Mythos проти вікна латання: Як ШІ від Anthropic зламав часові рамки N-Day експлойтів

У червні 2026 року команда фахівців з безпеки компанії Anthropic розкрила нову й тривожну здатність своєї закритої моделі Claude Mythos Preview: вміння читати публічні повідомлення про виправлення (патчі) та автономно перетворювати їх на робочі експлойти за лічені хвилини. Результати дослідження, якими поділилися ексклюзивно з виданням Axios, показали, що Mythos випробували проти так званих N-day уразливостей — тобто дірок у безпеці, які розробники вже закрили, але більшість організацій ще не встигли встановити оновлення. Підсумки тестування не просто скоротили наявні часові рамки — вони фактично їх ліквідували .

Результати тестування: Firefox та ядро Windows

Команда Anthropic надала моделі Mythos 18 нещодавно оприлюднених патчів безпеки Firefox та 21 патч для ядра Windows — усі вони були випущені вже після завершення навчання моделі — і дала завдання створити робочі експлойти. Для Firefox ШІ самостійно створив 8 повноцінних експлойтів для виконання коду без жодного втручання людини. У випадку з ядром Windows, де вихідний код недоступний, модель згенерувала 8 повних ланцюгів експлойтів, які підвищували привілеї звичайного користувача до повного контролю SYSTEM .

Головним шоком стала швидкість. Перший підтверджений експлойт для Windows Mythos створив за 31 хвилину, а загалом за приблизно 12 годин видав вісім різних експлойтів . Для порівняння: середній час, протягом якого компанії встановлюють патчі, становить приблизно 70 днів, і цей показник не змінювався з 2022 року. Mythos стиснув етап створення «зброї» до менш ніж години. Ця невідповідність породжує те, що аналітики називають структурним «розривом патчів»: захисники фізично не можуть встановлювати виправлення швидше, ніж ШІ генерує експлойти для їх використання .

Глобальний наслідок полягає в тому, що традиційне вікно N-day — ті тижні або місяці, на які розраховували захисники між виходом патча та появою експлойта, — фактично зникло .

Система оцінювання Microsoft більше не є надійною

В окремому, але пов'язаному дослідженні, Mythos активував 13 із 14 вразливостей Windows, які Microsoft попередньо класифікувала як «малоймовірні для експлуатації», і для однієї з них досяг повного контролю над системою . Наразі рейтинг «низька ймовірність експлуатації» від Microsoft охоплює 80–90% навіть критичних вразливостей. Це означає, що набір уразливостей, які команди безпеки вважають терміновими, може зрости приблизно у 5 разів . Система оцінювання, створена для світу, де розробка експлойта вимагала тижнів роботи висококваліфікованих фахівців, сьогодні недооцінює загрозу з боку автономного ШІ, здатного виконати ту саму роботу за хвилини.

Економіка перевернулася

Одним із найбільш незручних фактів, оприлюднених Anthropic, є вартість. Окремі успішні спроби пошуку невідомих вразливостей коштували менше ніж $50 за одну. Повна кампанія зі сканування OpenBSD — тисячі запусків — коштувала приблизно $20 000 і виявила численні критичні вразливості, включно з 27-річною помилкою в мережевому стеку OpenBSD . Експлойти для отримання root-прав у ядрі Linux створювалися менш ніж за $2000 кожен . Загальна кампанія команди безпеки Anthropic вклалася в суму, значно меншу за $20 000 за повне сканування кодової бази .

Це не бюджети рівня цілих держав. Це бюджети окремого розробника або невеликої команди. Це означає, що бар'єр для входу в складний пошук уразливостей та розробку експлойтів різко знизився саме в той момент, коли можливості ШІ стрімко зросли .

Передісторія моделі та обмежений доступ

Anthropic розкрила інформацію про Claude Mythos Preview 7–8 квітня 2026 року, описавши її як передову модель, здатну автономно знаходити та використовувати вразливості нульового дня у всіх основних операційних системах і веббраузерах. Модель знайшла тисячі вразливостей високого рівня, включно з помилками, які десятиліттями залишалися непоміченими навіть для експертів . Через надзвичайний ризик подвійного використання, Anthropic не стала публічно випускати Mythos. Натомість було створено Project Glasswing — контрольовану ініціативу з кібербезпеки, до якої спочатку долучили близько 50 партнерських організацій, серед яких AWS, Apple, Cisco, Google, Microsoft, JPMorgan та Linux Foundation .

Станом на червень 2026 року, Glasswing розширюється до приблизно 150 організацій з понад 15 країн, включаючи державні органи безпеки Австралії, Великобританії, а також кількох країн ЄС та Азії . Партнери отримують 90-денне ексклюзивне вікно для виправлення вразливостей до того, як інформація про них буде оприлюднена . До кінця травня 2026 року Mythos знайшов понад 10 000 вразливостей високого та критичного рівня у системно важливому програмному забезпеченні .

Лише співпраця Mozilla з Anthropic призвела до виявлення та виправлення 271 вразливості нульового дня у Firefox 150 — це найбільший разовий пакет виправлень безпеки в історії браузера .

Захисні та політичні заходи

Відповідь індустрії: Cisco увійшла до початкової когорти партнерів Glasswing разом з іншими великими технологічними та кібербезпековими компаніями, отримавши ранній доступ до Mythos для пошуку вразливостей у власному та відкритому програмному забезпеченні . Внутрішнє партнерство Mozilla з Anthropic, яке передувало повному запуску Mythos, продемонструвало захисний потенціал ШІ при відповідальному використанні .

Адміністрація Трампа: Політична реакція була нестабільною. У квітні 2026 року національний кібердиректор Шон Кернкросс очолив роботу з державними установами, проте скорочення фінансування CISA (Агентства з кібербезпеки та захисту інфраструктури) та внутрішньополітичні суперечки ускладнили координацію .

21 травня Трамп скасував запланований указ, який мав зобов'язати ШІ-лабораторії надавати свої передові моделі на урядову експертизу за 90 днів до публічного релізу. Він заявив журналістам, що не хоче нічого, що могло б уповільнити лідерство Америки над Китаєм .

Менш ніж через два тижні, 3 червня, Трамп підписав переглянутий указ про інновації в галузі ШІ та кібербезпеку, який створив добровільну 30-денну процедуру перевірки для нових передових моделей — менш жорстку, ніж відхилений 90-денний мандат, але все ж визнання того, що статус-кво є недостатнім .

Тим часом, такі відомства, як Міністерство фінансів, Федеральна резервна система та Адміністративно-бюджетне управління, поспішили отримати доступ до Mythos після квітневих попереджень. Міністерство фінансів отримало екстрені брифінги, попри попередню вказівку Трампа припинити використання технології Anthropic .

Конгрес: OpenAI та Anthropic провели закриті брифінги з комітетом Палати представників з внутрішньої безпеки щодо кіберзагроз із використанням ШІ, що стало одними з перших спеціалізованих брифінгів для співробітників Конгресу на цю тему .

Що це змінює для захисників

Головний висновок однозначний: епоха, коли вихід патча давав захисникам тижні фору, закінчилася — принаймні, проти супротивників із доступом до передового ШІ. Асиметрія вражає: компанії досі витрачають близько 70 днів на латання дірок, тоді як ШІ може створити зброю проти цих же дірок менш ніж за годину. Організації тепер змушені переглядати, які вразливості вони вважають терміновими, як пріоритезують встановлення патчів і чи здатні їхні системи управління вразливостями вижити у світі, де створення експлойтів стало дешевим, швидким та автоматизованим.