Anthropic के Mythos ने क्यों छेड़ी वैश्विक साइबर पैचिंग की दौड़

Anthropic के Claude Mythos Preview ने अप्रैल 2026 में साइबर सुरक्षा की बहस को इसलिए बदल दिया क्योंकि कंपनी का कहना था कि यह मॉडल सिर्फ सॉफ्टवेयर की खामियां पहचानने तक सीमित नहीं है। यह अज्ञात जीरो-डे कमजोरियां खोज सकता है, उन्हें शोषण योग्य तकनीकी घटकों में बदल सकता है और कई खामियों को जोड़कर पूर्ण हमला-श्रृंखला तैयार कर सकता है। ऐसे में बचाव का मूल सवाल सीधा है: क्या संस्थाएं हमलावरों के इस्तेमाल से पहले सुधार खोज, जांच और लागू कर सकती हैं? 3941

पैचिंग अचानक इतनी जरूरी क्यों हुई

पारंपरिक वल्नरेबिलिटी मैनेजमेंट आम तौर पर ज्ञात खामियों पर चलता है: विक्रेता सुधार जारी करता है, संगठन अपने जोखिम का आकलन करता है और फिर पैच लगाने की योजना बनती है। लेकिन अगर कोई सक्षम AI सिस्टम पहले से अज्ञात दोष खोजकर उसके लिए काम करने वाला एक्सप्लॉइट तैयार कर सके, तो छिपी हुई खामी और इस्तेमाल योग्य हमले के बीच का समय घट सकता है।

Anthropic ने कहा कि परीक्षणों में Mythos Preview ने हर प्रमुख ऑपरेटिंग सिस्टम और ब्राउज़र में जीरो-डे खामियां पहचानकर उनका शोषण किया। कंपनी के अनुसार, जटिल खामियों से एक्सप्लॉइट घटक बनाना और उन्हें जोड़कर एंड-टू-एंड हमला-श्रृंखला तैयार करना ही मॉडल को आम रिलीज के बजाय नियंत्रित रूप से तैनात करने का प्रमुख कारण था। 3941

इसीलिए इसे “पैचिंग रेस” कहा जा रहा है। किसी ऐसी खामी को पैच नहीं किया जा सकता जिसका खुलासा ही नहीं हुआ है। फिर भी संगठन जोखिम कम कर सकते हैं—सटीक एसेट इन्वेंट्री रखकर, असमर्थित सॉफ्टवेयर हटाकर, गंभीर अपडेट जल्दी लागू कर, इंटरनेट से खुले सिस्टम को मजबूत बनाकर और थर्ड-पार्टी निर्भरताओं की जांच करके।

बैंकों के लिए यह परिचालन लचीलेपन का सवाल बना

वित्तीय क्षेत्र की प्रतिक्रिया उसके परस्पर जुड़े ढांचे और सेवा बाधित होने या समझौता होने के प्रति कम सहनशीलता को दिखाती है। CNBC के अनुसार, अमेरिकी ट्रेजरी सचिव स्कॉट बेसेंट और फेडरल रिजर्व के अध्यक्ष जेरोम पॉवेल ने बड़े अमेरिकी बैंकों के प्रमुखों से Mythos से जुड़े संभावित साइबर जोखिमों पर बैठक की। 55

Citigroup की CEO जेन फ्रेज़र ने बाद में इसे सीधे संचालन से जुड़ी चुनौती बताया। उनके अनुसार, कंपनियां अपनी सुरक्षा-परिधि मजबूत करने की दौड़ में हैं और दुनिया भर की कंपनियों में पैचिंग की “सुनामी” चल रही है। 49

इस टिप्पणी का अर्थ यह नहीं है कि किसी हमले के लिए Mythos को जिम्मेदार ठहराया गया। अहम बात यह है कि तेज एक्सप्लॉइट-निर्माण की विश्वसनीय संभावना भर से पैच लगाने की गति, बाहरी जोखिम घटाने और रिकवरी की तैयारी बोर्डरूम तक पहुंच गई।

