Mozilla-onderzoekers rapporteerden in maart dat Claude Opus 4.6 van Anthropic gedurende twee weken 14 zeer ernstige bugs en 22 Common Vulnerabilities and Exposures (CVE’s) identificeerde, waarmee ze beter presteerden dan het menselijke team van Mozilla. Hierna beweerden onderzoekers van cyberbeveiligingsbedrijf Calif uit Palo Alto dat ze een proefversie van het Mythos-model van Anthropic hadden gebruikt om Apple macOS-beveiligingstechnologie te omzeilen.
De Calif-onderzoekers lieten The Wall Street Journal weten dat ze een ‘privilege-escalatie-exploit’ hadden uitgevoerd in combinatie met een andere aanvalsvector, waardoor potentiële controle over een doelapparaat mogelijk werd. Ze ontwikkelden software die twee verschillende bugs aan elkaar koppelde en gebruikten aanvullende methoden om het geheugen van een Mac te corrumperen en toegang te krijgen tot beperkte delen van het apparaat.
De ontdekking van de exploit duurde vijf dagen en de onderzoekers merkten op dat het succes niet alleen afhankelijk was van Mythos, maar ook van de vaardigheden van de menselijke testers. Apple beoordeelt momenteel de bevindingen van het rapport, waarbij een woordvoerder zegt: “Beveiliging is onze topprioriteit en we nemen meldingen van potentiële kwetsbaarheden zeer serieus.”
Anthropic had in april Mythos gelanceerd, oorspronkelijk Project Glasswing genaamd, waarmee toegang werd verleend aan ongeveer 40 geselecteerde technologiebedrijven. Het bedrijf verklaarde dat Mythos duizenden zeer ernstige kwetsbaarheden in grote besturingssystemen en webbrowsers heeft geïdentificeerd en waarschuwt voor ernstige gevolgen als dergelijke tools worden misbruikt.
Michał Zalewski, een beveiligingsonderzoeker bij Google, beoordeelde het Calif-onderzoek, maar testte de bevindingen niet. Hij gaf commentaar op de hype rond Mythos en beschreef het als mogelijk ‘overdreven’, maar erkende tegelijkertijd de capaciteit ervan voor aanzienlijk onderzoek naar kwetsbaarheden en code-audits.
Er zijn zorgen ontstaan over de verspreiding van Mythos. Gary McGraw, voormalig vice-president bij Synopsys, merkte tegen The New York Times op dat de technologie zelf niet te gevaarlijk is om vrij te geven. Hij benadrukte dat het achterhouden van dergelijke tools de kernproblemen van cyberbeveiliging niet aanpakt.
