Claude Mythos от Anthropic помог найти более 10 000 серьёзных уязвимостей
Партнёры Anthropic использовали закрытую AI-модель Claude Mythos, также известную как Project Glasswing, для поиска ошибок в программном обеспечении и выявили более 10 000 уязвимостей высокого или критического уровня. По словам компании, речь идёт о «системно важном» ПО, от которого зависит работа инфраструктуры, открытых проектов и сервисов.
Claude Mythos дебютировал в апреле, но Anthropic не выпустила его в открытый доступ. Вместо этого компания предоставила инструмент примерно 50 партнёрам, объяснив ограниченный запуск тем, что модель слишком мощная. На фоне интереса к таким системам Anthropic уже фигурировала в других новостях о развитии Claude, включая переход Андрея Карпати в компанию и эксперименты с AI-инструментами для разработки.
Один из партнёров, Cloudflare, с помощью Mythos обнаружил 2 000 багов в критически важных системах. Из них 400 были отнесены к уязвимостям высокого или критического уровня. В материале PCMag также говорится, что доля ложных срабатываний у Mythos в этом случае оказалась ниже, чем у специалистов-людей.
Отдельно Anthropic сообщила о проверке 1 000 проектов с открытым исходным кодом. В них Mythos выявил 6 202 серьёзные уязвимости. Среди примеров компания выделила проблему в wolfSSL — библиотеке SSL/TLS, которая часто используется в устройствах интернета вещей и системах умного дома.
Эта уязвимость получила идентификатор CVE-2026-5194. По версии Anthropic, Mythos Preview смог построить эксплойт, который потенциально позволяет подделывать сертификаты. В теории это могло бы использоваться для создания поддельных сайтов, имитирующих банки или почтовые сервисы, но в источнике не говорится о реальных атаках с использованием этой уязвимости.
Mythos уже появлялся в похожем контексте: в апреле Mozilla заявляла, что с его помощью нашла 271 уязвимость в Firefox. Эта история напрямую пересекается с предыдущими исправлениями безопасности в браузере, включая материал о Firefox и Claude Mythos. Ранее также сообщалось, что исследователи с помощью модели заявили об обходе защитных механизмов Apple macOS.
Закрытый запуск Mythos вызвал споры в индустрии кибербезопасности. Бывший вице-президент Synopsys Gary McGraw раскритиковал подход Anthropic и заявил, что удержание такого инструмента в узком круге не решает основную проблему. При этом исследователь Google Michał Zalewski считает, что часть ажиотажа вокруг Mythos преувеличена.
Ситуацию осложняют сообщения Bloomberg о возможном несанкционированном доступе некоторых пользователей к модели. Anthropic на тот момент отрицала наличие доказательств такого доступа, но заявляла, что изучает ситуацию. Похожий вопрос контроля над AI-инструментами поднимался и в других проектах, например в истории о том, как RPCS3 запретил автономные AI-агенты в своём репозитории.
Главный вывод из этой истории не только в количестве найденных багов. Mythos показывает, что AI может резко ускорить поиск уязвимостей в сложном ПО, но одновременно ставит вопрос о доступе: такие инструменты полезны защитникам, однако при неправильном использовании могут усилить и атакующую сторону.
