Modellen er spesifikt optimalisert for å resonnere om kode, identifisere svakheter, og i noen tilfeller generere fungerende angrepskode som viser virkningen av disse feilene.

Fordi slike evner også kunne hjelpe angripere, valgte Anthropic en kontrollert utrulling gjennom partnerorganisasjoner i stedet for et offentlig API-slipp.

Resultater etter første måned: Mer enn 10 000 sårbarheter

Anthropics første oppdatering om programmet rapporterte uvanlig stor-skala resultater:

• Mer enn 10 000 høy- eller kritisk-alvorlige sårbarheter oppdaget samlet av Anthropic og omtrent 50 partnerorganisasjoner.
• Hundrevis av alvorlige sårbarheter per partner oppdaget i løpet av omtrent den første månedens bruk.
• Flere organisasjoner rapporterte at feilfinningsraten deres økte med mer enn 10× etter å ha tatt i bruk systemet.

Ett eksempel sitert av Anthropic er Cloudflare, som rapporterte å ha oppdaget omtrent 2000 feil – inkludert 400 høy- eller kritisk-alvorlige problemer – på tvers av deres kjerneutjenester ved hjelp av modellen.

Disse tallene antyder at systemet kan tillate sikkerhetsteam å analysere store kodebaser mye raskere enn tradisjonell manuell revisjon.

Ytelse på benchmarktester og tekniske evner

Eksterne evalueringssignaler peker også på sterk ytelse innen cybersikkerhet.

Det britiske AI-sikkerhetsinstituttet (UK AI Security Institute) skal ha bekreftet at Claude Mythos Preview løste 73 % av ekspertnivåets «capture-the-flag»-sikkerhetsutfordringer, en benchmark som brukes til å teste virkelige ferdigheter i å finne sårbarheter.

Anthropic og relaterte analyser beskriver også flere evner:

• Oppdagelse av tidligere ukjente nullsårbarheter i operativsystemer og nettlesere.
• Sammenkobling av flere sårbarheter for å oppnå rettighetsutvidelse eller systemkompromittering.
• Automatisk generering av fungerende angrepskode for å demonstrere hvordan feil kan misbrukes.

Disse evnene går utover enkel statisk analyse og inn i oppgaver som tradisjonelt utføres av elite-sikkerhetsforskere.

Eksempler på funn

Mens de fleste funnene forblir unntatt offentligheten under koordinert feilretting, har noen få eksempler blitt rapportert.

I følge rapporter som oppsummerer Anthropics påstander, identifiserte modellen:

• En 27 år gammel sårbarhet i OpenBSD-kjernen relatert til TCP SACK-alternativer.
• En 16 år gammel feil i FFmpeg som hadde overlevd millioner av automatiserte tester uten å bli oppdaget.
• Kjeder av sårbarheter i Linux-kjernen som tillot rettighetsutvidelse fra en vanlig bruker til full systemkontroll.

Anthropic har sagt at de ikke kan avsløre detaljer for de aller fleste oppdagelsene ennå fordi over 99 % av sårbarhetene de fant ikke har blitt offentlig lappet.

Hvilke selskaper er involvert

Project Glasswing opererer som en koalisjon av teknologiselskaper, infrastrukturleverandører og sikkerhetsorganisasjoner.

Rapporterte lanseringspartnere inkluderer:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Sammen med Anthropic selv og dusinvis av ytterligere organisasjoner, involverer programmet omtrent 50 partnere totalt.

Disse partnerne kjører modellen mot sin egen programvare og kritisk åpen infrastruktur for å identifisere sårbarheter som deretter kan lappes.

Hvorfor modellen ikke er offentlig tilgjengelig

Anthropic har understreket at Mythos er bevisst begrenset fordi de samme evnene som er nyttige for forsvar også kunne muliggjøre storskala cyberangrep.

Hvis den var allment tilgjengelig, kunne et system som er i stand til automatisk å oppdage og utnytte nullsårbarheter dramatisk senke terskelen for offensive cyberoperasjoner.

Den kontrollerte partnermodellen er ment å fikse så mange sårbarheter som mulig før lignende evner blir allment tilgjengelige.

Kritikk og skepsis fra sikkerhetseksperter

Til tross for de imponerende overskriftstallene, er det flere punkter med skepsis i cybersikkerhetsmiljøet.

