Anthropic briefs Kongressen: Claude Mythos fandt 271 Firefox-sårbarheder - og EU er stadig lukket ude

Anthropic var tirsdag på Capitol Hill og briefede det amerikanske Kongres om noget, der begynder at ligne en fundamental ændring i cybersikkerhedslandskabet. Claude Mythos – firmaets hidtil kraftigste sprogmodel – kan finde hundredevis af kritiske softwaresårbarheder på tid, der tidligere ville have krævet ugers arbejde fra erfarne sikkerhedseksperter.

Tallene er svære at ignorere. Mens ældre Claude-modeller fandt en håndfuld Firefox-bugs, identificerede Mythos præcis 271 sårbarheder i browseren. Mozilla patchede dem alle i Firefox 150 – en opdatering, der alene rummede langt flere rettelser end et helt normalt år.

Kongressen lytter – men hvad nu?

Tirsdagens lukkede briefing på House Homeland Security Committee var anden gang, Anthropic har præsenteret Mythos’ kapabiliteter for amerikanske lovgivere. Præsentationen blev leveret af Logan Graham fra Anthropics Frontier Red Team og Josh Tilstra fra national security programs.

Det er ikke svært at forstå, hvorfor Kongressen er interesseret. Mythos kan ikke bare finde sårbarheder – den kan også skrive fungerende exploits i over 83% af tilfældene ved første forsøg. Den type kapabilitet var for et år siden forbeholdt de dygtigste penetrationstestere i verden. Nu sidder den potentielt tilgængeligt bag en API.

Dario Amodei, Anthropics CEO, har selv beskrevet situationen som “a moment of danger where if we respond to it correctly… we can have a better world on the other side.” Han estimerer et vindue på 6 til 12 måneder til at patche det meste af den eksisterende sårbare software – inden kinesisk AI indhenter de samme kapabiliteter.

Project Glasswing: Adgang kun til udvalgte

Anthropic har forsøgt at styre risikoen via Project Glasswing – et program, der begrænser adgangen til Mythos til en gruppe screenede partnere. Deriblandt AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA og Palo Alto Networks, plus over 40 yderligere organisationer.

Programmet kombinerer adgang med ansvar: Anthropic stiller op til 100 millioner dollar i usage credits til rådighed og bidrager med 4 millioner dollar til open source-sikkerhedsorganisationer.

Det er et interessant forsøg på at bruge AI’s offensive kapabiliteter defensivt – det tidligere indlæg om Project Glasswing fra april beskrev den grundlæggende logik: brug den farlige model til at finde og patche sårbarheder, inden den havner i de forkerte hænder.

EU får ikke adgang – og Mistral ser en åbning

Her er det politisk set mere kontroversielt: Anthropic holder stadig Mythos ude af EU. Mens OpenAI denne uge annoncerede, at europæiske kunder får adgang til firmaets cybersikkerhedsmodel, er Mythos fortsat geofenced.

Europæiske banker, der har brug for tilsvarende kapabiliteter til at sikre egne systemer, sidder i klemme. Bloomberg rapporterer, at Mistral nu forhandler om at udvikle en alternativ model specifikt til EU-banker. ECB har i mellemtiden advaret eurozone-banker om at forberede sig på AI-drevne cyberangreb.

Det er en bemærkelsesværdig situation: den model, der er bedst til defensiv cybersikkerhed, er tilgængelig i USA men ikke EU – netop fordi den også er bedst til offensiv brug. Det efterlader europæiske virksomheder i valget mellem at bruge svagere modeller eller vente på en Mistral-løsning, der endnu ikke eksisterer.

Forretningssiden: 30 milliarder dollar i run rate

Mythos-successen afspejler sig i Anthropics tal. Firmaet nåede i april 2026 en revenue run rate på 30 milliarder dollar – en vækst på 80x. Det er markant, men det rejser også et spørgsmål om, hvad prisen er for den teknologiske fordel.

AI-kapabiliteter på dette niveau er ikke neutrale redskaber. Den samme model, der hjalp Mozilla med at patche 271 bugs, kunne i princippet hjælpe nogen med at udnytte dem. Anthropic forsøger at navigere det via Project Glasswing-screeninger, men det er fundamentalt set et skalerbarhedsproblem: det er svært at kontrollere adgangen til en model med 30 milliarder dollar i omsætning.

Vi har tidligere set Claude Code Security som et forsøg på at demokratisere defensiv sikkerhedsscanning. Mythos er et andet niveau – og spørgsmålet om, hvem der skal have adgang til den kapabilitet, er nu et spørgsmål for den amerikanske Kongres.