Federal Reserve-leder Jerome Powell og finansminister Scott Bessent har kalt inn toppledere fra de største amerikanske bankene til møte om cyber-risiko. Bakgrunnen er Claude Mythos Preview, en modell Anthropic ennå ikke har sluppet offentlig, som i kontrollert testing fant tusenvis av zero-day-sårbarheter på tvers av alle store operativsystemer og nettlesere, inkludert en 27 år gammel feil i OpenBSD og en 17 år gammel RCE-feil i FreeBSD. The Next Web rapporterte at Mozilla slapp Firefox 150 med rettelser for 271 sårbarheter Mythos identifiserte i én enkelt evalueringskjøring.
Anthropic kaller utrullingen Project Glasswing, og rundt 40 teknologiselskaper og institusjoner har fått tidlig tilgang. Listen inkluderer ikke de fleste sentralbanker eller myndigheter. Asymmetrien er bevisst: gi forsvarere et forsprang før kapabiliteten blir bredt tilgjengelig.
«Vi vil se en enorm økning i sårbarheter, brudd og finansielle skader fra ransomware på skoler, sykehus, og selvfølgelig banker.» (Anthropic-CEO Dario Amodei)
Amodei anslår et vindu på 6 til 12 måneder før kinesiske aktører bygger modeller med tilsvarende kapabilitet. Dynamikken kollapser kostnadsasymmetrien som har holdt cybersikkerhet i balanse: angripere må finne én feil, forsvarere må sikre alle. Når kostnaden ved å finne sårbarheter går mot null på begge sider, endres økonomien fundamentalt. Sikkerhetsforskere påpeker samtidig at KI-assistert sårbarhetsfunn har vært under utvikling i flere år, og at Mythos representerer en akselerasjon mer enn et diskontinuerlig hopp.
For norske utviklere som bygger på open-source-stack-er er det praktiske spørsmålet hva du gjør med komponenter du verken har fått Glasswing-tilgang til eller har ressurser til å patche selv.
Hva bør du gjøre?
- Patch aggressivt. Hold OS, nettlesere og dependencies på siste versjon. Flere av kritisk-fiksene som kommer de neste månedene vil sannsynligvis stamme fra Mythos-funn rapportert via koordinert disclosure.
- Vurder hvilke open-source-komponenter du eksponerer. Internett-vendt kode med store, eldre kodebaser (web-serverer, RDP-tjenester, e-post-stack-er) er der vinduet er størst.
- Følg med på CVE-feeden din. Når CVE-er datert mai-desember 2026 har «automated discovery» eller refererer Anthropic-disclosure i bakgrunnsteksten, vit at du sannsynligvis ser Mythos-arbeidet i praksis.