Claude Mythos Enterprise a descoperit peste 10.000 de vulnerabilități critice: Anthropic formează alianța de securitate AI alături de 13 giganti

Anthropic a făcut recent o mișcare de mari proporții, dar de data asta nu e vorba doar de lansarea unui model nou.

Pe 7 aprilie, a anunțat, împreună cu o serie de companii pe care nici în vis nu le-ai fi crezut alături una de alta — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks — înființarea unei alianțe de securitate numite Project Glasswing . Misiunea e una singură: să folosească AI pentru a rezolva problemele de securitate ale celor mai critice software-uri din lume.

În aceeași zi, Anthropic a dezvăluit și un alt anunț de mare greutate: au folosit intern modelele din seria Claude pentru scanări de securitate la scară largă asupra bazelor de cod enterprise, descoperindpeste 10.000 de vulnerabilități critice.

Puse cap la cap, cele două vești au făcut să explodeze întreaga comunitate de securitate.

Cum au fost descoperite cele peste 10.000 de vulnerabilități critice

Trebuie să pornim de la cercetările AI de securitate ale Anthropic.

Claude Mythos este modelul specializat pentru cercetare de securitate pe care Anthropic l-a rafinat continuu intern. Spre deosebire de un Claude obișnuit, e optimizat special pentru scenarii de inginerie inversă a codului, descoperire de vulnerabilități și testări de penetrare, fiind capabil să identifice automat, în baze de cod mari, punctele vulnerabile care reprezintă o amenințare reală.

Înainte de lansarea proiectului Glasswing, echipa Anthropic a folosit mai întâi Claude Mythos pentru a efectua „teste de stres” asupra unui lot de baze de cod enterprise — rezultatul a dat fiori:peste 10.000 de vulnerabilități critice, care acoperă tipuri variate, de la ocolirea autentificării și coruperea memoriei până la atacuri asupra lanțului de aprovizionare.

Aceste vulnerabilități nu au fost găsite de scanere tradiționale și nici descoperite manual de ingineri de securitate, ci au ieșit automat din rularea modelului AI.

O comparație cu metoda tradițională: o echipă profesională de securitate are nevoie, de obicei, de luni întregi pentru un audit complet al codului unei companii, iar costurile ajung ușor la sute de mii de dolari. Pe baze de cod de aceeași mărime, Claude Mythos poate comprima timpul la câteva zile sau chiar mai puțin.

Aceasta este diferența de ordine de mărime a instrumentelor AI de cercetare în securitate.

Cât de puternic este de fapt Claude Mythos

Titlul raportării The New York Times din 7 aprilie spunea, pe scurt:“Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”— pe scurt, modelul e atât de puternic încât chiar Anthropic a considerat că nu e potrivit pentru publicare.

BBC a publicat apoi un articol dedicat de urmărire, intitulat:“What is Anthropic’s Claude Mythos and what risks does it pose?”

Dacă punem cap la cap informațiile din diverse surse, capacitățile-cheie ale Claude Mythos se concentrează pe trei direcții:

– înțelegerea și ingineria inversă a codului: înțelege structura complexă a bazelor de cod enterprise și identifică defectele de securitate din ele
– evaluarea exploatabilității vulnerabilităților: nu doar descoperă vulnerabilitățile, ci evaluează dacă ele pot fi exploatate în scenarii reale de atac
– scanare automată la scară mare: rulează o singură dată pe întreaga bază de cod, fără verificare manuală pas cu pas

Ce înseamnă această combinație de capacități?

Înseamnă că munca de trei luni a unei echipe de securitate poate fi acum finalizată de AI în câteva zile. În plus, AI nu obosește, nu sare peste verificări și nu se descurajează la vederea unui cod complicat.

Project Glasswing: de unde vine alianța de securitate AI

Capacitățile AI nu sunt suficiente de una singură, așa că Anthropic a adus 13 giganti tehnologici pentru a lansa Project Glasswing.

Lista în sine merită analizată cu atenție:

– furnizori de cloud: AWS, Microsoft Azure
– companii de securitate: CrowdStrike, Palo Alto Networks
– cipurile/hardware: Broadcom, NVIDIA
– utilizatori enterprise: JPMorgan Chase
– infrastructură open source: Linux Foundation
– sisteme de operare: Apple
– echipamente de rețea: Cisco
– companii AI: Anthropic, Google

Ce înseamnă această combinație? Că nu vor să rămână doar la cercetare teoretică, ci să construiască implementarea capacităților AI de securitate pe tot lanțul: de la nivelul cipurilor și al sistemelor de operare, la nivelul platformelor cloud și al aplicațiilor.

Planul central Glasswing include:

– stabilirea unui set de standarde de evaluare a securității codului, bazate pe AI
– promovarea auditelor de securitate pentru software-urile open source critice
– partajarea informațiilor despre vulnerabilitățile critice descoperite de AI
– oferirea de protecție AI pentru infrastructurile critice din întreaga lume

Pe scurt, e vorba de crearea unei „alianțe de securitate cibernetică” pentru era AI, care folosește AI-ul pentru a contracara riscurile de securitate aduse tot de AI.

Adevărata problemă din spatele celor 10.000 de vulnerabilități

Descoperirea a 10.000 de vulnerabilități nu e în sine o știre; în lumea securității se descoperă vulnerabilități în fiecare zi.

