22 травня Anthropic опублікував перші результати ініціативи Project Glasswing. За один місяць партнерська програма виявила понад 10 000 серйозних уразливостей у коді — більше ніж будь-яка попередня масштабна кампанія ручного аудиту. Серед партнерів — Cloudflare, Mozilla та банківські структури.
Деталі
Anthropic залучила 50 організацій до пілотного сканування власної критичної інфраструктури за допомогою Claude Mythos Preview — спеціалізованої моделі для задач безпеки. Результати конкретні: 6 202 вразливості рівня high/critical знайдено у більш ніж 1 000 open-source проєктів. Загальна кількість включно з корпоративним кодом партнерів перевищила 10 000.
Cloudflare отримала звіт на 2 000 багів, з яких 400 класифіковані як high або critical. Показник хибнопозитивних результатів виявився кращим, ніж у людських тестерів. Mozilla просканувала Firefox 150 і знайшла 271 вразливість — у десять разів більше, ніж було виявлено у Firefox 148 попередніми інструментами. Незалежні фірми підтвердили 90,6% знахідок як реальні загрози.
Anthropic відзначила нову проблему, яка стала наслідком цих результатів. Модель Mythos Preview знайшла вразливість у бібліотеці wolfSSL, що використовується мільярдами пристроїв, — вона дозволяла підробляти сертифікати та створювати шахрайські сайти. Модель самостійно побудувала exploit ще до того, як вийшов патч. Це підштовхнуло команду сформулювати новий пріоритет: «Прогрес у безпеці вже не обмежується пошуком вразливостей — тепер він обмежений швидкістю верифікації, розкриття та патчування».
Що це означає для українського B2B
Для компаній, що підтримують власний код або використовують open-source компоненти, Project Glasswing — це не академічна новина. Це перший публічний кейс, де AI не «допомагає» безпековій команді, а замінює значну частину ручного пентестингу з вищою точністю. Якщо ваша компанія має продукт, API або внутрішній сервіс на базі поширених бібліотек — ризик того, що схожа вразливість є у вашому коді, цілком реальний.
Для тих, хто зараз оцінює впровадження AI, ця новина дає конкретний аргумент для CTO і CISO: AI-аудит коду — не майбутнє, а вже наявна практика з вимірюваним результатом. Загальна вартість такого сканування через зовнішнього партнера або API залишається в рази нижчою за класичний пентест того ж масштабу. Compliance-ризик тут також прямий — компанії, що інтегруються з EU-клієнтами, все частіше стикаються з вимогами до захищеності коду як частиною due diligence.
Водночас є застереження: Anthropic поки не випустила Mythos-клас моделей у загальний доступ — саме через ризики неконтрольованого використання тих самих exploit-можливостей. З 530 виявлених high/critical вразливостей закрито лише 75. Це означає, що вікно між виявленням і патчуванням залишається відкритим, і для компаній з власним open-source стеком — це ризик вже сьогодні.
Контекст
У квітні 2026 Anthropic анонсувала розширення програми безпечного розкриття інформації і посилила internal red-teaming перед виходом нових моделей. Project Glasswing — перший публічний результат цього напряму, де AI використовується не проти загроз ззовні, а для знаходження власних вразливостей у партнерській інфраструктурі.
Що далі
Anthropic планує розширити програму на урядові структури та об’єкти критичної інфраструктури, а також відкрити публічні інструменти сканування для команд безпеки. Орієнтовні терміни — до кінця 2026 року.
Першоджерело: Project Glasswing: Initial Update · 22 травня 2026
