Claude Mythos Preview от Anthropic

Компания Anthropic представила миру Claude Mythos Preview — новую модель искусственного интеллекта общего назначения, которая совершила невероятный скачок в области кибербезопасности. Способности этой модели по поиску и эксплуатации уязвимостей (в том числе "нулевого дня") таковы, что они заставляют фундаментально переосмыслить то, как мы защищаем наши данные и ИТ-системы.

В этой статье мы подробно и доступно разберем, что такое Mythos Preview, как искусственный интеллект находит ошибки, которые опытные люди не замечали десятилетиями, и какие шаги необходимо предпринять индустрии уже сегодня.

Что такое Claude Mythos Preview?

Mythos Preview — это новейшая ИИ-модель от Anthropic, которая, как выяснилось в ходе тестирования, обладает выдающимися талантами в области информационной безопасности (ИБ). В отличие от предыдущих версий (например, Claude Opus 4.6), которые могли успешно находить уязвимости, но плохо справлялись с написанием реальных эксплойтов, Mythos Preview делает и то, и другое полностью автономно.

Ключевые возможности модели:

Обнаружение "zero-day" (уязвимостей нулевого дня) в крупнейших операционных системах и браузерах.
Автоматическое написание сложнейших цепочек эксплойтов для получения полного контроля над системой.
Реверс-инжиниринг (обратное проектирование) закрытого программного обеспечения — анализ скомпилированных программ без доступа к их исходному коду.
Поиск логических ошибок в криптографических библиотеках и веб-приложениях (например, полное обход механизмов аутентификации).

Важно отметить, что Anthropic не обучали модель взлому целенаправленно. Эти впечатляющие навыки появились эмерджентно — как следствие общего улучшения способностей ИИ к рассуждению, написанию кода и автономной работе.

Firefox JS shell exploitation

red.anthropic.com

Как ИИ ищет уязвимости: объясняем «на пальцах»

Для начала определимся с базовыми терминами:

Уязвимость нулевого дня (Zero-day) — неизвестная разработчикам ошибка в коде. Так как о ней никто не знает, для нее еще не существует защитного патча.
Уязвимости N-дня (N-day) — уже известные ошибки, для которых выпущено исправление, но многие пользователи или компании еще не успели обновить систему.
Эксплойт — программный код, который использует уязвимость для атаки на систему (например, для получения прав администратора).

Как именно Mythos Preview ищет скрытые баги? Представьте себе команду из тысяч опытных инспекторов, заходящих в гигантский лабиринт (исходный код программы). Сначала ИИ оценивает "план здания", определяя самые рискованные зоны — например, функции, обрабатывающие данные из интернета, или механизмы авторизации.

Инженеры Anthropic создали для ИИ изолированную среду-песочницу, загрузили туда код и дали простую команду: «Пожалуйста, найди здесь уязвимость». Модель действует как настоящий исследователь:

Читает код и выдвигает гипотезы о возможных сбоях.
Пишет тестовые скрипты и проверяет догадки на работающей программе.
Если система не ломается, ИИ анализирует причину и пробует снова.
Если баг подтвержден, модель пишет подробный отчет и создает полностью рабочий эксплойт.

Шокирующие находки из практики

Чтобы проверить возможности Mythos Preview в реальных условиях, исследователи предоставили модели доступ к популярным open-source проектам, которые десятилетиями проверяются тысячами программистов и автоматическими сканерами.

27-летний баг в OpenBSD

Операционная система OpenBSD славится своим маниакальным подходом к безопасности. Однако ИИ нашел критическую ошибку в механизме обработки сетевых пакетов (TCP SACK), которая присутствовала в коде с 1998 года.

Суть проблемы заключалась в математическом переполнении. ИИ понял, что если отправить серверу очень специфичные сетевые данные, математическая логика сойдет с ума и даст команду на удаление единственного защитного блока в памяти приложения. В результате система обращалась в "пустоту" (нулевой указатель), что приводило к полному сбою. Используя эту ошибку, злоумышленник мог бы дистанционно вывести из строя сервер любой компании.

Ошибка 16-летней давности в FFmpeg

FFmpeg — это важнейшая библиотека для обработки видео, на которой работает почти весь видеоконтент в интернете. При декодировании формата H.264 участки кода обмениваются данными о границах видеокадров. Разработчики использовали число 65535 как специальную метку "пустоты". ИИ смог сгенерировать такой видеокадр, в котором было ровно 65536 кусочков. Из-за этого счетчик переполнялся и доходил до отметки 65535, из-за чего плеер принимал кадр за "пустоту", что ломало память программы. Эту ошибку за 16 лет не нашел ни один человек и ни один сканер.

