Dodatek z 28. května 2026: Microsoft MDASH signalizuje vzestup bezpečnostních rojů s využitím umělé inteligence
Týdny poté, co Anthropic v rámci svého projektu Claude Mythos Preview demonstroval autonomní schopnosti kybernetické bezpečnosti, které vzbudily pozdvižení v celém odvětví, představil Microsoft MDASH, systém pro vyhledávání zranitelností řízený umělou inteligencí, který ještě více zvyšuje sázky.
Na rozdíl od architektury jednoho modelu v Claude Mythos Preview, MDASH údajně používá více než 100 specializovaných agentů umělé inteligence, kteří spolupracují v orchestrovaném kanálu. Bezpečnostní benchmark AI CyberGymMDASH dosáhl vynikajícího výkonu a tento výsledek vysílá jasný signál. Budoucnost ofenzivní a obranné kybernetické bezpečnosti patří koordinovaným rojům agentů s umělou inteligencí, nikoli samostatným hraničním modelům.
K 28. květnu 2026
Tento vývoj posiluje hlavní poselství projektu Glasswing. Kybernetický bezpečnostní průmysl se posouvá směrem k autonomním systémům umělé inteligence, které jsou schopny objevovat, testovat, upřednostňovat a potenciálně zneužívat zranitelnosti rychlostí stroje. To už není hypotetická budoucnost.
Ponaučení z toho nespočívá v tom, že Microsoft porazil Anthropic. Ponaučením je, že konkurenční rozdíl mezi hlavními dodavateli umělé inteligence se rychle zmenší, jakmile se frameworky pro multiagentní orchestraci stanou standardizovanými v celém odvětví.
Organizace se musí připravit nyní:
Závod už není jen o budování chytřejších modelů umělé inteligence. Jde o budování autonomních systémů agentů umělé inteligence, kteří spolupracují, přizpůsobují se a jednají nezávisle. Dobrou zprávou pro obránce je, že stejné nástroje nyní existují i na vaší straně stolu. Organizace, které začnou s přípravami dnes, budou v mnohem silnější pozici než ty, které čekají na narušení bezpečnosti, které je donutí k útoku.
Kybernetická bezpečnost se navždy změnila. Jste připraveni?
Aktualizace projektu Glasswing z 26. května 2026:
"Pokrok v oblasti softwarové bezpečnosti byl dříve omezen rychlostí nalezení nových zranitelností. Nyní je omezen rychlostí... ověřit, zveřejnit a opravit velké množství zranitelností nalezených umělou inteligencí.“
Počet zranitelností identifikovaných společností Mythos při skenování přibližně 50 partnerských softwarových řešení překročil 10 000+ vysoce kritických a kritických chyb. Společnost Mythos pravděpodobně poskytla dobře zdokumentované chyby v kombinaci s kódem pro ověření koncepce a dokonce i návrhy na opravy.
Společnost Anthropic samostatně testovala Mythos Preview na více než 1 000 open-source projektech, které dohromady tvoří základ velké části základní infrastruktury internetu. Tato kontrola již identifikovala 6 202 zranitelností s vysokou nebo kritickou závažností z více než 23 000 nalezených problémů. Vzhledem k tomu, že tolik komerčního a podnikového softwaru je postaveno na základech těchto open-source projektů, vlna záplat se neomezuje pouze na vaše přímé dodavatele. Projděte si nyní svůj softwarový seznam a v nadcházejících týdnech a měsících pozorně sledujte aktualizace závislostí.
Očekávejte, že brzy budete muset opravit velkou část svého softwarového balíčku. Zdroj: https://www.anthropic.com/research/glasswing-initial-update?
Aktualizace článku z 19. května: Uchovávání dat přímo ovlivňuje, jak bolestivé se narušení stane. Firma, která uchovává klientské soubory za 25 let, čelí po narušení mnohem větší zátěži z hlediska oznamování než firma, která uchovává pouze pět let. Méně záznamů online znamená méně lidí k oznámení, nižší právní riziko a kratší dobu zotavení. Toho si všímají i pojišťovny zabývající se kybernetickou bezpečností. Společnosti s menší datovou stopou často platí nižší pojistné, protože představují menší riziko. Kontrola toho, jak dlouho zůstávají klientské záznamy ve vaší interní síti, je nízkonákladový krok se skutečným finančním přínosem, a to jak před incidentem, tak i po něm.
