Anthropic och OpenAI presenterar Claude Mythos och GPT-5.4-Cyber

De renodlade AI-bolagen Anthropic och OpenAI ligger i framkant när det gäller automatiserad sårbarhetsdetektering.

Med lanseringen av Claude Opus 4.7 – som hamnade något i skymundan av uppmärksamheten kring Claude Mythos Preview – intensifierar Anthropic sina satsningar på agentisk AI och sårbarhetsdetektering.
Vivien Mura, CTO på Orange Cyberdefense i Frankrike, analyserar hur AI kan bidra positivt till cybersäkerheten och vilka nya möjligheter tekniken samtidigt skapar för hackare.

Anthropic: Etisk AI i grunden

Anthropic är ett renodlat bolag inom generativ AI (GenAI) som grundades 2021 av tidigare OpenAI-forskare, däribland Dario Amodei och hans syster Daniela Amodei. Det San Francisco-baserade företaget har etablerat sig som en av de snabbt växande aktörerna inom artificiell intelligens.

Med sin familj av stora språkmodeller (LLM) under namnet Claude utmärker sig Anthropic genom sitt fokus på säkerhet och etik. Detta återspeglas i företagets metodik Constitutional AI, som används i utvecklingen av dess AI-modeller och plattforma

Är Claude Mythos ett tveeggat svärd?

Lanseringen av Claude Mythos Preview markerar en viktig vändpunkt i utvecklingen där artificiell intelligens och cybersäkerhet möts.

Med Claude Mythos Preview tar Anthropic ett nytt steg framåt. Denna AI-modell, som inte är offentligt tillgänglig och vars användning för närvarande är begränsad till deltagare(1) i initiativet Project Glasswing, uppges kunna identifiera och utnyttja kritiska sårbarheter i programvara.

Claude Mythos avancerade förmåga till resonemang, som inte är kopplad till någon specifik utbildning inom cybersäkerhet, gör det möjligt för modellen att förstå och i vissa fall knäcka logiken bakom informationssystem och programvara, förklarar Vivien Mura, CTO på Orange Cyberdefense i Frankrike.

Claude Mythos Preview uppges specifikt kunna identifiera och utnyttja så kallade zero-day-sårbarheter på egen hand – säkerhetsbrister som ännu inte har upptäckts – i väl etablerade och brett använda digitala miljöer, såsom OpenBSD och Firefox.

Problemet är att dessa sårbarheter inte tidigare har upptäckts av mänskliga experter. Vissa av dem har funnits i många år.

Även om verktyget har utvecklats för att stärka cybersäkerheten i digitala miljöer, i linje med Anthropics grundläggande värderingar, väcker det en viktig fråga: Vad händer om cyberkriminella och andra hacktivister får tillgång till samma teknik och använder den i destruktiva syften?

Även om det i nuläget saknas tillräckligt med information för att bedöma modellens faktiska prestanda, får de uppgifter som presenteras i Mythos System Card(2) långtgående konsekvenser för cybersäkerheten, förklarar Vivien Mura.

Claude Mythos: Hur påverkas cyberkriminella?

Lanseringen av Claude Mythos aktualiserar återigen frågan om zero-day-sårbarheter(3) och hur cyberkriminella kan utnyttja dem. Modellen uppges kunna identifiera flera kritiska sårbarheter på bara några dagar. Det tyder på att kostnaden för att upptäcka tidigare okända säkerhetsbrister kan minska, både för cybersäkerhetsforskare och för angripare.

Claude Mythos Preview innebär också ett steg framåt när det gäller automatisering av attackkedjor. Modellen uppges kunna kombinera sårbarheter i programvara och konfigurationer helt autonomt. I vissa dokumenterade fall har den lyckats ta sig ut ur sandlådemiljöer(4) och upprätta extern kommunikation. Detta visar prov på taktiskt resonemang som hittills främst förknippats med mänskliga penetrationstestare. Samtidigt är det viktigt att beakta förutsättningarna: testerna genomfördes i en informationsmiljö utformad för forskning, utan traditionella system för upptäckt och skydd.

En annan viktig observation är att Claude Mythos Preview är en generell AI-modell som inte har tränats specifikt på cybersäkerhetsdata och inte bygger på någon särskild arkitektur av typen RAG eller agentbaserad AI. Modellen kan i stället ses som en förebild för framtida referensarkitekturer inom offensiv cybersäkerhet.

Med andra ord kan tröskeln för att använda AI i avancerade cyberattacker sänkas avsevärt. För att utnyttja den här typen av verktyg i skadligt syfte kan det i framtiden räcka med tillgång till en av de senaste avancerade AI-modellerna, utan att användaren själv behöver ha särskilt djupa tekniska kunskaper.

