पैच के 31 मिनट बाद ही एक्सप्लॉइट तैयार: एंथ्रोपिक की मिथोस AI ने सॉफ्टवेयर सुरक्षा का खेल बदल दिया

जून 2026 में, एंथ्रोपिक की फ्रंटियर रेड टीम ने अपने सीमित उपयोग वाले क्लॉड मिथोस प्रीव्यू मॉडल की एक नई और बेहद चिंताजनक क्षमता का खुलासा किया: सार्वजनिक रूप से सामने आए सॉफ्टवेयर पैच को पढ़कर और उन्हें अपने आप काम करने वाले हमलावर प्रोग्राम (एक्सप्लॉइट) में कुछ ही मिनटों में बदलने की क्षमता। एक्सियोस के साथ विशेष रूप से साझा किए गए इस शोध ने मिथोस का परीक्षण N-डे कमजोरियों पर किया—यानी वे खामियां जिन्हें वेंडर तो पैच कर चुके हैं, लेकिन ज्यादातर संगठनों ने अभी तक लागू नहीं किया था। नतीजों ने सिर्फ मौजूदा टाइमलाइन को नहीं तोड़ा; उन्होंने उन्हें पूरी तरह से खत्म ही कर दिया ।

रेड टीम के नतीजे: फायरफॉक्स और विंडोज कर्नेल

एंथ्रोपिक की रेड टीम ने मिथोस को 18 हाल ही में सामने आए फायरफॉक्स सुरक्षा पैच और 21 विंडोज कर्नेल पैच दिए—ये सभी मॉडल की ट्रेनिंग कटऑफ तारीख के बाद जारी किए गए थे—और इसे काम करने वाले एक्सप्लॉइट बनाने का निर्देश दिया। फायरफॉक्स की 18 खामियों में से, मिथोस ने बिना किसी मानवीय हस्तक्षेप के 8 काम करने वाले कोड-एक्जीक्यूशन एक्सप्लॉइट अपने आप तैयार कर दिए। विंडोज कर्नेल के मामले में, जहां सोर्स कोड उपलब्ध नहीं है, इसने 8 पूर्ण एक्सप्लॉइट चेन बनाईं जिन्होंने एक लो-प्रिविलेज यूजर को पूरे SYSTEM नियंत्रण तक पहुंचा दिया ।

गति ने सबका ध्यान खींचा: मिथोस ने अपना पहला विंडोज प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट महज 31 मिनट में तैयार किया और अंततः लगभग 12 घंटों में आठ अलग-अलग एक्सप्लॉइट बना डाले । इसे परिप्रेक्ष्य में रखें तो, उद्योगों में पैच लगाने की औसत अवधि लगभग 70 दिन है, जो 2022 से अपरिवर्तित है, जबकि मिथोस ने हथियार बनाने की इस प्रक्रिया को एक घंटे से भी कम समय में समेट दिया। यह असंतुलन एक ऐसा ढांचागत 'पैच गैप' पैदा करता है, जिसे विश्लेषक कह रहे हैं: रक्षक भौतिक रूप से उतनी तेजी से सुधार स्थापित नहीं कर सकते, जितनी तेजी से एआई-जनित एक्सप्लॉइट तैनात किए जा सकते हैं ।

इसका व्यापक निहितार्थ यह है कि पारंपरिक N-डे विंडो—वह हफ्तों या महीनों का समय जिस पर रक्षक पैच जारी होने और एक्सप्लॉइट उपलब्ध होने के बीच भरोसा करते थे—प्रभावी रूप से ढह गया है ।

माइक्रोसॉफ्ट की एक्सप्लॉइटेबिलिटी रेटिंग अब भरोसे लायक नहीं

एक अलग लेकिन संबंधित मूल्यांकन में, मिथोस ने उन 14 विंडोज बग में से 13 को ट्रिगर किया जिन्हें माइक्रोसॉफ्ट ने "एक्सप्लॉइट होने की संभावना नहीं" के रूप में वर्गीकृत किया था, और उनमें से एक बग से पूर्ण सिस्टम नियंत्रण भी हासिल कर लिया । माइक्रोसॉफ्ट की "कम एक्सप्लॉइटेबिलिटी" रेटिंग वर्तमान में गंभीर बगों के भी 80 से 90 प्रतिशत को कवर करती है, जिसका मतलब है कि जिन कमजोरियों को सुरक्षा टीमें अत्यावश्यक मानती हैं, उनके सेट को लगभग 5 गुना तक बढ़ाने की जरूरत पड़ सकती है । यह रेटिंग प्रणाली, जो एक ऐसी दुनिया के लिए डिजाइन की गई थी जहां एक्सप्लॉइट डेवलपमेंट में विशेषज्ञ मानवीय श्रम के हफ्तों लगते थे, अब मिनटों में वही काम करने वाले स्वायत्त एआई के खतरे को कम करके आंकती है।

