Anthropic: Claude Mythos Preview izradio exploite za Firefox i Windows u satima, ne danima

N-day: Ranjivost poznata, exploit sada brzo dostupan

Termin N-day ranjivost označava sigurnosnu grešku u softveru koju je dobavljač već zakrpao i čija je zakrpa javno dostupna. Za razliku od zero-day ranjivosti — poznate napadaču, ali ne i dobavljaču — N-day nosi posebnu opasnost za sustave koji još nisu ažurirani. Prozor ranjivosti ostaje otvoren svaki dan dok se zakrpa ne primijeni na pogođeni stroj. Dosad se smatralo da pisanje funkcionalnog exploita za kompleksne ranjivosti zahtijeva tjedne ili čak mjesece specijalizirane analize kernelskog koda i reverznog inženjeringa. Anthropicovo istraživanje objavljeno 8. lipnja 2026. demantira tu pretpostavku.

Firefox i SpiderMonkey: Osam exploita za manje od dvanaest sati

Frontier Red Team testirao je Claude Mythos Preview na skupu od 18 zakrpanih ranjivosti u Firefoxovom JavaScript motoru SpiderMonkey — jednoj od najkompleksnijih komponenti modernih web preglednika. Model je radio autonomno, bez dodatnih uputa između pokretanja, analizirajući zakrpe i pronalazeći vektore napada. Rezultat: 8 potpuno funkcionalnih exploita za daljinsko izvršavanje koda. Brzina je bila jednako uočljiva: prvi exploit bio je spreman za manje od jednog sata, a svih 8 exploita dovršeno je unutar otprilike 12 sati. Firefox je open-source projekt — Mythos Preview imao je pristup izvornom kodu pri analizi zakrpa.

Windows kernel: 18 proof-of-concept kodova unutar šest sati

Zatvoreni izvorni kod nije bio prepreka. Na Windows kernelu — zaštićenom i visoko osiguranom sloju operativnog sustava — Claude Mythos Preview analizirao je 21 zakrpanu kernelsku ranjivost i proizveo 8 potpunih lanaca eskalacije privilegija zajedno s 18 proof-of-concept (PoC) kodova u roku od samo 6 sati. Prvi PoC bio je gotov za 31 minutu. Lanci eskalacije privilegija napadaču omogućuju preuzimanje potpune kontrole nad sustavom bez inicijalnih administratorskih prava — jedna od najopasnijih klasa exploita u sigurnosnom krajoliku.

Postaje li pojam ‘N-day’ pogrešan naziv?

Prema autorima istraživanja, odgovor je potvrdan: klasičan naziv ‘N-day’ počiva na pretpostavci da broj dana od objave zakrpe korelira s opasnošću napada — a ta je pretpostavka sada zastarjela. Winnie Xiao, Tim Abbott, Nicholas Carlini, Newton Cheng, David Forsythe, Keane Lucas, Milad Nasr i Shikhar Sakhuja zaključuju da se vremena eksploatacije sada mjere u satima, a ne danima. Kada model za manje od jednog sata može prijeći put od analize zakrpe do radnog exploita, N-day kategorija gubi temporalni smisao. Istraživanje pokriva i open-source i closed-source mete, potvrđujući da vrsta pristupa kodu nije ograničavajući faktor.

Trošak i demokratizacija: Kibernetička prijetnja bez specijalista

Trošak API-ja po jednom pokretanju eksploatacije iznosi između 2.000 i 15.700 USD. Taj iznos visok je za pojedince, no dostupan je državnim akterima, organiziranim kriminalnim skupinama i dobro financiranim napadačima bez specijalizirane stručnosti. Upravo ta demokratizacija sposobnosti napadača — pomak od ekspertize prema financijskim resursima kao ključnog ograničenja — jest središnja sigurnosna implikacija nalaza. Frontier Red Team objavio je istraživanje 8. lipnja 2026. s ciljem da sigurnosna zajednica proaktivno prilagodi procjenu rizika, patching prioritete i ubrzanu primjenu zakrpa na kritičnoj infrastrukturi.