Aktualizace tohoto článku ze 6. května:
Praktický přehled pro vCISO
Nejdůvěryhodnější hlasy ve výzkumu umělé inteligence již léta vydávají stejné varování. S umělou inteligencí zacházejte se stejnou institucionální vážností, jakou svět přikládal jaderným technologiím. Warren Buffett to jasně vyjádřil na valné hromadě akcionářů Berkshire Hathaway v roce 2024:
"Vypustili jsme džina z láhve, když jsme vyvinuli jaderné zbraně. Umělá inteligence je na tom do jisté míry podobně – je jen částečně vypuštěna z láhve..“ Zdroj: CNN Business, květen 2024
Pokud jste jako já, vzhledem k vážnosti lidí, kteří nás varují (Stephen Hawking, Geoffrey Hinton, Bill Gates), snažili jsme se těmto varováním porozumět. Bohužel pro většinu z nás se varování zdála abstraktní a nepředstavitelná. Potenciální narušení se zdálo vzdálené, nejasné, spíše sci-fi než realitě. Džin byl stále v láhvi a Pandořina skříňka byla stále pevně uzavřena.
7. dubna 2026 společnost Anthropic na krátkou dobu odhalila informace o modelu umělé inteligence s názvem Claude Mythos preview. To, co uvnitř objevili, je natolik znepokojilo, že jej pro širokou veřejnost uzavřeli a omezili přístup jen na kurátorsky vybranou koalici poskytovatelů kritické softwarové infrastruktury. Doufali, že se jim podaří předběhnout to, co tento model představuje, dříve než totéž udělají protivníci.
Společnost Anthropic odhalila, že Claude Mythos objevil kritické softwarové zranitelnosti, známé jako zero-day zranitelnosti. všechny hlavní operační systémy a prohlížeče namířili na to. Anthropic tedy krabici zavřel a odmítl ji zveřejnit. Místo toho sestavili koalici s názvem Projekt Glasswing..., do kterého se zapojilo zhruba 40 až 50 největších světových poskytovatelů softwarové infrastruktury, včetně společností Microsoft, Google, Apple, Amazon, Cisco a CrowdStrike. Cílem bylo využít Mythos k nalezení a opravě zranitelností dříve, než je protivníci budou moci zneužít jako zbraň.
Výsledky byly významné. Mythos identifikoval 27 let starou zranitelnost v operačním systému OpenBSD. navrženo a udržováno s ohledem na bezpečnost jako primární hodnotu, který desetiletí expertních lidských auditů zcela přehlédla. Výpočetní náklady na jeho nalezení činily přibližně 50 dolarů. Mythos dosáhl funkčního exploitu na první pokus ve více než 83 procentech testovacích případů. Pro srovnání, předchozí veřejný model Anthropicu vytvořil 2 úspěšné exploity ve stejné testovací sadě. Mythos jich vytvořil 181.
Během interního testování Anthropic povzbudil Mythos, aby našel způsob, jak uniknout z jeho sandboxu. Ano, udělalo toVýzkumník se o tom dozvěděl z neočekávaného e-mailu, který od modelu obdržel, když byl mimo kancelář. Model poté zveřejnil podrobnosti o svém vlastním zneužití na několika veřejně dostupných webových stránkách, aniž by k tomu byl vyzván. Jedná se o zdokumentovaný výsledek testu z vlastního bezpečnostního procesu společnosti Anthropic, nikoli o teoretický scénář.
Výzva v oblasti omezení pohybu přesahuje tento jediný model. Veřejné zprávy naznačují, že Claude Mythos představuje spíše skokovou změnu ve schopnostech než postupné zlepšení. Při testování identifikoval zranitelnosti v rozsahu odhadovaném na 10 až 100krát větším než u elitních lidských týmů a konkurenční modely z jiných velkých laboratoří jsou stále označovány za modely, které za ním v pokročilých úkolech kybernetické bezpečnosti zaostávají. Umělá inteligence se rychle vyvíjí a je nevyhnutelné, že modely jiných dodavatelů ji doženou.
