Claude Mythos 5 finner sårbarheter – men brukerne får ikke selve modellen

Anthropic beskriver ikke noe separat Mythos 5-tillegg. Skanningene faktureres som vanlig tokenbruk under kundens eksisterende Enterprise-plan.

Det sentrale skillet er at kunden ikke får ubegrenset modelltilgang. Mythos 5 kjører i bakgrunnen av sikkerhetsflyten og returnerer funn og forslag til rettinger.

Mennesker må fortsatt kontrollere rettingene

Claude Security foreslår patcher som skal vurderes av mennesker. Tjenesten presenteres ikke som et autonomt system som selv utbedrer og ruller ut sikkerhetsfeil.

Sikkerhetsteam bør derfor kontrollere hvert funn, gjenskape problemet der det er relevant, undersøke hvordan en patch påvirker resten av kodebasen og godkjenne utrulling gjennom virksomhetens vanlige utviklings- og sikkerhetsprosesser.

Materialet som er tilgjengelig, støtter en «human-in-the-loop»-modell, men fastsetter ikke én obligatorisk godkjenningsprosess for alle kunder. Det er fortsatt teamene selv som må avgjøre hvordan AI-genererte funn og rettinger skal testes og settes i produksjon.

Mythos 5 skal inn i partnernes sikkerhetsprodukter

Anthropic sier at selskapet samarbeider med leverandører av cybersikkerhetsteknologi og -tjenester for å integrere Mythos 5 i verktøy forsvarere allerede bruker.

Det er foreløpig ikke lagt frem en komplett partnerliste eller en fast lanseringsplan. Kunngjøringen beskriver integrasjoner i defensive verktøy, ikke generell tilgang til modellen gjennom åpne partner-API-er. Det forventede produktbildet er derfor skanninger, varsler, sårbarhetsfunn og veiledning om utbedring – ikke et nytt offentlig endepunkt for frie cyberoperasjoner.

35 millioner dollar til sikkerhet i åpen kildekode

Det nye Defender Advantage Fund, også kalt 0xDAF, skal gi organisasjoner 35 millioner dollar i Claude-kreditter til arbeid med å sikre programvare med åpen kildekode. Dette er brukskreditter, ikke kontanttilskudd.

Anthropic peker på tre prioriteringer:

1. Å rette sårbarheter i prosjekter med åpen kildekode.
2. Å automatisere deler av skanning og utbedring av sikkerhetsfeil.
3. Å utvikle nye sikkerhetsbruksområder for Claude.

Kunngjøringen oppgir ikke størrelsen på de enkelte tildelingene, hvem som kan søke, søknadsfrister eller en fullstendig tidsplan for pilotprosjektet. Disse detaljene kan derfor ikke utledes av beløpet alene.

Cyber Verification Program får en større rolle

Anthropic utvider også sitt gratis, søknadsbaserte Cyber Verification Program (CVP). Programmet er laget for legitime sikkerhetsfagfolk som blir hindret av Claudes innebygde cybersikkerhetstiltak. Godkjente brukere kan søke om justeringer av standardbegrensningene i Claude Opus og Sonnet for defensive formål.

Aktiviteter med høy cyberrisiko er fortsatt blokkert som standard. CVP innebærer heller ikke at Mythos 5 lanseres fritt. Det som beskrives, er to separate veier: begrenset Mythos 5-funksjonalitet gjennom Claude Security og partnerverktøy, samt verifisert tilgang til enkelte Opus- og Sonnet-bruksområder.

Fra Project Glasswing til bredere, men kontrollert bruk

Project Glasswing startet i april 2026 som et begrenset initiativ for å bruke Anthropics mest avanserte cyberkapasiteter til å sikre viktig programvare før tilsvarende verktøy kunne bli allment tilgjengelige for angripere. Anthropic opplyser at rundt 50 partnere i den første fasen brukte Claude Mythos Preview til å finne mer enn 10 000 sårbarheter med høy eller kritisk alvorlighetsgrad.

Mythos 5-kunngjøringen endrer først og fremst distribusjonsmodellen, ikke den opprinnelige sikkerhetslogikken:

• Glasswing: begrenset tilgang for godkjente forsvarere og deltakende organisasjoner.
• Claude Security: bredere Enterprise-tilgang gjennom en kontrollert skanneflyt.
• Partnerprodukter: defensive funn og forslag til rettinger innebygd i eksisterende verktøy.
• 0xDAF: Claude-kreditter som skal utvide sikkerhetsarbeid i åpen kildekode.
• CVP: en søknadsvei for legitime fagfolk som trenger justert tilgang til beskyttede modeller.

Bakgrunnen er at sårbarhetsfunn har en dobbel bruksverdi. De samme systemene som hjelper forsvarere med å oppdage og rette feil, kan også gjøre det billigere å finne svakheter som kan utnyttes. Anthropics svar er å gjøre defensive resultater mer tilgjengelige, samtidig som direkte tilgang til de kraftigste cyberfunksjonene fortsatt krever produktbegrensninger og verifisering.

Dette er bekreftet – og dette er ikke bekreftet

Det som er bekreftet, er Enterprise-betaen, fakturering gjennom vanlig tokenbruk, funn med CWE-kategori samt alvorlighets- og konfidensvurderinger, forslag til patcher, planlagte partnerintegrasjoner, fondet på 35 millioner dollar i kreditter og utvidelsen av CVP.

Det tilgjengelige materialet bekrefter ikke alle tallene og eksemplene som ble nevnt i det opprinnelige spørsmålet om Project Glasswing – blant annet opptil 100 millioner dollar i brukskreditter, 4 millioner dollar i donasjoner, rundt 200 organisasjoner eller konkrete funn i OpenBSD og FFmpeg.

Den tydeligste konklusjonen er derfor at Anthropic kommersialiserer de defensive resultatene fra Mythos 5, ikke modellen som sådan. Enterprise-kunder og utviklere av åpen kildekode får dermed en større mulighet til å teste modellens praktiske verdi, mens den strengeste sikkerhetsgrensen rundt dens mest kraftfulle cyberkapasiteter består.