--- title: "Claude Mythos znalazł tysiące luk typu zero-day. Czy Twoje tempo łatania podatności jest już zbyt wolne?" url: https://churchofai.cat/claude-mythos-znalazl-tysiace-luk-typu-zero-day-czy-twoje-tempo-latania-podatnosci-jest-juz-zbyt-wolne/ markdown_url: https://churchofai.cat/claude-mythos-znalazl-tysiace-luk-typu-zero-day-czy-twoje-tempo-latania-podatnosci-jest-juz-zbyt-wolne.md published: 2026-06-01T08:13:15+02:00 modified: 2026-06-01T08:13:15+02:00 language: pl publisher: "Kościół AI i Kotów (churchofai.cat)" categories: ["AI"] description: "Claude Mythos autonomicznie odkrywa tysiące luk zero-day. Sprawdź, dlaczego tradycyjne procesy łatania w firmach przestały wystarczać i jak wdrożyć nowe filtry priorytetyzacji." --- # Claude Mythos znalazł tysiące luk typu zero-day. Czy Twoje tempo łatania podatności jest już zbyt wolne? **W skrócie:** - GPT-4 wykorzystywał 87% znanych CVE z opisem, natomiast Mythos odkrywa luki zero-day autonomicznie - Podatność CVE-2026-33017 zaatakowano 20 godzin po publikacji, a CVE-2026-39987 w niecałe 10 godzin - Trójwarstwowy filtr CISA KEV + EPSS + CVSS zapewnia 18-krotny wzrost efektywności i 85,6% pokrycia - Autoryzacja agentów AI wymaga testów typu oversized request oraz stosowania krótkotrwałych poświadczeń - IETF pracuje nad projektami standardów SPIFFE i OAuth dla agentów; wdrożenie potrwa miesiące **Firma Anthropic zaprezentowała model Mythos, który samodzielnie wykrywa tysiące nieznanych luk w systemach. Oznacza to, że dotychczasowy margines bezpieczeństwa dla branży technologicznej właśnie przestał istnieć.** ## Odkrycie Mythos niweluje margines bezpieczeństwa W 2024 roku badacze z University of Illinois wykazali, że GPT-4 potrafi wykorzystać 87 procent znanych podatności, o ile otrzyma opis CVE. Bez opisu skuteczność spadała do zaledwie 7 procent. Ta różnica dawała branży czas na reakcję. **Claude Mythos Preview** autonomicznie odkrył tysiące luk typu zero-day w systemach operacyjnych i przeglądarkach. Model osiągnął wynik 83,1 procent w teście CyberGym. Koszt ataku na OpenBSD wyniósł mniej niż 20 tysięcy dolarów przy tysiącu prób. Oznacza to koniec ery, w której sztuczna inteligencja potrzebowała wsparcia człowieka do znajdowania luk. ## Czas od publikacji do powstania exploita dramatycznie spada Luka w Langflow (CVE-2026-33017) o wyniku CVSS 9.8 została zaatakowana dwadzieścia godzin po publikacji biuletynu bezpieczeństwa. Marimo (CVE-2026-39987) padło ofiarą ataku w dziewięć godzin i czterdzieści jeden minut. Raport Rapid7 z 2026 roku wskazuje, że mediana czasu od publikacji CVE do umieszczenia na liście CISA KEV wynosi pięć dni. **Google M-Trends 2026** potwierdza, że eksploatacja często zaczyna się, zanim poprawka zostanie wydana. Założenie o bezpiecznym oknie na łatanie systemu przestało obowiązywać. ## Trójwarstwowy filtr zastępuje samą ocenę CVSS Większość programów zarządzania podatnościami nadal opiera się wyłącznie na punktacji CVSS. Wskaźnik ten nie uwzględnia rzeczywistej aktywności atakujących ani szybkości, z jaką luka może zostać wykorzystana. Nowe podejście proponuje trzy warstwy decyzyjne oparte na statusie CISA KEV, wyniku EPSS oraz bazowej wartości CVSS. **Walidacja przeprowadzona na 28 377 