Krytyczna luka w tempie łatania. AI znajduje błędy szybciej, niż programiści są w stanie je naprawić

Okno między odkryciem podatności a jej wykorzystaniem przez cyberprzestępców właśnie przestało istnieć. Anthropic, w ramach inicjatywy Project Glasswing, udowodnił, że model Claude Mythos Preview potrafi zidentyfikować tysiące luk typu zero-day w niemal każdym dużym systemie operacyjnym i przeglądarce. To sytuacja bez precedensu: maszyna znajduje błędy w minuty, podczas gdy ich naprawa wciąż wymaga dni, a czasem tygodni pracy ludzkich deweloperów.

Dlaczego to ważne teraz? Eksperci ostrzegają przed erozją przewagi defensywnej. Choć Anthropic przeznaczył 100 mln USD w kredytach na skanowanie oprogramowania, te same zdolności zaczynają przenikać do mniejszych, publicznie dostępnych modeli. Skuteczność Claude Mythos w benchmarkach robi wrażenie – model osiąga 83,1% w testach bezpieczeństwa CyberGym i aż 93,9% w naprawianiu kodu (SWE-bench Verified), deklasując starsze systemy, takie jak Claude Opus 4.6.

Przewaga ofensywna nad defensywą

Tradycyjny model bezpieczeństwa opierał się na założeniu, że proces znajdowania luk jest trudny i kosztowny. Claude Mythos Preview całkowicie redefiniuje te koszty, niemal masowo generując raporty o błędach o najwyższym stopniu ważności. Problem polega na tym, że o ile AI potrafi błyskawicznie wskazać lukę, o tyle proces jej weryfikacji i wdrożenia poprawki pozostaje wąskim gardłem. Jak twierdzi zespół odpowiedzialny za projekt: „Okres między odkryciem podatności a jej wykorzystaniem przez przeciwnika załamał się – to, co kiedyś zajmowało miesiące, dziś dzięki AI dzieje się w minuty”.

Skala zjawiska uderza w największych. Cloudflare zaraportowało wykrycie 2000 błędów, z czego 400 zakwalifikowano jako wysokie ryzyko. Co ciekawe, wskaźnik fałszywych alarmów był u modelu niższy niż u ludzi. Z kolei Mozilla Firefox w wersji 150 otrzymała poprawki dla 271 podatności, co pokazuje dziesięciokrotny wzrost efektywności względem poprzednich narzędzi.

Paraliż w świecie open-source

Najtrudniejsza sytuacja panuje w projektach otwartych. Anthropic przeskanował ponad tysiąc projektów open-source, zasypując twórców tysiącami zgłoszeń. Reakcja była gwałtowna: deweloperzy błagali o spowolnienie tempa raportowania. Przy średnim czasie dwóch tygodni na naprawę jednego krytycznego błędu, małe zespoły toną. Z 23 tysięcy wykrytych nieprawidłowości, tylko niewielka część doczekała się oficjalnej poprawki.

Epoka niebezpiecznego przejścia

Wchodzimy w ryzykowny okres. Modele takie jak Mythos rozwiązują złożone, wieloetapowe scenariusze ataków bez udziału człowieka. Bruce Schneier, znany ekspert ds. bezpieczeństwa, ocenia sytuację krytycznie: „Project Glasswing to ważny krok, ale ostatecznie to podejście reaktywne – wyścig, by załatać dziury, zanim napastnicy się dostosują”. Schneier zauważa, że obecny paradygmat jest bezużyteczny w starciu z maszynową automatyzacją odkrywania luk.

Przemysł musi skrócić cykle wydawnicze. Dopóki automatyczna obrona nie nadąży za ofensywnym AI, jedyną barierą pozostają stare metody: twarda konfiguracja, MFA i rygorystyczne logowanie. Claude Mythos Preview nie trafił do szerokiej publiczności ze względu na swój potencjał destrukcyjny, ale bariera wejścia dla hakerów i tak niebezpiecznie maleje.