Claude Mythos Enterprise afslører over 10.000 kritiske sårbarheder: Anthropic samler 13 techgiganter i en AI-sikkerhedsalliance

Anthropic har for nylig gjort noget stort, men denne gang handler det ikke bare om at lancere en ny model.

Den 7. april annoncerede virksomheden sammen med en række firmaer, man aldrig havde troet ville stå på samme side — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks — dannelsen af en Project Glasswing sikkerhedsalliance. Missionen er kun én: at bruge AI til at løse sikkerhedsproblemerne i verdens mest kritiske software.

Samme dag afslørede Anthropic også en anden tung nyhed: Ved internt at bruge Claude-modellerne til massiv sikkerhedsscanning af enterprise-kodebaser fandt deover 10.000 kritiske sårbarheder.

Tag de to nyheder sammen, og hele sikkerhedsverdenen gik amok.

Hvordan blev over 10.000 kritiske sårbarheder fundet?

Det hele begynder med Anthropics AI-sikkerhedsforskning.

Claude Mythos er en specialmodel til sikkerhedsforskning, som Anthropic internt har finpudset længe. I modsætning til den almindelige Claude er den specifikt optimeret til kode-reverse engineering, sårbarhedsopdagelse og penetrations testningsscenarier og kan automatisk finde sårbarhedspunkter med reel trussel i store kodebaser.

Før lanceringen af Glasswing-projektet brugte Anthropics team først Claude Mythos til at lave en «stresstest» af en række kodebaser i enterprise-kvalitet — resultatet var ganske benhårdt:over 10.000 kritiske sårbarheder, der spænder fra godkendelsesomgåelser og hukommelseskorruption til supply chain-angreb og andre typer.

Disse sårbarheder blev ikke fundet af traditionelle scannere, og heller ikke gravet frem i hånden af sikkerhedsingeniører — de blev fundet automatisk af en AI-model.

Sammenlign med den traditionelle tilgang: En komplet sikkerhedsrevision af en virksomheds kodebase udført af et professionelt sikkerhedsteam tager typisk måneder og koster let hundredtusindvis af dollars. På kodebaser af samme størrelse kan Claude Mythos komprimere tiden til dage eller endda kortere.

Det er den rangforskel, vi taler om, når det gælder AI-værktøjer til sikkerhedsforskning.

Hvor vild er Claude Mythos egentlig?

The New York Times' overskrift den 7. april var direkte:«Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning»— kort sagt er denne model så kraftfuld, at Anthropic selv mener, at den ikke egner sig til offentlig udgivelse.

BBC fulgte efterfølgende op med en dedikeret artikel, hvis overskrift lød:«What is Anthropic's Claude Mythos and what risks does it pose?»

Set i lyset af oplysningerne fra alle parter koncentrerer Claude Mythos' kerneevner sig om tre retninger:

– Kodeforståelse og reverse engineering: kan læse og forstå komplekse enterprise-kodebaser og finde deres sikkerhedsbrister
– Vurdering af udnyttelighed: finder ikke kun sårbarheder, men kan også vurdere, om en given sårbarhed kan udnyttes i et reelt angrebsscenarie
– Massiv automatiseret scanning: kører over hele kodebassen på én gang uden manuel gennemgang trin for trin

Hvad betyder denne kombination af evner?

Det betyder, at det arbejde, et sikkerhedsteam tidligere brugte tre måneder på, nu kan klares af AI på få dage. Og AI bliver ikke træt, springer ikke scanninger over og viger ikke tilbage for kompleks kode.

Project Glasswing: Hvad er AI-sikkerhedsalliancen for en størrelse?

AI-evner alene var ikke nok — Anthropic trakkede 13 techgiganter med for at iværksætte Project Glasswing.

Selve listen er allerede værd at studere nærmere:

– Cloud-udbydere: AWS, Microsoft Azure
– Sikkerhedsfirmaer: CrowdStrike, Palo Alto Networks
– Chips/hardware: Broadcom, NVIDIA
– Enterprise-kunder: JPMorgan Chase
– Open source-infrastruktur: Linux Foundation
– Operativsystemer: Apple
– Netværksudstyr: Cisco
– AI-virksomheder: Anthropic, Google

Hvad betyder denne sammensætning? Den betyder, at de ikke nøjes med teoretisk forskning, men vil gøre AI-sikkerhed til virkelighed i hele kæden — fra chipniveau og operativsystemniveau til cloudplatformniveau og applikationsniveau.

Kerneplanerne for Glasswing omfatter:

– Etablere en AI-drevet standard for vurdering af kodesikkerhed
– Fremme sikkerhedsrevisioner af kritisk open source-software
– Dele efterretninger om kritiske sårbarheder fundet med AI
– Levere AI-sikkerhedsbeskyttelse til verdens kritiske infrastruktur

Helt ligefrem betyder det, at man vil bygge et «cybersikkerhedsalliance» for AI-æraen, der bruger AI til at bekæmpe de sikkerhedsrisici, AI selv skaber.

Det egentlige problem bag de 10.000 sårbarheder

At finde 10.000 sårbarheder er i sig selv ikke en nyhed — sikkerhedsfolkene finder sårbarheder hver eneste dag.

Det virkelig bekymrende er, hvad der gemmer sig bag dette tal.

For det første er sårbarhedernes størrelsesorden langt over forventningerne.

