Śledztwo ProPublica: Microsoft nie nadąża z łataniem luk znajdowanych przez AI Anthropic

Model sztucznej inteligencji Claude Mythos, stworzony przez Anthropic do wyszukiwania luk bezpieczeństwa w oprogramowaniu, znajduje błędy w produktach Microsoftu szybciej, niż inżynierowie firmy są w stanie je naprawić. Śledztwo dziennikarskie ProPublica, oparte na nagraniu z wewnętrznego spotkania w siedzibie Microsoftu w Redmond, ujawnia skalę problemu i rosnącą presję czasu, z jaką mierzy się jeden z największych producentów oprogramowania na świecie.

Anthropic upubliczniło Claude Mythos w kwietniu 2026 roku i udostępniło go wybranym firmom oraz instytucjom tworzącym oprogramowanie używane przez miliardy ludzi, firm i rządów. Cel był deklaratywnie obronny: znaleźć i załatać luki, zanim zrobią to hakerzy albo wrogie rządy. Wśród pierwszych partnerów znalazł się Microsoft, który otrzymał dostęp do wersji roboczej modelu, Claude Mythos Preview.

Nagranie z Redmond

ProPublica dotarła do nagrania z połowy maja 2026 roku, zarejestrowanego podczas wewnętrznego spotkania zespołu bezpieczeństwa Microsoftu poświęconego Project Glasswing. Menedżer potwierdził na nim, że Mythos "live up to the hype" - spełnia pokładane w nim nadzieje - a zespół znalazł się w tym, co sam określił jako "a mad dash", czyli gorączkowy wyścig z czasem, by zamknąć lukę między wykryciem błędu a jego załataniem.

Inżynier zarządzający projektem, Hans Andersen, mówił zespołowi, że mają "z grubsza dwa tygodnie, by znaleźć jak najwięcej dobrego", ponieważ 31 maja miał być dniem, w którym "reszta świata" dogoni możliwości narzędzia Anthropic. Znaczenie tego zdania było dla inżynierów oczywiste: gdy podobne narzędzia trafią do powszechnego użytku, te same luki staną się dostępne dla przestępców i wrogich wywiadów.

It was like drinking from a garden hose on the jet setting before, and now it's like drinking from a fire hose - Ben Edwards, ekspert ds. cyberbezpieczeństwa

Rekordowe tempo łatania

Presja przełożyła się na bezprecedensowe tempo publikowania poprawek. W czerwcu 2026 Microsoft wydał ponad 200 łatek bezpieczeństwa, co w tamtym momencie było rekordem w historii firmy. Rekord ten padł już miesiąc później: 14 lipca Microsoft opublikował ponad 600 poprawek naraz, z czego zaledwie siedem sklasyfikowano jako zagrożenie niskie lub umiarkowane. Reszta dotyczyła luk krytycznych lub ważnych.

Here we are. The bug apocalypse has fully descended upon us - Dustin Childs, ekspert ds. cyberbezpieczeństwa

Ryzyko selekcji

Microsoft przyjął strategię triażu: priorytetowo łata błędy krytyczne i ważne, odkładając te niskiego i umiarkowanego priorytetu. Eksperci ostrzegają, że w erze AI to podejście może być niebezpieczne, bo modele takie jak Mythos potrafią łączyć kilka pozornie drobnych luk w jeden poważny łańcuch ataku. Vinh Nguyen, były szef działu AI w amerykańskiej Agencji Bezpieczeństwa Narodowego (NSA), ostrzegł, że cztery błędy niskiego poziomu mogą razem dać efekt równy jednej luce wysokiego ryzyka, co oznacza, że obecna strategia Microsoftu może zaniżać realne ryzyko.

Według ustaleń ProPublica dodatkowym problemem jest wieloletnie niedofinansowanie Microsoft Security Response Center, zespołu odpowiedzialnego za reagowanie na zgłoszenia luk. Firma miała traktować łatanie zabezpieczeń jako centrum kosztów, a nie zysków, kierując najlepszych inżynierów raczej do prac nad produktami generującymi przychód niż do bezpieczeństwa.

Co na to Microsoft

Microsoft odpowiedział, że bezpieczeństwo pozostaje jego "najważniejszym priorytetem", a zespoły "priorytetyzują wykorzystanie AI do wykrywania i usuwania luk tak szybko, jak to możliwe". Firma podkreśliła, że decyzje o kolejności łatania uwzględniają możliwość wykorzystania danej luki w praktyce oraz wpływ na klientów, a nie wyłącznie formalną klasyfikację zagrożenia.

Sprawa ma znaczenie wykraczające poza jednego dostawcę. Podobne narzędzia od Anthropic trafiły też do innych organizacji zajmujących się bezpieczeństwem infrastruktury cyfrowej, w tym do amerykańskiej NSA, która testowała Mythos pod kątem wykrywania słabości w powszechnie używanym oprogramowaniu. Jeśli tempo odkrywania luk przez AI faktycznie przewyższa możliwości ich łatania przez człowieka, cała branża stoi przed pytaniem, jak zreorganizować proces reagowania na zagrożenia, zanim te same narzędzia trafią w niepowołane ręce.

Dla polskich firm i instytucji korzystających z produktów Microsoftu - a to zdecydowana większość sektora publicznego i prywatnego w kraju - oznacza to konieczność jeszcze szybszego wdrażania aktualizacji bezpieczeństwa oraz monitorowania komunikatów Microsoft Security Response Center, bo skala i tempo publikowanych łatek rosną z miesiąca na miesiąc.