קלוד מיתוס חשף 231 חולשות במוצרי מיקרוסופט בתוך חודש — והטלאים לא עומדים בקצב

Mythos פועל במסגרת Project Glasswing — יוזמה של Anthropic ושותפותיה שמטרתה לאתר ולתקן חולשות בתוכנות חיוניות לפני שתוקפים יוכלו לנצל אותן. היקף הממצאים אילץ את מיקרוסופט לרכז את משאביה בפגמים הקריטיים והחשובים ביותר, בעוד שחולשות ברמת חומרה בינונית עשויות להמתין זמן רב יותר לטיפול .

במבט רחב יותר, Anthropic מסרה כי מאז השקת Glasswing זוהו באמצעות Mythos יותר מ-10,000 חולשות בדרגת חומרה גבוהה או קריטית בתוכנות בעלות חשיבות מערכתית ברחבי העולם . בלוח החשיפה המתואמת של Anthropic נרשמו, נכון ל-22 במאי 2026, 23,019 ממצאים שעברו תהליך מיון, ומתוכם 1,900 מועמדים שתועדפו לבדיקה; 1,596 חולשות פורסמו ב-281 פרויקטי קוד פתוח .

מיקרוסופט מתמודדת עם משבר תיעדוף

הפער בין גילוי החולשה לבין תיקונה מתואר כמשבר תיעדוף עמוק: Mythos מאתר בעיות מהר יותר מצוותי האבטחה האנושיים, שצריכים לשחזר את התקלה, להעריך את הסיכון, לכתוב תיקון ולבדוק אותו לפני הפצה .

במצגות פנימיות של מיקרוסופט הוכר, לפי הדיווחים, כי החברה אינה מצליחה להדביק את קצב הגילוי שמייצר Mythos . לפי אחד השקפים, החברה מתכננת לטפל בהמשך גם בחולשות בדרגת חומרה בינונית, אך בשלב המיידי מתמקדת בחולשות קריטיות וחשובות .

עדכון האבטחה הגדול בתולדות מיקרוסופט

ב-14 ביולי 2026 פרסמה מיקרוסופט את עדכון Patch Tuesday הגדול ביותר בתולדות התוכנית. לפי ספירת Microsoft Security Update Guide שנותחה על ידי CrowdStrike, העדכון כלל 622 חולשות — בערך פי שלושה ממספר החולשות ביוני וכמעט פי חמישה מהממוצע החודשי . מקורות אבטחה אחרים ספרו 569–622 חולשות, בהתאם לשיטת הספירה ולרכיבים שנכללו .

העדכון כלל:

• 59 חולשות בדירוג קריטי
• שלוש חולשות מסוג zero-day — שתיים מהן, CVE-2026-56155 ב-Active Directory Federation Services ו-CVE-2026-56164 ב-SharePoint Server, נוצלו באופן פעיל עוד לפני שהיו להן טלאים
• 416 חולשות ב-Windows, לצד תיקונים ב-Office, SharePoint, Azure, Hyper-V ו-Visual Studio

חברת CrowdStrike ציינה כי העדכון מחזק את ההערכה שתקופת עדכוני האבטחה ה״קטנים״ של יום שלישי עשויה להסתיים, ככל שגילוי החולשות באמצעות בינה מלאכותית מתרחב . כבר חודש קודם לכן, עדכון יוני 2026 שבר את השיא הקודם עם 206 חולשות .

גם תשתיות קריטיות נכנסות לטווח של Mythos

ביוני 2026 הצטרפה Hitachi ל-Project Glasswing וקיבלה גישה ל-Claude Mythos Preview לצורך בדיקת תוכנות לתשתיות חברתיות, ובמיוחד מערכות הקשורות לתחום האנרגיה .

ב-28 ביולי דיווחה החברה כי Mythos קיצר משמעותית תהליכי אימות אבטחה שנמשכו בעבר שבועות. המודל סייע ליצור מודלי איומים עבור מיליוני שורות קוד, והדגים — לפי Hitachi — אפשרות מעשית לשימוש ביכולותיו בתשתיות קריטיות .

