Modellen er specifikt optimeret til at ræsonnere om kode, identificere svagheder og i nogle tilfælde generere fungerende exploits, der demonstrerer alvoren af disse fejl.

Fordi sådanne kapabiliteter også kan hjælpe angribere, valgte Anthropic en kontrolleret udrulning gennem partnerorganisationer frem for et offentligt API-release.

Resultater efter én måned: Over 10.000 sårbarheder

Anthropics første opdatering om programmet rapporterede usædvanligt storstilede resultater:

• Over 10.000 høj- eller kritiske sårbarheder fundet samlet af Anthropic og cirka 50 partnerorganisationer.
• Hundredvis af alvorlige sårbarheder pr. partner fundet i løbet af den første måneds brug.
• Flere organisationer rapporterede, at deres fejlfindingsrate var steget med over 10 gange efter brug af systemet.

Et eksempel, som Anthropic fremhæver, er Cloudflare, som rapporterede at have fundet omkring 2.000 fejl – herunder 400 høj- eller kritiske – på tværs af deres kerneservices ved hjælp af modellen.

Disse tal tyder på, at systemet kan gøre det muligt for sikkerhedsteams at analysere store kodebaser langt hurtigere end med traditionel manuel gennemgang.

Benchmark-præstationer og tekniske egenskaber

Eksterne evalueringssignaler peger også på en stærk præstation inden for cybersikkerhed.

Det britiske AI Security Institute (AISI) har angiveligt bekræftet, at Claude Mythos Preview løste 73% af ekspert-niveau capture-the-flag-udfordringer, en benchmark, der bruges til at teste virkelige evner til at finde sårbarheder.

Anthropic og relaterede analyser beskriver også flere egenskaber:

• Opdagelse af tidligere ukendte zero-day-sårbarheder i operativsystemer og browsere.
• Sammenkædning af flere sårbarheder for at opnå rettighedseskalering eller systemkompromittering.
• Automatisk generering af fungerende exploit-kode for at demonstrere, hvordan fejl kan misbruges.

Disse evner rækker ud over simpel statisk analyse og ind i opgaver, der traditionelt udføres af elite-sikkerhedsforskere.

Eksempler på fundne sårbarheder

Selvom de fleste fund forbliver hemmelige, mens der koordineres rettelser, er der rapporteret om nogle få eksempler.

Ifølge rapporter, der opsummerer Anthropics påstande, identificerede modellen:

• En 27 år gammel sårbarhed i OpenBSD-kernen relateret til TCP SACK-indstillinger.
• En 16 år gammel fejl i FFmpeg, som havde overlevet millioner af automatiserede tests uden at blive opdaget.
• Kæder af sårbarheder i Linux-kernen, der muliggjorde rettighedseskalering fra en almindelig bruger til fuld systemkontrol.

Anthropic har sagt, at de ikke kan oplyse detaljer om langt de fleste opdagelser endnu, fordi over 99% af de sårbarheder, de fandt, ikke er blevet offentligt rettet.

Hvilke virksomheder er involveret

Project Glasswing fungerer som en koalition af teknologivirksomheder, infrastrukturudbydere og sikkerhedsorganisationer.

Rapporterede lanceringspartnere inkluderer:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Sammen med Anthropic selv og snesevis af yderligere organisationer omfatter programmet omkring 50 partnere i alt.

Disse partnere kører modellen mod deres egen software og kritisk open source-infrastruktur for at identificere sårbarheder, der derefter kan rettes.

Hvorfor modellen ikke er offentligt udgivet

Anthropic har understreget, at Mythos bevidst er begrænset, fordi de samme kapabiliteter, der er nyttige til forsvar, også kan muliggøre storstilede cyberangreb.

Hvis et system, der automatisk kan opdage og udnytte zero-day-sårbarheder, blev bredt tilgængeligt, ville det kunne sænke barren for offensive cyberoperationer dramatisk.

Den kontrollerede partnermodel har til formål at rette så mange sårbarheder som muligt, før lignende kapabiliteter bliver bredt tilgængelige.

Kritik og skepsis fra sikkerhedseksperter

På trods af de imponerende overskrifter er der flere punkter, hvor cybersikkerhedsmiljøet udviser skepsis.

