Mythos Storm er på vei – vær forberedt

I begynnelsen av april 2026 lanserte Anthropic, selskapet bak Claude, Prosjekt Glasswing, et initiativ som bruker «Claude Mythos Preview»-modellen til å identifisere sårbarheter i kritisk programvare før angripere får utnyttet dem.

Programmet omfattet i utgangspunktet rundt 50 organisasjoner, blant annet AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA og Palo Alto Networks. I begynnelsen av juni hadde det utvidet seg til omtrent 150 organisasjoner i mer enn 15 land, og økosystemet har siden vokst til rundt 200 partnere.

Allerede i løpet av den første måneden oppdaget de deltakende organisasjonene mer enn 10 000 alvorlige og kritiske sårbarheter i sine egne miljøer.

Anthropic har også brukt Mythos til å analysere mer enn 1 000 åpen kildekode-prosjekter. Ifølge selskapet utgjør disse prosjektene en betydelig del av infrastrukturen som ligger til grunn for det moderne internett. I en rapport publisert i mai opplyste Anthropic at de hadde identifisert 23 019 potensielle sårbarheter, hvorav 6 202 ble vurdert som svært alvorlige eller kritiske. På det tidspunktet hadde 1 752 funn gjennomgått ytterligere validering, hovedsakelig utført av uavhengige cybersikkerhetsfirmaer. Av disse ble 90,6 % bekreftet å være reelle sårbarheter.

Ifølge Anthropics offentlige oversikt over rapporterte sikkerhetshull hadde selskapet per 2. oktober 2026 rapportert 6 157 sikkerhetshull i 591 åpen kildekode-prosjekter. Av disse var angivelig bare 516 blitt utbedret. Tallene omfatter sikkerhetshull på alle alvorlighetsnivåer.

Den virkelige utfordringen bak «Mythos Storm»

Det er her det virkelige problemet begynner.

Kunstig intelligens har gjort oppdagelsen av sårbarheter raskere og mer skalerbar enn noensinne. Imidlertid kan ikke de påfølgende prosessene – som validering, offentliggjøring, utbedring, testing og distribusjon av oppdateringer – skaleres i samme tempo.

De første tegnene er allerede synlige

Det er allerede tegn på at antallet programvareoppdateringer øker betydelig. Selv om det i eksemplene nedenfor ikke er offentlig bekreftet at det finnes en direkte sammenheng med Mythos, er trenden tydelig:

Microsoft:Patch Tuesday i september var den største i selskapets historie. Microsoft utga oppdateringer for omtrent 975 CVE-er, hvorav rundt 964 krevde tiltak fra kundene. To sårbarheter ble allerede utnyttet aktivt. Til sammenligning løste Microsoft 1 139 CVE-er i løpet av hele året 2025. Selskapet har offentlig uttalt at antallet oppdateringer forventes å fortsette å øke en stund fremover.

Linux-kjernen:Den 29. september utga Debian sikkerhetsoppdateringen DSA-6528-1 for sin stabile Trixie-utgave. Sikkerhetsmeldingen refererte til 1 313 CVE-er. Dette tallet indikerer ikke direkte alvorlighetsgraden, da den gjeldende CVE-politikken for Linux-kjernen tildeler CVE-identifikatorer til et mye bredere spekter av sikkerhetsrelaterte rettelser enn mange kommersielle leverandører gjør. Likevel illustrerer omfanget av oppdateringen hvor mange sårbarheter organisasjoner snart kan komme til å måtte håndtere.

Mozilla:Firefox 150 løste 271 sikkerhetshull, mer enn ti ganger så mange som i Firefox 148, som ble testet ved hjelp av Anthropics tidligere Opus 4.6-modell.

Cloudflare:Cloudflare opplyste at de hadde oppdaget rundt 2 000 feil i sine egne systemer, hvorav rundt 400 ble klassifisert som svært alvorlige eller kritiske.

Komponenter med åpen kildekode utgjør nå grunnlaget for nesten alle moderne IT-miljøer. Som følge av dette kan sikkerhetshull som oppdages i disse komponentene påvirke et bredt spekter av systemer, blant annet nettverksinfrastruktur, servere, lagringsplattformer, applikasjoner, sluttpunkter, industrielle systemer og innebygde enheter.

Alt som er koblet til Internett, er kontinuerlig utsatt for automatiserte skanninger og angrepsforsøk. Kunstig intelligens gjør det nå lettere både for forsvarere og angripere å identifisere sårbarheter som kan utnyttes.

