Anthropic spouští kybernetickou misi pro kritickou infrastrukturu, open source

Anthropic oznámil Anthropic Cyber Mission dne 8. října 2026 a popsal ji jako dlouhodobé úsilí pomoci zabezpečit systémy, na které veřejnost spoléhá. Úsilí začíná dvěma programy: Program obrany kritické infrastruktury podporovaný 11 zakládajícími partnery a OSS Scanner, bezplatnou službu na principu dobrovolného zapojení, která provádí pravidelné bezpečnostní skeny open-source softwaru pomocí nejvýkonnějších modelů společnosti.

Anthropic uvedl, že špičkové modely mohou být zneužity k využívání zranitelností a provádění kybernetických operací, a že státem sponzorovaní protivníci strávili roky budováním pozic v mnoha sektorech, aby mohli tyto systémy narušovat. Obránci kritické infrastruktury a komunita open source, uvedla společnost, mají desetiletí zkušeností v oblasti bezpečnosti, ale čelí vážnému nedostatku zdrojů, a kybernetická mise nasadí inženýrské talenty, nástroje a financování na jejich podporu.

Program obrany kritické infrastruktury

Program obrany kritické infrastruktury poskytuje špičkové modely Claude, inženýry na místě a výzkum hrozeb Anthropic důvěryhodným poskytovatelům, kteří chrání provozní technologie, počínaje systémy napájení elektrických sítí, vodních systémů a dopravních sítí, spolu s vládními systémy. Jeho zakládající partnery jsou Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC a Rockwell Automation.

Anthropic popsal skupinu jako zahrnující poradenské a špičkové technologické společnosti, které řídí bezpečnostní programy, bezpečnostní firmy, které chrání podnikové a průmyslové sítě, a výrobce, kteří staví a opravují samotné zařízení. Společnost uvedla, že několik partnerů již spolupracuje s modelem Claude na opravě zranitelností a pomáhá zákazníkům v tom samém, a že jejím prvním krokem je spolupráce s malou skupinou poskytovatelů, aby zjistila, které strategie jsou nejúčinnější a nejpraktičtější. Firmy, které vyrábějí bezpečnostní produkty nebo služby pro kritickou infrastrukturu, se mohou při rozšiřování programu zaregistrovat a vyjádřit zájem.

Ve prohlášeních zveřejněných spolu s oznámením řekl CrowdStrike, že „kritická infrastruktura čelící hrozbám rychlým jako stroj vyžaduje obranu rychlou jako stroj“, a Palo Alto Networks uvedla, že spojuje svou hrozební inteligenci Unit 42 a operační odbornost s špičkovými modely Anthropic, aby pomohla operátorům chránit základní služby. Booz Allen označil provozní technologie za další hranici pro autonomní útoky umožněné umělou inteligencí.

Provozní technologie a vládní systémy

Elektrické sítě, vodárenské společnosti, továrny a dopravní sítě fungují na řadičích, řídicím softwaru a průmyslových sítích postavených tak, aby vydržely desetiletí, a často je nelze vypnout kvůli aktualizacím, takže známé zranitelnosti mohou zůstat neopravené roky. Anthropic tuto specializovanou práci nazval, přičemž upozornil, že zařízení jsou proprietární, změny nesou riziko a jediná chyba může vyřadit celou továrnu, což operátory učiní závislými na malé skupině důvěryhodných poskytovatelů. Společnost uvedla, že věří, že špičkové modely mohou pomoci najít a opravit slabiny dříve, než budou použity k výpadku proudu nebo ohrožení vody, a přiznává, že kritickou infrastrukturu je obtížné bránit mnoha způsoby, které AI nedokáže vyřešit.

Program rozšiřuje vládní činnost Anthropic. V červnu společnost spustila program kybernetické obrany pro státní, místní, kmenové a teritoriální vlády; Anthropic uvedl, že od té doby poskytuje špičkové modely Claude a technickou podporu více než polovině všech amerických států a některým z největších veřejných operátorů kritické infrastruktury v zemi, čímž urychluje skenování kódu a opravy, reakci na incidenty, red teaming a další bezpečnostní pracovní postupy.

OSS Scanner pro open-source projekty

Cílový program, OSS Scanner, je dobrovolná služba inspirovaná Google OSS-Fuzz, která poskytuje zapsaným open-source projektům pravidelné skeny od nejvýkonnějších modelů Anthropic, včetně Claude Mythos, bez poplatku. Podle Frontier Red Team příspěvek zveřejněného téhož dne každý report obsahuje samostatný reproduktor nebo důkaz konceptu, vysvětlení s rozdělením, kde je to možné, a návrhový patch, pokud je k dispozici. Reporty jsou zcela generovány modelem a odesílány bez lidské kontroly, což Anthropic uvedl jako umožňující rychlejší doručení, ale znamená, že některé mohou obsahovat nepřesnosti, například nesprávné hodnocení závažnosti; společnost očekává míru pravých pozitiv nad 90 %.

