Claude Mythos hittade 231 Microsoft-buggar på en månad

Mythos används inom Anthropic-initiativet Project Glasswing, där ett begränsat antal partnerorganisationer får tillgång till modellen för att granska viktig programvara. Hittills har projektet identifierat över 10 000 sårbarheter med hög eller kritisk allvarlighetsgrad i programvara som bedöms vara systemiskt viktig för världens digitala infrastruktur .

Anthropics egen redovisning visar samtidigt att 23 019 fynd hade triagerats, alltså sorterats och bedömts, fram till den 22 maj 2026. Av dessa hade 1 900 valts ut som kandidater för fördjupad granskning och 1 596 hade offentliggjorts i 281 projekt med öppen källkod .

Microsofts nya flaskhals: att hinna åtgärda felen

Problemet är inte längre enbart att hitta sårbarheter. Det är att hinna förstå, återskapa och täppa till dem.

Interna Microsoft-dokument uppges visa att företaget inte kan hålla jämna steg med den takt som Mythos upptäcker nya fel . Därför har ingenjörsresurserna i första hand riktats mot de mest allvarliga sårbarheterna – sådana som klassas som kritiska eller viktiga. Måttliga sårbarheter ska enligt plan hanteras senare, men flera kan förbli ouppdaterade på obestämd tid .

Det skapar en triagekris där den automatiserade upptäckten sker i maskinhastighet, medan den efterföljande säkerhetsanalysen och utvecklingen av patchar fortfarande till stor del kräver mänskligt arbete.

Rekordstor Patch Tuesday i juli

Den 14 juli 2026 släppte Microsoft den största upplagan av sin månatliga säkerhetsuppdatering, Patch Tuesday, i företagets historia. Enligt flera säkerhetsföretags sammanställningar åtgärdades upp till 622 sårbarheter – ungefär tre gånger så många som i juni och omkring fem gånger det månatliga genomsnittet .

Antalet varierar något mellan källorna, som rapporterar mellan 569 och 622 CVE-poster . Uppdateringen innehöll bland annat:

• 59 sårbarheter med kritisk klassning
• Tre zero-day-sårbarheter, där två redan utnyttjades aktivt innan en patch fanns tillgänglig: CVE-2026-56155 i Active Directory Federation Services och CVE-2026-56164 i SharePoint Server
• 416 sårbarheter i Windows, samt åtgärder för bland annat Office, SharePoint, Azure, Hyper-V och Visual Studio

CrowdStrike bedömde att uppdateringen kan vara ett tecken på att eran med små Patch Tuesday-paket är över, i takt med att AI-baserad sårbarhetsjakt ökar . Redan i juni hade Microsoft slagit det tidigare rekordet med 206 CVE-poster .

Hitachi testar Mythos mot samhällsviktig infrastruktur

Utvecklingen gäller inte bara kontorsprogram och molntjänster. I juni 2026 gick japanska Hitachi med i Project Glasswing och fick tillgång till Claude Mythos Preview för att granska sin programvara för samhällsinfrastruktur, bland annat inom energisektorn .

Den 28 juli uppgav Hitachi att Mythos hade kortat ned delar av företagets säkerhetsvalidering från veckor till betydligt kortare tidsperioder. Modellen kunde bland annat skapa hotmodeller för källkod som omfattar miljontals rader, vilket enligt Hitachi visar att tekniken kan användas praktiskt i kritisk infrastruktur .

Det är ett område där patchning ofta är mer komplicerat än i vanliga IT-miljöer. Systemen kan behöva vara i drift dygnet runt, och förändringar kan kräva omfattande tester, myndighetskrav och samordning med fysisk infrastruktur.

Five Eyes: ”Tidslinjen är inte år, utan månader”

Den 22 juni 2026 publicerade underrättelsealliansen Five Eyes – USA, Storbritannien, Kanada, Australien och Nya Zeeland – ett ovanligt gemensamt uttalande om AI och cyberhot .

Alliansen varnade för att avancerade AI-modeller snabbt kan förstärka angripares förmåga att genomföra cyberattacker. I uttalandet står det:

”Frontier AI-modeller förväntas överträffa dagens branschförväntningar och förändra både offensiv och defensiv cybersäkerhet i grunden. Tidslinjen är inte år, utan månader.”

Uttalandet nämnde inte Anthropic eller Mythos vid namn. Reuters och andra medier kopplade dock varningen till oron kring bland annat Mythos och modellernas snabbt växande förmåga . Varningen kom dessutom veckor efter att Trumpadministrationen beordrat Anthropic att begränsa utländska medborgares tillgång till Mythos- och Fable-modellerna .

Cybersäkerheten får ett hastighetsproblem

Mythos illustrerar en växande obalans mellan upptäckt och åtgärd:

• Olika hastigheter: AI kan hitta och analysera möjliga fel i mycket hög takt, medan mänsklig triage, verifiering och patchutveckling fortfarande är begränsade av manuella processer .
• Växande backlogg: När tusentals allvarliga sårbarheter samlas på hög tvingas organisationer välja vilka system som ska skyddas först, även när många andra fortfarande är exponerade .
• Känsligare infrastruktur: Hitachis arbete visar att AI-baserad säkerhetsgranskning nu riktas mot industriella system och energiinfrastruktur, där uppdateringar ofta tar längre tid .
• Risk för offensiv obalans: Samma teknik som används defensivt inom Project Glasswing kan i andra händer användas för att hitta och utnyttja sårbarheter snabbare än försvararna hinner reagera .

Tidigare låg den stora utmaningen i att hitta säkerhetsluckor. Nu kan problemet i stället bli att de upptäcks snabbare än de hinner stängas.

Vad organisationer bör göra nu

Five Eyes rekommenderade fem praktiska åtgärder för företag: minska angreppsytan, installera säkerhetsuppdateringar snabbare, utgå från att ett intrång kan ske, investera i upptäckt och incidenthantering samt förstärka identitetsinfrastrukturen .

För säkerhetsteam innebär det att traditionella sårbarhetsprogram behöver anpassas till en värld där nya fynd kan komma i AI-hastighet. Automatiserad patchning där det är säkert, AI-stödd triage och riskbaserad prioritering blir allt viktigare.

Claude Mythos visar att AI kan hitta sårbarheter i en skala och takt som tidigare varit svår att föreställa sig. Den avgörande frågan är nu om företag, leverantörer och hela cybersäkerhetsbranschen kan utveckla åtgärdsarbetet lika snabbt.