Claude Mythos của Anthropic phát hiện 231 lỗi Microsoft trong một tháng – Microsoft không thể vá kịp

Trên phạm vi rộng hơn, trong khuôn khổ Project Glasswing, Mythos đã xác định hơn 10.000 lỗ hổng có mức độ nghiêm trọng cao hoặc nghiêm trọng trên các phần mềm quan trọng nhất thế giới kể từ khi chương trình được triển khai . Bảng điều khiển tiết lộ lỗ hổng phối hợp của Anthropic báo cáo 1.596 lỗ hổng đã được tiết lộ trên 281 dự án mã nguồn mở tính đến ngày 22 tháng 5 năm 2026, với khoảng 23.019 phát hiện đã được phân loại và 1.900 ứng viên được ưu tiên .

Cuộc khủng hoảng phân loại nội bộ của Microsoft

Khoảng cách giữa phát hiện và khắc phục được mô tả như một cuộc khủng hoảng phân loại hiện hữu – AI tìm ra lỗ hổng nhanh hơn các nhóm vá lỗi con người có thể phân tích, tái tạo và sửa chữa . Các bài thuyết trình nội bộ của Microsoft được cho là thừa nhận công ty không thể theo kịp tốc độ phát hiện do Mythos thúc đẩy . Một slide nội bộ từ bài thuyết trình của Microsoft lưu ý rằng công ty có kế hoạch cuối cùng sẽ giải quyết các lỗ hổng ở mức độ trung bình, nhưng trọng tâm trước mắt chỉ là các lỗ hổng nghiêm trọng và quan trọng .

Kỷ lục Patch Tuesday tháng 7 năm 2026

Vào ngày 14 tháng 7 năm 2026, Microsoft đã phát hành Patch Tuesday lớn nhất trong lịch sử, giải quyết 622 lỗ hổng – gấp ba lần số lượng của tháng 6 năm 2026 và gần gấp năm lần mức trung bình hàng tháng . Số liệu có sự khác biệt nhỏ giữa các nguồn, một số báo cáo 569–622 CVE . Bản phát hành bao gồm:

• 59 lỗi ở mức nghiêm trọng
• Ba zero-day, hai trong số đó – CVE-2026-56155 trong Active Directory Federation Services và CVE-2026-56164 trong SharePoint Server – đã bị khai thác tích cực trước khi có bản vá
• 416 lỗi Windows, cùng với các bản sửa lỗi trên Office, SharePoint, Azure, Hyper-V và Visual Studio

CrowdStrike nhận xét rằng bản phát hành này "củng cố rằng kỷ nguyên của các Patch Tuesday 'nhỏ' có thể đã kết thúc khi việc phát hiện lỗ hổng do AI thúc đẩy tăng tốc" . Chỉ một tháng trước đó, tháng 6 năm 2026 đã phá vỡ kỷ lục trước đó với 206 CVE .

Hitachi tham gia Project Glasswing cho cơ sở hạ tầng trọng yếu

Hitachi đã tham gia Project Glasswing vào tháng 6 năm 2026, có quyền truy cập vào Claude Mythos Preview để kiểm toán phần mềm cơ sở hạ tầng xã hội của mình – đặc biệt là trong lĩnh vực năng lượng . Vào ngày 28 tháng 7 năm 2026, Hitachi báo cáo rằng Mythos đã giảm quy trình xác thực bảo mật từ vài tuần xuống còn khung thời gian ngắn hơn đáng kể, thành công trong việc tạo mô hình mối đe dọa cho hàng triệu dòng mã nguồn và xác nhận khả năng ứng dụng thực tế của mô hình này vào cơ sở hạ tầng trọng yếu .

