Незвільнений штучний інтелект Anthropic зламав баги Linux та OpenBSD, які люди пропустили десятиліттями – Новини Біткоїна

Ключові висновки:

• Попередній перегляд Anthropic’s Claude Mythos набрав 83,1% на Cybergym, виявивши тисячі нуль-днів у кожній великій операційній системі та браузері.
• Проект Glasswing був запущений 7 квітня 2026 року з 11 засновниками та до $100 мільйонів кредитів на використання Mythos для захисників.
• 27-річна вразливість OpenBSD та 16-річна помилка FFmpeg пройшли мільйони автоматизованих тестів, поки Mythos не виявив їх за кілька годин.

Claude Mythos AI набрав 83% на Cybergym і виявив критичні вразливості у кожному великому браузері та ОС

Модель, яку Anthropic описує як найбільше досягнення у здатностях однієї моделі в історії передової AI, завершила тренування та була оголошена публічно 7 квітня 2026 року після того, як внутрішні дані з’явилися наприкінці березня через неправильно налаштовану систему управління контентом, яка відкрила приблизно 3000 внутрішніх файлів.

Anthropic не випускає попередній перегляд Claude Mythos публічно або через свій загальний API. Компанія обмежила доступ до перевіреної групи партнерів після того, як модель продемонструвала здатність виявляти та експлуатувати невідомі програмні вразливості раніше швидше та масштабніше за людських експертів і попередні системи AI.

На тестах з кібербезпеки різниця між Mythos і Claude Opus 4.6 важко ігнорувати. Mythos набрав 83,1% на Cybergym проти 66,6% для Opus 4.6, і 93,9% проти 80,8% на SWE-bench Verified. На SWE-bench Pro він показав 77,8% проти 53,4% — різницю у 24 бали. Він набрав 56,8% на Humanity’s Last Exam без інструментів, порівняно з 40,0% у попередника.

Модель не потребує спеціального навчання з кібербезпеки для виявлення цих помилок. Її досягнення базуються на більш широких прогресах у логіці, багатоступеневому плануванні та автономній поведінці агента. За наявності цільової бази коду в ізольованому контейнері вона читає вихідний код, формує гіпотези щодо помилок безпеки пам’яті, компілює та запускає програмне забезпечення, використовує дебагери, такі як Address Sanitizer, ранжує файли за ймовірністю вразливості та створює підтверджені звіти про помилки з робочими доказами концепції та експлойтами.

Деякі з цих експлойтів потребували майже жодного людського керівництва. Tomshardware.com повідомляє, що 27-річна вразливість TCP SACK у OpenBSD, тонкий переплив цілого цілого числа, що дозволяє зловмиснику віддалено викликати збій будь-якого відповідаючого хоста шляхом створення шкідливих пакетів, була знайдена автономно після приблизно 1000 запусків за загальної вартості менше 20 000 доларів. 16-річна помилка FFmpeg H.264 пройшла понад п’ять мільйонів автоматизованих тестів і кілька аудитів, перш ніж Mythos її виявив.

Результати браузерів привернули особливу увагу. На тестуванні JavaScript-двигуна Firefox 147 Mythos створив 181 повний шелл-експлойт і 29 випадків контролю реєстру. Claude Opus 4.6 створив два шелл-експлойти у тому ж наборі тестів. Модель також побудувала робочі ланцюги підвищення привілеїв у Linux, отримуючи доступ до root на серверах, після фільтрації 100 останніх CVE до 40 експлойтабельних кандидатів і успішно експлуатуючи більше половини.

Людські валідатори переглянули 198 звітів про вразливості моделі і погодилися з її оцінками серйозності у 89% випадків, з 98% згодою в межах одного рівня серйозності.

Проект Glasswing

Поки що менше 1% виявлених помилок повністю виправлено. Anthropic координує відповідальне розкриття, публікуючи криптографічні SHA-3 зобов’язання щодо невиправлених проблем і дотримуючись 90+45-денного графіка перед повним розкриттям деталей. Вразливість CVE-2026-4747 для віддаленого виконання коду на сервері FreeBSD NFS, яка існує вже 17 років і надає повний доступ до root без автентифікації, вже включена до списку розкритих прикладів.

Проект Glasswing, анонсований разом із моделлю, — це спроба Anthropic спрямувати ці можливості на захист, перш ніж подібні інструменти стануть широко доступними. Засновниками є Amazon Web Services, Apple, Broadcom, Cisco, Crowdstrike, Google, JPMorganChase, Linux Foundation, Microsoft, Nvidia і Palo Alto Networks. Доступ розширюється ще для понад 40 критичних організацій з розробки програмного забезпечення.

Anthropic пообіцяв $4 мільйонів у відкритих внесках у безпеку: 2,5 мільйона доларів для Alpha-Omega через OpenSSF і Linux Foundation, а також 1,5 мільйона доларів для Apache Software Foundation.

Компанія визнає, що інструменти AI, такі як Mythos, знижують бар’єр для виявлення та експлуатації вразливостей, і попереджає про короткострокові ризики від державних акторів, Китаю, Ірану, Північної Кореї та Росії, а також кримінальних груп, якщо подібні можливості поширяться без контролю. Вона описала період перехідних потрясінь перед тим, як захисники повністю інтегрують цю технологію.

Anthropic заявив, що майбутні релізи Claude Opus включатимуть засоби для виявлення та блокування небезпечних кібербезпекових результатів, а також планує запровадити Програму кіберперевірки для перевірених фахівців з безпеки. Публічний звіт про результати партнерів і виправлені вразливості очікується протягом 90 днів.