हमले की लागत का अर्थशास्त्र पलट गया

एंथ्रोपिक के खुलासे में सबसे असहज करने वाली संख्याओं में से एक लागत है। अलग-अलग जीरो-डे खोज के रन की लागत प्रति सफल प्रयास 50 डॉलर से भी कम आई। एक संपूर्ण ओपनबीएसडी स्कैनिंग अभियान—हजारों रनों पर—लगभग 20,000 डॉलर का पड़ा और इसने कई गंभीर कमजोरियों को उजागर किया, जिसमें ओपनबीएसडी के टीसीपी स्टैक में 27 साल पुराना एक बग भी शामिल था । लिनक्स कर्नेल N-डे रूट एक्सप्लॉइट 2,000 डॉलर से भी कम में बनाए गए । एंथ्रोपिक के संपूर्ण रेड टीम अभियान की लागत पूरे कोडबेस की जांच के लिए 20,000 डॉलर से काफी नीचे रही ।

ये किसी राष्ट्र-राज्य के बजट नहीं हैं। ये एक व्यक्तिगत डेवलपर या छोटी टीम के बजट हैं, जिसका मतलब है कि जिस क्षण एआई क्षमताओं में तेज उछाल आया है, ठीक उसी क्षण जटिल भेद्यता खोज और एक्सप्लॉइट विकास की बाधा नाटकीय रूप से गिर गई है ।

मॉडल पृष्ठभूमि और प्रतिबंधित पहुंच

एंथ्रोपिक ने 7-8 अप्रैल, 2026 को क्लॉड मिथोस प्रीव्यू का खुलासा किया, और इसे एक ऐसा फ्रंटियर मॉडल बताया जो हर प्रमुख ऑपरेटिंग सिस्टम और वेब ब्राउज़र में जीरो-डे कमजोरियों को अपने आप खोज और उनका फायदा उठा सकता है, और इसने हजारों गंभीर बग ढूंढे, जिनमें वे खामियां भी शामिल हैं जो दशकों की विशेषज्ञ समीक्षा से बची रहीं । अत्यधिक दोहरे उपयोग (रक्षात्मक और आक्रामक दोनों) के जोखिम के कारण, एंथ्रोपिक ने मिथोस को सार्वजनिक रूप से जारी नहीं किया। इसके बजाय, इसने प्रोजेक्ट ग्लासविंग बनाया, जो एक नियंत्रित साइबर सुरक्षा पहल है, जो शुरुआत में एडब्ल्यूएस, एप्पल, सिस्को, गूगल, माइक्रोसॉफ्ट, जेपी मॉर्गन और लिनक्स फाउंडेशन सहित लगभग 50 साझेदार संगठनों तक सीमित थी ।

जून 2026 तक, ग्लासविंग का विस्तार ऑस्ट्रेलिया, ब्रिटेन और कई यूरोपीय संघ और एशियाई देशों की राष्ट्रीय सुरक्षा एजेंसियों सहित 15 से अधिक देशों के लगभग 150 संगठनों तक हो रहा है । भागीदारों को निष्कर्षों के सार्वजनिक होने से पहले 90 दिनों की एक विशेष पैच विंडो मिलती है । मई 2026 के अंत तक, मिथोस ने सिस्टम रूप से महत्वपूर्ण सॉफ्टवेयर में 10,000 से अधिक हाई या क्रिटिकल-सीवियरिटी कमजोरियां ढूंढ ली थीं ।

अकेले मोज़िला के एंथ्रोपिक के साथ सहयोग के परिणामस्वरूप फायरफॉक्स 150 में 271 जीरो-डे कमजोरियां पाई गईं और उन्हें ठीक किया गया—जो ब्राउज़र के इतिहास में सबसे बड़ा एकल सुरक्षा सुधार बैच है ।

