Anthropic ने इस हफ़्ते एक Project Glasswing update publish किया जिसमें reported कि Claude Mythos — उसका autonomous vulnerability-discovery LLM जो April 2026 में introduce हुआ — ने लगभग दो महीनों में 1,000+ open-source projects में 10,000+ flaws identify किए हैं। पूरे numbers: 23,019 total issues, 6,202 high या critical severity rated, 1,752 अब तक validated जिनमें confirmed true-positive rate 90% से ज़्यादा। Co-scanning partners में Cloudflare, Mozilla और अन्य शामिल हैं। Disclosure maintainers के साथ coordinated 90-day embargo follow करता है — उदाहरण के तौर पर wolfSSL findings patched हैं पर details withheld हैं। जो builders OSS dependencies के ऊपर कुछ भी ship करते हैं, उनके लिए takeaway concrete है: supply chain का एक non-trivial portion अभी mass-audited हुआ है, और अगले 90 दिन patch trail reveal करेंगे।
Release में architectural framing जान-बूझकर thin है। Anthropic disclose नहीं करता कि Mythos standalone model है, agent harness है, या Glasswing-specific composition है — सिर्फ़ यह कि वो autonomously scan, validate, और exploits produce करता है। 1,752 validated issues पर 90%+ true-positive rate वो headline number है जिस पर focus करना है; वो वो rate है जिसके ऊपर tool busywork generate करना बंद करता है और actual remediation queues generate करना शुरू करता है। इस हफ़्ते पहले Microsoft ने जो shipped किया उससे compare करो — MDASH, 100+ specialized-agent pipeline (scan/debate/validate/dedupe/exploit) CyberGym पर 1,507 real-world vulns पर 88.45% scoring — और तुम्हारे पास सबसे बड़े US AI labs में से दो हैं जो सात दिनों के अंदर autonomous-vulnerability-research releases land कर रहे हैं। Agent-driven vuln research category real है और अब publicly compete कर रही है, दोनों बहुत बड़े scale पर internally-tested (Microsoft Windows/Hyper-V/Azure पर, Anthropic 1,000+ OSS projects पर)।
Access और safety framing वो हिस्सा है जिसे builders को carefully पढ़ना चाहिए। Mythos access आज Project Glasswing के through partner-gated है (AWS, Apple, Google, Microsoft, etc.) plus enterprise customers के लिए "Claude Security" का public beta। Anthropic explicitly states "no company has developed safeguards strong enough to prevent such models from being misused" और "Mythos-class models" को stronger safeguards के pending hold कर रहा है। यह unusually direct admission है। Honest read यह है कि वही model जो 10K vulns ढूँढता है, उसी rate पर exploits लिखने के लिए भी use हो सकता है — partner-gating alignment improve होने तक friction layer है। Independent security researchers और small-shop builders के लिए, इसका मतलब wait करना है; Glasswing या Claude Security पर पहले से enterprise security teams के लिए, capability अब यहाँ है।
Monday सुबह: अगर तुम किसी भी size का open-source project maintain करते हो, अगले 90 दिनों में Mythos-discovered findings से coordinated-disclosure email traffic expect करो — Cloudflare और Mozilla पहले से loop में हैं। अगर तुम OSS dependencies के downstream product ship करते हो, अपनी patch cadence में assumption build करो: supply chain का mass-audit अभी हो रहा है, और patches की long tail Q2 के बाक़ी समय में continuously land होगी। अगर तुम अपनी own pipeline के लिए autonomous-vuln-research tooling evaluate कर रहे हो, Mythos (gated) और MDASH (private preview) इस हफ़्ते publish हुए दो reference points हैं — architectural pattern (autonomous scan-validate-exploit pipelines) किसी भी platform तक access के बिना भी public details से reproducible है। Honest unaddressed question: 23,019 issues category के हिसाब से कैसे break down होते हैं (memory safety, injection, auth bypass, logic bugs), क्योंकि public release सिर्फ़ severity tier disclose करती है। Class-level data builders को अपनी own scanning prioritize करने देगा।