AI našla 10 000 kritických chyb v softwaru za měsíc. Některé tam byly 27 let

Anthropic nasadil svůj dosud nejschopnější model Claude Mythos na hledání bezpečnostních děr v kritickém softwaru. Za 30 dní odhalil přes 10 000 závažných zranitelností — včetně chyby v OpenBSD staré 27 let, kterou nikdo neobjevil.

Představte si, že máte zaměstnance, který dokáže za jediný měsíc projít miliony řádků kódu a najít v nich tisíce závažných bezpečnostních děr — včetně těch, které tam ležely déle než čtvrt století. Přesně to udělal Claude Mythos Preview, dosud nezveřejněný model umělé inteligence od společnosti Anthropic, v rámci iniciativy nazvané Project Glasswing. Výsledky jsou alarmující: přes 10 000 vysoce závažných zranitelností v kritickém softwaru, na kterém běží většina světové digitální infrastruktury.

Pro české podnikatele to znamená zásadní zprávu. Software, který používáte — operační systémy, webové prohlížeče, cloudové platformy, open-source knihovny — obsahuje bezpečnostní díry, o kterých dosud nikdo nevěděl. A teď je umělá inteligence začíná nacházet rychleji, než je lidé stíhají opravovat.

Dvanáct technologických gigantů proti skrytým hrozbám

Project Glasswing není projekt jedné firmy. Anthropic spojil síly s dvanácti největšími technologickými společnostmi světa: Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA a Palo Alto Networks. Dalších více než 40 organizací získalo přístup k modelu Claude Mythos Preview, aby s jeho pomocí prověřily bezpečnost vlastního softwaru.

Projekt dostal jméno podle motýla se skleněnými křídly (Greta oto), jehož průhledná křídla symbolizují jak skryté zranitelnosti, tak transparentnost v obranné kybernetické bezpečnosti. Anthropic do projektu investoval 100 milionů dolarů ve formě kreditů na používání modelu a dalších 4 miliony dolarů směřovaly přímo do open-source nadací — Linux Foundation, Alpha-Omega, OpenSSF a Apache Software Foundation.

Chyba v OpenBSD stará 27 let a další překvapení

Čísla z prvního měsíce fungování projektu mluví sama za sebe. Claude Mythos Preview identifikoval přes 10 000 potenciálních zranitelností vysoké nebo kritické závažnosti. Z nich bylo 6 202 klasifikováno jako vysoce závažné a 1 726 potvrzeno jako skutečné bezpečnostní hrozby. K datu zveřejnění zprávy bylo 97 chyb již opraveno a vydáno 88 bezpečnostních doporučení.

Nejpozoruhodnější nálezy zahrnují:

• **Zranitelnost v OpenBSD stará 27 let** — vzdálený útočník mohl způsobit pád jednoho z nejbezpečnějších operačních systémů na světě. Chyba přežila desítky let manuálních auditů. • **Chyba ve FFmpeg stará 16 let** — v populárním video kodéru, který prošel 5 miliony automatických testů, aniž by ji cokoliv odhalilo. • **Řetězec zranitelností v jádře Linuxu** — umožňující eskalaci práv z běžného uživatele až k úplné kontrole nad systémem. • **Kritická chyba ve wolfSSL (CVE-2026-5194, CVSS 9.1)** — umožňující falšování certifikátů a předstírání identity legitimních služeb.

Na benchmarku CyberGym pro reprodukci zranitelností dosáhl Claude Mythos Preview skóre 83,1 % — oproti 66,6 % u předchozího modelu Claude Opus 4.6. V praxi to znamená, že model dokáže najít a zneužít bezpečnostní díry lépe než naprostá většina lidských expertů.

Nový problém: opravy nestíhají

Paradoxně největší výzvou, kterou Project Glasswing odhalil, není nedostatek schopností najít chyby — ale lidská kapacita je opravit. Anthropic tento jev nazývá "patch pressure" (tlak na záplatování). Umělá inteligence dokáže za hodiny projít kód, na jehož ruční audit by tým bezpečnostních expertů potřeboval měsíce. Výsledkem je lavina nahlášených zranitelností, kterou vývojářské týmy nestíhají zpracovat.

Okno mezi objevením zranitelnosti a jejím zneužitím se zhroutilo — to, co dříve trvalo měsíce, se teď děje v minutách.

Tento posun má přímé důsledky pro firmy všech velikostí. Pokud útočníci získají přístup ke srovnatelně výkonným modelům, budou moci stejně rychle nacházet zranitelnosti v komerčním softwaru. Závod mezi obránci a útočníky se dramaticky zrychluje.

Anthony Grieco, šéf bezpečnosti v Cisco, to shrnul jasně: "Schopnosti AI překročily práh, který zásadně mění naléhavost. Staré způsoby zabezpečení systémů už nestačí." A Jim Zemlin z Linux Foundation dodal: "Správci open-source projektů byli historicky ponecháni, aby si bezpečnost řešili sami. Tohle nabízí reálnou cestu ke změně."

Co to znamená pro český byznys

Project Glasswing je zatím dostupný pouze vybraným partnerům, ale jeho důsledky se týkají každé firmy, která používá software — tedy prakticky všech. Zde je několik konkrétních doporučení:

• **Zkraťte cyklus aktualizací.** Doby, kdy stačilo aktualizovat jednou za čtvrt roku, jsou pryč. Bezpečnostní záplaty nasazujte v řádu dnů, ne týdnů. • **Investujte do automatizovaného testování.** AI nástroje pro bezpečnostní analýzu kódu budou brzy dostupné komerčně. Anthropic již nabízí Claude Security pro enterprise zákazníky. • **Přehodnoťte open-source závislosti.** Váš software pravděpodobně závisí na desítkách open-source knihoven. Zmapujte je a sledujte jejich bezpečnostní bulletiny. • **Posilte vícefaktorové ověřování.** Jeden z partnerů projektu díky Mythosu odhalil pokus o podvodný bankovní převod za 1,5 milionu dolarů. • **Sledujte vývoj.** Anthropic se zavázal zveřejňovat zprávy o odhalených zranitelnostech každých 90 dní.

Svět kybernetické bezpečnosti právě prošel tektonickým posunem. Umělá inteligence už není jen nástrojem útočníků — stává se nejúčinnějším obráncem. Otázka pro každého podnikatele zní: jak rychle dokážete přizpůsobit své bezpečnostní procesy nové realitě, kde se zranitelnosti objevují rychlostí, na kterou lidské týmy prostě nestačí?