1. Begrænset uafhængig verifikation
Størstedelen af de storstilede resultater – som de 10.000 sårbarheder – kommer fra Anthropics egen rapportering eller resuméer, der gentager disse påstande. Fordi sårbarhederne for det meste ikke er offentliggjort, kan eksterne forskere endnu ikke evaluere dem direkte.

2. Muligt overlap med eksisterende værktøjer
Nogle forskere argumenterer for, at lignende evner til at finde sårbarheder allerede kan opnås med kombinationer af eksisterende offentlige modeller og værktøjer, hvilket antyder, at Mythos måske mere er en acceleration end en fundamentalt ny kapabilitet.

3. Svært at måle valideringsrater i den virkelige verden
Selvom benchmark-resultater som 73% i capture-the-flag-udfordringer eksisterer, er der endnu ikke offentliggjort detaljerede statistikker over, hvor mange AI-identificerede fejl der blev bekræftet og rettet i rigtige produktionssystemer.

Bottom line

Hvis Anthropics rapporterede tal holder stik under bredere verifikation, repræsenterer Project Glasswing en af de største AI-assisterede sårbarhedsopdagelsesindsatser, der nogensinde er gennemført. Alene i den første måned har programmet angiveligt afsløret over 10.000 alvorlige sikkerhedsfejl på tværs af kritiske softwaresystemer.

Men fordi de fleste sårbarheder forbliver uoplyste under koordineret rettelse, mangler sikkerhedssamfundet stadig omfattende uafhængig validering af disse resultater.

Hvad der er klart, er, at AI-systemer bliver kraftfulde værktøjer til software-sikkerhedsforskning – i stand til at scanne komplekse kodebaser, identificere subtile sårbarheder og endda generere fungerende exploits. Om Mythos repræsenterer et unikt gennembrud eller blot den førende kant af en bredere tendens inden for AI-drevet sikkerhedsanalyse, er et spørgsmål, som industrien sandsynligvis vil besvare i løbet af de næste par år.

Modellen er specifikt optimeret til at ræsonnere om kode, identificere svagheder og i nogle tilfælde generere fungerende exploits, der demonstrerer alvoren af disse fejl.

Fordi sådanne kapabiliteter også kan hjælpe angribere, valgte Anthropic en kontrolleret udrulning gennem partnerorganisationer frem for et offentligt API-release.

Resultater efter én måned: Over 10.000 sårbarheder

Anthropics første opdatering om programmet rapporterede usædvanligt storstilede resultater:

• Over 10.000 høj- eller kritiske sårbarheder fundet samlet af Anthropic og cirka 50 partnerorganisationer.
• Hundredvis af alvorlige sårbarheder pr. partner fundet i løbet af den første måneds brug.
• Flere organisationer rapporterede, at deres fejlfindingsrate var steget med over 10 gange efter brug af systemet.

Et eksempel, som Anthropic fremhæver, er Cloudflare, som rapporterede at have fundet omkring 2.000 fejl – herunder 400 høj- eller kritiske – på tværs af deres kerneservices ved hjælp af modellen.

Disse tal tyder på, at systemet kan gøre det muligt for sikkerhedsteams at analysere store kodebaser langt hurtigere end med traditionel manuel gennemgang.

Benchmark-præstationer og tekniske egenskaber

Eksterne evalueringssignaler peger også på en stærk præstation inden for cybersikkerhed.

Det britiske AI Security Institute (AISI) har angiveligt bekræftet, at Claude Mythos Preview løste 73% af ekspert-niveau capture-the-flag-udfordringer, en benchmark, der bruges til at teste virkelige evner til at finde sårbarheder.

Anthropic og relaterede analyser beskriver også flere egenskaber:

• Opdagelse af tidligere ukendte zero-day-sårbarheder i operativsystemer og browsere.
• Sammenkædning af flere sårbarheder for at opnå rettighedseskalering eller systemkompromittering.
• Automatisk generering af fungerende exploit-kode for at demonstrere, hvordan fejl kan misbruges.