Tempoet avtar ikke

Mythos Preview var den første modellen på dette funksjonsnivået som Anthropic gjorde tilgjengelig utelukkende for nøye utvalgte forsvarere. Nyere versjoner, som for eksempel Mythos 5.1, er fortsatt forbeholdt godkjente organisasjoner.

De fleste AI-modellene som er tilgjengelige for allmennheten i dag, har innebygde sikkerhetstiltak som skal begrense bruken av dem til skadelige cyberaktiviteter. Utfordringen ligger imidlertid i modeller med åpen vekting.

I slutten av september publiserte Anthropic en egen analyse av den kinesiske Z.ai-modellen GLM-5.3. Ifølge Anthropic nærmer modellens evne til å utvikle utnyttelser seg nivået til Mythos Preview. I ExploitBench-tester mot Googles Chrome V8-motor klarte GLM-5.3 å generere fungerende utnyttelser i 50 av 410 forsøk, sammenlignet med 56 oppnådd av Mythos Preview. Forskjellen er at GLM-5.3 har betydelig svakere sikkerhetstiltak mot misbruk.

Selv om Anthropic har en klar interesse i diskusjonen, har det amerikanske NIST CAISI-senteret kommet til en i stor grad tilsvarende konklusjon. Ifølge deres vurdering er GLM-5.3 for øyeblikket den mest avanserte åpne cyberfokuserte modellen som finnes, og ligger omtrent fire måneder etter de ledende amerikanske modellene.

I praksis betyr dette at angreps- og forsvarsevner på Mythos-nivå ikke lenger er begrenset til en kontrollert gruppe av pålitelige forsvarere. Tilsvarende evner er nå tilgjengelige i modeller som kan brukes til å oppdage sårbarheter, bygge utnyttelseskjeder og automatisere angrepsprosesser.

Tilgang krever heller ikke lenger ressurser fra nasjonalstaten. Å kjøre slike modeller på privat eid GPU-infrastruktur krever vanligvis en investering på noen hundre tusen euro, mens tilsvarende skykapasitet ofte kan leies for noen titalls euro i timen.

Inngangsbarrieren for avanserte offensive cyberkapasiteter har derfor sunket dramatisk.

Hvorfor er dette viktig for meg?

Ansvarlig offentliggjøring av sikkerhetsproblemer baserer seg vanligvis på avtalte tidsvinduer for offentliggjøring. Det mest kjente eksemplet er retningslinjen om 90 dagers offentliggjøring, selv om praksis varierer mellom leverandører og bransjer.

Mengden funn som genereres av systemer som Mythos er nå så stor at det legger et betydelig press på tradisjonelle prosesser for sårbarhetshåndtering. Å validere funnene, varsle leverandører, utvikle løsninger, teste oppdateringer og lansere oppdateringer tar alt sammen betydelig lengre tid enn selve identifiseringen av sårbarhetene.

I praksis bør organisasjonene forvente flere og hyppigere sikkerhetsmeldinger og oppdateringer fra infrastruktur- og programvareleverandører.

Basert på ikke-offentlig informasjon vi har mottatt fra leverandører, forventes denne trenden å bli mer synlig i sikkerhetsmeldinger og programvareoppdateringer som blir utgitt i løpet av oktober. Dette er ikke lenger bare et fremtidsscenario.

Alle organisasjoner bør sørge for at det finnes egnede forberedelses- og beskyttelsestiltak for systemer og enheter som er koblet til internett.

Det første trinnet er å få en nøyaktig oversikt over hva som finnes i miljøet. Organisasjoner bør føre en oppdatert oversikt over enheter, systemer og programvare, samt kartlegge hvilke ressurser som er koblet til internett og hvilke som er forretningskritiske. Først da kan man etablere en risikobasert prosess for håndtering av sårbarheter.

Organisasjoner bør som et minimum:

• Følg kontinuerlig med på informasjon om sårbarheter og sikkerhetsmeldinger fra leverandører.
• Føre en nøyaktig oversikt over enheter, systemer og programvare, herunder identifisering av ressurser som er tilkoblet internett og forretningskritiske ressurser.
• Prioriter utbedring ut fra risiko. Ikke alle sårbarheter kan utbedres umiddelbart. Fokuser på de som utgjør en reell trussel i ditt eget miljø.
• Sørg for å installere sikkerhetsoppdateringer raskt på systemer som er koblet til internett, så snart en sårbarhet utgjør en reell risiko.
• Automatiser oppdateringsprosessene der det er mulig. Organisasjonene bør også ha egne beredskapsprosedyrer for hastende sikkerhetsendringer, herunder intern og ekstern kommunikasjon.
• Bruk virtuell patching og andre kompenserende tiltak i brannmurer, IPS-plattformer, WAF-løsninger og andre sikkerhetstiltak når offisielle programvareoppdateringer ikke kan installeres umiddelbart.
• Sikre systemene på riktig måte. For rutere, svitsjer, brannmurer, servere og lagringssystemer innebærer dette å fjerne unødvendige tjenester, begrense administrasjonstilgang, bruke sentralisert identitetsadministrasjon og innføre multifaktorautentisering (MFA).