1. Begrenset uavhengig verifisering
De fleste av stor-skala resultatene – som de 10 000 oppdagede sårbarhetene – kommer fra Anthropics egen rapportering eller oppsummeringer som gjentar disse påstandene. Fordi sårbarhetene for det meste ikke er offentliggjort, kan eksterne forskere ennå ikke evaluere dem direkte.

2. Mulig overlapping med eksisterende verktøy
Noen forskere hevder at lignende evner til å finne sårbarheter allerede kan oppnås ved hjelp av kombinasjoner av eksisterende offentlige modeller og verktøy, noe som antyder at Mythos kan være en akselerasjon snarere enn en fundamentalt ny evne.

3. Vanskelig å måle reelle valideringsrater
Selv om benchmarkresultater som 73 % suksessrate på «capture-the-flag»-utfordringer eksisterer, har klare statistikker over hvor mange KI-identifiserte feil som ble bekreftet og lappet i virkelige produksjonssystemer ennå ikke blitt offentlig dokumentert i detalj.

Bunnlinjen

Hvis Anthropics rapporterte tall holder stand under bredere verifisering, representerer Project Glasswing en av de største KI-assisterte sårbarhetsoppdagelsesinnsatsene som noensinne er utført. I løpet av den første måneden alene, avdekket programmet angivelig mer enn 10 000 alvorlige sikkerhetsfeil på tvers av kritiske programvaresystemer.

Men fordi de fleste sårbarhetene forblir ikke offentliggjort under koordinert feilretting, mangler sikkerhetsmiljøet fortsatt omfattende uavhengig validering av disse resultatene.

Det som er klart, er at KI-systemer blir kraftige verktøy for programvaresikkerhetsforskning – i stand til å skanne komplekse kodebaser, identifisere subtile sårbarheter og til og med generere fungerende angrepskode. Om Mythos representerer et unikt gjennombrudd eller bare forkanten av en bredere trend innen KI-drevet sikkerhetsanalyse, er et spørsmål bransjen sannsynligvis vil svare på i løpet av de neste årene.

Modellen er spesifikt optimalisert for å resonnere om kode, identifisere svakheter, og i noen tilfeller generere fungerende angrepskode som viser virkningen av disse feilene.

Fordi slike evner også kunne hjelpe angripere, valgte Anthropic en kontrollert utrulling gjennom partnerorganisasjoner i stedet for et offentlig API-slipp.

Resultater etter første måned: Mer enn 10 000 sårbarheter

Anthropics første oppdatering om programmet rapporterte uvanlig stor-skala resultater:

• Mer enn 10 000 høy- eller kritisk-alvorlige sårbarheter oppdaget samlet av Anthropic og omtrent 50 partnerorganisasjoner.
• Hundrevis av alvorlige sårbarheter per partner oppdaget i løpet av omtrent den første månedens bruk.
• Flere organisasjoner rapporterte at feilfinningsraten deres økte med mer enn 10× etter å ha tatt i bruk systemet.

Ett eksempel sitert av Anthropic er Cloudflare, som rapporterte å ha oppdaget omtrent 2000 feil – inkludert 400 høy- eller kritisk-alvorlige problemer – på tvers av deres kjerneutjenester ved hjelp av modellen.

Disse tallene antyder at systemet kan tillate sikkerhetsteam å analysere store kodebaser mye raskere enn tradisjonell manuell revisjon.

Ytelse på benchmarktester og tekniske evner

Eksterne evalueringssignaler peker også på sterk ytelse innen cybersikkerhet.

Det britiske AI-sikkerhetsinstituttet (UK AI Security Institute) skal ha bekreftet at Claude Mythos Preview løste 73 % av ekspertnivåets «capture-the-flag»-sikkerhetsutfordringer, en benchmark som brukes til å teste virkelige ferdigheter i å finne sårbarheter.

Anthropic og relaterte analyser beskriver også flere evner:

• Oppdagelse av tidligere ukjente nullsårbarheter i operativsystemer og nettlesere.
• Sammenkobling av flere sårbarheter for å oppnå rettighetsutvidelse eller systemkompromittering.
• Automatisk generering av fungerende angrepskode for å demonstrere hvordan feil kan misbrukes.

