Claude Mythos: Как ИИ меняет ландшафт кибербезопасности и создает новые вызовы

Революция в кибербезопасности: Anthropic представляет результаты проекта Glasswing

Компания Anthropic, известный разработчик систем искусственного интеллекта, представила первые результаты своего амбициозного проекта Glasswing. За短短 месяц тестирования нейросеть Claude Mythos-preview обнаружила более 10,000 серьезных и критических уязвимостей в ключевом мировом программном обеспечении. Скорость поиска уязвимостей выросла на порядок, что привело к неожиданной проблеме — нехватке разработчиков для своевременного выпуска исправлений.

Цель проекта Glasswing: опередить злоумышленников

Инициатива Glasswing стартовала месяц назад с участием 50 партнеров компании, включая технологических гигантов и финансовые учреждения. Основная цель проекта — найти и закрыть бреши в критической инфраструктуре до того, как мощные генеративные модели окажутся в руках злоумышленников. Этот подход отражает новую парадигму в кибербезопасности, где ИИ используется как для защиты, так и для поиска уязвимостей.

Сдвиг парадигмы: от поиска к исправлениям

Работа Mythos-preview выявила фундаментальную слабость в текущем цикле кибербезопасности. Раньше основное ограничение заключалось в скорости, с которой исследователи могли находить новые баги. Теперь индустрия столкнулась с противоположной проблемой — переизбытком уязвимостей, которые необходимо проверять, документировать и устранять.

Партнеры проекта сообщают о десятикратном росте числа найденных ошибок по сравнению с предыдущими методами:

• Cloudflare выявила 2000 багов (400 из которых высокого или критического уровня) в своих основных системах. Особенно值得注意的是, что доля ложных срабатываний, по оценке инженеров платформы, оказалась ниже, чем у тестировщиков-людей, что указывает на высокую точность ИИ-анализа.
• Mozilla с помощью новой нейросети обнаружила и закрыла 271 уязвимость в браузере Firefox 150. Для сравнения, в версии Firefox 148 предыдущая модель Claude Opus 4.6 нашла почти в десять раз меньше ошибок, демонстрируя значительный прогресс в capabilities.
• Институт безопасности ИИ Великобритании подтвердил, что продукт Anthropic стал первой моделью, успешно прошедшей симуляции многоэтапных кибератак от начала до конца, включая этап разведки, эксплуатации и скрытия следов.

В банковском секторе нейросеть также продемонстрировала впечатляющие результаты. В одном из банков-партнеров система предотвратила мошеннический перевод на сумму 1,5 миллиона долларов после того, как злоумышленник скомпрометировал почту клиента и сымитировал телефонные звонки. Это показывает практическую ценность технологии не только для поиска уязвимостей, но и для защиты в реальном времени.

Проблемы открытого кода: уязвимости и медленные исправления

Помимо проприетарного программного обеспечения, команда Anthropic провела масштабное сканирование более 1000 проектов с открытым исходным кодом. Mythos-preview отметила 6202 уязвимости как критические или серьезные. Независимый аудит подтвердил, что 62,4% из проверенных находок действительно представляют высокую угрозу, что говорит о высокой точности модели.

Среди обнаруженных проблем особенно выделяется критическая уязвимость (CVE-2026-5194) в криптографической библиотеке wolfSSL, которая используется в миллиардах устройств по всему миру. Система Anthropic не только обнаружила эту уязвимость, но и сгенерировала работающий эксплойт, позволяющий злоумышленнику подделывать сертификаты и создавать неотличимые для пользователя копии сайтов банков или почтовых сервисов. К счастью, брешь уже была закрыта разработчиками библиотеки.

Однако общий процесс устранения ошибок в open-source проектах идет крайне медленно. Мейнтейнеры открытых проектов физически не справляются с потоком сложных отчетов от ИИ. Некоторые разработчики прямо попросили Anthropic замедлить публикацию данных, так как в среднем на выпуск одного исправления уходит две недели. По состоянию на момент публикации отчета, из 530 переданных авторам критических уязвимостей были закрыты только 75.

Практические советы для open-сообщества:

• Создавать специализированные команды для быстрого реагирования на уязвимости, обнаруженные ИИ
• Разрабатывать автоматизированные системы проверки и применения патчей
• Устанавливать приоритеты для исправлений на основе критичности и потенциального воздействия
• Участвовать в программах bug bounty для привлечения дополнительной экспертизы

Корпоративное решение: Claude Security

Учитывая потенциальные риски, Anthropic пока отказывается выпускать модели класса Mythos в открытый доступ. По заявлению представителей платформы, на сегодняшний день ни у кого на рынке нет защитных механизмов, способных предотвратить использование таких систем для массированного взлома и создания сложных кибероружия.

Вместо публичного релиза компания запустила сервис Claude Security в стадии публичной бета-тестирования для корпоративных клиентов. Инструмент работает на базе предыдущего поколения — Claude Opus 4.7 и помогает бизнесам искать бреши в собственном коде. За первые три недели работы сервис компании-клиенты смогли закрыть более 2100 уязвимостей. Корпоративный сегмент демонстрирует более высокую эффективность по сравнению с open-source сообществом, так как штатные команды чинят собственный продукт, а не полагаются на добровольцев.

Преимущества Claude Security для бизнеса:

• Снижение риска кибератак и утечек данных
• Соответствие требованиям регуляторов в области защиты информации
• Экономия ресурсов на ручном тестировании кода
• Повышение доверия клиентов к бренду

Будущее кибербезопасности: вызовы и возможности

Разрыв между мгновенным поиском брешей искусственным интеллектом и долгим ручным исправлением создает опасное окно для атак. Если модель уровня Mythos попадет в открытый доступ до того, как инфраструктура научится быстро развертывать патчи, хакеры получат непропорциональное преимущество над защитниками.

В то же время, технология Anthropic открывает новые возможности для проактивной кибербезопасности. Компании могут использовать подобные ИИ-системы для:

• Регулярного аудита кода с выявлением потенциальных уязвимостей на ранних стадиях разработки
• Симуляции атак для тестирования систем защиты
• Автоматического генерация тестов для покрытия новых уязвимостей
• Мониторинга в реальном времени для обнаружения аномальной активности

Проект Glasswing демонстрирует, что ИИ способен не только угрожать кибербезопасности, но и стать мощным инструментом для ее укрепления. Ключевым фактором успеха будет способность индустрии адаптироваться к новым реалиям и развивать методы защиты в соответствии с растущими возможностями атакующих технологий.