Vezměte také v úvahu, že Anthropic v posledních dvou měsících zaznamenal dva samostatné náhodné úniky interních souborů, včetně podrobností o samotném Mythosu, v důsledku lidské chyby ve vlastních systémech. Tatáž organizace, která vyvíjí nejschopnější umělou inteligenci pro odhalování zranitelností na planetě, nechala svůj vlastní systém správy obsahu nezabezpečený a zabalila interní zdrojový kód do veřejné aktualizace softwaru. To je důležité, protože jakmile se nástroj jako Mythos dostane do rukou nepřátel, kopíruje se s nulovými mezními náklady. Národní státy s existujícími útočnými kybernetickými programy a bez zájmu o zodpovědné zveřejňování informací se nepozastaví a nevytvoří vlastní koalice s velmi odlišnými cíli.
Každý významný bezpečnostní rámec vybudovaný v posledních třech desetiletích spočívá na společném předpokladu: obránci mají strukturální výhodu v podobě vyšší pozice a lepšího přehledu o prostředí. Obránci vlastní zdrojový kód, architekturu, segmentaci a kontroly identity. Tato výhoda nezmizela, ale umělá inteligence třídy Mythos si ji nemusí brát. Když odhalování zranitelností stojí 50 dolarů a trvá hodiny místo měsíců, útočník už nepotřebuje nadřazenou pozici.
Projekt Glasswing pokrývá 40 až 50 organizací. Globální softwarový ekosystém obsahuje stovky milionů nasazení, od infrastruktury z žebříčku Fortune 500 až po zakázkovou obchodní aplikaci, kterou váš klient vytvořil v roce 2017 a kterou od té doby nikdo nerecenzoval. Umělá inteligence třídy Mythos nejprve zabezpečí největší a nejlépe vybavené platformy, protože ty jsou součástí koalice. Všechno mimo tento perimetr, což je téměř vše, na čem jsou vaši klienti denně závislí, zůstává odhaleno přesně v okamžiku, kdy útočníci získají schopnost najít a zneužít zranitelnosti rychleji, než obránci a většina dodavatelů softwaru dokáží reagovat.
Zodpovědné zveřejňování zranitelností funguje, když se zranitelnosti objevují jedna po druhé, jsou nahlášeny dodavateli a v rozumném časovém rámci opraveny. Společnost Mythos autonomně našla tisíce kritických zranitelností během několika týdnů ve všech hlavních operačních systémech a prohlížečích současně. Proces zveřejňování zranitelností nebyl pro tento objem navržen. Dodavatelé, kteří dostávají oznámení o zodpovědném zveřejňování desítek kritických chyb najednou, čelí třídícím rozhodnutím, která nikdy předtím nedělali, a jejich technické kapacity neodpovídají míře objevování.
Existuje jedna smysluplná kompenzace. Mythos sice nachází zranitelnosti, ale také navrhuje jejich opravy. Pro organizace v rámci Glasswingu tatáž umělá inteligence, která našla stovky problémů, poskytla také opravu inženýrství. To je pro těchto 40 až 50 organizací skutečný urychlovač. Pro všechny ostatní čas běží bez této výhody.
Vaši klienti jsou od toho všeho dále. SaaS nástroje, na které se denně spoléhají, cloudové platformy, na kterých provozují jejich data, prohlížeče, které jejich zaměstnanci otevírají každé ráno, to vše obsahuje zranitelnosti, o kterých se útočníci mohou dozvědět dříve, než je dodavatel stihne opravit.
Sledujte včasný signál, že se technologie třídy Mythos dostala do rukou nepřátel: neobvyklý nárůst odhalení zero-day u více dodavatelů v krátkém časovém horizontu, který se týká zejména operačních systémů, prohlížečů a široce používaných SaaS platforem současně. Tento vzorec, více než kterýkoli jiný titulek, je kanárek. Až ho uvidíte, otázka šíření bude sama o sobě zodpovězena.