Ytterligere beskyttelseslag er avgjørende

Tekniske oppdateringer alene er ikke nok.

Dere bør også:

1. Dele opp interne nettverk i segmenterte soner for å forhindre ubegrenset lateral spredning dersom et system blir kompromittert.
2. Samle inn tilstrekkelig loggdata og telemetri, og analyser dette kontinuerlig ved hjelp av løsninger som et sikkerhetsoperasjonssenter (SOC). Unødvendige tjenester, brukerkontoer, administrasjonsgrensesnitt og eksterne tilkoblinger bør fjernes.
3. Aksepter at ikke alle angrep kan forhindres på forhånd, og forbered deg deretter.
4. Sørg for at sikkerhetskopiene holdes adskilt fra produksjonsmiljøene og, der det er mulig, er uforanderlige. Integriteten til sikkerhetskopiene og gjenopprettingsprosedyrene bør testes jevnlig.
5. Være i stand til å gjenopprette driften til en tilstand fra før sikkerhetsbruddet, dersom det er nødvendig.

Noen systemer vil få oppdateringer. Andre vil ikke.

Teknologileverandører fastsetter produktlivssykluser som omfatter milepæler for når salget avsluttes, etterfulgt av separate sluttdatoer for support, programvarevedlikehold og sikkerhetsvedlikehold. Disse tidsrammene varierer betydelig mellom ulike produkter og leverandører.

Fra et sikkerhetsperspektiv er ikke nødvendigvis «End-of-Sales» den viktigste datoen, men det tidspunktet da leverandøren slutter å levere sikkerhetsoppdateringer.

Utfordringen ligger i systemer som allerede ikke lenger får teknisk støtte.

På internett og i bedriftsnettverk finnes det fortsatt et enormt antall enheter der støtte- og sikkerhetsoppdateringssyklusene allerede har utløpt. Leverandørene utvikler vanligvis ikke oppdateringer for nylig oppdagede sikkerhetshull i disse produktene.

Det er her Mythos-stormen kan få størst innvirkning.

Dersom det oppdages nye kritiske sårbarheter i systemer som ikke lenger støttes, har organisasjonene vanligvis bare to alternativer: å innføre kompenserende tiltak eller å bytte ut systemet fullstendig.

Av denne grunn er det langt å foretrekke å identifisere systemer som nærmer seg slutten av sin levetid og planlegge utskiftningen av dem før en kritisk sårbarhet oppstår, fremfor å måtte reagere under press etter at sårbarheten har blitt kjent for offentligheten.

Stormen er i ferd med å sette inn nå. Ved å forberede seg i god tid øker sjansen for at erstatningssystemene vil være i drift før de verste konsekvensene slår til.

Vi kan bistå med en tryggere drift og økt kontroll

NetNordic hjelper organisasjoner med å omdanne en stadig økende strøm av sikkerhetsproblemer til konkrete og håndterbare sikkerhetsplaner.

Når vi mottar informasjon fra leverandører om nyoppdagede sikkerhetshull og tilgjengelige løsninger, tar vi proaktivt kontakt med kundene våre når det er hensiktsmessig.

Vi kan hjelpe til med å kartlegge miljøer, identifisere systemer som er eksponert mot internett og forretningskritiske systemer, sammenstille sårbarhetsinformasjon med eksisterende ressurser og utarbeide en risikobasert prioriteringsstrategi for utbedring og beskyttelse.

Der det er nødvendig, kan vi også bistå med systemforsterkning, kompenserende kontrolltiltak, hardware oppdateringer og mer omfattende beredskapstiltak. Gjennom våre sikkerhetstjenester kan vi i tillegg overvåke miljøene for inntrengninger, avvik og angrepsaktivitet.

Mythos-stormen betyr ikke at alle systemer er i umiddelbar fare.

Det betyr at sikkerhetshull vil bli oppdaget raskere enn noensinne.

Og det betyr at dere må være forberedt på å reagere raskere enn noensinne.