Project Glasswing: रक्षात्मक परीक्षण के लिए सीमित पहुंच

Anthropic ने Mythos Preview को आम उपयोग के लिए उपलब्ध नहीं कराया। इसके बदले उसने Project Glasswing शुरू किया—एक सहयोगी पहल, जिसका घोषित उद्देश्य महत्वपूर्ण सॉफ्टवेयर को सुरक्षित करना और संगठनों को अधिक सक्षम AI-संचालित साइबर क्षमताओं के लिए तैयार करना है। 3942

शुरुआत में लगभग 50 साझेदारों ने अपने कोडबेस में कमजोरियां खोजने के लिए मॉडल का इस्तेमाल किया। Anthropic ने बाद में कहा कि भागीदार संगठनों ने 10,000 से अधिक उच्च या गंभीर-गंभीरता वाली खामियां खोजीं। जून में पहल को 15 से अधिक देशों के करीब 150 संगठनों तक बढ़ाया गया। 4340

दोहरे उपयोग वाली तकनीक के लिए यह एक व्यावहारिक ढांचा है: पहुंच सीमित रखें, उपयोग को रक्षात्मक काम की ओर मोड़ें और समान क्षमता व्यापक होने से पहले मौजूदा सुरक्षा-ऋण कम करें। लेकिन इससे जोखिम खत्म नहीं होता। ऐसे स्वैच्छिक कार्यक्रमों की सफलता प्रतिभागियों की जांच, सुरक्षित संचालन, जिम्मेदार खुलासा और प्रभावित सॉफ्टवेयर के रखरखावकर्ताओं की समय पर सुधार करने की क्षमता पर निर्भर करती है।

Anthropic की मौजूदा Mythos सामग्री में भी पहुंच को कुछ सत्यापित संगठनों तक सीमित बताया गया है। 34

भारत में SEBI ने समन्वित सुरक्षा पर जोर दिया

भारत के पूंजी बाजार नियामक SEBI ने AI-संचालित वल्नरेबिलिटी-पहचान उपकरणों से पैदा होने वाले साइबर जोखिमों का आकलन करने और बचाव की रणनीति बनाने के लिए cyber-suraksha.ai टास्क फोर्स गठित की। रिपोर्टिंग के मुताबिक, विनियमित संस्थाओं को एप्लिकेशन के नवीनतम पैच लगाने, साइबर सुरक्षा ऑडिट कराने और नेटवर्क की नियमित निगरानी करने को कहा गया। टास्क फोर्स का उद्देश्य थ्रेट-इंटेलिजेंस साझा करने और समन्वित जोखिम-न्यूनीकरण में मदद करना भी है। 2329

यह जोर महत्वपूर्ण है। AI की मदद से तेज वल्नरेबिलिटी खोज केवल किसी एक सिक्योरिटी ऑपरेशंस टीम की समस्या नहीं है। बाजार भागीदार साझा इन्फ्रास्ट्रक्चर, सॉफ्टवेयर विक्रेताओं, क्लाउड सेवाओं, API और सेवा प्रदाताओं पर निर्भर हैं। एक संस्था की धीमी पैचिंग दूसरों के लिए भी जोखिम बन सकती है। इसलिए खामी ढूंढने के साथ-साथ साझा खुफिया जानकारी, सप्लायर समीक्षा और एक जैसे प्रतिक्रिया मानक भी जरूरी हैं।

AI-साइबर गवर्नेंस के लिए सबक

Mythos ने एक पुराने सवाल को और तीखा कर दिया: अत्याधुनिक AI एक रक्षात्मक सुरक्षा उपकरण भी हो सकता है और आक्रामक साइबर शोध की लागत घटाने वाला साधन भी। इसलिए समाधान केवल ऐसे मॉडलों पर प्रतिबंध लगाना या उन्हें पूरी तरह खुला छोड़ देना नहीं है; उनकी जांच और उपयोग के आसपास भरोसेमंद नियंत्रण बनाना है।

एक विश्वसनीय AI-साइबर सुरक्षा व्यवस्था में ये तत्व हो सकते हैं:

