Claude Mythos (від , «висловлювання», «оповідання») — велика мовна модель компанії Anthropic, анонсована 7 квітня 2026 року в рамках проєкту «Glasswing». Розроблена для пошуку, аналізу та виправлення вразливостей у ПЗ. Доступ до Mythos обмежувався через ризики подвійного використання: модель може допомагати захисникам знаходити помилки в коді, але ті самі можливості можуть бути використані для створення або прискорення кібератак.
Історія
Витік і публічне розкриття Перші відомості про модель з назвою Claude Mythos з'явилися у публічному доступі 26 березня 2026 року після витоку чернеток внутрішніх матеріалів Anthropic. Після витоку Anthropic підтвердила Fortune, що тестує нову модель, яка, за словами компанії, створювала значні ризики для кібербезпеки. За повідомленням Axios, того ж місяця Anthropic попереджала урядовців про можливості Mythos.
7 квітня 2026 року Anthropic офіційно анонсувала Claude Mythos Preview у межах ініціативи Glasswing. Компанія заявляла, що не планує робити Mythos Preview загальнодоступною моделлю, а доступ до неї отримуватимуть лише відібрані учасники Project Glasswing.
Project Glasswing Project Glasswing об'єднав компанії й організації, які мали використовувати Mythos для пошуку та виправлення вразливостей у критично важливому програмному забезпеченні. Серед партнерів проєкту Anthropic назвала Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA та Palo Alto Networks.
Anthropic описувала Claude Mythos Preview як модель загального призначення, особливо сильну в кодуванні й агентних завданнях. За поясненням компанії, її кібербезпекові можливості були наслідком здатності глибоко розуміти й модифікувати складне програмне забезпечення. У межах Glasswing модель мала застосовуватися для локального пошуку вразливостей, тестування бінарних файлів, захисту endpoint-систем і пентестингу.
2 червня 2026 року Anthropic оголосила про розширення доступу до Claude Mythos для приблизно 150 організацій у понад 15 країнах.
Claude Mythos 5 і Claude Fable 5 9 червня 2026 року Anthropic представила Claude Mythos 5 і Claude Fable 5. За описом Anthropic, Fable 5 і Mythos 5 базуються на одній основній моделі, але відрізняються рівнем захисних обмежень. Fable 5 був призначений для ширшого використання із посиленими safeguard-механізмами, тоді як Mythos 5 мав бути доступним невеликому колу кіберзахисників та інфраструктурних партнерів із частково знятими кібербезпековими обмеженнями.
12 червня 2026 року уряд США видав директиву експортного контролю, що вимагала призупинити доступ іноземних громадян до Fable 5 і Mythos 5. Оскільки Anthropic не могла надійно перевіряти громадянство користувачів у реальному часі, компанія тимчасово вимкнула доступ до обох моделей для всіх клієнтів. За поясненням Anthropic, приводом до директиви стало повідомлення про можливість обходу частини захистів Fable 5, яке давало змогу моделі знаходити вразливості та в одному випадку генерувати код демонстрації експлуатації.
26 червня 2026 року доступ до Mythos 5 почали відновлювати для окремих організацій у США. 30 червня уряд США зняв експортні обмеження з Fable 5 і Mythos 5. 1 липня Anthropic повідомила, що доступ до Fable 5 і Mythos 5 відновлено, але Mythos 5 залишився доступним лише для окремих організацій і партнерів у межах програм довіреного доступу.
Характеристики та можливості
Claude Mythos Preview був розроблений для глибокого аналізу програмного забезпечення й пошуку вразливостей. Anthropic заявляла, що модель уже виявила тисячі zero-day-вразливостей у критично важливій інфраструктурі, а її сильні кібербезпекові можливості є наслідком ширших можливостей у програмуванні, міркуванні та агентній роботі.
Великої Британії провів незалежне оцінювання кіберможливостей Claude Mythos Preview. За результатами AISI, модель показала значний прогрес у CTF-завданнях і симуляціях багатокрокових атак. На експертних CTF-завданнях Mythos Preview досягав успіху в 73 % випадків. У корпоративному кіберполігоні The Last Ones, що складався з 32 кроків, Mythos Preview стала першою моделлю, яка змогла пройти симуляцію від початку до кінця: вона завершила весь сценарій у 3 із 10 спроб і в середньому виконувала 22 із 32 кроків, тоді як Claude Opus 4.6 виконував у середньому 16 кроків.
