Mythos vs. Yama Penceresi: Anthropic'ın Yapay Zekası N-Gün İstismar Zaman Çizelgesini Nasıl Yıktı

Bunun daha geniş anlamı, geleneksel N-gün penceresinin—savunmacıların yama yayınlanması ile bir istismarın piyasaya çıkması arasında saydığı haftalar ya da aylar süren sürenin—fiilen çökmüş olduğudur .

Microsoft'un istismar edilebilirlik derecelendirmeleri artık güvenilir değil

Ayrı ama ilişkili bir değerlendirmede Mythos, Microsoft'un "istismar edilmesi muhtemel değil" olarak sınıflandırdığı 14 Windows hatasının 13'ünü tetikledi ve bu hatalardan birini tam sistem kontrolüne kadar götürdü . Microsoft'un "düşük istismar edilebilirlik" derecelendirmesi, kritik önemdeki hataların bile %80 ila %90'ını kapsıyor; bu da güvenlik ekiplerinin acil olarak ele alması gereken güvenlik açığı setinin kabaca 5 kat büyümesi gerekebileceği anlamına geliyor . Haftalar süren uzman insan emeğine dayanan bir dünya için tasarlanmış bu derecelendirme sistemi, aynı işi dakikalar içinde yapabilen otonom bir yapay zekanın tehdidini artık olduğundan düşük gösteriyor.

Ekonomi tersine döndü

Anthropic'ın açıklamalarındaki en rahatsız edici rakamlardan biri maliyettir. Tekil sıfır-gün (zero-day) keşif denemeleri, başarılı deneme başına 50 doların altında bir maliyete mal oldu. Binlerce denemeden oluşan tam bir OpenBSD tarama kampanyası yaklaşık 20.000 dolara mal oldu ve OpenBSD'nin TCP protokol yığınındaki 27 yıllık bir hata da dahil olmak üzere birden fazla kritik güvenlik açığını ortaya çıkardı . Linux çekirdeği N-gün kök (root) istismarları ise tanesi 2.000 doların altında bir maliyetle üretildi . Anthropic'ın tüm kırmızı ekip kampanyası, tüm kod tabanı taramaları için 20.000 doların oldukça altında kaldı .

Bunlar ulus-devlet bütçeleri değil. Bunlar, bireysel geliştirici veya küçük ekip bütçeleridir; bu da, sofistike güvenlik açığı keşfi ve istismar geliştirmeye giriş engelinin, yapay zeka yeteneklerinin keskin bir şekilde yükseldiği tam da bu anda dramatik bir şekilde düştüğü anlamına gelir .

Model geçmişi ve kısıtlı erişim

Anthropic, Claude Mythos Preview'i 7-8 Nisan 2026'da duyurdu. Bu model, her büyük işletim sistemi ve web tarayıcısında otonom olarak sıfır-gün güvenlik açıklarını keşfedip istismar edebilen, onlarca yıllık uzman incelemesinden kaçmış hatalar da dahil binlerce yüksek önem dereceli açık bulan bir sınır modelidir . Aşırı çift kullanım (hem savunma hem saldırı amaçlı kullanılabilme) riski nedeniyle Anthropic, Mythos'u halka açık olarak yayınlamadı. Bunun yerine, başlangıçta AWS, Apple, Cisco, Google, Microsoft, JPMorgan ve Linux Vakfı'nın da aralarında bulunduğu yaklaşık 50 ortak kuruluşla sınırlı, kontrollü bir siber güvenlik girişimi olan Project Glasswing'i oluşturdu .

Haziran 2026 itibarıyla Glasswing, Avustralya, Birleşik Krallık ve birçok AB ve Asya ülkesindeki ulusal güvenlik kurumları da dahil olmak üzere 15'ten fazla ülkede yaklaşık 150 kuruluşa genişlemektedir . Ortaklar, bulgular kamuya açıklanmadan önce 90 günlük özel bir yama penceresi elde ederler . Mayıs 2026'nın sonlarına doğru Mythos, sistemik öneme sahip yazılımlarda 10.000'den fazla yüksek veya kritik önem dereceli güvenlik açığı bulmuştu .

