Claude Mythos Preview: Anthropic neden en güçlü modelini herkese açmadı?

Ne duyuruldu?

Anthropic 7 Nisan 2026’da iki şeyi aynı anda açıkladı. Birincisi Claude Mythos Preview: Genel amaçlı, henüz yayımlanmamış yeni bir model. Şirketin iddiası iddialı: Bu model yazılım açıklarını bulmakta ve onları kullanmakta (exploit) en usta insanlar dışında herkesi geçiyor.

İkincisi Project Glasswing: Modeli herkese açmak yerine, kritik yazılımı yapan ve bakan kurumlara açan bir program. Ortaklar arasında AWS, Apple, Google, Microsoft, NVIDIA, Cisco, CrowdStrike, Palo Alto Networks, JPMorganChase ve Linux Vakfı var. Kırktan fazla kurum daha erişim aldı. Anthropic 100 milyon dolara kadar kullanım kredisi ve açık kaynak güvenlik kuruluşlarına 4 milyon dolar bağış sözü verdi. Açık kaynak bakımcıları da başvurabiliyordu.

Model ne buldu?

Anthropic’in güvenlik ekibinin raporundaki örneklerin hepsi yamalandıktan sonra yayımlandı:

• OpenBSD: 27 yıllık bir hata. Uzaktaki bir saldırgan, TCP üzerinden ulaşabildiği her OpenBSD makinesini çökertebiliyordu.
• FFmpeg: Video çözücüde 16 yıllık bir hata. Otomatik test araçlarının o satırdan beş milyon kez geçip yakalayamadığı bir yerde.
• FreeBSD: 17 yıllık bir NFS açığı. Model bunu kendi başına bulup, giriş yapmadan yönetici (root) yetkisi alan çalışan bir saldırıya çevirdi.
• Linux: İki ila dört küçük açığı zincirleyip sıradan kullanıcıdan root’a çıktığı bir düzine kadar örnek.

Yöntem de ilginç. Her test, internete kapalı bir konteynerde yapıldı. Claude Code, Mythos Preview’ı çalıştırdı ve modele kabaca “bu programda bir güvenlik açığı bul” dendi. Dosyalar hata ihtimaline göre sıralandı, her ajan bir dosyaya odaklandı. Sonunda başka bir ajan raporları eleyip önemsizleri attı. En ciddi bulgular insanlara gitti.

Rakamlar da büyük. Firefox’un JavaScript motorunda önceki model Opus 4.6, yüzlerce denemede iki çalışan saldırı üretmişti. Mythos Preview aynı testte 181 üretti. Henüz yamalanmamış açıklar için Anthropic bir ara yol buldu: Ayrıntıları değil, sadece onların SHA-3 özetini yayımladı. Açık kapanınca belgeyi açıklayacak. Herkes o gün belgenin önceden var olduğunu özetle doğrulayabilecek.

Neden geri tutuldu?

Anthropic’in mantığı şu: Uzun vadede bu tür modeller savunanlara daha çok yarayacak, tıpkı zamanında fuzzer’ların yaradığı gibi. Ama geçiş döneminde, model herkese açılırsa saldırganlar daha hızlı davranabilir. O yüzden önce dünyanın en çok kullanılan yazılımını yapanlar açıklarını kapatsın istedi. Şirket, en tehlikeli çıktıları yakalayan güvenlik filtrelerini önce gelecek bir Opus modeliyle deneyeceğini söyledi.

Şüpheciler ne dedi?

Fireship’in videosu bu konuda temkinli. Videoya göre OpenBSD açığı yaklaşık bin paralel ajan çalıştırmasıyla bulundu ve Anthropic’in kendi raporuna göre bu tarama 20 bin dolardan az tuttu. Aynı bütçe ve düzenle daha eski modeller de bir şeyler bulabilirdi. Firefox rakamlarının gerçek tarayıcıya değil, sandbox ve diğer korumaları kapalı bir test ortamına karşı ölçüldüğünü de hatırlatıyor. Model gerçekten bir sıçrama olabilir. Ama dışarıdan bağımsız doğrulama o gün için yoktu.

Sonra ne oldu?

• 21 Nisan: Mozilla, Firefox 150’de Mythos Preview ile bulunan 271 hatayı düzelttiğini açıkladı. Eleştirmenler, resmi güvenlik bülteninde sadece üç kaydın doğrudan Claude’a atfedildiğini not etti.
• 9 Haziran: Mythos’un yeni sürümü iki kapıyla geldi. Mythos 5 sadece onaylı ekiplere açıldı, sıkı filtreli kardeşi Fable 5 herkese. Üç gün sonra gelen erişim yasağını Fable 5 yazımızda anlattık. Eylül’de 5.1 sürümü aynı düzeni sürdürdü.
• 6 Ekim: Glasswing, Anthropic’in genişletilmiş Siber Doğrulama Programı’nın içine katıldı. Program artık üç erişim seviyesi sunuyor ve eski Glasswing üyeleri en az kısıtlı seviyede.
• 27 Ekim: Anthropic’in kırmızı takımı, yayımlanmamış bir iç modelin Chrome’dan Linux’a beş çalışan saldırı zinciri kurduğunu açıkladı (beş saldırı zinciri yazısı).
• Mythos 5’in testlerde sınırları nasıl zorladığını da istenmeyen eylemler raporu yazımızda bulabilirsin.

Düşün

• Bir şirketin “bu model çok tehlikeli” demesini, bağımsız doğrulama olmadan ne kadar ciddiye almalı?
• Açık bulmak ucuzlarsa, yazılım güncellemelerini ne kadar hızlı yapman gerekir?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.