Cảnh báo Five Eyes: 'Thời gian không phải là năm, mà là tháng'

Vào ngày 22 tháng 6 năm 2026, liên minh tình báo Five Eyes (Mỹ, Anh, Canada, Úc, New Zealand) đã đưa ra một tuyên bố công khai chung hiếm hoi cảnh báo rằng các mô hình AI tiên tiến nhất sẵn sàng tăng cường khả năng tấn công mạng trong vòng vài tháng, không phải vài năm . Liên minh tuyên bố: "Các mô hình AI tiên tiến được dự đoán sẽ vượt quá kỳ vọng hiện tại của ngành, về cơ bản thay đổi cả khả năng tấn công và phòng thủ mạng. Thời gian không phải là năm, mà là tháng" . Cảnh báo được đưa ra vài tuần sau khi chính quyền Trump ra lệnh cho Anthropic hạn chế quyền truy cập vào các mô hình Mythos và Fable của mình đối với người nước ngoài . Mặc dù tuyên bố của Five Eyes không nêu tên các công ty cụ thể, Reuters và các hãng tin khác đã liên kết sự cấp bách này trực tiếp với những lo ngại về mô hình Mythos của Anthropic .

Tác động rộng lớn hơn: Sự chênh lệch về tốc độ vá lỗi

Tốc độ phát hiện của Mythos đã phơi bày sự chênh lệch cơ bản giữa việc phát hiện lỗ hổng do AI hỗ trợ và khắc phục do con người lãnh đạo. Các chuyên gia bảo mật đã nêu lên những lo ngại:

• Chênh lệch tốc độ vá: AI phát hiện lỗi với tốc độ máy móc, nhưng việc phân loại và phát triển bản vá của con người vẫn bị giới hạn bởi các quy trình thủ công .
• Rủi ro tồn đọng: Hàng nghìn lỗ hổng nghiêm trọng tồn đọng buộc phải đưa ra các quyết định ưu tiên bất khả thi, khiến nhiều hệ thống bị lộ .
• Cơ sở hạ tầng mỏng manh: Công việc của Hitachi cho thấy việc phát hiện do AI thúc đẩy hiện đang nhắm vào các hệ thống điều khiển công nghiệp và cơ sở hạ tầng năng lượng, nơi việc vá lỗi thậm chí còn chậm hơn do yêu cầu về thời gian hoạt động và các ràng buộc pháp lý .
• Bất đối xứng tấn công: Cùng một khả năng AI được sử dụng để phòng thủ trong Project Glasswing có thể bị vũ khí hóa bởi kẻ thù, tạo ra sự bất đối xứng chưa từng có trong các hoạt động mạng .

Như một nhà phân tích bảo mật đã nhận xét: "Trước đây, chúng tôi lo lắng về việc tìm ra lỗi. Bây giờ, chúng tôi lo lắng về việc tìm ra chúng nhanh hơn khả năng sửa chữa của chúng tôi. Nút thắt cổ chai đã chuyển từ phát hiện sang khắc phục – và chúng tôi chưa có AI cho việc đó."

Các tổ chức nên làm gì ngay bây giờ

Tư vấn của Five Eyes đã liệt kê năm hành động thực tế cho các doanh nghiệp: giảm bề mặt tấn công, vá lỗi nhanh hơn, giả định rằng đã bị xâm phạm, đầu tư vào phát hiện và ứng phó, và củng cố cơ sở hạ tầng nhận dạng . Đối với hầu hết các nhóm bảo mật doanh nghiệp, điều này có nghĩa là phải suy nghĩ lại về các chương trình quản lý lỗ hổng vốn được thiết kế cho một thế giới phát hiện lỗi theo nhịp độ con người. Vá lỗi tự động, phân loại hỗ trợ AI và ưu tiên dựa trên rủi ro không còn là tùy chọn – chúng là chiến thuật sinh tồn.

Claude Mythos của Anthropic đã chứng minh rằng AI có thể tìm ra các lỗ hổng với quy mô và tốc độ chưa từng có. Câu hỏi đặt ra là liệu hệ sinh thái an ninh mạng toàn cầu có thể phát triển đủ nhanh để vá chúng hay không.