Mistral Large 4: il modello AI open-source con potenziale per attacchi cyber

Mistral AI ha reso disponibile per il download gratuito e la modifica il suo modello Mistral Large 4, soprannominato "Le Chonk", nonostante i rischi potenziali di utilizzo per attacchi informatici. Questo modello multimodale, già in anteprima pubblica, è ora completamente accessibile agli utenti esterni, con possibili implicazioni per la sicurezza informatica.

Mistral Large 4 è un modello AI da un trilione di parametri reso open-source. Nonostante i guardrail integrati, il modello potrebbe essere utilizzato per condurre attacchi cyber. Durante i test, il modello ha rifiutato il 96,6% delle richieste maliziose, ma gli esperti avvertono che le prestazioni in scenari reali potrebbero differire significativamente.

I guardrail integrati nel modello saranno aggiornati solo per l'API gestita da Mistral e per le future versioni, lasciando le copie già scaricate senza aggiornamenti automatici e creando un potenziale rischio di sicurezza per gli utenti che utilizzano versioni obsolete.

Mistral ha osservato che il modello ha rifiutato attacchi contro obiettivi live durante la fase di anteprima pubblica, ma riconosce il potenziale per un uso improprio man mano che le capacità avanzano. Pierre Stock, vice presidente della scienza di Mistral, ha affermato che il modello ha aiutato principalmente nelle attività difensive, come l'identificazione, la riproduzione e la risoluzione delle vulnerabilità del software.

Secondo l'AI Security Institute del Regno Unito, la liberazione di modelli altamente capaci dal punto di vista cyber crea un "rischio persistente e irreversibile di uso improprio". Gli attaccanti stanno già sfruttando gli strumenti AI open-source, come dimostrato da un gruppo allineato con la Cina che ha utilizzato il framework AI agentico ARTEX per prendere di mira oltre 2.250 tenant Microsoft 365.

Mistral sta gestendo una variante specializzata del modello per test di penetrazione, valutazione delle vulnerabilità e red-teaming, con accesso limitato ai partner design come Orange Cyberdefense. Il modello ha ottenuto il 51% sull'Artificial Analysis Cyber Index, misurando la capacità di trovare, riprodurre e correggere le vulnerabilità.

Secondo il Regolamento UE sull'IA, i modelli addestrati con più di 10^25 operazioni in virgola mobile sono presunti portare rischi sistemici. Mistral è un firmatario completo del Codice di Pratica dell'UE per l'IA Generale, ma non ha specificato se Large 4 è classificato come modello a rischio sistemico.

Mistral ha rilasciato il modello sotto una licenza MIT modificata che permette l'uso, la modifica, il fine-tuning e la commercializzazione. Le aziende che offrono un servizio modello come servizio devono ottenere una licenza separata. L'API di Mistral è tariffata a 0,70 dollari per milione di token di input e 2,10 dollari per milione di token di output.

Niyati Daftary di Gartner ha consigliato alle aziende che auto-ospitano Large 4 di eseguirlo come componente controllato, non come agente autonomo, per migliorare il controllo dei dati e la continuità operativa, ma rendendo l'azienda esclusivamente responsabile della patch, del monitoraggio, della valutazione e della prevenzione dell'uso improprio.

Il rilascio di Mistral Large 4 rappresenta una sfida significativa per il mercato delle assicurazioni cyber, richiedendo una valutazione attenta dei rischi e delle misure di sicurezza necessarie.