Anthropic's Claude Mythos vond 231 Microsoft-lekken in één maand — en Microsoft kan niet snel genoeg patchen

In bredere zin heeft Mythos binnen Project Glasswing al meer dan 10.000 hoog- of kritiek-ernstige kwetsbaarheden geïdentificeerd in 's werelds meest systeemkritieke software sinds de start van het programma . Het eigen dashboard van Anthropic voor gecoördineerde openbaarmaking van kwetsbaarheden vermeldt op 22 mei 2026 in totaal 1.596 openbaar gemaakte lekken in 281 open-sourceprojecten. Ongeveer 23.019 bevindingen zijn getrieerd en 1.900 kandidaten hebben prioriteit .

De interne triagecrisis bij Microsoft

De kloof tussen ontdekking en oplossing wordt omschreven als een existentiële triagecrisis: de AI vindt fouten sneller dan menselijke patchteams ze kunnen analyseren, reproduceren en repareren . Interne Microsoft-presentaties geven volgens de berichten toe dat het bedrijf het tempo van de Mythos-gestuurde ontdekking niet kan bijbenen . Een interne slide van een Microsoft-presentatie merkt op dat het bedrijf van plan is om uiteindelijk ook de lekken van matige ernst aan te pakken, maar dat de directe focus alleen ligt op kritieke en belangrijke kwetsbaarheden .

De recordbrekende Patch Tuesday van juli 2026

Op 14 juli 2026 bracht Microsoft zijn grootste Patch Tuesday ooit uit, met oplossingen voor 622 kwetsbaarheden – drie keer zoveel als in juni 2026 en ongeveer vijf keer het maandelijkse gemiddelde . De aantallen lopen per bron iets uiteen; sommige bronnen melden 569–622 CVEs . De release omvatte:

• 59 kritieke lekken
• Drie zero-days, waarvan er twee – CVE-2026-56155 in Active Directory Federation Services en CVE-2026-56164 in SharePoint Server – al actief werden misbruikt voordat patches beschikbaar waren
• 416 Windows-defecten, plus oplossingen voor Office, SharePoint, Azure, Hyper-V en Visual Studio

CrowdStrike merkte op dat deze release "bevestigt dat het tijdperk van 'kleine' Patch Tuesdays voorbij kan zijn nu AI-gestuurde ontdekking van kwetsbaarheden op stoom komt" . Slechts een maand eerder had juni 2026 met 206 CVEs al het vorige record verbroken .

Hitachi sluit zich aan bij Project Glasswing voor kritieke infrastructuur

Hitachi sloot zich in juni 2026 aan bij Project Glasswing en kreeg toegang tot Claude Mythos Preview om zijn sociale-infrastructuursoftware te controleren, met name in de energiesector . Op 28 juli 2026 meldde Hitachi dat Mythos de beveiligingsvalidatie reduceerde van weken naar aanzienlijk kortere tijdsbestekken. Het model maakte met succes dreigingsmodellen voor miljoenen regels broncode en bevestigde daarmee de praktische toepasbaarheid voor kritieke infrastructuur .

Five Eyes-inlichtingenwaarschuwing: 'De tijdlijn is geen jaren, het zijn maanden'

Op 22 juni 2026 gaf de Five Eyes-inlichtingenalliantie (VS, VK, Canada, Australië, Nieuw-Zeeland) een zeldzame gezamenlijke verklaring uit. Daarin waarschuwden ze dat geavanceerde AI-modellen binnen maanden offensieve hackmogelijkheden een enorme boost kunnen geven, niet pas over jaren . De alliantie stelde: "Frontier AI-modellen zullen naar verwachting de huidige verwachtingen in de sector overtreffen en zowel offensieve als defensieve cybercapaciteiten fundamenteel veranderen. De tijdlijn is geen jaren, het zijn maanden" . De waarschuwing kwam weken nadat de regering-Trump Anthropic had opgedragen de toegang tot zijn Mythos- en Fable-modellen voor buitenlandse gebruikers te beperken . Hoewel de Five Eyes-verklaring geen specifieke bedrijven noemde, legden Reuters en andere media een direct verband met de zorgen over Anthropics Mythos-model .

Grotere implicaties: de patchefficientiemismatch

Het ontdekkingstempo van Mythos heeft een fundamentele mismatch blootgelegd tussen AI-gestuurde ontdekking van kwetsbaarheden en menselijke reparatie. Beveiligingsexperts wijzen op verschillende problemen:

• Patchefficientiemismatch: AI ontdekt fouten machinaal, maar menselijke triage en patchontwikkeling blijven beperkt door handmatige processen .
• Backlogrisico: Duizenden hoog-ernstige lekken stapelen zich op en dwingen onmogelijke prioriteringsbeslissingen af, waardoor veel systemen blootgesteld blijven .
• Kwetsbaarheid van infrastructuur: Hitachi's werk laat zien dat AI-gestuurde ontdekking nu ook industriële controlesystemen en energie-infrastructuur aanpakt, waar patchen nog langzamer gaat vanwege uptime-eisen en regelgeving .
• Offensieve asymmetrie: Dezelfde AI-capaciteit die defensief wordt gebruikt in Project Glasswing, kan door tegenstanders worden bewapend, wat leidt tot een ongekende asymmetrie in cyberoperaties .

Zoals een security-analist opmerkte: "Vroeger maakten we ons zorgen over het vinden van bugs. Nu maken we ons zorgen over het sneller vinden ervan dan we ze kunnen repareren. De bottleneck is verschoven van ontdekking naar reparatie – en daar hebben we nog geen AI voor."

Wat organisaties nu moeten doen

Het Five Eyes-advies noemde vijf praktische acties voor bedrijven: verminder het aanvalsoppervlak, patch sneller, ga uit van een inbreuk, investeer in detectie en respons, en versterk de identiteitsinfrastructuur . Voor de meeste enterprise security-teams betekent dit een herziening van kwetsbaarheidsbeheerprogramma's die zijn ontworpen voor een wereld waarin ontdekking in menselijk tempo plaatsvindt. Geautomatiseerd patchen, AI-ondersteunde triage en risicogebaseerde prioritering zijn niet langer optioneel – het zijn overlevingstactieken.

Anthropics Claude Mythos heeft bewezen dat AI kwetsbaarheden kan vinden op een ongekende schaal en snelheid. De vraag is nu of het wereldwijde cybersecurity-ecosysteem snel genoeg kan evolueren om ze te repareren.