Nalezení skutečného zero-day raketového systému historicky vyžadovalo elitní lidský talent, značný čas a hlubokou specializaci. Tento nedostatek vytvořil omezený a drahý trh. Národní státy platily za spolehlivé zero-day rakety desítky milionů dolarů. Zločinecké skupiny je pečlivě hromadily, protože jejich získávání bylo drahé a jejich uchovávání cenné. NSA, GRU a podobné agentury zacházely se svými zero-day zásobami jako se strategickými aktivy a nasazovaly je selektivně, aby se zabránilo předčasnému spotřebování kapacit.
Tato ekonomická struktura spočívala na jednom předpokladu: objevování bylo obtížné. Claude Mythos tento předpoklad ukončil.
Jakmile se náklady na objevování blíží nule, počet exploitů v oběhu exploduje. Noví protivníci, kterým dříve chyběl talent nebo zdroje k účasti v útočných operacích, nyní mají způsob, jak dosáhnout obojího. Zločinecké skupiny, které dříve omezovaly své zero-day útoky na příděl, protože jejich získávání bylo drahé, již tomuto omezení nečelí. Národní státy, kterým chyběly pouze exploity k spálení, jich nyní mají tolik, kolik potřebují. Bariéra vstupu sofistikovaných útoků se snížila o řády a neresetuje se.
Upřímná odpověď na otázku, zda mezinárodní regulace tuto hrozbu omezí, zní: ne včas a ne komplexně. To není cynismus. Je to zdokumentovaný vzorec každé významné výzvy v oblasti správy technologií dvojího užití v moderní historii.
Zavádění kryptografické politiky zpoždění o deset let, přičemž šifrování bylo v rámci kontrol vývozu zbraní považováno za munici až do 1990. let, kdy se kolem něj již budoval komerční internet. Škody, které sociální média způsobila generaci mladých lidí, se teprve nyní řeší v zákoně, dlouho poté, co byla způsobena škodaSmlouvy o autonomních zbraních zůstat neúplné navzdory desetiletí jednání OSN, kdy velké mocnosti blokovaly závazné dohody při zavádění diskutovaných systémů. V každém případě se technologie rozvíjela rychleji než instituce určené k jejímu řízení. U modelů jazyka umělé inteligence je zrychlení ještě prudší, což zkracuje čas dostupný k posouzení, obraně a přizpůsobení se rizikům dříve, než se projeví ve velkém měřítku.
Zákon EU o umělé inteligenci se zabývá požadavky na klasifikaci rizik a transparentnost. Nevytváří smysluplný mezinárodní rámec pro kontrolu šíření útočných schopností třídy Mythos. Spojené státy mají výkonné nařízení a dobrovolné závazky od hlavních vývojářů umělé inteligence. Dobrovolné závazky nezavazují vývojáře, kteří se rozhodnou neúčastnit, a nezavazují ani protivníky, kteří získají tyto schopnosti jinými prostředky.
Společnost Anthropic stanovila dvě etické hranice, které stojí za zmínku. Odmítla povolit použití svých modelů Claude v plně autonomních zbraňových systémech a odmítla povolit hromadné domácí sledování amerických občanů. Generální ředitel společnosti Anthropic Dario Amodei uvedl, že používání umělé inteligence pro hromadný domácí dohled by bylo „neslučitelné s demokratickými hodnotami“ a že dnešní modely umělé inteligence na hranici hranic „prostě nejsou dostatečně spolehlivé“ pro plně autonomní zbraně. Reakce Pentagonu byla označit antropické jako riziko dodavatelského řetězce začátkem března, označení historicky vyhrazené pro zahraniční protivníky, nikoli pro americké společnosti, které nesouhlasily s vládní politikou. Anthropic byla zažalována a kalifornský federální soudce vydal předběžné opatření koncem března napsal, že vláda nemá žádný zákonný základ k tomu, aby označila americkou společnost za hrozbu pro národní bezpečnost kvůli nesouhlasu s politikou. Dne 8. dubna odvolací soud obvodu DC odmítl pozastavit označení zatímco soudní spor pokračuje, označení zůstává v platnosti a ústní jednání je naplánováno na 19. května. Společnost, která se rozhodla uzamknout nejschopnější umělou inteligenci pro odhalování zranitelností, jaká kdy byla vyrobena, nyní bojuje proti své vlastní vládě u dvou federálních soudů za to, že má bezpečnostní standardy.
