A HotHardware beszámolója szerint az Anthropic — a Claude AI fejlesztője — bemutatta a Project Glasswing nevű kiberbiztonsági kezdeményezést, amely a cég legképesebb AI-modelljét veti be arra, hogy megerősítse a kritikus szoftvereket, mielőtt a támadók ugyanezt a technológiát fegyverként fordítanák ellenük.
A projekt motorja a nyilvánosság számára még nem elérhető Claude Mythos Preview modell — és az eddigi eredmények önmagukért beszélnek. A Glasswing már az első hónapjában több mint 10 000 magas és kritikus súlyosságú zero-day sebezhetőséget tárt fel — annyit, amennyihez a hagyományos biztonsági csapatoknak évek kellettek volna.
A felállás: 50 nagyvállalat egy asztalnál
A kezdeményezésben mintegy 50 jelentős tech-szereplő vesz részt, köztük a Microsoft, Google, Apple, Nvidia, AWS, Cisco, CrowdStrike, JPMorgan Chase, a Linux Foundation és a Palo Alto Networks. A projekt egy ~100 millió dolláros kezdeményezés, eredetileg áprilisban jelentették be.
A modell érdekessége, hogy az Anthropic nem kifejezetten kiberbiztonságra tanította — a képességek a modell erős agentikus kódolási és reasoning-képességeiből fakadnak. Vagyis a sebezhetőség-vadászat „mellékterméke” annak, hogy a modell mélyen érti és módosítja a komplex szoftvereket.
Évtizedes hibák, amiket senki sem vett észre
A Mythos olyan bugokat is megtalált, amelyek évtizedekig elkerülték az emberi felülvizsgálatot és a milliónyi automatizált tesztet:
- Egy 27 éve lappangó hiba az OpenBSD-ben
- Egy 16 éves bug az FFmpeg-ben
A partnerek valós eredményei is meggyőzőek:
- A Cloudflare ráengedte a modellt a kritikus rendszereire, és ~2 000 hibát talált — ebből 400 magas vagy kritikus súlyosságú —, méghozzá alacsonyabb téves találati aránnyal, mint az emberi penetration testerek.
- A Mozilla a Firefox 150-et auditálta vele, és 271 sebezhetőséget foltozott be — több mint tízszer annyit, mint amennyit a Firefox 148 hasonló, Claude Opus 4-gyel végzett vizsgálata talált.
A megfordult kibervédelmi logika
A projekt egy alapvető eltolódásra mutat rá. Korábban a sebezhetőségek megtalálása volt a nehéz rész — most az AI ezt felgyorsította, így az új szűk keresztmetszet a hibák rangsorolása és a javítások elég gyors kiadása lett.
CrowdStrike CTO-ja, Elia Zaitsev szerint: az az ablak, ami egy sebezhetőség felfedezése és kihasználása között eltelik, összeomlott — ami régen hónapokig tartott, az most percek alatt megtörténik az AI-jal. Az ő olvasatában ez nem ok a lassításra, hanem arra, hogy a védők gyorsabban és együtt mozogjanak.
A „dual-use” dilemma — és az Anthropic válasza
Itt jön a kényes pont. Ugyanaz a képesség, ami a védőknek segít, a támadóknak is fegyver lehet. Az Anthropic ezért nem teszi általánosan elérhetővé a Mythos modellt — helyette egy szigorúan ellenőrzött partnerprogramon keresztül adja oda, alapos átvilágítással, jogi megállapodásokkal, audit-jogokkal, folyamatos használat-monitorozással és visszavonható hozzáféréssel.
Ez egy köztes út a „teljes lezárás” és a „kiadjuk és reménykedünk” között — kontrollált hozzáférés a bizonyított, megbízható szervezeteknek.
Mit jelent ez?
A Glasswing jól mutatja, hová tart a kiberbiztonság: az AI-vezérelt sebezhetőség-keresés folyamatossá, hozzáférhetőbbé és a fejlesztésbe ágyazottá válik. Ugyanakkor egy szakértői vélemény fontos árnyalatot tesz hozzá: a hibák megtalálása egyre inkább kommodittá válik, de a józan ítélőképesség — hogy egy hiba számít-e, mekkora a hatása, és mit kell előbb javítani — nem. Itt marad a védők valódi értéke.
Az is megjegyzendő, hogy ezek az Anthropic által közölt számok, a partnerek visszajelzéseivel — független, teljes körű kiértékelés még várat magára. De a trend, hogy az AI ma már a legjobb emberi pentestereket is utoléri a hibavadászatban, egyértelműen tovább gyorsul.
