Міф Клода: Firefox виявив 271 вразливість, захисники мають шанси отримати вирішальну перевагу

У вівторок Mozilla повідомила, що рання версія AI-моделі Anthropic Claude Mythos під час внутрішніх тестів виявила 271 уразливість безпеки у веббраузері Firefox, і всі вони були виправлені цього тижня. Також Mozilla, будучи враженою, зазначила, що результати вказують на можливі фундаментальні зміни в сфері кібербезпеки, а захисникам, імовірно, скоро вдасться звузити перевагу, яку нападники мали протягом тривалого часу.

Від 22 до 271: стрибок у безпекових можливостях Claude Mythos

Раніше Mozilla тестувала іншу модель Anthropic і в більш ранній версії Firefox виявила 22 безпеково чутливі вразливості. Виявлення 271 вразливості цього разу означає суттєвий стрибок за масштабом.

Mozilla підкреслила, що всі вразливості, які виявила система, «навіть “найкращі” людські дослідники» також можуть знайти, і що наразі AI-інструменти ще не розкрили нові типи вразливостей, які людина не могла б зрозуміти. Її ключова перевага полягає у значному пришвидшенні цього процесу, даючи розробникам змогу швидко ідентифікувати проблеми до того, як їх використають нападники.

Claude Mythos було випущено в березні 2026 року. Це наразі найпередовіша модель Anthropic, а внутрішні матеріали компанії описують її як нову модель, що перевершує попередню серію Opus. Під час тестування перед релізом вона виявила в основних операційних системах і веббраузерах тисячі раніше невідомих уразливостей.

План Glasswing: причина суворого контролю доступу

Anthropic забезпечує обмежений доступ до Claude Mythos через «план Glasswing» (Project Glasswing). Наразі на використання, схвалене компанією, можуть претендувати лише певні технологічні організації, які пройшли перевірку, зокрема Amazon, Apple, Microsoft тощо. Призначення обмежене скануванням програмних уразливостей.

Тло цієї жорсткої регуляції таке: британський Інститут безпеки ШІ провів тестування й виявив, що Claude Mythos може автономно виконувати складні мережеві операції, включно з багатоступеневим моделюванням атак на корпоративні мережі без втручання людини. Згідно з інсайдерами, хоча уряд Трампа закликав припинити використання технологій Anthropic, Агентство національної безпеки США (NSA) розгорнуло й запускає на таємних мережах попередню версію Claude Mythos.

Двосічний меч: ті самі можливості можуть пришвидшити мережеві атаки

Досягнення, виявлені Mozilla, мають глибокий зміст з обох боків. Дослідники з безпеки попереджають, що AI-системи, здатні масово аналізувати код, можуть автоматично знаходити експлуатовані вразливості у широко використовуваному програмному забезпеченні. Якщо це потрапить до рук недобросовісних осіб, це створить безпрецедентну кіберзагрозу для софтверних компаній і користувачів і може породити нове покоління автоматизованих мережевих атак.

Поширені запитання

Який тип проблем становлять 271 уразливість, знайдена Claude Mythos у Firefox?

Згідно з поясненням Mozilla, це реальні безпеково чутливі вразливості, «які “навіть найкращі” людські дослідники» здатні знайти. Mozilla зазначає, що AI-інструменти наразі ще не розкрили нові типи вразливостей, які людина не могла б зрозуміти, але їхня здатність полягає у швидкості масштабного системного сканування, що перевершує ручну перевірку. Усі проблеми були виправлені цього тижня.

Яка мета плану Glasswing і які організації можуть використовувати Claude Mythos?

План Glasswing — це контрольований план доступу, який створила Anthropic. Наразі він дозволяє обмежене використання Claude Mythos лише певними технологічними компаніями, які пройшли перевірку, зокрема Amazon, Apple, Microsoft тощо, а його призначення обмежене скануванням вразливостей програмного забезпечення. Це обмеження відображає надзвичайну обережність Anthropic щодо ризиків подвійного призначення для цієї моделі.

Яке глибоке значення це має для всієї галузі кібербезпеки?

Mozilla зазначає, що поява AI-інструментів може дати захисникам уперше реальний шанс скоротити перевагу нападників, яку ті мали роками, і досягти «вирішальної перемоги». Водночас дослідники попереджають, що такі самі можливості можуть бути використані атакувальниками для прискорення масштабу й ефективності автоматизованих мережевих атак. Тому контроль доступу до інструментів безпеки на основі AI є критично важливим.