Ceea ce merită cu adevărat atenția este semnificația din spatele acestui număr.

În primul rând, numărul vulnerabilităților depășește cu mult așteptările.

Știam deja că bazele de cod enterprise au vulnerabilități, dar ce arată amploarea „peste 10.000 critice”? Că verificările de securitate din procesele actuale de dezvoltare nu sunt, în fond, suficiente. Codul se scrie, se rulează o scanare de securitate, trece mai departe — dar ce trebuia să scape neobservat tot scapă. Intervenția AI a scos la iveală problema și mai complet.

În al doilea rând, ce arată distribuția vulnerabilităților.

Anthropic nu a publicat care tipuri de vulnerabilități predomină, dar, după componența participanților Glasswing, putem presupune că direcțiile prioritare sunt vulnerabilitățile lanțului de aprovizionare (din cauza prezenței Linux Foundation), vulnerabilitățile de autentificare (din cauza furnizorilor de cloud și a marilor companii) și vulnerabilitățile de infrastructură (din cauza producătorilor de cipuri și sisteme de operare).

În al treilea rând, „descoperirea” nu înseamnă „reparare”.

Descoperirea vulnerabilităților e doar primul pas. Cine repară 10.000 de vulnerabilități critice? În cât timp? Multe vulnerabilități istorice din bazele de cod enterprise pot exista de cinci până la zece ani, iar repararea uneia cere grijă, ca să nu strici funcționalitățile existente.

Sabia cu două tăișuri a instrumentelor AI de securitate

Aici trebuie spus un lucru: dacă Claude Mythos poate fi folosit pentru descoperirea vulnerabilităților, înseamnă că și alții pot folosi un AI similar pentru același scop.

De data asta Anthropic a ales să nu publice Claude Mythos, motivând că e „prea periculos”. Aceeași linie ca în era Claude Opus 4 — mai întâi evaluezi riscul, apoi decizi gradul de deschidere.

Problema este însă:

– vor face alte companii modele similare sau chiar mai puternice?
– ce se întâmplă dacă astfel de modele ajung în mâinile atacatorilor?
– pot companiile să-și repare vulnerabilitățile cu AI înaintea atacatorilor?

Glasswing răspunde, într-o anumită măsură, la această întrebare:mai bine să unim întreaga industrie pentru a construi bariere de apărare decât să lăsăm capacitățile AI de securitate concentrate în mâinile câtorva companii. Dacă atacatorii au AI, apărarea trebuie să-l aibă la fel de mult, și anume mai rapid, mai precis și mai sistematic.

Cum ar trebui să privească asta dezvoltatorii obișnuiți

Dacă ești dezvoltator sau inginer de securitate, această veste are mai multe semnificații:

pe termen scurt: mecanismul de partajare a vulnerabilităților Glasswing va acoperi prioritar proiectele open source critice și infrastructura. Pentru propria ta linie de produse, momentan nu te poți baza pe el. Dar poți urmări standardele tehnice și metodele de evaluare a vulnerabilităților pe care le vor publica ulterior.

pe termen mediu: modelele specializate în securitate precum Claude Mythos vor păși treptat în lanțul de instrumente de securitate al corporațiilor. S-ar putea să vezi integrări similare de capacități AI în plugin-urile IDE sau în fluxurile de scanare de securitate CI/CD din viitor. Nu strică să înțelegi din timp această direcție.

pe termen lung: cursa înarmării dintre cercetarea AI în securitate și cercetarea AI în atacuri va deveni doar mai aprinsă. Capacitățile AI ale apărătorilor cresc, dar cele ale atacatorilor evoluează în același ritm. Înființarea Glasswing arată că marile companii tratează deja problema la nivel strategic.

De ce contează acest moment

În 2026, Agenții AI încep să se integreze masiv în fluxurile de lucru corporative — de la generare de cod la procesare de date, de la sisteme interne la interacțiuni cu clienții. Modele precum Claude și GPT pătrund deja adânc în procesele-cheie de afaceri ale companiilor.

Când AI începe să proceseze date sensibile, să scrie cod critic și să se conecteze la sistemele de producție,vulnerabilitățile de securitate ale AI-ului și vulnerabilitățile descoperite de AI devin cele două fețe ale aceleiași monede.

Glasswing și cele 10.000 de vulnerabilități sunt o piatră aruncată de Anthropic — compania vrea ca întreaga industrie să înțeleagă: securitatea AI nu e o problemă tehnică, ci una de ecosistem.

O singură companie nu o poate rezolva; e nevoie ca toată industria să o abordeze împreună.

Asta explică de ce companii care de obicei se ceartă între ele — Apple, Microsoft, Google — pot sta acum la aceeași masă.

O ultimă vorbă

Cele 10.000 de vulnerabilități critice nu sunt o cifră menită să cultive anxietate.

E rezultatul unui „consult medical” la scară mare realizat de Anthropic cu ajutorul AI, apoi anunțat întregii lumi. Raportul consultului e gata; întrebarea e cum intenționezi să reacționezi?

Aștepți ca standardele Glasswing să prindă contur, sau începi chiar acum să-ți scanezi complet baza de cod cu instrumente AI?

Această alegere îți aparține doar ție.