Mozilla'nın Anthropic ile yaptığı iş birliği tek başına, Firefox 150'de 271 sıfır-gün güvenlik açığının bulunup düzeltilmesiyle sonuçlandı—bu, tarayıcının tarihindeki en büyük tek seferlik güvenlik düzeltme paketiydi .

Savunma ve politika yanıtları

Endüstri yanıtı: Cisco, kendi ve açık kaynaklı yazılımlarında savunma amaçlı güvenlik açığı keşfi için Mythos'a erken erişim kazanan diğer büyük teknoloji ve siber güvenlik firmalarıyla birlikte ilk Glasswing ortağı grubuna katıldı . Mozilla'nın Anthropic ile olan dahili ortaklığı tam Mythos dağıtımından önce başlamıştı ve sonuçlar—271 sıfır-gün yaması—sorumlu bir şekilde kullanıldığında savunma potansiyelini gözler önüne serdi .

Trump yönetimi: Politika yanıtı çalkantılıydı. Nisan 2026'da Ulusal Siber Direktör Sean Cairncross, kurumlara yönelik sosyal yardım çalışmalarına öncülük etti, ancak Siber Güvenlik ve Altyapı Güvenliği Ajansı'ndaki (CISA) fon kesintileri ve iç siyasi savaşlar koordinasyonu karmaşık hale getirdi . 21 Mayıs'ta Trump, yapay zeka laboratuvarlarının sınır modellerini halka sunmadan 90 gün önce hükümet incelemesine sunmalarını gerektirecek planlanmış bir başkanlık kararnamesini rafa kaldırdı ve gazetecilere Amerika'nın Çin karşısındaki üstünlüğünü yavaşlatacak hiçbir şey istemediğini söyledi .

İki haftadan kısa bir süre sonra, 3 Haziran'da Trump, yapay zeka inovasyonu ve siber güvenlik üzerine revize edilmiş bir başkanlık kararnamesi imzaladı. Bu, reddedilen 90 günlük zorunluluktan daha hafif olsa da, yine de mevcut durumun yetersiz olduğunun bir kabulü olan, yeni sınır modelleri için gönüllü 30 günlük bir inceleme çerçevesi oluşturdu .

Bu arada, Hazine, Federal Rezerv ve Yönetim ve Bütçe Ofisi gibi yönetim kurumları, Nisan ayındaki uyarıların ardından Mythos'a erişim sağlamak için acele etti. Hazine, Trump'ın daha önce Anthropic teknolojisinin kullanımını durdurma yönündeki direktifine rağmen acil brifingler aldı .

Kongre: OpenAI ve Anthropic, Temsilciler Meclisi İç Güvenlik komitesiyle yapay zeka destekli siber tehditler hakkında kapalı kapılar ardında brifingler düzenledi. Bu, kongre personeli için düzenlenen ilk özel yapay zeka siber güvenlik tehdit brifinglerinden bazılarıydı .

Bu, savunmacılar için neyi değiştiriyor?

Ana çıkarım açıktır: Bir yamanın yayınlanmasının savunmacılara haftalarca nefes alma odası sağladığı dönem, en azından sınır yapay zekaya erişimi olan rakiplere karşı sona ermiştir. Asimetri keskindir—kuruluşların yama yapması hâlâ yaklaşık 70 gün sürerken, yapay zeka aynı açıları bir saatten kısa sürede silahlandırabilir. Kuruluşlar artık hangi güvenlik açıklarını acil olarak ele alacaklarını, yamalamaya nasıl öncelik vereceklerini ve istismar geliştirmenin ucuz, hızlı ve otomatik hale geldiği bir dünyada güvenlik açığı yönetimi tempolarının ayakta kalıp kalamayacağını yeniden düşünmek zorunda bırakılmaktadır.