Anthropic: שותפי Project Glasswing מצאו מעל 10,000 חולשות חמורות בחודש אחד
ב-22 במאי 2026 דיווחה Anthropic שכ-50 שותפים, עם Claude Mythos Preview, איתרו מעל 10,000 חולשות בחומרה גבוהה או קריטית. הבעיה עברה מגילוי לתיקון.
TL;DR בקצרה
- לדברי Anthropic, כ-50 שותפי Project Glasswing מצאו בחודש הראשון מעל 10,000 חולשות בחומרה גבוהה או קריטית בתוכנה חשובה במיוחד.
- בסריקה של מעל 1,000 פרויקטי קוד פתוח, המודל העריך 6,202 חולשות חמורות. מתוך 530 שדווחו למתחזקים, 75 תוקנו עד פרסום הדוח.
- Anthropic כותבת שהצוואר החדש הוא אימות, דיווח ותיקון, והמלצתה לארגונים היא לקצר את זמני הבדיקה וההתקנה של תיקונים.
- Claude Mythos Preview לא פתוח לציבור, כי אף חברה עדיין לא בנתה הגנות מספיקות מפני שימוש לרעה.
ב-22 במאי 2026 פרסמה Anthropic עדכון ראשון על Project Glasswing, יוזמה לאבטחת תוכנה קריטית בעזרת המודל Claude Mythos Preview. לדבריה, כ-50 שותפים מצאו בחודש הראשון מעל 10,000 חולשות בחומרה גבוהה או קריטית. המסקנה שלה היא שהקושי עבר מגילוי חולשות אל תיקונן.
מה Project Glasswing מצאה בחודש הראשון
לפי Anthropic, רוב השותפים מצאו מאות חולשות חמורות בתוכנה שלהם. כמה מהם סיפרו שקצב איתור הבאגים עלה פי עשרה ויותר. Cloudflare מצאה 2,000 באגים, ו-400 מהם בחומרה גבוהה או קריטית. הצוות שלה העריך שאחוז התוצאות השגויות נמוך משל בודקים אנושיים.
Anthropic מביאה גם מדדים חיצוניים. מכון הביטחון לבינה מלאכותית של בריטניה דיווח ש-Mythos Preview הוא המודל הראשון שפתר מקצה לקצה את שתי הסימולציות שלו להתקפות רב-שלביות. Mozilla מצאה ותיקנה 271 חולשות ב-Firefox 150, פי עשרה ויותר ממה שמצאה ב-Firefox 148 עם Claude Opus 4.6.
יש גם ראיות לכך שהתיקונים מואצים. לדברי Anthropic, בגרסה האחרונה של Palo Alto Networks היו פי חמישה ויותר תיקונים מהרגיל. Microsoft מסרה שמספר התיקונים שלה ימשיך לגדול זמן מה. אלה דיווחים של החברות, לא מדידה עצמאית.
קוד פתוח: אלפי חולשות, מעט תיקונים
Anthropic סרקה מעל 1,000 פרויקטי קוד פתוח. המודל העריך ש-6,202 מתוך 23,019 החולשות שמצא הן בחומרה גבוהה או קריטית. מתוכן 1,752 נבדקו בידי שש חברות אבטחה עצמאיות, ובמקרים בודדים בידי Anthropic. ב-90.6% מהן הבדיקה אישרה חולשה אמיתית.
הדוח מציג צוואר בקבוק. Anthropic העבירה למתחזקים כ-530 חולשות חמורות, ו-75 מהן תוקנו. ב-65 מהן יש כבר פרסום ציבורי. בממוצע, תיקון של חולשה חמורה שהמודל מצא לוקח שבועיים.
מתחזקים של פרויקטים פתוחים אמרו לה שהם עמוסים. חלקם ביקשו ממנה להאט את קצב הדיווחים. אחת הדוגמאות היא wolfSSL, ספריית הצפנה שנמצאת במיליארדי מכשירים. המודל בנה ניצול שמאפשר לזייף תעודות, והחולשה תוקנה תחת CVE-2026-5194.
מה Project Glasswing אומרת לצוותי IT
Anthropic מזהירה שמודלים עם יכולות דומות יגיעו לחברות נוספות, לפי הערכתה. לכן היא ממליצה לארגונים לקצר את זמני הבדיקה וההתקנה של תיקונים. היא מזכירה גם את הבקרות הבסיסיות של NIST ושל המרכז הלאומי לאבטחת סייבר בבריטניה: חיזוק הגדרות ברירת מחדל, אימות רב-שלבי ויומני רישום מלאים.
החברה עדיין לא פתחה את Mythos Preview לציבור. לדבריה, אף חברה, כולל היא, לא פיתחה הגנות חזקות דיין למניעת שימוש לרעה. היא מתכננת להרחיב את Glasswing עם ממשלות, ולפתוח דגמים ברמת Mythos כשההגנות יהיו מוכנות.
מה זה אומר עבורכם
- קצרו את מחזור העדכונים. התיקונים צפויים לגדול בנפח. בנו תהליך שמסוגל לבדוק ולהתקין במהירות, בראש ובראשונה במערכות שחשופות לאינטרנט.
- חזקו את הבסיס. אימות רב-שלבי, הגדרות ברירת מחדל מוקשחות ויומני רישום עובדים גם כשתיקון מתעכב.
- סרקו את הקוד שלכם בעצמכם. לדברי Anthropic, מודלים זמינים כבר מוצאים הרבה חולשות. החברה פתחה גם את Claude Security בבטא ללקוחות Enterprise.
- עקבו אחרי רכיבי קוד פתוח. Anthropic מצפה שעוד תיקונים יצאו עם התקדמות חלון הגילוי של 90 יום. אם אתם משתמשים בספריות כמו wolfSSL, עקבו אחרי הפרסומים שלהן.
- קראו את המספרים בזהירות. רובם דיווחים של Anthropic ושל שותפיה. חלק נבדק בידי גורמים חיצוניים, אך לא הכול.
מה קרה מאז
ב-9 ביוני 2026 השיקה Anthropic את Claude Fable 5 לשימוש כללי, עם הגנות. את Claude Mythos 5 היא פרסה בתחילה דרך Project Glasswing, בשיתוף ממשלת ארה״ב, כשדרוג של Mythos Preview. הפרטים בכתבה על ההשקה של Fable 5.
מקורות והרחבה
- Project Glasswing: An initial updateAnthropic
- Anthropic says Claude Mythos Preview partners found over 10,000 vulnerabilitiesEngadget
- Claude Fable 5 and Claude Mythos 5Anthropic
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