Удаленный взлом сервера FreeBSD

Mythos Preview без малейшей помощи со стороны человека написала рабочий эксплойт для 17-летней уязвимости (CVE-2026-4747). Модель нашла способ "переполнить" буфер памяти при сетевом подключении по протоколу NFS и применила сложнейшую технику, известную как ROP (Return-Oriented Programming).

ROP можно сравнить с письмом шантажиста: ИИ буквально "вырезал" безопасные кусочки инструкций из самой операционной системы и составил из них вредоносную команду (в данном случае — добавление своего ключа администратора для доступа по SSH). ИИ не просто нашел ошибку, но и обошел все встроенные защитные механизмы, продемонстрировав квалификацию хакера высшего уровня.

Интересные цифры и факты

Отчет Anthropic раскрывает не только сами проблемы безопасности, но и некоторые данные о закулисье работы ИИ, демонстрирующие феноменальную эффективность модели:

Шокирующе низкая стоимость взлома: Затраты на вычисление и обнаружение удаленной ошибки (RCE) во FreeBSD с помощью API Anthropic составили менее 2000$. Финальный, успешный прогон для поиска бага в OpenBSD обошелся менее чем в 50$, а весь массив из тысячи параллельных попыток уложился в 20 000$.
Поразительная точность оценок: Независимые профессиональные пентестеры вручную проверили найденные нейросетью уязвимости. В 89% случаев независимые эксперты полностью согласились со степенью критичности угрозы, которую автоматически проставила ИИ-модель.
Масштабный прирост эффективности: Предыдущая продвинутая нейросеть компании (Opus 4.6) смогла переработать баги браузера Mozilla Firefox в рабочий эксплойт лишь 2 раза из сотен попыток. В тех же условиях Mythos Preview справилась успешно 181 раз, обеспечив огромный разрыв в качестве.

Project Glasswing: почему модель недоступна публично

Важнейший момент: модель Claude Mythos Preview недоступна публично, и Anthropic не планирует выпускать её в массовый релиз ни сейчас, ни в будущем. Понимая колоссальную опасность попадания такого автоматизированного инструмента в руки злоумышленников, компания приняла решение строго ограничить доступ к продукту.

Вместо публичного релиза была запущена инициатива Project Glasswing. Это программа закрытого сотрудничества, участниками которой стала лишь узкая группа критически важных отраслевых партнеров и ведущие разработчики open-source проектов. Цель проекта: дать "защитникам" фору, чтобы они могли найти и устранить уязвимости до того момента, как похожие по мощности ИИ от третьих лиц или хакерских группировок утекут в свободный доступ.

Что делать разработчикам и бизнесу уже сейчас?

Опираясь на отчет об исследовании, можно выделить главные рекомендации для ИБ-специалистов:

Используйте доступные ИИ-модели для защиты: Даже текущие модели (такие как Claude Opus 4.6) отлично находят баги в коде, пусть и не умеют так виртуозно писать эксплойты. Начните применять их для аудита вашего кода уже сейчас, чтобы наработать нужные процессы.
Радикально ускорьте установку патчей (обновлений): Если раньше хакерам требовались дни и недели, чтобы превратить информацию об исправленной ошибке (N-day) в боевой вирус, Mythos Preview делает это за часы. Компании обязаны сократить временное окно для обновления и использовать автообновления везде, где это возможно.
Автоматизируйте реагирование на инциденты: Поскольку скорость обнаружения уязвимостей растет, операционные центры ИБ не справятся с нагрузкой вручную. ИИ должен взять на себя первый этап: сортировку алертов, анализ логов и написание первоначальных отчетов о расследованиях.
Пересмотрите политики раскрытия уязвимостей: Подготовьтесь к сценариям, когда на ваши баунти-программы (Bug Bounty) обрушится шквал отчетов об уязвимостях, найденных с помощью ИИ.

Заключение

Презентация Claude Mythos Preview — это водораздел в мировой истории информационной безопасности. Ошибки, годами прятавшиеся в популярном коде и считавшиеся "неуловимыми", теперь будут вскрываються за несколько часов аренды сервера с ИИ.

Традиционные подходы к безопасности, основанные на медленных проверках и постепенном накатывании обновлений, больше не работают. Индустрия должна срочно переосмыслить методы защиты и вооружаться ИИ-инструментами, пока эти возможности не стали массовым оружием цифрового нападения.