Payward, материнська компанія криптовалютної біржі Kraken, приєдналася до Проєкту Glasswing Anthropic 17 серпня та отримала обмежений доступ до Claude Mythos 5 для робіт з оборонної кібербезпеки.
Протягом найближчих тижнів компанія планує використовувати модель штучного інтелекту для сканування своїх програмних середовищ на наявність вразливостей. Висновки будуть включені до наявного процесу перевірки безпеки Payward, а не автоматично призводитимуть до змін у програмному забезпеченні.
Payward також заявила, що має намір розкривати перевірені вразливості, що стосуються сторонніх проєктів з відкритим кодом, їхнім супроводжувачам. Компанія не назвала свої перші цілі для сканування, не опублікувала графік розгортання та не розкрила вартість доступу до Mythos 5.
Payward повідомила, що Claude Mythos 5 перевірятиме всі середовища компанії на наявність програмних вразливостей. Її інфраструктура підтримує послуги торгівлі, зберігання та розрахунків цифрових активів, які залишаються доступними безперервно.
В оголошенні не уточнюється, чи отримає Mythos 5 доступ до виробничих систем, ізольованих копій вихідного коду або контрольованих тестових середовищ. Payward також не описала, як її команда безпеки буде перевіряти висновки перед затвердженням виправлень.
Хибні спрацювання залишаються практичною проблемою, коли системи штучного інтелекту перевіряють складне програмне забезпечення. Модель може ідентифікувати недосяжний код, дублювати існуючий звіт або неправильно зрозуміти, як компонент працює у виробництві. Тому людський огляд необхідний, перш ніж команди класифікують проблему як вразливість.
Фонд Ethereum дійшов подібного висновку під час тестування агентів безпеки ШІ. Як повідомляло crypto.news, його дослідники виявили, що звіти про вразливості, згенеровані ШІ, все ще вимагають незалежної людської перевірки, особливо коли агенти аналізували складний код протоколу.
Співвиконавчий директор Payward Арджун Сетхі заявив, що ШІ може змінити дисбаланс між нападниками та захисниками, читаючи код у більшому масштабі.
«Модель може читати кожен рядок коду так, як це робив би нападник, у машинному масштабі, тому ми знаходимо недолік раніше, ніж хтось зможе створити експлойт», – сказав Сетхі.
Ця заява описує передбачувану оборонну перевагу Payward. Компанія ще не опублікувала результати, що показують, скільки дійсних недоліків Mythos 5 знайшов у її системах.
Anthropic запустила Проєкт Glasswing у квітні 2026 року, щоб надати вибраним постачальникам інфраструктури та супроводжувачам програмного забезпечення ранній доступ до своїх найпотужніших моделей кібербезпеки.
Серед перших учасників були Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks та Linux Foundation. Пізніше Anthropic розширила ініціативу до приблизно 150 організацій у понад 15 країнах.
Компанія заявляє, що організації-учасники повинні відповідати вимогам безпеки, перш ніж отримати доступ. Mythos 5 не є загальнодоступним, оскільки ті ж можливості, що використовуються для виявлення вразливостей, також можуть допомогти створити працюючі експлойти.
Як повідомлялося раніше, Anthropic відновила доступ до Mythos лише для перевірених організацій США після того, як уряд США скасував тимчасові обмеження на експорт. Захищена модель Claude Fable 5 повернулася до ширшої доступності.
Payward заявила, що її доступ було надано після рішення США, яке дозволило Mythos 5 отримати доступ до організацій, що експлуатують та захищають критичну інфраструктуру. Офіційна сторінка моделі Anthropic підтверджує, що доступ було відновлено для низки організацій США після схвалення урядом.
Ані Anthropic, ані уряд США публічно не визнали кожну платформу цифрових активів критичною інфраструктурою. Заява Payward про те, що такі платформи «повинні бути в цьому списку», представляє позицію компанії, а не офіційну урядову класифікацію.
