Payward, материнська компанія криптовалютної біржі Kraken, приєдналася до Project Glasswing від Anthropic 17 серпня та отримала обмежений доступ до Claude Mythos 5 для оборонної кібербезпеки.
Підсумок
- Payward приєдналася до Project Glasswing від Anthropic та отримала обмежений доступ до моделі Claude Mythos 5.
- Компанія планує протягом найближчих тижнів сканувати всі середовища Payward на наявність вразливостей програмного забезпечення.
- Payward заявляє, що підтверджені сторонні знахідки будуть передані відповідним супровідникам проєктів з відкритим кодом.
- Anthropic обмежує доступ до Mythos 5 перевіреним організаціям, оскільки її можливості з кібербезпеки несуть ризики зловживання.
- Використання Mythos 5 вимагає від клієнтів прийняття тридцятиденного зберігання даних для моніторингу безпеки Anthropic.
Компанія планує використовувати модель штучного інтелекту для сканування своїх програмних середовищ на наявність вразливостей протягом найближчих тижнів. Знахідки надходитимуть до існуючого процесу перевірки безпеки Payward, а не автоматично створюватимуть зміни в програмному забезпеченні.
Payward також повідомила, що має намір розкривати підтверджені вразливості, які впливають на сторонні проєкти з відкритим кодом, їхнім супровідникам. Компанія не визначила свої перші цілі сканування, не опублікувала графік розгортання та не розкрила вартість доступу до Mythos 5.
Payward скануватиме свої програмні середовища
Payward заявила, що Claude Mythos 5 досліджуватиме всі середовища компанії на наявність слабких місць у програмному забезпеченні. Її інфраструктура підтримує торгівлю цифровими активами, зберігання та розрахункові послуги, які залишаються доступними безперервно.
В оголошенні не зазначено, чи отримає Mythos 5 доступ до виробничих систем, ізольованих копій вихідного коду чи контрольованих тестових середовищ. Payward також не описала, як її команда з безпеки перевірятиме знахідки перед затвердженням виправлень.
Помилкові спрацьовування залишаються практичною проблемою, коли системи штучного інтелекту переглядають складне програмне забезпечення. Модель може виявити недосяжний код, дублювати існуючий звіт або неправильно зрозуміти, як компонент працює у виробництві. Тому перед тим, як команди класифікують проблему як вразливість, потрібен людський перегляд.
Фонд Ethereum дійшов подібного висновку під час тестування агентів безпеки на основі ШІ. Як повідомляв crypto.news, його дослідники виявили, що звіти про вразливості, створені ШІ, все ще вимагали незалежної перевірки людиною, особливо коли агенти досліджували складний код протоколу.
Співвиконавчий директор Payward Арджун Сеті заявив, що ШІ може змінити дисбаланс між атакуючими та захисниками, читаючи код у більшому масштабі.
«Модель може читати кожен рядок коду так, як це зробив би атакуючий, у масштабі машини, тому ми знаходимо ваду, перш ніж хтось зможе створити експлойт», — сказав Сеті.
У заяві описується передбачувана оборонна перевага Payward. Компанія ще не опублікувала результати, які показують, скільки дійсних вад Mythos 5 знайшла в її системах.
Project Glasswing обмежує доступ перевіреним партнерам
Anthropic запустила Project Glasswing у квітні 2026 року, щоб надати окремим постачальникам інфраструктури та супровідникам програмного забезпечення ранній доступ до своїх найпотужніших моделей кібербезпеки.
Серед перших учасників були Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks та Linux Foundation. Пізніше Anthropic розширила ініціативу приблизно до 150 організацій у понад 15 країнах.
Компанія заявляє, що організації-учасниці повинні відповідати вимогам безпеки перед отриманням доступу. Mythos 5 не є загальнодоступним, оскільки ті самі можливості, які використовуються для виявлення вразливостей, також можуть допомогти у створенні робочих експлойтів.
Як повідомлялося раніше, Anthropic відновив доступ до Mythos лише для перевірених організацій США після того, як уряд США зняв тимчасові експортні обмеження. Захищена модель Claude Fable 5 повернулася до ширшої доступності.
