Projekt Glasswing: Anthropicova AI za 30 dní odhalila přes deset tisíc kritických zranitelností

Anthropic spustil bezprecedentní bezpečnostní iniciativu: jeho tajný AI model Claude Mythos Preview prohledal tisíce klíčových softwarových projektů a za pouhý měsíc našel více než deset tisíc závažných bezpečnostních chyb. Problém ale není jen v hledání — záplatování nestačí tempu, jakým AI chyby odkrývá.

Začátkem dubna 2026 Anthropic tiše spustil projekt, jehož výsledky otřásají celým světem kybernetické bezpečnosti. Projekt Glasswing — pojmenovaný po průhledném motýlu — dává přibližně padesáti partnerům přístup k dosud nezveřejněnému modelu Claude Mythos Preview. Tento specializovaný AI model má jediný úkol: prohledávat software na kritické zranitelnosti dříve, než to udělají kyberzločinci.

Výsledky prvního měsíce jsou ohromující. Mythos Preview a jeho partneři dohromady identifikovali více než deset tisíc závažných nebo kriticky závažných zranitelností v nejdůležitějším softwaru světa. Tempo odhalování chyb se u většiny partnerů zvýšilo víc než desetkrát. Cloudflare například nalezl přes 2 000 chyb — z toho 400 kritických — napříč svými systémy, a to s mírou falešně pozitivních výsledků lepší než u lidských testerů.

Chyby staré desítky let, které přehlédlo celé odvětví

Mythos Preview prokázal schopnost, která překvapila i zkušené bezpečnostní výzkumníky: nachází zranitelnosti, které se skrývaly ve zdrojovém kódu doslova desetiletí. Jedním z příkladů je 27letá chyba v OpenBSD a 16letá zranitelnost ve FFmpeg — nástrojích, které denně používají miliony serverů, aplikací a zařízení po celém světě. Obě chyby úspěšně unikaly pozornosti jak lidských bezpečnostních expertů, tak automatizovaných skenerů.

Zvláště pozoruhodný je případ open-source kryptografické knihovny wolfSSL, kterou využívají miliardy zařízení. Mythos Preview nejen chybu identifikoval, ale sám sestavil funkční exploit — kód, který by útočníkovi umožnil padělat digitální certifikáty a vydávat se za libovolnou banku nebo e-mailového poskytovatele. Zranitelnost je nyní opravena, technické detaily však zůstávají prozatím pod závojem.

Mozilla při testování Mythos Preview ve Firefoxu 150 nalezla a opravila 271 zranitelností — více než desetinásobek oproti předchozí verzi prohlížeče testované starším modelem. Britský AI Security Institute potvrdil, že Mythos Preview jako první model zcela autonomně zvládl oba jejich kybernetické cvičební scénáře, které simulují komplexní vícestupňové útoky.

Nový problém: záplatování nestačí tempu AI

Zdálo by se, že masové odhalování chyb je jednoduše skvělá zpráva. Skutečnost je složitější. Anthropic v aktualizaci projektu přiznal zásadní problém: tempo odhalování chyb daleko předstihlo kapacitu správců softwaru je opravovat. Správci open-source projektů — často dobrovolníci nebo malé týmy — jsou zahlceni přívalem bezpečnostních hlášení, která nemohou zpracovat v rozumném čase.

Relativní snadnost hledání zranitelností ve srovnání s obtížností jejich opravování představuje zásadní výzvu pro kybernetickou bezpečnost.

Anthropic na tento problém reaguje spoluprací s iniciativou Alpha-Omega v rámci Open Source Security Foundation, která pomáhá správcům projekty prioritizovat a zpracovávat hlášení. Firma také spustila Claude Security — veřejnou betu pro zákazníky Claude Enterprise — a program ověřování pro profesionální bezpečnostní týmy, které chtějí využívat pokročilé nástroje Mythos Preview pro legitimní bezpečnostní práci.

Dvousečný meč: AI jako štít i hrozba zároveň

Projekt Glasswing otevírá zásadní debatu, která se dotýká každé firmy závislé na softwaru — a dnes to jsou prakticky všechny. Anthropic sám varoval americké vládní úředníky před implikacemi: schopnost AI autonomně nacházet a zneužívat zranitelnosti existuje na obou stranách barikády. Pokud takový model dokáže za 30 dní najít deset tisíc kritických chyb v obranném módu, kyberzločinci se podobnými nástroji mohou zbrojit stejnou rychlostí v útočném.

Claude Mythos Preview proto není veřejně dostupný. Přístup k modelu je omezen na přibližně 40–50 partnerských organizací — převážně technologické giganty a finanční instituce budující nebo provozující kritickou infrastrukturu: Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA a Linux Foundation. Anthropic také věnoval 100 milionů dolarů v kreditech na provoz a 4 miliony dolarů v donacích organizacím zabývajícím se open-source bezpečností.

Plánované rozšíření projektu Glasswing zahrnuje spolupráci s americkou a spojeneckými vládami. Obecné zpřístupnění modelů třídy Mythos je v plánu, ale Anthropic jasně říká: ne dříve, než budou vyvinuty dostatečně silné záruky. Zatím žádná firma — včetně samotného Anthropicu — podle jejich vlastního vyjádření takové záruky nemá.

Co to znamená pro vaši firmu

Projekt Glasswing je varovným signálem i příležitostí. Pro firmy, které spoléhají na jakýkoliv software — a to je v roce 2026 doslova každá firma — přináší tato situace několik klíčových závěrů:

• Záplatování softwaru musí být nyní skutečnou prioritou, nikoliv formalitou. Lhůty pro aktualizace se zkracují — pokud Anthropicovi partneři zveřejňují záplaty pětkrát rychleji než dříve, je to signál pro celý trh.
• Bezpečnostní testy pomocí AI nástrojů přestanou být výsadou velkých korporací. Claude Security a podobné produkty se budou postupně zpřístupňovat i menším firmám.
• Open-source komponenty ve vašem softwaru jsou potenciálním slabým místem. Audit třetích stran a dodavatelského řetězce softwaru (Software Bill of Materials, SBOM) se stává standardem.
• Pojišťovací produkty kybernetického pojištění pravděpodobně přepíší podmínky v reakci na AI-akcelerované hrozby — zkontrolujte svá pojistky a limity.
• Firmy nabízející bezpečnostní audity a penetrační testy budou prožívat zásadní transformaci — ruční testování bude postupně nahrazováno AI-asistovanými nástroji.

Historicky byl nejslabší článek kybernetické bezpečnosti schopnost útočníků nacházet zranitelnosti rychleji než obránci. Projekt Glasswing tuto rovnici obrací — ale zároveň ukazuje, že samotné nacházení chyb nestačí. Bez dostatečné kapacity je opravovat jsme v paradoxní situaci: víme víc než kdy dřív, ale zranitelní zůstáváme.

Jedno je jisté: kybernetická bezpečnost vstoupila do nové éry. A firmy, které to pochopí jako první a přizpůsobí se, budou mít zásadní konkurenční výhodu — nejen v odolnosti vůči útokům, ale i v důvěryhodnosti u zákazníků, partnerů a regulátorů.