Anthropic описує Claude Mythos 5 як свою найпотужнішу модель для кібербезпеки та біологічних досліджень. Модель може перевіряти код, виявляти слабкі місця, пропонувати виправлення та допомагати затвердженим дослідникам у тестуванні шляхів експлойтів.
Попередній перегляд Mythos у рамках Проєкту Glasswing, як повідомляється, виявив понад 10 000 недоліків, класифікованих як висока або критична серйозність, у широко використовуваному програмному забезпеченні. Панель скоординованого розкриття Anthropic станом на 22 травня показала 1596 вразливостей, повідомлених у 281 проєкті з відкритим кодом.
Ці цифри є вимірами Anthropic і не означають, що кожен початковий висновок моделі був дійсним. Її панель зафіксувала 90,8% показник істинно позитивних результатів серед 1900 кандидатів, перевірених зовнішніми охоронними фірмами.
Anthropic заявила, що незалежна людська сортування залишається обмежувальним етапом. Лише 97 перелічених знахідок були виправлені на вищому рівні на момент оновлення панелі, тоді як 88 отримали публічний ідентифікатор попередження.
Модель також може створювати компоненти експлойту та поєднувати їх у ланцюги атак. Anthropic посилалася на цю можливість подвійного використання, пояснюючи, чому Mythos 5 залишається обмеженим для затверджених партнерів.
У пов’язаних матеріалах дослідники виявили, що моделі класу Mythos можуть перетворювати недоліки програмного забезпечення на працюючі ланцюги експлойтів. Ширший доступ, таким чином, надав би нападникам ті ж можливості, що й захисникам.
Payward заявила, що вразливості, виявлені в спільному сторонньому коді, будуть надіслані відповідним супроводжувачам проєктів. Вона представила цей процес як спосіб захисту інших організацій, що використовують те ж програмне забезпечення.
Компанія не опублікувала політику скоординованого розкриття для цієї ініціативи. Важливі питання, що залишилися без відповіді, включають, скільки часу супроводжувачі матимуть на виправлення недоліків, які висновки Payward може розкрити публічно і як вона буде діяти з проєктами, які не відповідають.
Відповідальне розкриття зазвичай вимагає від дослідників перевірки вразливості, приватного контакту з супроводжувачем та надання часу для виправлення перед публікацією технічної інформації. Передчасна публікація може викрити користувачів до того, як стане доступним виправлення.
Payward раніше стикалася з суперечками щодо досліджень безпеки. Як повідомляло crypto.news, Kraken виправила недолік депозиту, який дослідники використовували для виведення майже 3 мільйонів доларів. Біржа пізніше повернула кошти після публічної суперечки з CertiK.
Цей епізод не був пов'язаний з Проєктом Glasswing, але він показує, чому чіткі правила тестування та розкриття мають значення. Сканування ШІ може збільшити кількість повідомлених знахідок, створюючи додаткову роботу для команд безпеки та супроводжувачів.
Payward планує розпочати сканування своїх середовищ протягом декількох тижнів. Наступні перевірені оновлення включатимуть підтверджені вразливості, завершені виправлення або публічні розкриття, скоординовані з відповідними проєктами з відкритим кодом.
Жодних цільових показників ефективності не було оголошено. Payward не повідомила, як часто Mythos 5 скануватиме її системи або чи буде модель перевіряти новий код перед розгортанням.
Anthropic вимагає від клієнтів Mythos 5 прийняти тридцятиденне зберігання даних для моніторингу безпеки. Payward не пояснила, який код або системна інформація буде надсилатися, як буде відокремлюватися конфіденційна інформація або чи підпадає інформація про клієнтів під процес сканування.
Наразі підтвердженим розвитком є приєднання Payward до Проєкту Glasswing та плановане використання Claude Mythos 5. Чи покращить модель безпеку компанії, залежатиме від якості її знахідок, людської перевірки та швидкості наступних виправлень.
ETH
USDC