Claude Mythos di Anthropic ha scoperto 231 bug in Microsoft in un mese — e Microsoft non riesce a correggerli abbastanza velocemente

Più in generale, nell'ambito di Project Glasswing, Mythos ha identificato più di 10.000 vulnerabilità di gravità alta o critica nei software più importanti a livello sistemico nel mondo da quando il programma è stato lanciato . Il dashboard di divulgazione coordinata delle vulnerabilità di Anthropic riporta 1.596 vulnerabilità divulgate in 281 progetti open source al 22 maggio 2026, con circa 23.019 risultati triage e 1.900 candidati prioritari .

La crisi di triage interna di Microsoft

Il divario tra scoperta e correzione è stato descritto come una crisi di triage esistenziale — l'AI trova falle più velocemente di quanto i team umani di patch possano analizzare, riprodurre e correggere . Secondo quanto riportato, le presentazioni interne di Microsoft riconoscono che l'azienda non può tenere il passo con il tasso di scoperta guidato da Mythos . Una diapositiva interna di una presentazione Microsoft ha notato che l'azienda prevede di affrontare eventualmente le falle di gravità moderata, ma l'attenzione immediata è solo sulle vulnerabilità critiche e importanti .

Il Patch Tuesday da record di luglio 2026

Il 14 luglio 2026, Microsoft ha pubblicato il più grande Patch Tuesday della sua storia, correggendo 622 vulnerabilità — il triplo del conteggio di giugno 2026 e circa cinque volte la media mensile . I conteggi variano leggermente a seconda della fonte, con alcune che riportano 569–622 CVE . Il rilascio includeva:

• 59 falle di livello critico
• Tre zero-day, due dei quali — CVE-2026-56155 in Active Directory Federation Services e CVE-2026-56164 in SharePoint Server — erano già stati sfruttati attivamente prima che le patch esistessero
• 416 difetti di Windows, oltre a correzioni per Office, SharePoint, Azure, Hyper-V e Visual Studio

CrowdStrike ha notato che questo rilascio "rafforza come l'era dei 'piccoli' Patch Tuesday possa essere finita, con la scoperta di vulnerabilità guidata dall'AI in aumento" . Solo un mese prima, giugno 2026 aveva già infranto il record precedente con 206 CVE .

Hitachi si unisce a Project Glasswing per le infrastrutture critiche

Hitachi ha aderito a Project Glasswing nel giugno 2026, ottenendo l'accesso a Claude Mythos Preview per verificare i propri software per le infrastrutture sociali — in particolare nel settore energetico . Il 28 luglio 2026, Hitachi ha riferito che Mythos ha ridotto i processi di validazione della sicurezza da settimane a tempi drasticamente più brevi, creando con successo modelli di minaccia per milioni di righe di codice sorgente e confermando l'applicabilità pratica del modello alle infrastrutture critiche .

Avvertimento dell'intelligence Five Eyes: "La tempistica non è in anni, è in mesi"

Il 22 giugno 2026, l'alleanza di intelligence Five Eyes (USA, Regno Unito, Canada, Australia, Nuova Zelanda) ha emesso una rara dichiarazione pubblica congiunta avvertendo che i modelli AI all'avanguardia sono pronti a potenziare le capacità di hacking offensivo in mesi, non anni . L'alleanza ha dichiarato: "I modelli AI all'avanguardia sono previsti superare le attuali aspettative del settore, trasformando fondamentalmente le capacità informatiche sia offensive che difensive. La tempistica non è anni, è mesi" . L'avvertimento è arrivato settimane dopo che l'amministrazione Trump ha ordinato ad Anthropic di limitare l'accesso ai suoi modelli Mythos e Fable per cittadini stranieri . Sebbene la dichiarazione Five Eyes non abbia nominato aziende specifiche, Reuters e altri media hanno collegato l'urgenza direttamente alle preoccupazioni sul modello Mythos di Anthropic .

Implicazioni più ampie: il disallineamento della velocità di correzione

Il tasso di scoperta di Mythos ha esposto un disallineamento fondamentale tra la scoperta di vulnerabilità basata sull'AI e la correzione guidata dall'uomo. Gli esperti di sicurezza hanno sollevato preoccupazioni:

• Disallineamento della velocità di correzione: l'AI scopre falle a velocità macchina, ma il triage umano e lo sviluppo di patch rimangono vincolati da processi manuali .
• Rischio di arretrato: migliaia di falle di alta gravità che si accumulano costringono a decisioni di prioritizzazione impossibili, lasciando molti sistemi esposti .
• Fragilità delle infrastrutture: il lavoro di Hitachi mostra che la scoperta guidata dall'AI prende ora di mira i sistemi di controllo industriale e le infrastrutture energetiche, dove la correzione è ancora più lenta a causa dei requisiti di uptime e dei vincoli normativi .
• Asimmetria offensiva: la stessa capacità AI utilizzata in modo difensivo in Project Glasswing potrebbe essere armata dagli avversari, creando un'asimmetria senza precedenti nelle operazioni informatiche .

Come ha osservato un analista di sicurezza: "Prima, ci preoccupavamo di trovare bug. Ora, ci preoccupiamo di trovarli più velocemente di quanto possiamo correggerli. Il collo di bottiglia si è spostato dalla scoperta alla correzione — e non abbiamo ancora un'AI per quello."

Cosa dovrebbero fare le organizzazioni ora

L'avviso Five Eyes elencava cinque azioni pratiche per le aziende: ridurre la superficie di attacco, applicare patch più rapidamente, presumere di essere stati violati, investire in rilevamento e risposta, e indurire l'infrastruttura di identità . Per la maggior parte dei team di sicurezza aziendale, ciò significa ripensare i programmi di gestione delle vulnerabilità progettati per un mondo di scoperta a ritmo umano. La correzione automatizzata, il triage assistito dall'AI e la prioritizzazione basata sul rischio non sono più opzionali — sono tattiche di sopravvivenza.

Claude Mythos di Anthropic ha dimostrato che l'AI può trovare vulnerabilità a una scala e velocità senza precedenti. La domanda ora è se l'ecosistema globale della cybersecurity possa evolversi abbastanza velocemente per correggerle.