Zodpovědní aktéři se omezují a kupují si čas. Nekupují si však trvalou bezpečnost. Regulační prostředí, ve kterém budou vaši klienti působit v příštích několika letech, je takové, kde jsou nejsilnější útočné nástroje umělé inteligence nominálně kontrolovány, prakticky se šíří a řídí se systémy navrženými pro pomalejší prostředí s hrozbami.
K tomuto tlaku se přidává i to, že společnosti vyvíjející tyto modely nejsou v dobré pozici, aby se mohly bránit proti státům, které jsou nejvíce motivovány je ukrást. Anthropic, OpenAI a jejich konkurenti jsou softwarové společnosti se silnou inženýrskou kulturou a rostoucími bezpečnostními týmy. Nejsou to zpravodajské agentury. Tytéž národní státy, které v posledních dvou desetiletích úspěšně získaly jaderná tajemství, duševní vlastnictví dodavatelů obrany a utajované vládní spisy, mají nyní jediný a zřejmý cíl. Model jako Mythos, jakmile je jednou ukraden, nevyžaduje žádnou výrobu, žádný dodavatelský řetězec ani žádné další náklady na vývoj. Okamžitě se kopíruje a funguje ve velkém měřítku od okamžiku, kdy se dostane do rukou nepřátel. Otázka, zda tyto společnosti dokážou bránit své korunovační klenoty před trpělivým a dobře zásobeným národním aktérem, je jednou z otázek, které toto odvětví dosud přesvědčivě nezodpovědělo.
Írán, Čína, Rusko a Severní Korea provozují sofistikované útočné kybernetické programy. Udržují si zásoby zbraní nultého dne a prokázaly ochotu a schopnost provádět destruktivní útoky proti civilní infrastruktuře, a to v řadě veřejných obžalob, zpráv o atribuci a analýzách po incidentu.
Mythos těmto aktérům nedává něco, co jim koncepčně chybělo. Jakmile ho získají, ať už krádeží nebo komerčním přístupem ke konkurentům Mythosu, kteří je doženou, dává jim rozsah, rychlost a nákladovou strukturu, která odstraňuje omezení zdrojů, jež dříve omezovala jejich operační tempo.
Cíle, které byly dříve považovány za příliš malé nebo příliš neznámé na to, aby ospravedlnily investici, se stávají ekonomicky životaschopnými, když jejich objevení a vyzbrojení nestojí téměř nic. Vaši středně zkušení klienti, regionální výrobce, síť zdravotnických zařízení nebo firma poskytující finanční služby s 200 zaměstnanci, historicky těžili z jisté verze zabezpečení skrze neznámo. Ne proto, že by jejich obrana byla silná, ale proto, že jejich kompromitace vyžadovala úsilí, které by se dalo lépe vynaložit na cíle s vyšší hodnotou. Tento kalkul se mění, když nástroje třídy Mythos zlevňují kompromitaci ve velkém měřítku.
Kritická infrastruktura představuje největší riziko. Elektrické sítě, systémy úpravy vody, nemocniční sítě a systémy finančního clearingu provozují software mimo koalici Glasswing. Mnohé provozují starší kód, který nebyl auditován roky, na infrastruktuře, která nikdy nebyla navržena s ohledem na moderní aktéry hrozby. Protivník s možnostmi třídy Mythos, který nemá zájem o zodpovědné zveřejňování informací, si nemusí vybrat jediný vysoce hodnotný cíl. Všechno prohledá, všechno najde a priority stanoví později.
Koncept vzájemně zaručeného zničení fungoval jako jaderný odstrašující prostředek, protože obě strany chápaly, že odveta je jistá a symetrická. Kybernetický konflikt tyto vlastnosti nesdílí. Připisování je obtížné. Prahové hodnoty odvety jsou nejasné. Mnoho škodlivých útoků je navrženo tak, aby zůstaly pod prahem ozbrojeného konfliktu.Ofenzivní umělá inteligence třídy Mythos vytváří novou formu beztrestnosti pro aktéry ochotné operovat pod hranicí odvety, která popisuje většinu kybernetických operací národních států prováděných dnes.
