Horizon3.ai slutter seg til Anthropics Project Glasswing

Horizon3.ai har sluttet seg til Anthropics Project Glasswing, det cyberforsvar-programmet som gir en verifisert gruppe organisasjoner tilgang til Claude Mythos — en frontier-modell som Anthropic holder utenfor offentlig utgivelse nettopp fordi den er god til både å finne og utnytte programvare-sårbarheter. Trekket, som ble kunngjort 15. juli 2026, legger til en offensiv-sikkerhetsspesialist til en liste som hittil har vært dominert av hyperskalere og store sikkerhetsleverandører. Anthropics mål er å få sin sterkeste sårbarhets-jakt-modell i hendene på forsvarere før den samme klassen av funksjonalitet sprer seg til angripere.

Anthropic lanserte programmet 7. april 2026 med omtrent 50 partnere — blant dem Amazon (AMZN ) Web Services, Cisco, CrowdStrike (CRWD ), Google, JPMorganChase, Microsoft (MSFT ), Nvidia (NVDA ) og Palo Alto Networks (PANW ) — og senere utvidet det til omtrent 150 flere organisasjoner i over 15 land, og nådde inn i kraft, vann, helse og kommunikasjon. Medlemmene bruker Mythos for defensivt arbeid: scanning av egen kode, skriving av patches og verifisering av programvare før utgivelse. Anthropic har sagt at de er villige til å bruke opp til 100 millioner dollar i brukskreditt og 4 millioner dollar i donasjoner til åpne sikkerhetsgrupper for å støtte innsatsen.

Hva Horizon3 faktisk bringer

Horizon3.ai selger NodeZero, et autonomt penetreringstest-produkt, og deres argument for å slutte seg til er “angriperens perspektiv” — at forsvarere lærer mest av personer som forstår hvordan systemer faktisk brytes inn i. Denne rammen kommer fra et selskap som fremmer sin egen deltakelse. Men Horizon3s nylige rekord er verifiserbar på en måte som de fleste leverandør-pitcher ikke er.

I år har deres forskere avdekket to feil som angripere senere har brukt mot virkelige mål. En var en fjern-kode-utføring-feil i Apache ActiveMQ (CVE-2026-34197), en bredt distribuert åpen kildekode-meldingsformidler; det amerikanske cybersecurity-byrået CISA la den til sin katalog over aktivt utnyttede sårbarheter i april 2026 og ga føderale byråer to uker til å fikse feilen. Den andre var en kritisk autentiserings-omgåelse i SimpleHelp (CVE-2026-48558), et fjern-styringsverktøy som er populært blant managed-service-tilbydere, som Horizon3 sier deres autonome sårbarhets-forskningspipeline flagget innen få timer etter å ha innlemmet koden. Denne feilen hadde en maksimal alvorlighetsvurdering, ble brukt til å distribuere kredittkort-tyvende malware og nådde CISA-katalogen i juni 2026.

Flaskehalsen ingen har fjernet

Om en ekstra utnytting-funnende butikk endrer bildet, avhenger det av et problem Anthropic selv har pekt på: oppdagelse er ikke lenger begrensningen. Glasswing-partnere har rapportert over 10 000 høyt- eller kritisk alvorlige feil siden april, og Anthropic sier at den virkelige flaskehalsen nå er triaging, åpenbaring og fiksing av dem raskere enn angripere kan våpenisere dem. Deres egne tall viser omfanget av dette problemet: da Anthropic kjørte Mythos over mer enn 1 000 åpne kildekode-prosjekter, flagget modellen over 23 000 potensielle sårbarheter, og av en uavhengig gjennomgang, holdt over 90 % som gyldige. Uavhengige forskere har beskrevet samme ubalanse — AI presser kostnaden ved å finne og utnytte feil nedover skarpt, mens det menneskelige arbeidet med å fikse dem forblir dyrt.

Dette er der Horizon3s vinkel er mer enn bare markedsføring. NodeZero er bygget rundt prioritering; selskapets premisse er at de fleste feil er støy og verdien ligger i å finne de få angriperne faktisk vil bruke. En modell som avdekker titusener av kandidat-feil gjør triage-problemet vanskeligere, ikke enklere, medmindre noen kan rangere dem etter virkelig utnytting.

Den doble bruks-tesen

Det er en uløst spenning i å gi en begrenset, offensiv-kapabel modell til et selskap hvis forretningsområde er offensivt. Anthropic holder Mythos utenfor generell utgivelse fordi, ifølge deres egen beskrivelse, modellen kan overgå alle, bortsett fra de mest ferdige menneskene, i å finne og utnytte sårbarheter, og de sier at nye partnere må møte uspesifiserte sikkerhetskrav før de får tilgang. Anthropic er ikke alene i å vende offensiv AI mot forsvar — OpenAI har nylig bygget en intern AI-angriper for å styrke sine egne modeller — men Mythos sitter på den skarpe enden av den trenden.

Horizon3s sjef-angrep-ingeniør, Zach Hanley, sa at selskapet allerede hadde “identifisert betydelige sårbarheter” i sine første få dager med Mythos — et krav de ennå ikke har bakket opp, og sier at de har til hensikt å offentliggjøre funnene.

For nå er den verifiserbare delen av denne historien Horizon3s eksisterende funn av utnyttede feil i det virkelige liv, ikke hva Mythos vil produsere neste. Administrerende direktør Snehal Antani rammet inn spillene i termer som går imot programmet eget premiss: fordelen, sa han, “vil ikke bli definert av hvem som har tilgang til den mest powerful AI,” men av hvem kan kombinere det med sikkerhetsekspertise og operasjonell disiplin for å redusere virkelig risiko. På bevisene hittil, er den vanskeligere halvdelen av den ligningen — å omdanne en flom av AI-funnede feil til deployede patches — den som ennå venter på en gjennombrudd.