В начале месяца компания Anthropic представила Mythos — свою наиболее продвинутую на тот момент модель ИИ. Новинка позиционировалась как инструмент для задач кибербезопасности и ориентирована на защиту: поиск уязвимостей, анализ угроз и помощь в укреплении цифровой инфраструктуры. Однако уже в первые дни вокруг Mythos разгорелись дискуссии о том, способен ли такой уровень «мозгов» ускорить не только исправление слабых мест, но и их использование злоумышленниками.
Поводом для тревоги стала формулировка самой компании: в рамках превью Mythos, как утверждается, обнаружил «тысячи» серьезных уязвимостей в «каждой крупной операционной системе и веб-браузере». Для бизнеса и регуляторов это звучит как сигнал о том, что динамика поиска уязвимостей может резко измениться — а значит, возрастает и цена промедления с исправлениями.
Как запустили Mythos и кому дали доступ
Anthropic не выпускала Mythos в открытый доступ сразу. Доступ к модели предоставлялся через закрытую программу под названием «Project Glasswing» — инициативу, в рамках которой разработчики и крупные технологические игроки могли работать с системой в ограниченном и контролируемом режиме.
Среди участников программы значатся технологические гиганты: Amazon, Microsoft, Nvidia и Apple. Такая конфигурация не случайна: именно эти компании одновременно участвуют в создании инфраструктуры (облака, вычисления, инструменты разработки) и в поддержке огромного числа программных компонентов, где уязвимости могут проявляться.
Кроме того, Anthropic расширила круг пользователей. К программе подключили более 40 дополнительных организаций, которые занимаются созданием или обслуживанием критически важной программной инфраструктуры — то есть компонентов, без которых невозможно функционирование сервисов, платежей, связи и управления данными.
Почему Mythos вызывает опасения
Главная претензия к подобным системам — скорость. Эксперты обращают внимание на то, что модель может находить и использовать ранее неизвестные уязвимости быстрее, чем компании успевают их устранять. В кибербезопасности это принципиальный разрыв: разработчики выпускают патчи и обновления, но злоумышленникам зачастую достаточно времени на «окно возможностей», пока уязвимость не закрыта у всех пользователей.
Вторая часть опасений связана с тем, что Mythos заявлен как обладающий более «высоким уровнем» кодирования и автономными возможностями. Под автономностью в данном контексте обычно понимают способность системы самостоятельно проходить цепочки действий — от анализа до подготовки решений, а иногда и до формирования рабочих шагов для атаки. Если подобные сценарии попадут в руки злоумышленников, это может заметно ускорить создание сложных атак.
Особый акцент делается на секторах, где технологические системы взаимосвязаны и нередко эксплуатируются десятилетиями. В первую очередь речь идет о банковской сфере, где критические процессы завязаны на множестве платформ, интерфейсов и наследуемом программном обеспечении. Чем больше «склеено» компонентов, тем сложнее гарантировать, что уязвимость будет устранена одинаково быстро во всех звеньях цепочки.
Сама Anthropic, представляя Mythos, подчеркивала: масштабный поиск дефектов в ПО при неправомерном применении может привести к серьезным последствиям для экономик, общественной безопасности и национальной безопасности. По сути, компания признает двойное назначение технологии: инструменты для защиты могут стать основой и для нападения, если их использовать не по назначению.
Как реакция рынка отразилась на компаниях
Волна обсуждений быстро перешла из профессионального сообщества в финансовую плоскость. 9 апреля американские акции в секторе программного обеспечения резко снижались после того, как 7 апреля стало известно о запуске Mythos. Инвесторы снова заговорили о том, что достижения в ИИ способны ускорить перестройку рынка и усилить давление на традиционные компании — в том числе из-за потенциальной конкуренции в области разработки ПО, тестирования и киберзащиты.
Что обсуждали власти США и регуляторы
Тема Mythos дошла и до государственных структур. Белый дом сообщалось, что обсуждал модель с Дарио Амодеем (Dario Amodei) — генеральным директором Anthropic. В ходе разговоров, по сообщениям представителей администрации, стороны затрагивали вопросы сотрудничества, кибербезопасности, а также поиск баланса между ускорением инноваций в ИИ и необходимостью ограничений ради безопасности.
Отдельно подчеркивается, что эти контакты проходили несмотря на то, что Пентагон ранее присвоил Anthropic формальную маркировку risk designation по линии цепочек поставок. В переводе на понятный язык это означает повышенное внимание к возможным рискам в том, как технологии компании могут влиять на безопасность критических систем.
Кроме того, сообщается, что правительство США намерено подготовить версию Mythos для предоставления крупным федеральным агентствам. Такой шаг часто означает желание встроить продвинутые инструменты в государственные процессы — например, для повышения качества анализа угроз и оперативного выявления слабых мест.
Параллельно в финансовом секторе готовились к оценке рисков. Указывалось, что министр финансов США Скотт Бессент (Scott Bessent) и председатель Федеральной резервной системы Джером Пауэлл (Jerome Powell) встречались с руководителями крупных банков США, чтобы проинформировать их о потенциальных угрозах, связанных с моделью.
Реакция в Великобритании и в Европе
Тревога вокруг Mythos прозвучала и в Великобритании. Там власти проводили разговоры с крупными банками и специалистами по кибербезопасности, чтобы оценить возможные риски и понять, какие сценарии угроз могут быть наиболее вероятными.
В Германии представители банковского сектора также контактировали с регуляторами. Кристиан Зёвинг (Christian Sewing), президент банковской ассоциации Германии и генеральный директор Deutsche Bank, отметил, что банки активно обсуждают Mythos с европейскими регуляторами.
Справка: что означает «уязвимость» и почему важна скорость исправлений
Уязвимость — это слабое место в программном обеспечении или конфигурации, которое может позволить злоумышленнику получить доступ к данным, нарушить работу системы или выполнить вредоносные действия. В реальной киберобороне критичны два процесса: обнаружение и устранение. Если ИИ способен находить проблемы быстрее, чем команды разработчиков выпускают патчи и пользователи успевают их установить, то окно для атак может расширяться.
В этом и заключается главный узел дискуссии вокруг Mythos: технологический прогресс в диагностике угроз может одновременно повышать эффективность защиты и, при небезопасном применении, усиливать возможности нападения.