המשמעות היא שגילוי אוטומטי אינו מוגבל עוד לאפליקציות ואתרי אינטרנט. הוא מגיע גם לתוכנות שמפעילות מערכות חיוניות, שבהן תיקון מהיר עלול להיות מורכב יותר בגלל דרישות זמינות, בדיקות בטיחות ומגבלות רגולטוריות.

אזהרת Five Eyes: ״לא שנים — חודשים״

ב-22 ביוני 2026 פרסמה ברית המודיעין Five Eyes — ארצות הברית, בריטניה, קנדה, אוסטרליה וניו זילנד — הצהרה ציבורית משותפת וחריגה על הסיכון הנשקף מיכולות AI מתקדמות .

בהצהרה נכתב כי מודלי AI בחזית הטכנולוגיה צפויים לשנות מהותית את יכולות ההתקפה וההגנה במרחב הקיברנטי, וכי ״לוח הזמנים אינו שנים, אלא חודשים״ . ההצהרה עצמה לא נקבה בשם של חברה או מודל מסוים, אך רויטרס וכלי תקשורת נוספים קישרו את הדחיפות גם לחששות סביב Mythos .

האזהרה פורסמה כמה שבועות לאחר שהממשל האמריקאי בתקופת טראמפ הורה ל-Anthropic להגביל את הגישה של אזרחים זרים למודלי Mythos ו-Fable .

הבעיה החדשה: לא למצוא חולשות, אלא לתקן אותן

האירועים האחרונים חושפים חוסר התאמה בסיסי בין מהירות הגילוי של AI לבין קצב התיקון האנושי:

• פער במהירות הטלאים: AI מסוגל לאתר פגמים בקצב מכונה, אך מיון, אימות ופיתוח תיקונים עדיין נשענים במידה רבה על תהליכים ידניים .
• סיכון להצטברות: אלפי חולשות חמורות יוצרות עומס שמחייב צוותים לקבל החלטות תיעדוף כמעט בלתי אפשריות, ומשאיר חלק מהמערכות חשופות .
• שבריריות של תשתיות: בתשתיות אנרגיה ובמערכות תעשייתיות, התקנת עדכון עלולה להיות איטית ומורכבת יותר בשל הצורך לשמור על פעילות רציפה .
• פער בין הגנה להתקפה: היכולת שמשמשת את Project Glasswing להגנה יכולה, בתרחיש אחר, לשמש תוקפים ולשנות את מאזן הכוחות במבצעי סייבר .

המשפט שמסכם את השינוי הוא פשוט: בעבר החשש המרכזי היה שלא נמצא את כל החולשות. כעת החשש הוא שנמצא אותן מהר יותר מכפי שנוכל לתקן אותן.

מה ארגונים צריכים לעשות עכשיו?

בהמלצת Five Eyes נכללו חמישה צעדים מעשיים לעסקים: לצמצם את שטח התקיפה, להתקין עדכונים מהר יותר, להניח שחדירה אפשרית, להשקיע בזיהוי ובתגובה ולחזק את תשתיות הזהות וההרשאות .

עבור צוותי אבטחה ארגוניים, המשמעות היא שתוכניות ניהול החולשות — שנבנו לעולם שבו הגילוי היה בקצב אנושי — צריכות להשתנות. עדכונים אוטומטיים ככל האפשר, מיון בסיוע AI ותיעדוף המבוסס על סיכון אינם עוד שדרוגים נחמדים; הם הופכים לתנאי בסיס להתמודדות.

Claude Mythos הוכיח ש-AI יכול לגלות חולשות בהיקף ובמהירות חסרי תקדים. השאלה הגדולה כעת היא אם תעשיית הסייבר העולמית תצליח לבנות גם את היכולת לתקן אותן באותו קצב.