Claude Mythos знайшов 231 уразливість у Microsoft за місяць. Патчі вже не встигають за ШІ

Mythos використовують у межах Project Glasswing — ініціативи Anthropic, покликаної за допомогою ШІ захищати критично важливе програмне забезпечення. Через такий потік знахідок Microsoft, за повідомленнями джерел, була змушена зосередити інженерні ресурси на критичних і важливих помилках. Частину вразливостей помірного рівня планують виправити пізніше, але терміни для них залишаються невизначеними .

Масштаб Project Glasswing ще більший. Anthropic заявляє, що разом із партнерами Mythos виявив понад 10 000 уразливостей високого або критичного рівня в системно важливому програмному забезпеченні по всьому світу .

Власна панель Anthropic зі скоординованого розкриття вразливостей станом на 22 травня 2026 року містила 23 019 перевірених знахідок і 1 900 пріоритетних кандидатів. Із них 1 596 уразливостей були розкриті в 281 проєкті з відкритим кодом .

Microsoft зіткнулася з кризою сортування

Проблема полягає не лише в кількості помилок. Модель знаходить їх швидше, ніж команди безпеки можуть:

• відтворити вразливість;
• оцінити реальний ризик;
• визначити пріоритети;
• розробити й протестувати виправлення;
• випустити патч без побічних збоїв.

Внутрішні матеріали Microsoft, за даними ProPublica, прямо визнають, що компанія не встигає за темпами відкриттів Mythos . Так виникає своєрідний «борг із безпеки»: навіть якщо проблему вже знайшли, система може залишатися незахищеною, доки для неї не створять і не розгорнуть виправлення.

Рекордний Patch Tuesday у липні

14 липня 2026 року Microsoft випустила найбільший в історії пакет оновлень Patch Tuesday — щомісячний день релізу виправлень безпеки — для 622 уразливостей . У різних дослідженнях кількість дещо відрізняється: окремі джерела наводять 569–570 уразливостей залежно від методики підрахунку .

До липневого випуску увійшли:

• 59 уразливостей критичного рівня ;
• три zero-day — помилки, інформація про які стала відомою до появи виправлення; дві з них, CVE-2026-56155 у Active Directory Federation Services і CVE-2026-56164 у SharePoint Server, уже активно використовувалися зловмисниками ;
• 416 проблем у Windows, а також виправлення для Office, SharePoint, Azure, Hyper-V і Visual Studio .

Ще місяць тому, у червні, Microsoft уже встановила попередній рекорд — 206 CVE . У CrowdStrike зазначили, що такі показники можуть означати завершення епохи «невеликих» Patch Tuesday на тлі прискорення пошуку вразливостей за допомогою ШІ .

Hitachi перевіряє критичну інфраструктуру

У червні 2026 року до Project Glasswing приєдналася японська Hitachi. Компанія отримала доступ до Claude Mythos Preview для перевірки власного програмного забезпечення, зокрема рішень для соціальної інфраструктури та енергетики .

28 липня Hitachi повідомила, що Mythos істотно скоротив тривалість процедур перевірки безпеки. Модель змогла створювати моделі загроз для програмного коду обсягом у мільйони рядків, а сам процес, який раніше займав тижні, вдалося значно прискорити .

Це важливий тест практичного застосування технології: у промислових і енергетичних системах швидке встановлення патчів часто неможливе через вимоги до безперервної роботи, складне тестування та регуляторні обмеження.

Five Eyes: «Йдеться не про роки, а про місяці»

22 червня 2026 року розвідувальний альянс Five Eyes, до якого входять США, Велика Британія, Канада, Австралія та Нова Зеландія, оприлюднив рідкісну спільну заяву про кіберризики, пов’язані з передовими моделями ШІ .

У заяві йдеться, що frontier-моделі — найсучасніші системи ШІ — можуть фундаментально змінити як наступальні, так і оборонні кіберможливості. «Йдеться не про роки, а про місяці», — попередили спецслужби .

У самій заяві конкретні компанії чи моделі не називалися. Водночас Reuters та інші медіа пов’язали терміновість попередження з занепокоєнням щодо можливостей Anthropic Mythos . Заява з’явилася через кілька тижнів після розпорядження адміністрації Дональда Трампа обмежити доступ іноземних громадян до моделей Anthropic Mythos і Fable .

Головний ризик — розрив між пошуком і виправленням

Історія Mythos оголює кілька проблем, які вже не можна розв’язати лише традиційним скануванням мережі:

• Невідповідність швидкості. ШІ знаходить помилки за лічені години або дні, а люди витрачають значно більше часу на перевірку та підготовку патчів .
• Небезпечний беклог. Якщо тисячі серйозних уразливостей накопичуються одночасно, компаніям доводиться обирати, які системи захищати першими, залишаючи інші потенційно вразливими .
• Вразливість критичної інфраструктури. Енергетичні та промислові системи складніше оновлювати, адже зупинка обладнання може вплинути на безперервність важливих процесів .
• Перевага атакувальників. Те саме вміння ШІ знаходити й потенційно використовувати помилки може опинитися в руках зловмисників. Оборона поки що розвивається повільніше, ніж автоматизований пошук слабких місць .

Отже, вузьке місце кібербезпеки змістилося. Раніше головним завданням було знайти помилку. Тепер не менш складно зробити це швидше, ніж нею скористаються, і встигнути безпечно випустити виправлення.

Що організаціям варто змінити вже зараз

У рекомендаціях Five Eyes для бізнесу названо п’ять практичних кроків: зменшувати площу атаки, швидше встановлювати патчі, виходити з припущення, що проникнення вже могло відбутися, інвестувати в системи виявлення та реагування й посилювати захист ідентифікаційної інфраструктури .

Для корпоративних команд це означає перегляд підходів до керування вразливостями, які формувалися у світі повільнішого, людського темпу відкриттів. Автоматизоване встановлення оновлень, допомога ШІ у сортуванні знахідок і пріоритизація за реальним ризиком стають не просто зручними інструментами, а необхідною умовою захисту.

Claude Mythos уже продемонстрував, що ШІ здатен знаходити вразливості в безпрецедентних масштабах і темпах. Тепер питання в іншому: чи зможе глобальна екосистема кібербезпеки так само швидко навчитися їх виправляти.