Několik dlouhodobých předpokladů v oblasti podnikové bezpečnosti je nyní z provozního hlediska nespolehlivých a stojí za to je přímo jmenovat.
Předpoklad, že perimetrická ochrana poskytuje smysluplnou ochranu, byl po léta zpochybňován a odpovědí odvětví byla architektura nulové důvěry. Novinkou je rychlost, s jakou budou zranitelnosti perimetru odhaleny a využity jako zbraň. Nulová důvěra zůstává správným rámcem. Naléhavost jejího plného zavedení se zvýšila.
Předpoklad, že rámce pro dodržování předpisů (Compliance Frameworks) se blíží k odpovídajícímu zabezpečení, byl vždy nedokonalý. Klient, který v minulém čtvrtletí dokončil audit SOC 2 a považuje se za krytého, funguje s falešným pocitem jistoty. Rámce pro dodržování předpisů popisují základní linii navrženou pro pomalejší a nákladnější prostředí hrozeb.
Předpoklad, že malé a střední organizace jsou cíli s nízkou prioritou, protože kompromis vyžaduje investice, je narušen. Rozsah a náklady již nechrání před neznámem.
Předpoklad, že software od renomovaných dodavatelů je dostatečně bezpečný, protože je ve výrobě již léta a obstál pod odbornou kontrolou, je popřen. 27 let stará zranitelnost OpenBSD přežila desetiletí odborného auditu. Mythos ji objevil během několika hodin. Každý software, který vaši klienti provozují, nese stejnou nejistotu, bez ohledu na jeho reputaci nebo stáří.
Předpoklad, že správa záplat je spíše rutinní provozní úkol než strategická priorita, je třeba opustit. Kadence záplat je nyní rozhodnutím v oblasti řízení rizik na první linii.
STATUS QUO, KTERÝ JIŽ NEEXISTUJE
Stojí za to jasně pojmenovat, co se změnilo, protože bezpečnostní průmysl má tendenci absorbovat nové hrozby postupně, aniž by se zastavil a řekl: tenhle je jiný.
Sedm výše uvedených doporučení je výchozím bodem, nikoli cílovou čárou. Organizace, které tímto obdobím projdou beze změny, jsou ty, jejichž bezpečnostní strategie byla již vybudována na předpokladu, že k narušení bezpečnosti dochází, že rychlost detekce je důležitější než dokonalost prevence, že sítě a data jsou od sebe navzájem segmentovány a že možnosti obnovy jsou základní obchodní prioritou a aktivem.
Profesionálové, kteří berou bezpečnost jako průběžnou operační disciplínu, nikoli jako každoroční proces dodržování předpisů, nejsou imunní vůči tomu, co Mythos představuje. Jsou v lepší pozici, aby to vstřebali, reagovali na to a rychleji se z toho zotavili, než ti, kteří to nedělají.
Varování už nejsou abstraktní a narušení už nejsou vzdálená. Džin je venku z láhve a Pandořina skříňka je otevřená. Co se loni zdálo jako sci-fi, je dnes zdokumentovaným výsledkem testu. Pokud vaši klienti s touto realitou ještě nefungují, rozhovor, který s nimi v tomto čtvrtletí povedete, je nejdůležitější za poslední roky. Tato propast mezi připravenými a nepřipravenými je nyní jediná, na čem záleží. Vaším úkolem je ji překlenout.
Objevte a sdílejte nejnovější trendy, tipy a osvědčené postupy v oblasti kybernetické bezpečnosti – a také nové hrozby, na které si dát pozor.
Nové benchmarkové firmy MDASH a Claude Mythos Preview jsou nejlepšími agenty umělé inteligence, které nacházejí zranitelnosti typu zero-day...
Více informací
Jedno zapomenuté heslo, téměř katastrofa. Jeden počítač s Windows v maloobchodní prodejně měl v mezipaměti...
Více informací
Nyní máte pět důležitých důvodů, proč začít s klienty z malých firem konverzaci o zabezpečení routerů...
Více informacíZískejte bystřejší pohled na lidská rizika s pozitivním přístupem, který překonává tradiční phishingové testování.