Disse evner rækker ud over simpel statisk analyse og ind i opgaver, der traditionelt udføres af elite-sikkerhedsforskere.

Eksempler på fundne sårbarheder

Selvom de fleste fund forbliver hemmelige, mens der koordineres rettelser, er der rapporteret om nogle få eksempler.

Ifølge rapporter, der opsummerer Anthropics påstande, identificerede modellen:

• En 27 år gammel sårbarhed i OpenBSD-kernen relateret til TCP SACK-indstillinger.
• En 16 år gammel fejl i FFmpeg, som havde overlevet millioner af automatiserede tests uden at blive opdaget.
• Kæder af sårbarheder i Linux-kernen, der muliggjorde rettighedseskalering fra en almindelig bruger til fuld systemkontrol.

Anthropic har sagt, at de ikke kan oplyse detaljer om langt de fleste opdagelser endnu, fordi over 99% af de sårbarheder, de fandt, ikke er blevet offentligt rettet.

Hvilke virksomheder er involveret

Project Glasswing fungerer som en koalition af teknologivirksomheder, infrastrukturudbydere og sikkerhedsorganisationer.

Rapporterede lanceringspartnere inkluderer:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Sammen med Anthropic selv og snesevis af yderligere organisationer omfatter programmet omkring 50 partnere i alt.

Disse partnere kører modellen mod deres egen software og kritisk open source-infrastruktur for at identificere sårbarheder, der derefter kan rettes.

Hvorfor modellen ikke er offentligt udgivet

Anthropic har understreget, at Mythos bevidst er begrænset, fordi de samme kapabiliteter, der er nyttige til forsvar, også kan muliggøre storstilede cyberangreb.

Hvis et system, der automatisk kan opdage og udnytte zero-day-sårbarheder, blev bredt tilgængeligt, ville det kunne sænke barren for offensive cyberoperationer dramatisk.

Den kontrollerede partnermodel har til formål at rette så mange sårbarheder som muligt, før lignende kapabiliteter bliver bredt tilgængelige.

Kritik og skepsis fra sikkerhedseksperter

På trods af de imponerende overskrifter er der flere punkter, hvor cybersikkerhedsmiljøet udviser skepsis.

1. Begrænset uafhængig verifikation
Størstedelen af de storstilede resultater – som de 10.000 sårbarheder – kommer fra Anthropics egen rapportering eller resuméer, der gentager disse påstande. Fordi sårbarhederne for det meste ikke er offentliggjort, kan eksterne forskere endnu ikke evaluere dem direkte.

2. Muligt overlap med eksisterende værktøjer
Nogle forskere argumenterer for, at lignende evner til at finde sårbarheder allerede kan opnås med kombinationer af eksisterende offentlige modeller og værktøjer, hvilket antyder, at Mythos måske mere er en acceleration end en fundamentalt ny kapabilitet.

3. Svært at måle valideringsrater i den virkelige verden
Selvom benchmark-resultater som 73% i capture-the-flag-udfordringer eksisterer, er der endnu ikke offentliggjort detaljerede statistikker over, hvor mange AI-identificerede fejl der blev bekræftet og rettet i rigtige produktionssystemer.

Bottom line

Hvis Anthropics rapporterede tal holder stik under bredere verifikation, repræsenterer Project Glasswing en af de største AI-assisterede sårbarhedsopdagelsesindsatser, der nogensinde er gennemført. Alene i den første måned har programmet angiveligt afsløret over 10.000 alvorlige sikkerhedsfejl på tværs af kritiske softwaresystemer.

Men fordi de fleste sårbarheder forbliver uoplyste under koordineret rettelse, mangler sikkerhedssamfundet stadig omfattende uafhængig validering af disse resultater.

Hvad der er klart, er, at AI-systemer bliver kraftfulde værktøjer til software-sikkerhedsforskning – i stand til at scanne komplekse kodebaser, identificere subtile sårbarheder og endda generere fungerende exploits. Om Mythos repræsenterer et unikt gennembrud eller blot den førende kant af en bredere tendens inden for AI-drevet sikkerhedsanalyse, er et spørgsmål, som industrien sandsynligvis vil besvare i løbet af de næste par år.