Horizon3.ai se alătură vânătorii de vulnerabilități Glasswing a Anthropic

Horizon3.ai s-a alăturat programului de apărare cibernetică Glasswing al Anthropic, care oferă unui grup select de organizații acces la Claude Mythos – un model de frontieră pe care Anthropic îl păstrează în afara lansării publice, deoarece este foarte bun la găsirea și exploatarea vulnerabilităților de software. Această mișcare, anunțată pe 15 iulie 2026, adaugă un specialist în securitate ofensivă la o listă care până acum se baza puternic pe hyperscalers și furnizori de securitate mari. Obiectivul Anthropic este de a pune modelul său de vânătoare de vulnerabilități cel mai puternic în mâinile apărătorilor, înainte ca aceeași clasă de capacități să se răspândească și la atacatori.

Anthropic a lansat programul pe 7 aprilie 2026, cu aproximativ 50 de parteneri – printre care Amazon (AMZN ) Web Services, Cisco, CrowdStrike (CRWD ), Google, JPMorganChase, Microsoft (MSFT ), Nvidia (NVDA ) și Palo Alto Networks (PANW ) – și ulterior l-a extins la aproximativ 150 de organizații din peste 15 țări, ajungând în domenii precum energie, apă, sănătate și comunicații. Membrii utilizează Mythos pentru lucrări defensive: scanează codul propriu, scriu patch-uri și verifică software-ul înainte de lansare. Anthropic a declarat că se angajează să aloce până la 100 de milioane de dolari în credite de utilizare și 4 milioane de dolari în donații pentru grupurile de securitate open-source, pentru a sprijini efortul.

Ce aduce de fapt Horizon3

Horizon3.ai vinde NodeZero, un produs de testare de penetrare autonomă, și argumentul său pentru a se alătura este “perspectiva atacatorului” – apărătorii învață cel mai mult de la cei care înțeleg cum sunt de fapt compromise sistemele. Această abordare vine de la o companie care promovează propria participare. Dar recordul recent al Horizon3 este verificabil într-un mod în care majoritatea prezentărilor vendorilor nu sunt.

Acest an, cercetătorii săi au descoperit două defecte pe care atacatorii le-au folosit ulterior împotriva unor ținte reale. Unul a fost un bug de execuție de cod la distanță în Apache ActiveMQ (CVE-2026-34197), un broker de mesaje open-source larg răspândit; agenția de securitate cibernetică a SUA, CISA, l-a adăugat în catalogul său de vulnerabilități exploatate activ în aprilie 2026 și a dat agențiilor federale două săptămâni pentru a patch-ui. Celălalt a fost o bypassare critică de autentificare în SimpleHelp (CVE-2026-48558), un instrument de gestionare la distanță popular printre furnizorii de servicii gestionate, despre care Horizon3 afirmă că pipeline-ul său autonom de cercetare a vulnerabilităților l-a semnalat în câteva ore de la ingestia codului. Acea vulnerabilitate avea o rată de severitate maximă, a fost utilizată pentru a distribui malware de furare a credențialelor și a ajuns în catalogul CISA în iunie 2026.

Încetinitorul pe care nimeni nu l-a înlăturat

Indiferent dacă o altă firmă de exploatare schimbă imaginea, depinde de o problemă pe care Anthropic însuși a semnalat-o: descoperirea nu mai este constrângerea. Partenerii Glasswing au raportat peste 10.000 de vulnerabilități de gravitate ridicată sau critică de la aprilie, și Anthropic afirmă că adevăratul încetinitor este acum triajul, divulgarea și aplicarea patch-urilor mai rapid decât atacatorii pot să le exploateze. Numerele sale arată amploarea acestei probleme: atunci când Anthropic a rulat Mythos pe peste 1.000 de proiecte open-source, modelul a semnalat peste 23.000 de vulnerabilități potențiale, și dintr-un eșantion revizuit independent, peste 90% s-au dovedit a fi valabile. Cercetători independenți au descris același dezechilibru – AI-ul reduce puternic costul găsirii și exploatării vulnerabilităților, în timp ce munca umană de corectare a acestora rămâne scumpă.

Acolo este unde unghiul Horizon3 este mai mult decât marketing. NodeZero se bazează pe prioritizare; premisa companiei este că majoritatea vulnerabilităților sunt zgomot și valoarea constă în identificarea acelora pe care atacatorii le vor folosi cu adevărat. Un model care semnalează zeci de mii de vulnerabilități candidate face problema triajului mai grea, nu mai ușoară, cu excepția cazului în care cineva poate să le claseze după posibilitatea reală de exploatare.

Tensiunea duală de utilizare

Există o tensiune nerezolvată în a oferi un model restrictiv, capabil de ofensivă, unei companii a cărei afacere este ofensiva. Anthropic păstrează Mythos în afara lansării generale, deoarece, potrivit propriilor sale declarații, modelul poate să performeze mai bine decât majoritatea oamenilor în găsirea și exploatarea vulnerabilităților, și afirmă că noii parteneri trebuie să îndeplinească cerințe de securitate nespecificate, înainte de a obține acces. Anthropic nu este singurul care își îndreaptă atenția către apărare ofensivă – OpenAI a creat recent un atacator AI intern pentru a întări propriile sale modele – dar Mythos se află la extremitatea ascuțită a acestei tendințe.

Inginerul șef de atac al Horizon3, Zach Hanley, a declarat că firma a “identificat deja vulnerabilități cu impact” în primele câteva zile cu Mythos – o afirmație pe care nu a susținut-o încă, spunând că intenționează să prezinte rezultatele public.

Pentru moment, partea verificabilă a acestei povești este reprezentată de descoperirile existente ale Horizon3, exploatate în sălbăticie, și nu de ceea ce Mythos va produce în continuare. Directorul general Snehal Antani a descris miza în termeni care contrazic premisa programului: “avantajul nu va fi definit de cine are acces la cel mai puternic AI”, ci de cine poate combina aceasta cu expertiză în securitate și disciplină operațională, pentru a reduce riscul real din lume. Pe baza probelor de până acum, partea mai grea a acestei ecuații – transformarea unui val de vulnerabilități descoperite de AI în patch-uri implementate – este cea care încă așteaptă o descoperire.