En enorm möjlighet för cybersäkerhetspartner att använda AI för att upptäcka sårbarheter.

Claude Mythos Preview innebär en enorm möjlighet för cybersäkerhetsbranschen, inte minst när det gäller kompetensutveckling och nya karriärmöjligheter inom området.

Inför de nya hoten prioriterar hela det digitala ekosystemet att säkerställa programvaruförsörjningskedjans integritet. Detta är också ett av målen med Cyber Resilience Act (CRA)(5). AI kan bli ett viktigt verktyg för att möta utmaningarna kring leveranskedjors säkerhet och nya krav på regelefterlevnad.

Även om dessa modeller fortfarande kräver betydande beräkningsresurser kommer kostnaden för offensiva cyberoperationer sannolikt att minska. Aktiviteter som penetrationstester och bug bounty-program(6) kan därför komma att förändras. Samtidigt kan ansvaret inte överlåtas helt till maskiner. Mänsklig expertis kommer även fortsättningsvis att behövas för att hantera åtkomst och processer som kräver höga behörigheter, samt för att undvika allvarliga misstag, exempelvis oavsiktlig radering av data.

Den automatisering som Claude Mythos tycks möjliggöra är inte bara betydelsefull för angripare. Den visar också varför cyberförsvaret behöver automatiseras i hög grad, med mänsklig tillsyn, för att kunna hantera det växande flödet av säkerhetsbrister, säkerhetsuppdateringar och incidenter.

Även åtgärdandet av sårbarheter, det sista försvaret, där insatserna kan få stor påverkan på informationssystem – behöver bli mer automatiserat. Det kräver samtidigt att mänsklig tillsyn integreras vid rätt kontrollpunkter.

Claude Mythos Preview: en modell att följa?

Sedan ChatGPT lanserades offentligt 2022 har vi vant oss vid att det (nästan) varje vecka presenteras en ny stor språkmodell (LLM) som uppges överträffa sin föregångare.

Claude Mythos Preview är ett viktigt steg framåt, men det är inte en isolerad företeelse. Under de kommande månaderna kommer vi sannolikt att få se konkurrerande modeller, potentiellt även modeller med öppen källkod, som når upp till eller till och med överträffar Mythos förmågor, förklarar Vivien Mura.

OpenAI var inte långt efter med sitt svar på lanseringen av Claude Mythos Preview(7). GPT-5.4-Cyber, som lanserades i begränsad omfattning den 14 april och presenterades officiellt av OpenAI den 15 april, har utvecklats med fokus på defensiv cybersäkerhet.

Vilka är nästa steg för dessa AI-verktyg för sårbarhetsdetektering?

Även om den begränsade tillgången till dessa verktyg syftar till att stärka försvaret, skapar den samtidigt ett säkerhetslandskap med två nivåer. De partner som för närvarande testar Claude Mythos inom ramen för Project Glasswing(8) använder modellen för att stärka sina egna digitala miljöer. Detta kommer sannolikt att leda till en omfattande våg av säkerhetsuppdateringar.

Organisationer behöver förbereda sig på en stor mängd säkerhetsuppdateringar för operativsystem, applikationer, säkerhetsprodukter och djupt integrerade komponenter med öppen källkod(9). För företag som redan har etablerade processer för patchhantering kommer arbetet att bli omfattande, men hanterbart. För andra kan uppdateringsbehovet innebära en långvarig belastning på säkerhetsteamen.

På längre sikt kan förhållandet mellan AI-modellernas prestanda och kostnad förbättras. Det skulle öppna möjligheter att integrera modellerna direkt i utvecklingsprocesser, exempelvis DevSecOps och CI/CD, samt i automatiserade granskningar av informationssystem.

Den långsiktiga risken är att skyddsmekanismer som ska förhindra att kraftfulla modeller används för att automatisera komplexa attacker i stor skala kringgås. Det skulle kunna leda till en eskalering av hotbilden utan tidigare motsvarighet. Angripare skulle då kunna industrialisera avancerade cyberattacker och genomföra dem kontinuerligt, utan att behöva besitta djup teknisk kompetens.

Vi befinner oss bara i början av en ny era där automatiserad cybersäkerhet och mänsklig expertis måste samverka.

Genom sitt partnerskap med Qevlar AI har Orange Cyberdefense tagit ett tydligt steg mot AI-förstärkt cybersäkerhet. Våra experter kan hjälpa er med kompetenshöjning och implementering av AI-plattformar som uppfyller krav på mänsklig tillsyn, regelefterlevnad och ansvarsfull användning.

Vill du behålla kontrollen över din verksamhets framtid i AI-eran? Ta del av den andra utgåvan av vår kvartalsrapport:

Källor och anteckningar