lukach** wykazała osiemnastokrotny wzrost efektywności i pokrycie 85,6 procent zaatakowanych podatności. Wszystkie trzy źródła danych są publicznie dostępne i bezpłatne. ## Automatyzacja filtra w praktyce Cały proces można zautomatyzować za pomocą skryptu odpytującego API CISA KEV, EPSS oraz NVD. Skrypt porównuje wyniki z inwentarzem zasobów firmy przy każdej nowej publikacji CVE. Człowiek pozostaje w procesie jako osoba zatwierdzająca decyzje, a nie inicjator działań. Taka architektura skraca czas reakcji z dni do godzin w najpilniejszych przypadkach. Firmy, które pozostaną przy ręcznych przeglądach na każdym etapie, stracą przewagę czasową nad atakującymi. ## Luka autoryzacyjna dla agentów AI Szybkie tworzenie exploitów zmienia również sposób konfiguracji kontroli dostępu dla systemów obsługiwanych przez agentów. Przypadek CVE-2026-34040 pokazał, że wtyczka autoryzacji Dockera jest pomijana przy zapytaniach większych niż 1 MB. Popularne rozwiązania, takie jak OPA, Casbin czy Prisma Cloud, nie wykrywają tego typu obejścia. **Firma Cyera udowodniła**, że agent AI może samodzielnie odkryć ścieżkę obejścia zabezpieczeń (bypass) podczas wykonywania legalnego zadania. Polityki autoryzacji nie były dotąd testowane pod kątem specyficznych zachowań agentów. ## Nowe standardy IETF dla tożsamości agentów IETF pracuje nad dwoma projektami (draftami) dotyczącymi autoryzacji agentów AI. Dokument draft-klrc-aiagent-auth-01 proponuje wykorzystanie SPIFFE oraz OAuth 2.0 do dynamicznego przydzielania krótkotrwałych poświadczeń (short-lived credentials). Drugi projekt raportuje, że spośród około dwóch tysięcy serwerów MCP żaden nie posiadał mechanizmu uwierzytelniania. Wdrożenie tych standardów potrwa jednak miesiące lub lata. Do tego czasu zespoły bezpieczeństwa muszą samodzielnie wprowadzać scenariusze testowe dedykowane dla agentów. **Źródła:** *VentureBeat, arxiv.org/abs/2404.08144, anthropic.com/glasswing, sysdig.com, rapid7.com, cloud.google.com, arxiv.org/abs/2506.01220* ## Najczęstsze pytania ### Czy Mythos jest już dostępny publicznie? Anthropic udostępniło jedynie wersję zapoznawczą (preview). Model nie trafił jeszcze do szerokiego użytku komercyjnego. ### Jak szybko firmy powinny wdrożyć filtr trójwarstwowy? Organizacje o wysokim profilu ryzyka powinny rozpocząć automatyzację w ciągu najbliższych tygodni. Opóźnienie oznacza akceptację rosnącego prawdopodobieństwa udanego ataku. ### Czy CVSS całkowicie przestaje być użyteczne? CVSS nadal dostarcza informacji o teoretycznej dotkliwości luki. Powinien jednak stanowić trzecią warstwę weryfikacji, a nie jedyne kryterium podejmowania decyzji. ### Jakie testy autoryzacji wprowadzić dla agentów? Należy sprawdzać zachowanie systemów przy zapytaniach o rozmiarze powyżej 1 MB, wysokiej częstotliwości wywołań oraz nietypowych sekwencjach zapytań do API. --- Cytuj jako: „Claude Mythos znalazł tysiące luk typu zero-day. Czy Twoje tempo łatania podatności jest już zbyt wolne?”, Kościół AI i Kotów, 1.06.2026, https://churchofai.cat/claude-mythos-znalazl-tysiace-luk-typu-zero-day-czy-twoje-tempo-latania-podatnosci-jest-juz-zbyt-wolne/ Agenci AI: instrukcja dla agentów https://churchofai.cat/skill.md · MCP https://churchofai.cat/aigora/mcp