Claude Mythos Enterprise открива над 10 000 критични уязвимости: Anthropic създава алианс за AI сигурност с 13 технологични гиганта

Anthropic направи нещо голямо напоследък, но този път не става дума просто за пускане на нов модел.

На 7 април обедини редица компании, които рядко бихте си представили на една страна – AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks – и обяви създаването на Project Glasswing – алианс за сигурност с една-единствена мисия: с помощта на AI да реши проблема със сигурността на най-критичния софтуер в света.

В същия ден Anthropic разкри и друго тежко съобщение: вътрешните им мащабни сканирания на корпоративни кодови бази с моделите Claude откриханад 10 000 критични уязвимости.

Комбинацията от двете новини разтърси целия свят на сигурността.

Как бяха открити над десет хиляди критични уязвимости

Всичко започва от изследванията на Anthropic в областта на AI сигурността.

Claude Mythos е специализиран модел за изследвания в областта на сигурността, който Anthropic отдавна шлифова вътрешно. За разлика от обикновените модели Claude, той е оптимизиран специално за реверсно инженерство на код, откриване на уязвимости и сценарии на penetration testing и може автоматично да намира реални уязвими места в мащабни кодови бази.

Преди старта на Project Glasswing екипът на Anthropic първо използва Claude Mythos за „стрес тест“ на серия корпоративни кодови бази – резултатът е смразяващ:над десет хиляди критични уязвимости, обхващащи заобикаляне на автентикация, повреждане на памет, атаки по веригата за доставки и още много типове.

Тези уязвимости не са намерени от традиционни скенери, нито ръчно от инженери по сигурност – те са открити автоматично от AI модел.

За сравнение с традиционния подход: пълен одит на корпоративен код от професионален екип обикновено отнема месеци и струва стотици хиляди долари. Claude Mythos върши същото върху кодови бази със същия мащаб за дни или дори по-кратко.

Това е разликата в мащаба, която AI инструментите за изследване на сигурността правят.

Колко мощен всъщност е Claude Mythos

Заглавието на репортажа на The New York Times от 7 април казва всичко с едно изречение:“Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”– с прости думи, моделът е толкова мощен, че самите Anthropic считат, че не е подходящ за публично разпространение.

BBC след това публикува специална статия с заглавие:“What is Anthropic’s Claude Mythos and what risks does it pose?”

От събраната от различни източници информация става ясно, че основните способности на Claude Mythos са концентрирани в три направления:

– Разбиране и реверсно инженерство на код: умее да чете сложните структури на корпоративни кодови бази и да открива в тях пропуските в сигурността
– Оценка на експлоатируемостта на уязвимостите: не само открива уязвимости, но и преценява дали те могат да бъдат използвани в реални сценарии на атака
– Мащабно автоматизирано сканиране: работи върху цялата кодова база наведнъж, без ръчна проверка стъпка по стъпка

Какво означава тази комбинация от способности?

Означава, че работата, която преди е отнемала на един екип по сигурност три месеца, сега AI може да извърши за няколко дни. Освен това AI не се уморява, не пропуска сканирания и не се отказва от сложен код.

Project Glasswing: какво представлява AI алиансът за сигурност

Но самите AI способности не са достатъчни – Anthropic събра 13 технологични гиганта, за да стартира Project Glasswing.

Самият списък заслужава внимание:

– Облачни доставчици: AWS, Microsoft Azure
– Компании за сигурност: CrowdStrike, Palo Alto Networks
– Чипове / хардуер: Broadcom, NVIDIA
– Корпоративни потребители: JPMorgan Chase
– Отворена инфраструктура: Linux Foundation
– Операционни системи: Apple
– Мрежово оборудване: Cisco
– AI компании: Anthropic, Google

Какво означава тази комбинация? Означава, че те не се ограничават до теоретични изследвания, а искат да превърнат AI сигурността в реалност по цялата верига – от нивото на чиповете, през операционните системи и облачните платформи, до нивото на приложенията.

Основните планове на Glasswing включват:

– Създаване на стандарт за оценка на сигурността на кода, задвижван от AI
– Насърчаване на одити на сигурността на критичния софтуер с отворен код
– Споделяне на разузнавателна информация за критични уязвимости, открити от AI
– Осигуряване на AI защита за критичната инфраструктура по света

Казано директно, целта е да се изгради „съюз за киберсигурност“ в ерата на AI, който използва AI, за да се противопостави на рисковете, които самият AI създава.

Истинският проблем зад десетте хиляди уязвимости

Откриването на десет хиляди уязвимости само по себе си не е новина – в сектора на сигурността уязвимости се откриват всеки ден.

