Anthropic varslet i april 2026 at den nye Mythos Preview-modellen hadde oppdaget tusenvis av sårbarheter i «alle store operativsystemer og nettlesere», skriver Rest of World i en gjennomgang av tilgangsasymmetrien som følger. Rundt 40 tek-selskaper og institusjoner har tidlig tilgang, mens de fleste sentralbanker, myndigheter i mindre land og store deler av offentlig sektor står utenfor. Det hvite hus skal nylig ha avvist en plan om å utvide listen til ytterligere 70 organisasjoner.
KI-drevne angrep økte 89 prosent i 2025 ifølge CrowdStrike, mens medianvinduet fra disclosure til utnyttelse har kollapset fra 771 dager i 2018 til fire timer i 2024. Når en programvareleverandør slipper en patch, kan en KI nå reverse-engineere den, identifisere sårbarheten den fikser, og generere en våpenisert exploit i løpet av minutter, skriver Sergej Epp i Zero Day Clock. Konsekvensen er at angrep kan spre seg globalt på timer.
«Når tilgang til en så kraftig modell er begrenset til en håndfull institusjoner, kan organisasjonene som trenger den mest være nettopp de som er ekskludert.» — Chandramouli Dorai, sjefsevangelist for cybersikkerhet i Zoho
Alex Stamos, tidligere direktør ved Stanford Internet Observatory og nå CPO i Corridor, kaller det en «KI-bugokalypse»: selv tannlegekontorer må regne med nye feil i programvarestabelen sin. Selv Mythos er sårbar. En gruppe Discord-brukere fikk uautorisert tilgang til modellen, og kinesiske KI-selskaper utvikler tilsvarende kapasiteter. Anthropic har selv advart om at slike evner sannsynligvis vil proliferere til aktører som ikke er forpliktet til ansvarlig deployering. For norske bedrifter og offentlig sektor som ikke er på Anthropics 40-kunde-liste, betyr det at trusselbildet endrer seg før forsvarsverktøyene blir tilgjengelige.
Hva bør du gjøre?
- Anta at en angriper med Mythos-aktig kapasitet kan finne og utnytte feil i stacken din raskere enn du kan patche. Bygg resiliens og backups, ikke bare patch-rutiner.
- Snakk med leverandørene dine om hvilke KI-baserte revisjoner de kjører internt, og når du som kunde får varsel om disclosures. Hvis de ikke kan svare, har du nettopp fått en åpning til å presse på for åpenhet.
- Hvis du driver tjenester som ikke kommer på Anthropics tilgangsliste (selvhostet KI-infra, mindre SaaS-er, sektorspesifikk programvare): prioriter ekstra tid på trusselmodellering og isolasjon i nettet, slik at en kompromittering ikke sprer seg lateralt.