W marcu badacze Mozilli poinformowali, że Claude Opus 4.6 firmy Anthropic zidentyfikował 14 błędów o dużej wadze oraz 22 typowe luki i zagrożenia (CVE) w ciągu dwóch tygodni, co przekroczyło możliwości ludzkiego zespołu Mozilli. Następnie badacze z firmy Calif zajmującej się cyberbezpieczeństwem w Palo Alto oświadczyli, że wykorzystali próbną wersję modelu Mythos firmy Anthropic, aby ominąć technologię zabezpieczeń Apple macOS.
Badacze z Kalifornii poinformowali dziennik The Wall Street Journal, że wykonali „exploit polegający na eskalacji uprawnień” w połączeniu z innym wektorem ataku, umożliwiającym potencjalną kontrolę nad urządzeniem docelowym. Opracowali oprogramowanie, które powiązało dwa różne błędy i wykorzystało dodatkowe metody w celu uszkodzenia pamięci komputera Mac i uzyskania dostępu do ograniczonych obszarów urządzenia.
Odkrycie exploita zajęło pięć dni, a badacze zauważyli, że sukces zależał nie tylko od Mythos, ale także od umiejętności testerów. Apple analizuje obecnie ustalenia zawarte w raporcie, a rzecznik stwierdził: „Bezpieczeństwo jest naszym najwyższym priorytetem i bardzo poważnie podchodzimy do zgłoszeń dotyczących potencjalnych luk w zabezpieczeniach”.
W kwietniu firma Anthropic uruchomiła Mythos, pierwotnie nazwaną Project Glasswing, zapewniając dostęp około 40 wybranym firmom technologicznym. Firma stwierdziła, że Mythos zidentyfikowała tysiące luk o dużej wadze w głównych systemach operacyjnych i przeglądarkach internetowych, ostrzegając o poważnych konsekwencjach niewłaściwego użycia takich narzędzi.
Michał Zalewski, badacz bezpieczeństwa w Google, zapoznał się z badaniem z Kalifornii, ale nie przetestował jego wyników. Skomentował szum wokół Mythos, opisując go jako prawdopodobnie „przesadny”, przyznał jednak, że posiada on możliwości w zakresie znaczących badań podatności na zagrożenia i audytu kodu.
Pojawiły się obawy dotyczące dystrybucji Mythos. Gary McGraw, były wiceprezes Synopsys, zauważył w rozmowie z „The New York Times”, że wypuszczenie samej technologii nie jest zbyt niebezpieczne. Podkreślił, że wstrzymywanie takich narzędzi nie rozwiązuje podstawowych problemów cyberbezpieczeństwa.