Pro ověření rané verze požádal Anthropic odborné penetrační testery, kteří přezkoumávají jeho koordinované nálezy o zranitelnostech, aby prověřili 97 kritických a vysoce závažných zjištění skeneru napříč 48 projekty. Tým uvedl, že 85 (88 %) splnilo kritéria pro proces zveřejnění, že 11 z ostatních bylo skutečných, ale duplikovalo známé problémy nebo jiné nálezy, a že jeden byl falešně pozitivní. Během posledních šesti měsíců společnost uvedla, že její modely označily více než 29 000 kandidátních zranitelností, z nichž přibližně 6 000 bylo ručně přezkoumáno a zařazeno, zatímco téměř 5 000 neověřených reportů šlo přímo k správcům, kteří požádali o zaslání všeho.

Správci citovaní v příspěvku hlásili silné výsledky. Todd Ouska ze společnosti wolfSSL řekl: „z 74 zpráv, které jsme obdrželi, byly všechny kromě dvou platné a pět se stalo CVE.“ Noah Misch ze společnosti PostgreSQL uvedl, že neobvykle vysoký podíl nálezů skeneru odhalil chyby v PostgreSQL a že několik zpráv přišlo s opravami, které jeho tým může použít téměř tak, jak jsou, zatímco Anton Arapov z OpenSSL Corporation řekl, že zprávy, které jeho organizace obdržela, včetně surových výstupů modelu, byly stejně dobré nebo lepší než to, co získává od lidí. Eddie Kohler z HotCRP popsal hlášení chyb jako důkladná a jasná.

Jádroví správci oprávněných projektů se zapisují podáním pull requestu do úložiště Anthropic’s oss-scanner na GitHubu, přičemž způsobilost se určuje podle kritérií podobných těm v OSS-Fuzz, včetně kritického dopadu na infrastrukturu a bezpečnost uživatelů, posuzováno případ od případu. Anthropic uvedl, že projekty bez kapacity na třídění nálezů budou i nadále dostávat lidsky ověřená odhalení v rámci své koordinované politiky zveřejňování zranitelností, a odlišil OSS Scanner od Claude Security, svého obecně přístupného podnikového produktu pro skenování kódu a opravy. Správci se také mohou přihlásit k Claude for Open Source pro bezplatná předplatná Claude Max a k Cyber Verification Program pro rozšířený přístup.

Project Glasswing a další kroky

Anthropic uvedl, že nové iniciativy staví na poznatcích z Project Glasswing, oznámeného 7. dubna 2026 ve spolupráci s Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA a Palo Alto Networks. V rámci této iniciativy se Anthropic zavázal poskytnout až 100 milionů dolarů v kreditech na používání Claude Mythos Preview a 4 miliony dolarů v přímých darech open-source bezpečnostním organizacím a uvedl, že daroval 2,5 milionu dolarů organizacím Alpha‑Omega a OpenSSF prostřednictvím Linux Foundation a 1,5 milionu dolarů Apache Software Foundation. Dne 6. října 2026 Anthropic spustil rozšířený Cyber Verification Program se třemi úrovněmi přístupu a oznámení Cyber Mission uvedlo, že Project Glasswing byl začleněn do tohoto programu, přičemž stávající členové Glasswing přecházejí do úrovně Specialized Access tier.

Anthropic uvedl, že také financoval Python Software Foundation a podporuje Akrites a Gold Eagle, které shromažďují a koordinují zprávy o zranitelnostech z mnoha zdrojů, aby správci nebyli přetíženi. Defender Advantage Fund, spuštěný v srpnu, podporuje pilotní programy v těchto oblastech a udržuje OSS Scanner zdarma.

Podle prognózy Anthropic bude AI během dvou let upřednostňovat obranu, což usnadní zachytávání chyb ještě před jejich vydáním a aktivní obranu systémů pomocí modelů, i když společnost uvedla, že to v blízké budoucnosti nemusí platit. Uvedla, že v rámci Glasswing často pozorovala, že mezi nalezením a opravou zranitelnosti uplynou měsíce, a že u operačních technologií může oprava v ojedinělých případech trvat desítky let, než bude bezpečně aplikována. V nadcházejících měsících Anthropic oznámil, že rozšíří Critical Infrastructure Defense Program na více partnerů a sektorů, podělí se o získané poznatky včetně toho, co nefungovalo, rozšíří svou práci v oblasti open-source a dodavatelských řetězců a bude spolupracovat s dalšími vývojáři AI, bezpečnostními společnostmi a vládami, které provozují vlastní iniciativy.