Fler än 10 000 allvarliga sårbarheter upptäckta i Claude Mythos Enterprise: Anthropic bildar AI-säkerhetsallians med 13 jättebolag

Anthropic har nyligen gjort ett stort drag, men den här gången handlar det inte bara om att lansera en ny modell.

Den 7 april gick företaget samman med en rad bolag som man knappt kan föreställa sig skulle stå på samma sida – AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks – och tillkännagav grundandet av en säkerhetsallians som kallas Project Glasswing med en enda mission: att använda AI för att lösa säkerhetsproblemen i världens mest kritiska programvara.

Samma dag avslöjade Anthropic ännu en tung nyhet: med Claude-modellerna hade företaget internt genomfört storskaliga säkerhetsskanningar av företagskodbaser, vilket resulterade iöver 10 000 allvarliga sårbarheter.

Tillsammans fick de två nyheterna hela säkerhetsvärlden att koka.

Hur över 10 000 allvarliga sårbarheter hittades

Det hela börjar med Anthropics AI-säkerhetsforskning.

Claude Mythos är en säkerhetsforskningsmodell som Anthropic länge har finslipat internt. Till skillnad från vanliga Claude-modeller är den särskilt optimerad för kodreversering, sårbarhetsupptäckt och penetrationstestning, och kan automatiskt hitta sårbarhetspunkter med verklig hotbild i storskaliga kodbaser.

Innan Project Glasswing startade lät Anthropics team Claude Mythos genomföra ett ”stresstest” på ett antal företagskodbaser – resultaten var hårresande:över 10 000 allvarliga sårbarheter, av allt från autentiseringskringåenden och minnesskador till attacker mot leveranskedjan.

Dessa sårbarheter hittades inte av traditionella skannrar och grävdes inte fram manuellt av säkerhetsingenjörer – de framkallades automatiskt av en AI-modell.

Som jämförelse: när ett professionellt säkerhetsteam gör en fullständig granskning av företagskod tar det vanligtvis månader och kostar lätt hundratals tusen dollar. På kodbaser av samma storlek kan Claude Mythos pressa ned tiden till dagar eller kortare.

Det är den magnitudsskillnad som AI-verktyg för säkerhetsforskning innebär.

Hur kraftfull är Claude Mythos egentligen?

New York Times rubrik den 7 april sa kort och gott:“Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”– helt enkelt att modellen är så kraftfull att Anthropic själva bedömer den som olämplig för offentlig lansering.

BBC följde upp med en egen artikel, med just den rubriken:“What is Anthropic’s Claude Mythos and what risks does it pose?”

Sammanvägt är Claude Mythos kärnförmågor koncentrerade till tre områden:

– Kodförståelse och reversering: kan förstå komplexa företagskodbasers struktur och identifiera säkerhetsbristerna i dem
– Bedömning av sårbarheternas utnyttjbarhet: hittar inte bara sårbarheter, utan kan även bedöma om de kan utnyttjas i verkliga attackscenarier
– Storskalig automatisk skanning: körs över en hel kodbas på en gång, utan manuell genomgång steg för steg

Vad betyder den här kombinationen av förmågor?

Att arbete som förr tog ett säkerhetsteam tre månader kan nu AI:n klara på några dagar. Dessutom blir AI:n aldrig trött, missar inget i skanningen och drar sig inte för komplex kod.

Project Glasswing: vad är AI-säkerhetsalliansen för något?

Enbart AI-förmågor räcker inte – Anthropic har därför samlat 13 teknologijättar för att starta Project Glasswing.

Själva listan är värd att studera noga:

– Molnleverantörer: AWS, Microsoft Azure
– Säkerhetsbolag: CrowdStrike, Palo Alto Networks
– Kretsar och hårdvara: Broadcom, NVIDIA
– Företagskund: JPMorgan Chase
– Infrastruktur med öppen källkod: Linux Foundation
– Operativsystem: Apple
– Nätverksutrustning: Cisco
– AI-bolag: Anthropic, Google

Vad betyder den här sammansättningen? Att de inte ägnar sig åt enbart teoretisk forskning, utan tänker bygga ut AI-säkerhetskraft i hela kedjan – från kretsnivå via operativsystem och molnplattformar till applikationsnivå.

Kärnplanerna i Glasswing omfattar:

– att skapa en AI-driven standard för utvärdering av kodsäkerhet
– att driva fram säkerhetsgranskningar av kritisk programvara med öppen källkod
– att dela underrättelser om allvarliga sårbarheter som AI hittar
– att ge AI-skydd åt världens kritiska infrastruktur

Helt rakt av handlar det om att bygga ett ”cybersäkerhetsförbund” för AI-eran, där AI används för att motverka de säkerhetsrisker som AI själv medför.

Det verkliga problemet bakom de 10 000 sårbarheterna

Att hitta 10 000 sårbarheter är i sig ingen nyhet – säkerhetsbranschen hittar sårbarheter varje dag.

Det som verkligen förtjänar vakenhet är vad siffran egentligen betyder.

