Anthropic ha annunciato il nuovo modello Claude Mythos (preview). È accessibile solo ad un numero limitato di partner attraverso il Project Glasswing. Non sarà disponibile a tutti per un valido motivo. È talmente potente da individuare migliaia di gravi vulnerabilità in sistemi operativi e browser. Si possono quindi immaginare le conseguenze, se una simile “arma” digitale finisse nelle mani dei cybercriminali (o dei governi).
Claude Mythos: capacità “pericolose”
Claude Mythos può rilevare vulnerabilità zero-day in software open source e closed source (tramite reverse engineering), scrivere gli exploit per sfruttarle e i fix per risolverle, anche se non è stato specificamente addestrato per questo compito. Anthropic sottolinea che il 99% delle vulnerabilità trovate non è stato ancora risolto, quindi ha descritto in dettaglio solo alcuni bug del restante 1%.
Claude Mythos ha individuato numerose vulnerabilità in browser e sistemi operativi, molte delle quali hanno più di 10 o 20 anni. Uno dei bug era presente in OpenBSD da 27 anni. OpenBSD è considerato uno dei sistemi operativi più sicuri in assoluto. Il nuovo modello ha scoperto una vulnerabilità nell’implementazione del protocollo SACK (Selectively ACKnowledge) che consentiva di mandare in crash ogni host OpenBSD che rispondeva ad un particolare pacchetto TCP.
Claude Mythos ha trovato anche una vulnerabilità presente da 16 anni in FFmpeg, nota libreria usata per codificare e decodificare video. Un’altra vulnerabilità, presente da 17 anni, è stata individuata in FreeBSD. Consentiva l’esecuzione di codice arbitrario e di ottenere il controllo completo del server.
Diversi bug sono stati scoperti nel kernel Linux e potevano essere sfruttati per ottenere privilegi root. Tutte le suddette vulnerabilità erano presenti in software open source e sono state già risolte.
Anthropic ha testato Claude Mythos anche sui software proprietari (closed source). In questo caso, il modello ha effettuato il reverse engineering, ricostruito il codice sorgente e trovato numerose vulnerabilità in browser e sistemi operativi che possono essere sfruttate per attacchi DDoS o per ottenere privilegi root. Non ci sono dettagli perché non sono state ancora risolte.
Il modello Claude Opus 4.6 ha individuato diverse vulnerabilità nel motore JavaScript di Firefox 147, ma è riuscito a sfruttarle solo due volte. Claude Mythos ha scritto 181 exploit funzionanti. Il nuovo modello è troppo “pericoloso” per una distribuzione pubblica. I cybercriminali potrebbero eseguire attacchi su larga scala contro ogni software disponibile.
Ti potrebbe interessare
8 apr 2026