Водночас AISI зазначав, що такі оцінки не доводять здатності моделі атакувати добре захищені реальні системи: тестові середовища були вразливими, не містили активних захисників і не створювали для моделі наслідків за дії, які в реальній мережі могли б викликати спрацювання систем безпеки.
Виявлені вразливості За твердженням компанії, за кілька тижнів модель в автономному режимі виявила тисячі раніше невідомих уразливостей у кожній великій операційній системі та браузері. Серед задокументованих прикладів (всі вразливості на момент публікації виправлені):
вразливість в OpenBSD віком 27 років, що дозволяла віддалено обрушити систему через вхідне мережне підключення; уразливість у FFmpeg віком 16 років, не виявлена автоматичними інструментами за п'ять мільйонів перевірок; кілька взаємозалежних уразливостей в ядрі Linux, що давали атакуючому з правами рядового користувача можливість отримати повний контроль над системою.
На бенчмарку CyberGym (відтворення вразливостей) модель набрала 83,1 % проти 66,6 % у Claude Opus 4.6. На бенчмарку SWE-bench Verified — 93,9 % проти 80,8 %.
Anthropic стверджувала, що Mythos знаходив вразливості в усіх основних операційних системах і веббраузерах, які перевірялися в її тестуванні. За повідомленнями Ars Technica і Wired, Mozilla використала Mythos Preview для виявлення та виправлення 271 вразливості у Firefox. У травні 2026 року працівники Calif.io повідомили, що використали Mythos для створення експлойта пошкодження пам'яті, який стосувався чипів Apple M5.
Досвід використання партнерами Cloudflare повідомила, що в межах Project Glasswing тестувала Mythos Preview на понад 50 власних репозиторіях. За оцінкою компанії, модель особливо вирізнялася в побудові ланцюгів експлуатації, генерації доказів експлуатованості та зменшенні кількості непідтверджених або «шумних» знахідок. Водночас Cloudflare зазначала, що ефективне використання таких моделей вимагає спеціального робочого конвеєра з розбиттям задач, валідацією, дедуплікацією та трасуванням, а не простого запуску одного універсального агента на весь репозиторій.
Реакції
Медіа й експертні оцінки Реакції на Claude Mythos були змішаними. Томас Фрез у The Conversation писав, що можливості моделей на кшталт Mythos можуть вплинути на стабільність ядерного стримування, якщо вони прискорять кібератаки на критичні системи. Бретт Дж. Ґолдстейн у колонці для The New York Times стверджував, що такі моделі можуть поставити окремих користувачів і менші команди в гірше становище щодо кібербезпеки порівняно з великими організаціями, які мають доступ до передових захисних інструментів.
Реакція фінансового сектору Після публічного розкриття Mythos, за повідомленнями Bloomberg, міністр фінансів США Скотт Бессент і голова Федеральної резервної системи Джером Пауелл провели зустріч із керівниками фінансових установ щодо можливостей моделі. Повідомлялося, що кілька великих банків, зокрема JPMorgan Chase, Goldman Sachs, Citigroup, Bank of America і Morgan Stanley, почали тестувати Mythos. Також повідомлялося про обговорення ризиків у Банку Канади та Банку Англії.
Президентка Європейського центрального банку Крістін Лагард позитивно оцінила рішення Anthropic обмежити доступ до Mythos. У відповідь на те, що частина європейських банків не отримала доступу до Mythos, компанія Mistral AI, за повідомленням Bloomberg, почала розробляти власну модель для банківського сектору.
Урядові й регуляторні реакції У квітні 2026 року, за повідомленням Bloomberg, Міністерство фінансів США прагнуло отримати доступ до Claude Mythos. 16 квітня Білий дім і Anthropic провели зустріч щодо моделі. 13 травня двопартійна група з 32 членів Палати представників США звернулася до Office of the National Cyber Director із закликом переглянути федеральну політику координації вразливостей, знайдених ШІ.
В Індії міністерка фінансів Нірмала Сітхараман провела зустріч банків і урядових посадовців щодо нових кіберризиків після появи Mythos. У Японії учасники спільної державно-приватної зустрічі, організованої Агентством фінансових послуг, погодилися створити робочу групу для протидії потенційним загрозам, пов'язаним із Mythos. В Австралії, за повідомленням Australian Financial Review, регулятор APRA провів зустрічі з банками у відповідь на ризики, пов'язані з ШІ-моделями такого типу. Див. також Anthropic Claude Glasswing Кібербезпека Велика мовна модель Уразливість Кіберзахист
Примітки