OSS Scanner: Mythos uten review – PoC, 88 prosent, 11 OT-partnere

Anthropic åpner Anthropic Cyber Mission 8. oktober. Ikke en ny modell. Frontier-Claude, inkludert Mythos, settes i produksjon mot åpen kildekode og mot leverandørene som sikrer strøm, vann og transport. To spor: OSS Scanner og Critical Infrastructure Defense Program, CIDP.

OSS Scanner er opt-in og gratis. Rapportene er modellgenerert og går ut uten menneskelig review. Hver rapport kan inneholde en selvstendig reproducer, forklaring, biseksjon av når feilen kom inn, og en kandidatpatch. Laben forventer over 90 prosent sanne positive. I intern sjekk av 97 kritiske og høye funn i 48 prosjekter passerte 85, altså 88 prosent, labens CVD-bar. Elleve var duplikater. Ett var ugyldig.

Hva som faktisk er nytt

De siste seks månedene har Anthropics modeller funnet over 29 000 kandidatsårbarheter i mye brukt åpen kildekode. Rundt 6 000 er manuelt triagert. Resten ble flaskehals. Vedlikeholdere som fikk de første rapportene ba om alt, også uten validering. Nesten 5 000 slike rapporter er allerede sendt. OSS Scanner gjør den køen til en stående tjeneste.

Modellene inkluderer Claude Mythos. Det er samme evne som Cyber Verification Program åpnet for verifiserte forsvarere 6. oktober, nå rettet mot prosjekter som melder seg inn. Claude Security forblir bedriftsproduktet. OSS Scanner er for åpen kildekode med «critical impact on infrastructure and user security», etter samme type kriterier som Googles OSS-Fuzz. Innskriving: pull request til anthropics/oss-scanner på GitHub.

I tidlige tester: wolfSSL fikk 74 rapporter, alle unntatt to gyldige, fem ble CVE. OpenSSL-selskapet sier en rapport med ekte exploit er «basically job done». PostgreSQL rapporterer uvanlig høy andel treff og patcher som nesten kan brukes som de er. Det er sitater i labens forskningspost, ikke uavhengig revisjon.

På CyberGym, en akademisk sårbarhetsbenk, sier Anthropic at LLM-er gikk fra under 20 prosent funn i starten av fjoråret til over 85 prosent i år. Det er labens lesning av en ekstern benk, ikke en ny offentlig score for Mythos alene.

CIDP starter med 11 partnere: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC og Rockwell Automation. De får frontier-modeller, ingeniører på stedet og trusselveiledning. Målet er OT: kontrollere, industrielt nett og utstyr som ikke kan tas ned for patch. Flere partnere bruker allerede Claude til å rette sårbarheter, ifølge Anthropic. Kommersielle vilkår er ikke offentlig. Axios spør hvem som betaler compute, og hvordan fikser testes uten å stoppe anlegg.

Hva det betyr for CIO og CISO

Dette er modellkapabilitet i produksjon, ikke en ny vekt. CVP 6. oktober åpnet døren til Mythos for sjekkede forsvarere. Cyber Mission 8. oktober sender samme klasse modeller ut mot avhengighetene deres, uten menneske i loopen på OSS-sporet.

Hvis dere spiser åpen kildekode, og det gjør dere, kommer det flere rapporter med PoC. Noen er ekte og haster. Noen har feil alvorlighetsgrad. Laben sier det selv. Alvorlighetsgrad kan være oppblåst. Trusselmodellen kan være misforstått. Det er ikke Dependabot. Det er en modell som skriver exploit og patch og sender e-post.

Styring: hold CVD-køen hos mennesker som kan avvise støy. Ikke la en automatisk agent merge Mythos-patcher. Logg kilden. Skill mellom menneskeverifisert Glasswing/CVD og rå OSS Scanner. For EØS-virksomheter: Anthropic er databehandler på skanningen. Innmeldelse er et GitHub-PR fra kjernemaintainere, ikke en DPA dere eier.

OT: CIDP treffer leverandørene, ikke driftsselskapet direkte. Norske nettselskap, vannverk og samferdsel kjøper sikkerhet av noen på listen, eller av noen som vil inn. Spør leverandøren om Claude kjører mot deres OT, hvor data ligger, og om patchforslag er testet mot kjørende anlegg. En feil patch i OT er ikke en feil i Jira. Det er nede produksjon.

CISO skal også se baksiden. Rapportene inneholder proof of concept for hvordan feilen kan utnyttes. Opt-in reduserer spredning, men utvider angrepsflaten for den som får e-posten. Behandle dem som røde funn, ikke som nyhetsbrev.

Begrensninger

Ingen ny modell-ID. Ingen ny system card. Mythos og Opus 5.5 er allerede lansert. 90 prosent sanne positive er labens forventning. 88 prosent er intern sjekk av 97 funn. 29 000 er kandidater, ikke CVE. CIDP er partnerprogram uten pris, uten SLA og uten EØS-residency. Axios peker på manglende kommersielle vilkår. The Register minner om at ikke alle GitHub-repos kvalifiserer. Dette er Anthropics lansering 8. oktober 2026.

Kilder og medier

Primærkilde: Anthropic, «Introducing the Anthropic Cyber Mission», 8. oktober 2026. https://www.anthropic.com/news/anthropic-cyber-mission

Supplerende: Anthropic Frontier Red Team, «Launching an opt-in vulnerability-finding service for open-source software», 8. oktober 2026. https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source

Supplerende: SiliconANGLE, «Anthropic launches critical infrastructure program and free OSS Scanner for open source», 8. oktober 2026.

Thumbnail: OpenAI Image 2 / hogby.ai