Tidligere vidste man godt, at virksomhedskodebaser indeholdt sårbarheder, men hvad fortæller et niveau på «over 10.000 kritiske»? Det fortæller, at sikkerhedskontrollerne i de eksisterende udviklingsprocesser på ingen måde er tilstrækkelige. Koden er skrevet færdig, sikkerhedsscanneren er kørt, den er godkendt — men det, der skulle løbe ind i fejl, løb stadig ind i fejl. AI's inddragelse har blot lagt problemet endnu mere åbent.

For det andet: Hvad fortæller fordelingen af sårbarhederne?

Anthropic har ikke offentliggjort, hvilke typer sårbarheder der er flest af, men ud fra sammensætningen af Glasswing-deltagerne kan vi gætte os til, at supply chain-sårbarheder (fordi Linux Foundation er med), autentifikationssårbarheder (fordi cloud-udbydere og enterprise-kunder er med) og infrastruktursårbarheder (fordi chip- og OS-leverandører er med) vil være i fokus.

For det tredje: At «finde» er ikke det samme som at «rette».

At finde sårbarheder er kun det første skridt. Hvem skal rette 10.000 kritiske sårbarheder, og hvor lang tid tager det? Mange af de ældre sårbarheder i virksomhedskodebaser har måske eksisteret i fem til ti år, og når man retter én, skal man samtidig passe på ikke at ødelægge eksisterende funktionalitet.

AI-sikkerhedsværktøjernes tveæggede natur

Når vi først er i gang, er der én ting, der må nævnes: At Claude Mythos kan bruges til at finde sårbarheder betyder også, at andre kan bruge lignende AI til at finde sårbarheder.

Anthropic har denne gang valgt ikke at udgive Claude Mythos offentligt med begrundelsen «for farlig». Det er i samme ånd, som virksomheden gjorde det i Claude Opus 4-æraen — før vurderes risikoen, derefter besluttes åbningsgraden.

Men problemet er:

– Vil andre virksomheder lave lignende eller endnu stærkere modeller?
– Hvad hvis disse modeller ender i angribernes hænder?
– Kan virksomhederne nå at lappe deres egne sårbarheder med AI, før angriberne når at finde dem?

I en vis forstand er det netop dette spørgsmål, Glasswing forsøger at besvare:I stedet for at lade AI-sikkerhedsevnerne koncentrere sig hos nogle få virksomheder er det bedre at forene hele branchen om at opbygge et forsvarsværn. Angriberne har AI, så forsvarerne må også have det — og helst hurtigere, mere præcist og mere systematisk.

Hvordan skal almindelige udviklere forholde sig til det?

Hvis du er udvikler eller sikkerhedsingeniør, er der flere lag i det her:

På kort sigt: Glasswings sårbarhedsdelingsmekanisme vil i første omgang dække kritiske open source-projekter og infrastruktur. For de produktlinjer, du selv er ansvarlig for, kan du endnu ikke regne med den. Men hold øje med de tekniske standarder og metoder til sårbarhedsvurdering, de efterfølgende offentliggør.

På mellem lang sigt: Sikkerhedsspecialmodeller som Claude Mythos vil gradvist finde ind i virksomhedernes sikkerhedsværktøjskæde. Du vil formentlig i fremtiden se integrationer af lignende AI-evner i IDE-plugins og CI/CD-sikkerhedsscanningsprocesser. Det kan aldrig skade at sætte sig ind i den retning i forvejen.

På lang sigt: Våbenkapløbet mellem AI-sikkerhedsforskning og AI-angrebsforskning vil kun blive mere og mere intenst. Forsvarssidens AI-evner bliver stærkere og stærkere, og angrebssidens AI-evner udvikler sig samtidig. At Glasswing blev dannet viser, at de store virksomheder allerede behandler dette som et strategisk spørgsmål.

Hvorfor er dette tidspunkt vigtigt?

I 2026 er AI-agenter begyndt at blive massivt integreret i virksomhedernes arbejdsgange — fra kodegenerering til datahåndtering, fra interne systemer til kundekommunikation. Modeller som Claude og GPT er allerede trængt dybt ind i virksomhedernes kerneforretning.

Når AI begynder at håndtere følsomme data, skrive kritisk kode og koble sig til produktionssystemer, bliverAI'ens egne sikkerhedssårbarheder og de sikkerhedssårbarheder, AI finder, to sider af samme sag.

Glasswing og de 10.000 sårbarheder er en sten, Anthropic har kastet ud i vandet — den skal få hele branchen til at indse, at AI-sikkerhed ikke er et teknisk problem, men et økosystemproblem.

Én enkelt virksomhed kan ikke løse det; hele branchen må løse det i fællesskab.

Det forklarer også, hvorfor virksomheder som Apple, Microsoft og Google, der normalt er hinandens modstandere, kan sidde ved samme bord.

Til sidst en sidste bemærkning

De 10.000 kritiske sårbarheder er ikke et tal, der er beregnet til at skabe angst.

Det er Anthropic, der med AI har lavet en massiv «sundhedstjek» og derefter har fortalt hele verden resultatet. Rapporten fra tjekket ligger nu på bordet — spørgsmålet er, hvordan du vil forholde dig til det?

Venter du på, at Glasswings standarder bliver realitet, eller går du i gang nu med at bruge AI-værktøjer til at lave en komplet scanning af din egen kodebase?

Det valg er dit.