תצוגה מקדימה של Claude Mythos: הבינה המלאכותית שטרם שוחררה של Anthropic פיצחה באגים בלינוקס וב-OpenBSD שבני אדם החמיצו במשך עשרות שנים

נקודות עיקריות:

• Claude Mythos Preview של Anthropic השיג ציון 83.1% ב‑Cybergym, ומצא אלפי Zero‑days בכל מערכת הפעלה ודפדפן מרכזיים.
• Project Glasswing הושק ב‑7 באפריל 2026, עם 11 שותפים מייסדים ועד 100 מיליון דולר בקרדיטים לשימוש ב‑Mythos עבור מגינים.
• פגם בן 27 שנים ב‑OpenBSD ובאג בן 16 שנים ב‑FFmpeg שרדו מיליוני בדיקות אוטומטיות עד ש‑Mythos מצא אותם בתוך שעות.

בינה מלאכותית Claude Mythos השיגה 83% ב‑Cybergym ומצאה פגמים קריטיים בכל דפדפן ומערכת הפעלה מרכזיים

המודל, שלדברי Anthropic מהווה את קפיצת היכולת הגדולה ביותר במודל יחיד בהיסטוריה של בינה מלאכותית בחזית הטכנולוגיה, השלים אימון והוכרז פומבית ב‑7 באפריל 2026, לאחר שפרטים פנימיים צפו בסוף מרץ דרך מערכת ניהול תוכן שהוגדרה באופן שגוי וחשפה כ‑3,000 קבצים פנימיים בקירוב.

Anthropic אינה משחררת את Claude Mythos Preview לציבור או דרך ה‑API הכללי שלה. החברה הגבילה את הגישה לקבוצה נבחרת של שותפים לאחר שהמודל הדגים כי הוא מסוגל לגלות ולנצל פגמי תוכנה לא ידועים במהירות ובהיקף שעוקפים גם מומחים אנושיים וגם מערכות AI קודמות.

במדדי ביצועים של אבטחת סייבר, הפער בין Mythos לבין Claude Opus 4.6 קשה להתעלמות. Mythos קיבל 83.1% ב‑Cybergym לעומת 66.6% ל‑Opus 4.6, ו‑93.9% לעומת 80.8% ב‑SWE-bench Verified. ב‑SWE-bench Pro הוא רשם 77.8% מול 53.4% — פער של 24 נקודות. הוא הגיע ל‑56.8% ב‑Humanity’s Last Exam ללא כלים, לעומת 40.0% לקודמו.

המודל אינו זקוק לאימון ייעודי בתחום אבטחת סייבר כדי למצוא את הבאגים הללו. השיפור שלו נובע מהתקדמות רחבה יותר בהסקה, בתכנון רב־שלבי ובהתנהגות אוטונומית סוכנתית. כאשר ניתנת לו תשתית קוד יעד בתוך קונטיינר מבודד, הוא קורא את קוד המקור, מנסח השערות לגבי פגמי בטיחות זיכרון, מקמפל ומריץ את התוכנה, משתמש במנפי שגיאות כמו Address Sanitizer, מדרג קבצים לפי סבירות לפגיעות, ומפיק דוחות באגים מאומתים עם אקספלויטים עובדים כהוכחת היתכנות.

חלק מאותם אקספלויטים דרשו כמעט ללא הכוונה אנושית. Tomshardware.com מדווח כי פגיעות TCP SACK ב‑OpenBSD בת 27 שנים, גלישת מספר שלם עדינה שמאפשרת לתוקף להפיל מרחוק כל מארח שמגיב על ידי יצירת חבילות זדוניות, נמצאה באופן אוטונומי לאחר כ‑1,000 הרצות בעלות כוללת של פחות מ‑20,000 דולר. באג בן 16 שנים ב‑FFmpeg H.264 שרד יותר מחמישה מיליון בדיקות אוטומטיות ומספר ביקורות לפני ש‑Mythos עלה עליו.

תוצאות הדפדפנים משכו תשומת לב מיוחדת. בבדיקות מנוע JavaScript של Firefox 147, Mythos הפיק 181 אקספלויטים מלאים של shell ו‑29 מקרים של שליטה ברגיסטרים. Claude Opus 4.6 הפיק שני אקספלויטים של shell באותו סט בדיקה. המודל גם בנה שרשראות עובדות להסלמת הרשאות בליבת Linux, ממשתמש ל‑root בשרתים, לאחר שסינן 100 CVEs עדכניים ל‑40 מועמדים הניתנים לניצול והצליח לנצל יותר ממחציתם.

מאמתים אנושיים בחנו 198 מדוחות הפגיעויות של המודל והסכימו עם דירוגי החומרה שלו ב‑89% מהמקרים, עם 98% הסכמה בתוך רמת חומרה אחת.

Project Glasswing

פחות מ‑1% מהבאגים שזוהו תוקנו באופן מלא עד כה. Anthropic מתאמת חשיפה אחראית, מפרסמת התחייבויות קריפטוגרפיות מסוג SHA‑3 עבור סוגיות שטרם תוקנו, ופועלת לפי לוח זמנים של 90 ועוד 45 ימים לפני פרסום פרטים מלאים. באג הרצת קוד מרחוק בשרת NFS של FreeBSD CVE-2026-4747, בן 17 שנים, שמעניק גישת root מלאה ללא אימות, הוא בין הדוגמאות שנקבו בשמן שכבר נמצאות בתהליך חשיפה.

Project Glasswing, שהוכרז לצד המודל, הוא ניסיון של Anthropic לכוון את היכולות הללו להגנה לפני שכלים דומים יהפכו לנפוצים. בין השותפים המייסדים: Amazon Web Services, Apple, Broadcom, Cisco, Crowdstrike, Google, JPMorganChase, קרן Linux, Microsoft, Nvidia, ו‑Palo Alto Networks. הגישה מורחבת ליותר מ‑40 ארגוני תוכנה קריטיים נוספים.

Anthropic התחייבה לתרומות אבטחה בקוד פתוח בסך 4 מיליון דולר: 2.5 מיליון דולר ל‑Alpha-Omega דרך OpenSSF באמצעות קרן Linux, ו‑1.5 מיליון דולר לקרן Apache Software Foundation.

החברה הודתה שכלי AI כמו Mythos מורידים את רף הכניסה לאיתור ולניצול פגיעויות, והדגישה סיכון בטווח הקרוב מצד שחקני מדינה, סין, איראן, צפון קוריאה, ורוסיה, וכן מצד קבוצות פשיעה אם יכולות דומות יתפשטו ללא בקרה. היא תיארה תקופת טלטלה מעברית לפני שמגינים יטמיעו את הטכנולוגיה באופן מלא.

Anthropic אמרה כי מהדורות Opus עתידיות של Claude יכללו אמצעי הגנה לזיהוי ולחסימה של פלטי אבטחת סייבר מסוכנים, ומתכננת להציג תוכנית Cyber Verification עבור אנשי אבטחה מאושרים. דוח פומבי על ממצאי השותפים ועל פגיעויות שתוקנו צפוי בתוך 90 ימים.