रक्षात्मक और नीतिगत प्रतिक्रियाएं

उद्योग की प्रतिक्रिया: सिस्को अन्य प्रमुख तकनीकी और साइबर सुरक्षा फर्मों के साथ प्रारंभिक ग्लासविंग साझेदार समूह में शामिल हुआ, और अपने और ओपन-सोर्स सॉफ्टवेयर में रक्षात्मक भेद्यता खोज के लिए मिथोस तक जल्दी पहुंच प्राप्त की । मोज़िला की एंथ्रोपिक के साथ आंतरिक साझेदारी मिथोस के पूर्ण रोलआउट से पहले ही शुरू हो गई थी, और परिणामों—271 जीरो-डे पैच—ने जिम्मेदारी से उपयोग किए जाने पर इसकी रक्षात्मक क्षमता का प्रदर्शन किया ।

ट्रंप प्रशासन: नीतिगत प्रतिक्रिया उथल-पुथल भरी रही। अप्रैल 2026 में, राष्ट्रीय साइबर निदेशक शॉन केयर्नक्रॉस ने एजेंसियों तक पहुंच बनाने का नेतृत्व किया, लेकिन सीआईएसए (CISA) की फंडिंग में कटौती और आंतरिक राजनीतिक लड़ाइयों ने समन्वय को जटिल बना दिया । 21 मई को, ट्रंप ने एक नियोजित कार्यकारी आदेश को रद्द कर दिया, जिसमें एआई प्रयोगशालाओं को सार्वजनिक रिलीज से 90 दिन पहले सरकारी समीक्षा के लिए फ्रंटियर मॉडल जमा करने की आवश्यकता होती, और संवाददाताओं से कहा कि वह नहीं चाहते कि कोई भी चीज चीन पर अमेरिका की बढ़त को धीमा करे ।

दो हफ्ते से भी कम समय बाद, 3 जून को, ट्रंप ने एआई इनोवेशन और साइबर सुरक्षा पर एक संशोधित कार्यकारी आदेश पर हस्ताक्षर किए, जिसने नए फ्रंटियर मॉडल के लिए 30-दिवसीय स्वैच्छिक समीक्षा ढांचा तैयार किया—यह खारिज किए गए 90-दिवसीय जनादेश से हल्का था, लेकिन फिर भी इस बात की मान्यता थी कि यथास्थिति अपर्याप्त थी ।

इस बीच, अप्रैल की चेतावनियों के बाद ट्रेजरी, फेडरल रिजर्व और ऑफिस ऑफ मैनेजमेंट एंड बजट सहित प्रशासनिक एजेंसियों ने मिथोस तक पहुंच सुरक्षित करने के लिए तेजी दिखाई, और ट्रेजरी को आपातकालीन ब्रीफिंग प्राप्त हुई, हालांकि ट्रंप ने पहले एंथ्रोपिक तकनीक का उपयोग बंद करने का निर्देश दिया था ।

कांग्रेस: ओपनएआई और एंथ्रोपिक ने एआई-संचालित साइबर खतरों पर हाउस होमलैंड सिक्योरिटी कमेटी के साथ बंद दरवाजे के पीछे ब्रीफिंग की, जो कांग्रेस के कर्मचारियों के लिए समर्पित एआई साइबर सुरक्षा खतरे की पहली ब्रीफिंग में से कुछ थीं ।

डिफेंडर्स के लिए इसका क्या मतलब है

मूल निहितार्थ स्पष्ट है: वह दौर जब एक पैच जारी होने से रक्षकों को हफ्तों की राहत की सांस मिलती थी, अब खत्म हो गया है, कम से कम फ्रंटियर एआई तक पहुंच रखने वाले विरोधियों के खिलाफ तो बिल्कुल। विषमता बहुत स्पष्ट है—उद्यमों को पैच लगाने में अब भी लगभग 70 दिन लगते हैं, जबकि एआई एक घंटे से भी कम समय में उन्हीं खामियों को हथियार बना सकता है। संगठनों को अब यह पुनर्विचार करने के लिए मजबूर होना पड़ रहा है कि वे किन कमजोरियों को अत्यावश्यक मानते हैं, वे पैचिंग को कैसे प्राथमिकता देते हैं, और क्या उनकी भेद्यता प्रबंधन की गति एक ऐसी दुनिया में जीवित रह सकती है जहां एक्सप्लॉइट विकास सस्ता, तेज और स्वचालित हो गया है।