ИИ-модель Claude Mythos от Anthropic нашла 231 уязвимость в продуктах Microsoft за месяц — Microsoft не успевает их закрывать

В целом, в рамках Project Glasswing Mythos с момента запуска программы выявил более 10 000 уязвимостей высокого или критического уровня серьёзности в наиболее системно важном программном обеспечении мира . По данным панели координированного раскрытия уязвимостей (CVD) Anthropic, по состоянию на 22 мая 2026 года раскрыто 1 596 уязвимостей в 281 проекте с открытым исходным кодом; около 23 019 находок прошли триаж, 1 900 кандидатов находятся в приоритете .

Внутренний кризис триажа в Microsoft

Разрыв между обнаружением и устранением уязвимостей описывается как экзистенциальный кризис триажа — ИИ находит дефекты быстрее, чем человеческие команды могут их анализировать, воспроизводить и исправлять . Во внутренних презентациях Microsoft, как сообщается, признаётся, что компания не может угнаться за темпами обнаружения Mythos . На одном из слайдов презентации Microsoft отмечалось, что компания планирует в конечном итоге устранить уязвимости средней степени серьёзности, но немедленный фокус — только на критических и важных .

Рекордный «Вторник исправлений» — июль 2026 года

14 июля 2026 года Microsoft выпустила крупнейший Patch Tuesday в своей истории: было закрыто 622 уязвимости — в три раза больше, чем в июне 2026 года, и примерно в пять раз больше среднемесячного показателя . Данные незначительно различаются в разных источниках — от 569 до 622 CVE . В релиз вошли:

• 59 критических дефектов
• Три 0-day уязвимости, две из которых — CVE-2026-56155 в Active Directory Federation Services и CVE-2026-56164 в SharePoint Server — уже активно эксплуатировались до выхода патчей
• 416 дефектов в Windows, а также исправления в Office, SharePoint, Azure, Hyper-V и Visual Studio

В компании CrowdStrike отметили, что этот релиз «подтверждает: эпоха «маленьких» Patch Tuesday может закончиться по мере наращивания ИИ-поиска уязвимостей» . Всего месяцем ранее, в июне 2026 года, уже был побит предыдущий рекорд — 206 CVE .

Hitachi присоединяется к Project Glasswing для критической инфраструктуры

Компания Hitachi присоединилась к Project Glasswing в июне 2026 года, получив доступ к Claude Mythos Preview для аудита своего инфраструктурного ПО — особенно в энергетическом секторе . 28 июля 2026 года Hitachi сообщила, что Mythos сократил процессы проверки безопасности с недель до значительно более коротких сроков, успешно создавая угрозовые модели для миллионов строк исходного кода и подтверждая практическую применимость модели к критической инфраструктуре .

Предупреждение Five Eyes: «Срок — не годы, а месяцы»

22 июня 2026 года разведывательный альянс Five Eyes (США, Великобритания, Канада, Австралия, Новая Зеландия) выпустил редкое совместное заявление, предупредив, что граничные ИИ-модели способны усилить хакерские возможности «в течение месяцев, а не лет» . Альянс заявил: «Ожидается, что граничные ИИ-модели превзойдут текущие отраслевые ожидания, фундаментально изменив как наступательные, так и оборонительные кибервозможности. Срок — не годы, а месяцы» . Предупреждение прозвучало спустя несколько недель после того, как администрация Трампа приказала Anthropic ограничить доступ к моделям Mythos и Fable для иностранных граждан . Хотя заявление Five Eyes не называло конкретных компаний, Reuters и другие издания напрямую связали срочность предупреждения с опасениями по поводу модели Anthropic Mythos .

Широкие последствия: разрыв в скорости патчей

Скорость обнаружения уязвимостей Mythos выявила фундаментальное несоответствие между ИИ-поиском уязвимостей и их ручным устранением. Эксперты по безопасности выражают обеспокоенность:

• Разрыв скорости патчей: ИИ находит дефекты со скоростью машины, но ручное триажирование и разработка патчей остаются ограниченными из-за человеческих процессов .
• Риск накопления: Тысячи накапливающихся дефектов высокого уровня серьёзности вынуждают принимать невозможные решения о приоритетах, оставляя многие системы незащищёнными .
• Хрупкость инфраструктуры: Работа Hitachi показывает, что ИИ-поиск теперь нацелен на промышленные системы управления и энергетическую инфраструктуру, где патчинг ещё медленнее из-за требований к бесперебойной работе и нормативных ограничений .
• Наступательная асимметрия: Те же ИИ-способности, которые используются в оборонительных целях в Project Glasswing, могут быть вооружены противниками, создавая беспрецедентную асимметрию в кибероперациях .

Как отметил один из аналитиков по безопасности: «Раньше мы беспокоились о том, чтобы найти уязвимости. Теперь мы беспокоимся о том, чтобы найти их быстрее, чем успеваем исправить. Узкое место сместилось от обнаружения к устранению — а ИИ для этого у нас пока нет».

Что делать организациям сейчас

В рекомендациях Five Eyes перечислены пять практических действий для бизнеса: сократить поверхность атаки, патчить быстрее, исходить из того, что взлом уже произошёл, инвестировать в обнаружение и реагирование, а также укрепить инфраструктуру удостоверений . Для большинства корпоративных команд по безопасности это означает пересмотр программ управления уязвимостями, которые были разработаны для мира с человеческой скоростью обнаружения. Автоматизированный патчинг, ИИ-триаж и приоритизация на основе рисков больше не являются опцией — это тактика выживания.

Claude Mythos от Anthropic доказал, что ИИ может находить уязвимости в невиданном масштабе и с невиданной скоростью. Вопрос теперь в том, сможет ли глобальная экосистема кибербезопасности эволюционировать достаточно быстро, чтобы их закрывать.