Anthropic Glasswing и Claude Mythos: что ИИ-аудит уязвимостей означает для бизнеса

Anthropic запустила проект Glasswing — закрытую инициативу по защите программной инфраструктуры с помощью модели Claude Mythos Preview. Модель автономно находит уязвимости и пишет эксплойты без участия человека. Для бизнеса это смена ценообразования на ИБ-услуги и новый стандарт due diligence при работе с подрядчиками.

Что произошло

Anthropic анонсировала Claude Mythos Preview — модель, которая, по данным компании, превосходит большинство специалистов по поиску уязвимостей. За несколько недель она обнаружила тысячи 0-day уязвимостей в крупных ОС, браузерах и open-source-проектах.

Среди подтверждённых примеров: 27-летняя ошибка в OpenBSD, 16-летний баг в FFmpeg (не замеченный за 5 млн прогонов автотестов), цепочка эксплойтов в ядре Linux для получения полного контроля над машиной. Все упомянутые уязвимости закрыты. К проекту подключились AWS, Apple, Google, Microsoft, Cisco, NVIDIA и другие — более 40 организаций. Anthropic выделяет $100 млн кредитами на использование модели и $4 млн прямых пожертвований в профильные фонды. После превью-этапа цена доступа: $25 за млн входных токенов, $125 за млн выходных через Claude API, Amazon Bedrock, Vertex AI и Microsoft Foundry.

• Влияние на воронку и конверсию — компании, сертифицированные через Glasswing-партнёров, получат конкурентный аргумент в тендерах с требованиями по ИБ. Это напрямую влияет на конверсию из RFP (запроса на предложение) в контракт.
• Влияние на CAC (стоимость привлечения клиента) и маржу — стоимость пентеста через ИИ-инструмент при $125 за млн токенов на порядок ниже стоимости senior-специалиста. Это сожмёт маржу у классических ИБ-аутсорсеров и одновременно снизит CAC у вендоров, встраивающих аудит в продукт.
• Влияние на операционку — команды, которые сейчас закладывают 2–4 недели на пентест, столкнутся с давлением заказчика: "ИИ делает это за часы". Нужно перестраивать процессы приёмки и SLA (соглашений об уровне сервиса).

Как использовать это в ближайшие 30 дней

1. Пересмотреть ИБ-бюджет — запросить у текущего пентест-подрядчика обоснование ценообразования с учётом ИИ-инструментов. Метрика: снижение стоимости аудита на 20–40% без потери покрытия.
2. Проверить цепочку поставок ПО — составить реестр open-source-зависимостей. Приоритет: компоненты старше 5 лет и без активного сопровождения. Метрика: реестр готов, критические компоненты отмечены.
3. Встроить ИБ-аудит в цикл разработки — если продукт содержит пользовательские данные или финансовые транзакции, оценить доступ к Glasswing-партнёрам. Метрика: получен ответ от минимум одного партнёра проекта о стоимости и условиях доступа.

Вывод

Glasswing — это структурный сдвиг на рынке ИБ, а не пресс-релиз. Компании, продающие пентест руками, потеряют маржу в ближайшие 12–18 месяцев. Компании, покупающие пентест, получат рычаг для пересмотра контрактов. Внедрять мониторинг партнёрской программы — сейчас. Ждать общего доступа к Mythos — бессмысленно: его не будет.