Disse evnene går utover enkel statisk analyse og inn i oppgaver som tradisjonelt utføres av elite-sikkerhetsforskere.

Eksempler på funn

Mens de fleste funnene forblir unntatt offentligheten under koordinert feilretting, har noen få eksempler blitt rapportert.

I følge rapporter som oppsummerer Anthropics påstander, identifiserte modellen:

• En 27 år gammel sårbarhet i OpenBSD-kjernen relatert til TCP SACK-alternativer.
• En 16 år gammel feil i FFmpeg som hadde overlevd millioner av automatiserte tester uten å bli oppdaget.
• Kjeder av sårbarheter i Linux-kjernen som tillot rettighetsutvidelse fra en vanlig bruker til full systemkontroll.

Anthropic har sagt at de ikke kan avsløre detaljer for de aller fleste oppdagelsene ennå fordi over 99 % av sårbarhetene de fant ikke har blitt offentlig lappet.

Hvilke selskaper er involvert

Project Glasswing opererer som en koalisjon av teknologiselskaper, infrastrukturleverandører og sikkerhetsorganisasjoner.

Rapporterte lanseringspartnere inkluderer:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Sammen med Anthropic selv og dusinvis av ytterligere organisasjoner, involverer programmet omtrent 50 partnere totalt.

Disse partnerne kjører modellen mot sin egen programvare og kritisk åpen infrastruktur for å identifisere sårbarheter som deretter kan lappes.

Hvorfor modellen ikke er offentlig tilgjengelig

Anthropic har understreket at Mythos er bevisst begrenset fordi de samme evnene som er nyttige for forsvar også kunne muliggjøre storskala cyberangrep.

Hvis den var allment tilgjengelig, kunne et system som er i stand til automatisk å oppdage og utnytte nullsårbarheter dramatisk senke terskelen for offensive cyberoperasjoner.

Den kontrollerte partnermodellen er ment å fikse så mange sårbarheter som mulig før lignende evner blir allment tilgjengelige.

Kritikk og skepsis fra sikkerhetseksperter

Til tross for de imponerende overskriftstallene, er det flere punkter med skepsis i cybersikkerhetsmiljøet.

1. Begrenset uavhengig verifisering
De fleste av stor-skala resultatene – som de 10 000 oppdagede sårbarhetene – kommer fra Anthropics egen rapportering eller oppsummeringer som gjentar disse påstandene. Fordi sårbarhetene for det meste ikke er offentliggjort, kan eksterne forskere ennå ikke evaluere dem direkte.

2. Mulig overlapping med eksisterende verktøy
Noen forskere hevder at lignende evner til å finne sårbarheter allerede kan oppnås ved hjelp av kombinasjoner av eksisterende offentlige modeller og verktøy, noe som antyder at Mythos kan være en akselerasjon snarere enn en fundamentalt ny evne.

3. Vanskelig å måle reelle valideringsrater
Selv om benchmarkresultater som 73 % suksessrate på «capture-the-flag»-utfordringer eksisterer, har klare statistikker over hvor mange KI-identifiserte feil som ble bekreftet og lappet i virkelige produksjonssystemer ennå ikke blitt offentlig dokumentert i detalj.

Bunnlinjen

Hvis Anthropics rapporterte tall holder stand under bredere verifisering, representerer Project Glasswing en av de største KI-assisterte sårbarhetsoppdagelsesinnsatsene som noensinne er utført. I løpet av den første måneden alene, avdekket programmet angivelig mer enn 10 000 alvorlige sikkerhetsfeil på tvers av kritiske programvaresystemer.

Men fordi de fleste sårbarhetene forblir ikke offentliggjort under koordinert feilretting, mangler sikkerhetsmiljøet fortsatt omfattende uavhengig validering av disse resultatene.

Det som er klart, er at KI-systemer blir kraftige verktøy for programvaresikkerhetsforskning – i stand til å skanne komplekse kodebaser, identifisere subtile sårbarheter og til og med generere fungerende angrepskode. Om Mythos representerer et unikt gjennombrudd eller bare forkanten av en bredere trend innen KI-drevet sikkerhetsanalyse, er et spørsmål bransjen sannsynligvis vil svare på i løpet av de neste årene.