• क्षमता मूल्यांकन: रिलीज से पहले स्वायत्त वल्नरेबिलिटी खोज, एक्सप्लॉइट विकास और बहु-चरणीय हमला-श्रृंखला की जांच।
• स्तरीय पहुंच नियंत्रण: उच्च जोखिम सीमा पार करने वाले मॉडलों के लिए पहचान सत्यापन, लॉगिंग, निगरानी और स्पष्ट पहुंच-समापन प्रक्रिया।
• समन्वित वल्नरेबिलिटी डिस्क्लोजर: विक्रेताओं और मेंटेनरों को निष्कर्ष पाने व सुधार करने के लिए गोपनीय और तेज व्यवस्था।
• साझा पैच-प्राथमिकता नियम: महत्वपूर्ण इन्फ्रास्ट्रक्चर और व्यापक रूप से इस्तेमाल होने वाले ओपन-सोर्स घटकों के लिए।
• घटना रिपोर्टिंग और स्वतंत्र निगरानी: ताकि सरकारें, ऑपरेटर और शोधकर्ता दर्ज जोखिमों को अटकलों से अलग कर सकें।

Project Glasswing इस मॉडल का रक्षात्मक पक्ष दिखाता है: हमलावरों से पहले खामियां खोजने के लिए शक्तिशाली सिस्टम का उपयोग। हालांकि, यह कंपनी-नेतृत्व वाली पहल है; साझा अंतरराष्ट्रीय मानकों का विकल्प नहीं।

किन दावों पर अभी सावधानी जरूरी है

उपलब्ध स्रोत सीमित Mythos लॉन्च, Glasswing के रक्षात्मक स्कैन, वित्तीय क्षेत्र की चर्चाओं, जेन फ्रेज़र की पैचिंग चेतावनी और SEBI की टास्क फोर्स की पुष्टि करते हैं। 3940554923

लेकिन इस पूरे प्रकरण से जुड़े हर दावे की मजबूत प्राथमिक-स्रोत पुष्टि उपलब्ध नहीं है। खासकर ENISA की कथित पहुंच-व्यवस्था, Microsoft की कथित पूर्व चेतावनियां, ट्रेजरी के “वर्स्ट-केस” अभ्यास और किसी विशिष्ट जून अमेरिकी AI-सुरक्षा ढांचे के दावों को आधिकारिक दस्तावेज के बिना सावधानी से देखना चाहिए।

Anthropic ने इतना जरूर कहा कि Fable 5 और Mythos 5 की पहुंच निलंबित हुई थी और 30 जून को निर्यात नियंत्रण हटने के बाद बहाल कर दी गई। इसे किसी व्यापक अमेरिकी AI-सुरक्षा ढांचे का प्रमाण नहीं माना जाना चाहिए। 3537

स्थायी बदलाव: सिर्फ सार्वजनिक CVE के बाद पैच लगाना पर्याप्त नहीं

इस घटना का व्यावहारिक संदेश यह है कि पैचिंग को अब केवल सार्वजनिक CVE, सुरक्षा परामर्श या विक्रेता अपडेट के बाद की कार्रवाई नहीं माना जा सकता। अगर AI अज्ञात कमजोरियों की खोज को सचमुच तेज करता है, तो सुरक्षा टीमों को मानकर चलना होगा कि कुछ शोषण योग्य खामियां CVE या विक्रेता अपडेट जारी होने से पहले निजी तौर पर खोजी जा सकती हैं।

इसका मतलब यह नहीं कि पैचिंग बेकार हो गई है। उलटे, बुनियादी अनुशासन का महत्व बढ़ गया है: एसेट की स्पष्ट जानकारी, तेज सुधार, सुरक्षित कॉन्फ़िगरेशन, नेटवर्क सेगमेंटेशन, जांचे हुए बैकअप, सप्लायर की जवाबदेही और तेज खुलासा-चैनल। AI-सहायता वाले खतरे के माहौल में यही क्षमताएं तय करेंगी कि किसी खामी की खोज एक संभालने योग्य इंजीनियरिंग समस्या रहती है या व्यापक प्रणालीगत लचीलेपन का संकट बनती है।