एंथ्रोपिक के प्रोजेक्ट ग्लासविंग के विश्लेषण से पता चला है कि एआई द्वारा खोजी गई हजारों सुरक्षा खामियों में से केवल एक छोटा हिस्सा ही वास्तव में ठीक किया गया है, जिससे मानवीय सत्यापन एक बड़ी बाधा बन गया है।

  • क्लाउड मिथोस ने 26,153 संभावित कमजोरियां खोजीं, लेकिन केवल 10% ही प्रकटीकरण चरण तक पहुंचीं।
  • खोजे गए खतरों में से 0.8% से भी कम (केवल 202) को अब तक पैच या ठीक किया गया है।
  • एआई द्वारा निर्धारित खतरे की गंभीरता और सॉफ्टवेयर मेंटेनर्स के आकलन में बड़ा अंतर देखा गया है।

हाल ही में Anthropic के 'प्रोजेक्ट ग्लासविंग' से प्राप्त सार्वजनिक डेटा के विश्लेषण ने एक चौंकाने वाली सच्चाई उजागर की है। विश्लेषण से पता चलता है कि एआई मॉडल Claude Mythos द्वारा उत्पन्न कमजोरियों की संख्या और वास्तव में ठीक की गई खामियों के बीच एक गहरी खाई है। यह स्थिति दर्शाती है कि साइबर सुरक्षा की दुनिया में अब चुनौती खामियों को खोजने की नहीं, बल्कि उन्हें सत्यापित करने और ठीक करने की है।

VulnCheck के सुरक्षा शोधकर्ता पैट्रिक गैरीटी ने पाया कि अप्रैल 2026 से अब तक क्लाउड मिथोस ने कुल 26,153 कमजोरियां खोजीं। हालांकि, इनमें से केवल 2,736 (लगभग 10%) ही प्रकटीकरण लेजर (Disclosure Ledger) तक पहुंच पाईं। सबसे चिंताजनक बात यह है कि इनमें से केवल 202 खामियों को पैच किया गया है, जो कुल खोजों का 0.8% से भी कम है।

यह भी पढ़ें:US ने विदेशी रोबोट पर प्रतिबंध: कौन जीतेंगे, कौन हारेंगे?

Why This Matters

BozokMedia analysis shows that while frontier AI models can accelerate the 'discovery' phase of vulnerability research, they are creating a massive 'triage debt'. The industry is witnessing a shift where the cost of API calls to find bugs is negligible, but the human cost of validating those bugs is skyrocketing. This creates a false sense of security or, conversely, an overwhelming amount of noise for security teams.

"दुनिया अभी भी मानवीय गति से सुरक्षा कर रही है, जबकि एआई मशीन की गति से खामियां पैदा कर रहा है।"

गैरीटी के विश्लेषण ने एआई की सटीकता पर भी सवाल उठाए हैं। एआई ने 91.5% खामियों को 'क्रिटिकल' या 'हाई' गंभीरता वाला बताया, जबकि सॉफ्टवेयर मेंटेनर्स ने केवल 61.3% को ही इस श्रेणी में रखा। यह इंगित करता है कि एआई गंभीरता के आकलन में अत्यधिक आक्रामक है और उद्योग मानकों जैसे CVSS मेट्रिक्स का सही पालन नहीं कर रहा है।

यह समस्या केवल ग्लासविंग तक सीमित नहीं है। Contrast Security के संस्थापक जेफ विलियम्स के अनुसार, अलग-अलग एआई स्कैनर एक ही कोडबेस पर अलग-अलग परिणाम देते हैं। उनके शोध में पाया गया कि तीन अलग-अलग एआई स्कैनर्स के बीच केवल 5% परिणामों पर सहमति थी।

विवरणएआई का दावा/खोजवास्तविक परिणाम (मानवीय सत्यापन)
कुल खोजें (Glasswing)26,153~2,736 (प्रकटीकरण तक)
गंभीरता आकलन (High/Critical)91.5%61.3%
सत्यापन दर (Patched)-< 0.8%

यह स्थिति माइक्रोसॉफ्ट के हालिया 'पैच ट्यूजडे' की याद दिलाती है, जहां 974 कमजोरियों को ठीक किया गया। जैसे-जैसे एआई खोज की गति बढ़ाएगा, सुरक्षा टीमों पर दबाव और बढ़ेगा।

क्या आप जानते हैं?: एक 2-मिलियन लाइन के कोडबेस को स्कैन करने की एपीआई लागत केवल $315 थी, लेकिन उसके परिणामों को मानवीय रूप से जांचने का खर्च $128,000 तक पहुंच गया!

Frequently Asked Questions

1. प्रोजेक्ट ग्लासविंग क्या है?
यह एंथ्रोपिक का एक प्रयास है जिसमें क्लाउड एआई मॉडल का उपयोग सॉफ्टवेयर में सुरक्षा खामियों को खोजने के लिए किया जाता है।

2. एआई सुरक्षा में बाधा क्यों बन रहा है?
एआई बहुत तेजी से संभावित खामियां ढूंढता है, लेकिन उन्हें सत्यापित करने के लिए इंसानों की जरूरत होती है, जो इतनी तेजी से काम नहीं कर सकते।