Anthropic får Mythos tilbake på lisens

Anthropic får Mythos tilbake på lisens

USA letter på grepet rundt Anthropics mest avanserte cybersikkerhetsmodell, Claude Mythos 5. Det er ikke en fri lansering. Det er en kontrollert åpning for et begrenset sett med godkjente amerikanske virksomheter og offentlige etater.

WIRED skriver at handelsminister Howard Lutnick i et brev til Anthropic har gitt grønt lys for at "trusted partners" kan få tilgang til Mythos 5, etter at selskapet skal ha jobbet med amerikanske myndigheter for å håndtere risiko knyttet til modellen. Ifølge WIRED gjelder åpningen mer enn 100 amerikanske organisasjoner, blant dem store selskaper og myndighetsorganer.

Anthropic beskriver selv Mythos 5 som sin sterkeste cybersikkerhetsmodell. Det er kjernen i saken. Modellene i denne klassen er ikke lenger bare generelle assistenter med litt bedre kodeforståelse. De kan brukes til sårbarhetsjakt, sikkerhetstesting, analyse av komplekse systemer og automatisering av arbeid som tidligere krevde små team av høyt spesialiserte folk. Det gir åpenbare defensive gevinster. Det gir også regulatorisk hodepine.

Åpningen er derfor smal. WIRED skriver at Claude Fable 5, den mer forbrukerrettede varianten av Mythos-klassen, fortsatt ikke er tilbake i bred distribusjon. De opprinnelige kravene fra 12. juni står i stor grad ved lag. Det nye er at godkjente organisasjoner får et unntak, og at utenlandske statsborgere i disse organisasjonene kan få tilgang når de er del av den godkjente rammen. Anthropics egne utenlandske ansatte omfattes også av unntaket.

Det høres teknisk ut. Det er egentlig en styringssak.

For CIO og CISO betyr dette at tilgang til de kraftigste modellene ikke kan behandles som vanlig SaaS-innkjøp. Leverandøren kan ha kontrakten, men myndighetene kan styre hvem som faktisk får bruke produktet. Det gjelder særlig modeller som kan flytte evnenivået i cybersikkerhet, biologi, kodegenerering eller annen høyrisiko automatisering.

Det er også et varsel om hvordan neste generasjon modellslipp kan se ut. Store AI-laber vil gjerne snakke om sikkerhetstesting, systemkort og ansvarsfull lansering. Myndighetene er i ferd med å legge et nytt lag oppå dette: lisenser, godkjente brukerlister, nasjonalitetsregler og særvilkår for kritisk infrastruktur.

Norske virksomheter bør lese saken som mer enn amerikansk AI-drama. Dersom en bank, et energiselskap, en teleoperatør eller en offentlig etat bygger sikkerhetsarbeid rundt en frontier-modell, må de vite om tilgangen kan begrenses av eksportkontroll eller politiske vedtak utenfor Norge. Det bør inn i risikoanalysen før modellen blir en del av beredskap, SOC-prosesser eller utviklingsløp.

Det praktiske spørsmålet er ikke bare "hvilken modell er best?". Det er også:

• hvem kan bruke modellen, og fra hvilke land?
• kan leverandøren dokumentere endringer i tilgangsregime raskt nok?
• finnes det alternativ kapasitet hvis modellen trekkes tilbake?
• hvilke arbeidsprosesser stopper hvis en modell settes på pause over natten?
• hvordan logges bruk når modellen brukes til sårbarhetsanalyse eller hendelseshåndtering?

Mythos-saken viser samtidig hvorfor myndighetene er interessert. Hvis en modell kan hjelpe forsvarere å finne hull raskere, kan den også flytte kapasitet til angripere hvis kontrollene svikter. Anthropic og amerikanske myndigheter ser ut til å teste en mellomløsning: slipp modellen til utvalgte cyberforsvarere og infrastrukturaktører, men vent med bred distribusjon.

Det kan bli normalen for de mest kapable modellene. Ikke for alle chatboter. Men for modellene som ligger nærmest operativ cyber, bio, agentisk kodearbeid og kritisk infrastruktur.

Kontraktene bør også endres. Kunder bør be om varselplikt ved regulatoriske inngrep, dokumentasjon på tilgangsendringer, eksportkontrollvurderinger og en plan for dataflyt hvis modellen erstattes. Sikkerhetsmiljøet bør vite hvilke oppgaver som er forsvarlige å flytte til en slik modell, og hvilke oppgaver som fortsatt krever menneskelig beslutning eller lokal kapasitet. Det er ikke fordi modellene er ubrukelige. Det er fordi de er blitt viktige nok til at avbrudd betyr noe.

Styret trenger ikke detaljstyre modellvalg. Men styret bør be ledelsen dokumentere hvilke AI-tjenester som er kritiske, hvilke jurisdiksjoner de er avhengige av, og hvilke alternativer som finnes hvis tilgang endres. "Vi bruker Claude" eller "vi bruker GPT" er ikke lenger presist nok. Spørsmålet er hvilken modellklasse, hvilken tilgangsform, hvilket land, og hvilken beredskap.

Anthropic fikk Mythos 5 delvis tilbake. Det viktigste er at modellen kom tilbake på vilkår. Det er et nytt innkjøpslandskap for virksomheter som vil bruke de kraftigste AI-verktøyene i reell drift.

Kilder og medier

Primærkilde/top-tier: WIRED, "Trump Administration Allows Anthropic to Release Mythos to Select US Organizations", https://www.wired.com/story/anthropic-restores-access-to-mythos/

Kildekreditering: WIRED oppgir brev fra US Commerce Secretary Howard Lutnick og uttalelse fra Anthropic.

Thumbnail: OpenAI Image 2 / hogby.ai