Anthropic kertoi tällä viikolla julkaisemassaan päivityksessä, että sen Glasswing-konsortio on löytänyt kuukauden aikana yli 10 000 korkean tai kriittisen vakavuustason haavoittuvuutta. Työn takana on noin 50 kumppaniorganisaatiota ja Claude Mythos Preview, julkaisematon huipputason malli jonka Anthropic on antanut vain valikoidulle joukolle puolustustarkoituksiin.
Avoimesta lähdekoodista löytyi yksin 6 202 vakavaa puutetta. Anthropic tarkasti otoksen 1 752 ilmoituksesta ja totesi 90,6 prosenttia niistä todellisiksi virheiksi. Validointiprosentti on tekoälyraporteissa harvinaisen korkea, sillä aiemmin virhepositiivit ovat usein olleet enemmistö.
27 vuoden vanha bugi piileksi TCP-pinossa
Listan huomattavin yksittäinen löytö on OpenBSD:n SACK-toteutuksen vika, joka on ollut käyttöjärjestelmässä vuodesta 1999 asti. Mythos paljasti, että huolellisesti rakennetuilla TCP-paketeilla saa OpenBSD-koneen kaatumaan etänä. Hyökkäys käyttää sekvenssinumeroiden ylivuotoa ja sitä seuraavaa null-osoittimen läpiviittausta. Verkkopalvelimet, palomuurit ja reitittimet joiden taustalla pyörii OpenBSD, ovat olleet siis 27 vuotta hyökättävissä ilman että kukaan huomasi.
Toinen tapaus on 17 vuotta vanha NFS-aukko FreeBSD:ssä, jolle annettiin tunniste CVE-2026-4747. Mythos kirjoitti hyökkäyskoodin itsenäisesti, ohitti pinosuojaukset ja ketjutti 20 ROP-pätkää useaan pakettiin niin että pääkäyttäjäoikeudet saa internetin yli ilman tunnuksia. Vastaavanlainen työ on aiemmin vaatinut kokeneelta tutkijalta viikkojen tai kuukausien työn.
“Tekoälyn kyvyt ovat ylittäneet kynnyksen joka muuttaa kriittisen infrastruktuurin suojaamisen kiireellisyyden perustavanlaatuisesti.”
Mythos näkee mitä ihminen ei ehdi
Cloudflare ilmoitti Anthropicin raportissa löytäneensä Mythosin avulla 2 000 bugia, joista 400 oli korkean tai kriittisen tason. Mozillan Firefox-kokeessa malli paljasti yli kymmenkertaisesti enemmän virheitä kuin perinteiset työkalut. Nopeus tulee siitä, että Mythos lukee koodia kymmenistä tuhansista riveistä yhtä aikaa ja yhdistelee löydökset niin, että pieneltäkin näyttävä virhe voi paljastua RCE-ketjun ensimmäiseksi lenkiksi.
Google julkisti aikaisemmin oman Big Sleep -ohjelmansa, joka paikkaa avoimen lähdekoodin haavoittuvuuksia automaattisesti. Glasswing toimii samalla periaatteella mutta korostetusti yhteistyömuodossa. Mukana ovat Anthropic, AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA ja Palo Alto Networks. Lisäksi yli 40 muuta kriittisen ohjelmiston ylläpitäjää on saanut käyttöoikeuden. Anthropic on luvannut hankkeelle 100 miljoonan dollarin käyttökrediittejä ja 4 miljoonan dollarin suoran lahjoituksen avoimen koodin turvayhteisöille.
Suomalaiset eivät päässeet pöytään
Listalta puuttuvat sekä F-Secure että WithSecure, vaikka molemmat ovat Euroopan tunnetuimpia haittaohjelmatutkijoita. Myöskään muita suomalaisia ei ole ainakaan julkisesti mukana 40 lisätahon ryhmässä. Anthropic ei ole avannut valintaperusteita, mutta konsortion ydin painottuu yhdysvaltalaisiin pilvi- ja sirutaloihin sekä yhteen yhdysvaltalaiseen pankkiin.
Suomessa Traficom ja Huoltovarmuuskeskus julkaisivat toukokuussa selvityksen tekoälyagenttien kyberturvallisuudesta. Siinä todetaan, että haavoittuvuuksien hyväksikäyttö nopeutuu ja tekoäly siirtyy yhä enemmän myös hyökkääjien työkalupakkiin. Glasswingin raportti vahvistaa huolen suoraan: jos puolustus saa Mythosin tasoisen mallin käyttöönsä, niin myös vastapuolella on tällä hetkellä vastaavanlaisia kykyjä saatavilla.