Истински тревожното е значението, скрито зад този брой.

Първо, мащабът на уязвимостите далеч надхвърля очакванията.

Преди всички знаеха, че корпоративните кодови бази имат уязвимости, но какво означава мащабът „над 10 000 критични“? Означава, че проверките за сигурност в съществуващите процеси на разработка изобщо не са достатъчни. Кодът е написан, скенерът е минал, всичко е одобрено – но пропуснатото си остава пропуснато. Намесата на AI разкри този проблем изцяло.

Второ, какво говори разпределението на уязвимостите.

Anthropic не обяви кои типове уязвимости са най-многобройни, но въз основа на състава на участниците в Glasswing може да се предположи, че акцентът ще бъде върху уязвимостите във веригата за доставки (заради Linux Foundation), в автентикацията (заради облачните и корпоративните компании) и в инфраструктурата (заради производителите на чипове и операционни системи).

Трето, „откриването“ не е равно на „коригирането“.

Откриването на уязвимост е само първата стъпка. Десет хиляди критични уязвимости – кой ще ги поправи и за колко време? Много от историческите уязвимости в корпоративните кодови бази вероятно съществуват от пет до десет години, а коригирането на една от тях изисква внимание, за да не се наруши съществуващата функционалност.

Двустранният характер на AI инструментите за сигурност

Тук трябва да отбележим едно нещо: ако Claude Mythos може да се използва за откриване на уязвимости, това означава, че и други могат да използват подобен AI за същата цел.

Anthropic избра да не пуска Claude Mythos публично с аргумента „твърде опасно е“. Това продължава практиката от епохата на Claude Opus 4 – първо да се оцени рискът, след това да се реши степента на отваряне.

Но въпросът е:

– Ще създадат ли други компании подобни или дори по-мощни модели?
– А ако тези модели попаднат в ръцете на нападателите?
– Ще успеят ли компаниите да поправят собствените си уязвимости с AI, преди нападателите да ги използват?

В известен смисъл Glasswing е отговорът точно на този въпрос:Вместо AI способностите за сигурност да останат концентрирани в ръцете на няколко компании, е по-добре цялата индустрия заедно да изгради защитна бариера. Нападателите имат AI, но и защитниците трябва да го имат – и то по-бърз, по-точен и по-систематичен.

Какво означава това за обикновения разработчик

Ако сте разработчик или инженер по сигурност, това събитие има няколко измерения:

В краткосрочен план: механизмът за споделяне на уязвимости на Glasswing първо ще обхване критичните проекти с отворен код и инфраструктурата. За собствените ви продукт линии все още не може да разчитате на него. Но си струва да следите техните бъдещи технически стандарти и методологии за оценка на уязвимостите.

В средносрочен план: специализирани модели за сигурност като Claude Mythos постепенно ще навлязат в корпоративните инструменти за сигурност. В бъдеще може да видите подобни AI способности, интегрирани в IDE разширения и в сканиращите процеси на CI/CD. Няма нищо лошо да се запознаете с това направление предварително.

В дългосрочен план: надпреварата във въоръжението между AI изследванията в областта на сигурността и AI изследванията в областта на атаките само ще се засилва. AI способностите на защитниците растат, но и тези на нападателите се развиват успоредно. Създаването на Glasswing показва, че големите компании вече третират това като стратегически въпрос.

Защо този момент е важен

През 2026 г. AI агентите започнаха масово да се интегрират в корпоративните работни процеси – от генериране на код до обработка на данни, от вътрешни системи до комуникация с клиенти. Модели като Claude и GPT вече дълбоко навлизат в основните бизнес процеси на компаниите.

Когато AI започне да обработва чувствителни данни, да пише критичен код и да се свързва с продукционни системи,уязвимостите на самия AI и уязвимостите, открити от AI, стават две страни на едно и също нещо.

Glasswing и десетте хиляди уязвимости са камънето, което Anthropic хвърли във водата – искат цялата индустрия да осъзнае: AI сигурността не е технически проблем, а проблем на екосистемата.

Една компания не може да го разреши – необходимо е участието на цялата индустрия.

Това обяснява защо Apple, Microsoft и Google – компании, които обикновено са един срещу друг – могат да седнат на един и същ маса.

И накрая ще кажа

Десетте хиляди критични уязвимости не са число, предназначено да предизвика тревожност.

Те представляват мащабен „преглед“, направен от Anthropic с AI, след който резултатите бяха съобщени на целия свят. Прегледът е готов – въпросът е как планирате да реагирате?

Ще чакате стандартите на Glasswing да влязат в сила, или ще започнете още сега да сканирате собствените си кодови бази с AI инструменти?

Този избор зависи от вас.