepunkt for softwaresikkerhed – ikke fordi fejlene er nye eller uforståelige, men fordi de kan findes i hidtil uset skala.

Det skriver The Register.

Allerede i Firefox 148 fandt Mozilla 22 fejl ved hjælp af Anthropic‑modellen Opus 4.6. Springet til 271 sårbarheder i en nyere version gav ifølge Holley ”svimmelhed”, fordi blot én tilsvarende fejl for få år siden ville have udløst alarmberedskab. Alligevel vurderer han, at resultatet er gode nyheder for forsvarssiden.

Hvad er Mythos?

Mythos er Anthropics AI‑model målrettet sårbarhedssøgning i kildekode. I modsætning til klassiske fuzzing‑værktøjer, der tester software med tilfældige input, forsøger Mythos at ræsonnere over koden på samme måde som en erfaren sikkerhedsanalytiker. Mozilla vurderer, at modellen matcher niveauet hos eliteforskere – blot langt hurtigere.

Et centralt punkt i Mozillas vurdering er, at Mythos ikke finder nye typer sårbarheder. Alle fejl, modellen har identificeret, kunne i princippet også være fundet af mennesker. AI’en ændrer dermed ikke software fundamentalt, men fjerner en flaskehals: manglen på tid og højt specialiserede sikkerhedseksperter.

Holley mener, at dette kan tippe balancen i en branche, der længe har kæmpet sikkerhed til uafgjort. Når dyb kodeanalyse bliver billig og automatiseret, mister angribere fordelen ved at investere måneder i at finde én kritisk fejl.

AI, der holdes tilbage

Samtidig illustrerer Mythos et bredere dilemma. Anthropic har flere gange signaleret, at ikke alle deres modeller bør frigives bredt. En AI, der effektivt kan gennemlyse store kodebaser for sårbarheder, er lige så attraktiv for angribere som for forsvarere.

Derfor er Mythos ikke et frit tilgængeligt værktøj. Adgangen kontrolleres, netop fordi kapaciteten vurderes som potentielt farlig. Mozilla ser teknologien som et defensivt gennembrud – men sagen understreger, at fremtidens sikkerhed i stigende grad også bliver et spørgsmål om, hvem der får adgang til de mest kraftfulde AI‑modeller.