I mars 2016 spelade Googles program AlphaGo drag 37 mot Lee Sedol, en av världens bästa Go-spelare. Draget bröt mot allt etablerat och experterna trodde att det var ett misstag. Det visade sig öppna för spelstrategier som ingen människa hade kommit på under spelets 5500-åriga historia. AlphaGo hade hittat resonemang vi knappt kunde följa.
Nu verkar något liknande ha hänt inom IT-säkerhet. Anthropic har tagit fram Claude Mythos Preview. Några av modellens rapporterade bedrifter:
- Hittade ett 27 år gammalt hål i OpenBSD, infrastruktur som driver brandväggar och nätverksutrustning runt om i världen
- Hittade en 16 år gammal bugg i FFmpeg, det open source-verktyg som ligger bakom i princip all videoströmning på internet: YouTube, Netflix, Chrome, Android, VLC
- Byggde fungerande angreppskod mot Linux och webbläsare, på egen hand, på några timmar
- Lyckades ta sig in i Firefox 181 gånger i ett test. Claude Opus 4.6, förra månadens modell (!), klarade samma test 2 gånger.
Anthropic har inte specifikt tränat modellen på att leta säkerhetshål. Förmågan dök upp som en oväntad konsekvens av att modellen blivit tillräckligt bra på kodning och resonemang i allmänhet. Anthropic har inte släppt modellen. Istället används den defensivt genom Project Glasswing ↗, för att täppa till hål i kritisk infrastruktur innan någon annan hittar dem. Klokt.
Rent praktiskt innebär det här tre saker som redan förändrats för alla som ansvarar för digital infrastruktur:
- Friktionen minskar som skydd. Mycket av dagens IT-säkerhet bygger på att angrepp är tidskrävande. Program som Mythos tröttnar inte. Antingen hittar man hålet själv, eller så går någon annan in där.
- Patchfönstret krymper. Tiden från sårbarhet till fungerande angrepp minskar från veckor till timmar. Det gör långa patchprocesser till ett strategiskt problem. Discovery och patchning behöver troligen smälta samman helt.
- Flaskhalsen flyttas. Att hitta sårbarheter var tidigare det svåraste. Nu gör AI det snabbt och systematiskt. Det nya problemet är triage: vilka hål är mest kritiska, i vilken ordning lagas de, och vem har mandat? Organisationer som inte börjar använda AI systematiskt i sitt cybersäkerhetsarbete kommer få svårt att hålla nödvändigt tempo.
Mythos har också geopolitiska implikationer. Europa befinner sig i en liknande sits som Go-världen efter 2016, fast spelplanen är hela samhället. Om en förmåga av det här slaget finns och kontrolleras av aktörer utanför Europa, vad innebär det för oss? Ska vi bli kunder och köpa säkerhetslösningar mot ett hot vi inte själva kan analysera? Vi riskerar att bli konsumenter på en monopolmarknad.
Europa har mycket att erbjuda som håller på att bli en bristvara i övriga världen: starka akademiska institutioner, demokrati och välfärd. En utökad europeisk AI-satsning som lockar med de kärnvärdena, och med tillräckliga resurser, skulle kunna vara vårt smarta motdrag. Vårt vinnande drag. Drag 38.