Payward заявив, що його доступ став можливим після рішення США, яке дозволило Mythos 5 досягти організацій, що експлуатують та захищають критичну інфраструктуру. Офіційна сторінка моделі Anthropic підтверджує, що доступ було відновлено для певного набору організацій США після схвалення уряду.
Ні Anthropic, ні уряд США публічно не визначили кожну платформу цифрових активів як критичну інфраструктуру. Заява Payward про те, що такі платформи «повинні бути в цьому списку», відображає позицію компанії, а не офіційну класифікацію уряду.
Claude Mythos 5 несе як захисні, так і наступальні ризики
Anthropic описує Claude Mythos 5 як свою найпотужнішу модель для досліджень у сфері кібербезпеки та біології. Модель може перевіряти код, виявляти слабкі місця, пропонувати виправлення та допомагати схваленим дослідникам у тестуванні шляхів експлойтів.
Раніше Mythos Preview від Project Glasswing, за повідомленнями, виявив понад 10 000 недоліків, класифікованих як високі або критичні за серйозністю, у широко використовуваному програмному забезпеченні. Координоване розкриття інформації Anthropic дашборд показав 1 596 вразливостей, зареєстрованих у 281 проекті з відкритим кодом станом на 22 травня.
Ці цифри є вимірюваннями Anthropic і не означають, що кожне початкове знахідка моделі була дійсною. Його дашборд зафіксував 90,8% справжніх позитивних результатів серед 1 900 кандидатів, перевірених зовнішніми фірмами з безпеки.
Anthropic заявив, що незалежна людська тріаж залишається обмежувальним етапом. Лише 97 перелічених знахідок були виправлені у вихідному коді на момент оновлення дашборду, тоді як 88 отримали публічний ідентифікатор рекомендацій.
Модель також може створювати компоненти експлойтів і поєднувати їх у ланцюжки атак. Anthropic навів цю можливість подвійного використання, пояснюючи, чому Mythos 5 залишається обмеженим для схвалених партнерів.
У пов'язаних матеріалах дослідники виявили, що моделі класу Mythos можуть перетворювати недоліки програмного забезпечення на робочі ланцюжки експлойтів. Тому ширший доступ надав би зловмисникам деякі з тих самих можливостей, що доступні захисникам.
Знахідки з відкритого коду будуть передані супровідникам
Payward заявив, що вразливості, виявлені в спільному сторонньому коді, будуть надіслані відповідним супровідникам проектів. Він представив цей процес як спосіб захисту інших організацій, які використовують те саме програмне забезпечення.
Компанія не опублікувала політику координованого розкриття для цієї ініціативи. Важливі невирішені деталі включають, скільки часу супровідники матимуть на виправлення недоліків, які знахідки Payward може розкрити публічно та як він буде обробляти проекти, які не відповідають.
Payward раніше стикався з суперечками щодо досліджень безпеки. Як повідомляв crypto.news, Kraken виправив недолік депозиту, який дослідники використали для виведення майже 3 мільйонів доларів. Пізніше біржа повернула кошти після публічної суперечки з CertiK.
Цей епізод не був пов'язаний з Project Glasswing, але він показує, чому чіткі правила тестування та розкриття мають значення. ШІ-сканування може збільшити кількість зареєстрованих знахідок, створюючи додаткову роботу для команд безпеки та супровідників.
Що далі для розгортання ШІ-безпеки Payward
Payward планує почати сканування своїх середовищ протягом тижнів. Наступні перевірені оновлення включатимуть підтверджені вразливості, виконані виправлення або публічні розкриття, скоординовані з відповідними проектами з відкритим кодом.
Жодних цільових показників продуктивності оголошено не було. Payward не повідомив, як часто Mythos 5 буде сканувати його системи або чи буде модель перевіряти новий код перед розгортанням.
Anthropic вимагає від клієнтів Mythos 5 прийняти тридцятиденне зберігання даних для моніторингу безпеки. Payward не пояснив, який код або інформація про систему будуть надіслані, як чутливі дані будуть відокремлені, або чи інформація про клієнтів випадає з процесу сканування.
Наразі підтвердженим розвитком є визнання Payward щодо Project Glasswing та заплановане використання Claude Mythos 5. Чи покращить модель безпеку компанії, залежатиме від якості її висновків, перевірки людиною та швидкості подальших виправлень.