För det första: sårbarheternas antal vida överstiger förväntningarna.

Tidigare visste man att företagskodbaser innehåller sårbarheter, men vad säger magnituden ”över 10 000 allvarliga”? Att säkerhetskontrollerna i nuvarande utvecklingsprocesser inte alls räcker till. Koden skrivs klart, säkerhetsskannern körs ett varv, allt godkänns – men det som borde ha upptäckts passerar ändå igenom. AI:s inträde exponerar problemet ännu grundligare.

För det andra: vad sårbarheternas fördelning berättar.

Anthropic har inte redovisat vilka typer av sårbarheter som är vanligast, men utifrån sammansättningen av Glasswings deltagare kan vi gissa: sårbarheter i leveranskedjan (eftersom Linux Foundation är med), autentiseringssårbarheter (eftersom molnleverantörer och företagskunder är med) och infrastruktursårbarheter (eftersom kretstillverkare och operativsystembolag är med) borde vara fokusområdena.

För det tredje: att ”upptäcka” inte är samma sak som att ”åtgärda”.

Att hitta sårbarheter är bara första steget. Vem ska åtgärda 10 000 allvarliga sårbarheter, och hur lång tid tar det? Många gamla sårbarheter i företagskodbaser kan ha funnits i fem till tio år, och när man åtgärdar en av dem måste man samtidigt se till att inte bryta befintlig funktionalitet.

AI:s säkerhetsverktyg – ett tveeggat svärd

Här måste en sak påpekas: att Claude Mythos kan användas för att hitta sårbarheter innebär också att andra kan använda liknande AI till samma syfte.

Anthropic valde den här gången att inte släppa Claude Mythos offentligt, med motiveringen att det vore ”för farligt”. Det ligger helt i linje med bolagets tillvägagångssätt under Claude Opus 4-eran – först bedöma risken, sedan bestämma hur mycket som ska öppnas.

Men frågan är:

– kommer andra bolag att bygga liknande eller ännu starkare modeller?
– vad händer om sådana modeller hamnar hos angripare?
– hinner företagen använda AI för att täppa till sina sårbarheter innan angriparna hittar dem?

Project Glasswing är på sätt och vis svaret på den frågan:hellre än att låta AI:s säkerhetsförmågor samlas hos ett fåtal bolag förenar man hela branschen för att bygga ett försvarsvall. Angripare har AI – då måste också försvararna ha det, och vara snabbare, mer träffsäkra och mer systematiska.

Hur ska vanliga utvecklare se på det här?

Om du är utvecklare eller säkerhetsingenjör har det här flera botyddelser:

På kort sikt: Glasswings mekanism för delning av sårbarheter kommer först att omfatta viktiga projekt med öppen källkod och infrastruktur. För dina egna produktlinjer får du inte räkna med det ännu. Följ dock de tekniska standarder och sårbarhetsklassificeringsmetoder som publiceras senare.

På medellång sikt: säkerhetsspecifika modeller som Claude Mythos kommer gradvis att ta plats i företagens säkerhetsverktygskedjor. I framtida IDE-tillägg och CI/CD-säkerhetsskanningar kommer du möjligen att se liknande AI-förmågor integrerade. Det skadar inte att bekanta sig med den riktningen i förväg.

På lång sikt: kapprustningen mellan AI-driven säkerhetsforskning och AI-driven attackforskning kommer bara att intensifieras. Försvararnas AI blir allt starkare, men angriparnas AI utvecklas i takt. Att Glasswing bildas visar att jättarna redan behandlar detta som en strategisk fråga.

Varför tidpunkten är viktig

År 2026 börjar AI-agenter kopplas in i företagens arbetsflöden i stora mängder – från kodgenerering till datahantering, från interna system till kundinteraktioner. Modeller som Claude och GPT har redan börjat tränga djupt in i företagens kärnverksamhet.

När AI börjar hantera känsliga data, skriva kritisk kod och kopplas in i produktionssystem,blir AI:s egna säkerhetssårbarheter och de sårbarheter som AI hittar två sidor av samma mynt.

Glasswing och de 10 000 sårbarheterna är stenen som Anthropic kastar ut i vattnet – man vill att hela branschen ska förstå: AI-säkerhet är inte ett tekniskt problem, det är ett ekosystemproblem.

Ett enskilt bolag löser det inte – det kräver hela branschen tillsammans.

Det förklarar också varför bolag som Apple, Microsoft och Google, som annars sällan är överens, kan sitta vid samma bord.

Avslutningsvis

De 10 000 allvarliga sårbarheterna är ingen siffra avsedd att skapa oro.

De är resultatet av att Anthropic med AI genomförde en storskalig ”hälsokontroll” och sedan delade resultaten med världen. Nu ligger rapporten på bordet – frågan är hur du tänker hantera den?

Väntar du på att Glasswings standarder ska träda i kraft, eller börjar du nu använda AI-verktyg för att göra en fullständig skanning av din kodbas?

Det valet får du göra själv.