Уязвимости в коде теперь ищет модель: 10 000 критических дыр у партнёров Glasswing

14 июля 2026 Microsoft закрыла 570 уязвимостей за один Patch Tuesday - рекорд для компании. Дыры начала находить AI-система, Microsoft это подтвердила. Внутри компании сборкой Claude Mythos Preview пользовались примерно 50 штатных сотрудников, и за один апрель модель выкопала в SharePoint 90 критических и 141 важную уязвимость.

Единичным экспериментом это не было. Project Glasswing Anthropic запустила 7 апреля 2026 вместе с 12 компаниями-основателями, среди них Microsoft, Google и Apple. На старте компания положила в проект $100 млн кредитами на модель и ещё $4 млн фондам open source.

Первые 50 партнёров нашли больше 10 000 уязвимостей высокой и критической серьёзности. 2 июня 2026 Anthropic расширила доступ к Claude Mythos Preview примерно на 150 организаций из 15 с лишним стран.

Узкое место переехало. Раньше дыру в большом продукте искали руками, и каждая находка была событием. Теперь модель приносит их сотнями, а чинит по-прежнему человек: к середине мая около 300 средних дыр в SharePoint ждали патча, это цифры расследования ProPublica.

Мелочь опаснее, чем кажется. Вин Нгуен, который до Anthropic отвечал за AI в NSA, объясняет так: «можно сцепить четыре низкоуровневых дефекта, и это даст высокую серьёзность».

Как поставить у себя

Плагин Claude Security ставится прямо в сессии Claude Code одной командой `/plugin install claude-security@claude-plugins-official`. Нужен платный план и Claude Code версии 2.1.154 или новее.

После установки появляется команда `/claude-security` с тремя работами: скан всего репозитория, скан диффа ветки или коммита и генерация патчей. Результаты падают в папку `CLAUDE-SECURITY-<timestamp>/`.

Патчи сами не применяются. Их накатываешь руками через `git apply`, так что чужой правки в ветке не появится без твоей команды.

Есть и управляемый Claude Security, но он в публичной бете и только на плане Enterprise: включает его владелец организации в настройках, сканировать можно репозитории на GitHub. Отдельной платы за платформу нет, сканы считают по прямой цене токенов.

Сама модель, вычистившая SharePoint, в открытый доступ не вышла. К Claude Mythos 5 с 9 июня 2026 пускают только одобренных участников Glasswing, самостоятельной регистрации нет.

Microsoft ждёт, что таких патчей станет больше, так что июльские 570 закрытых дыр - не потолок.