Claude Mythos Preview выявил более 26 000 сообщений об уязвимостях в программных проектах всего за несколько месяцев, однако около 10% дошло до раскрытия, а исправлено менее 1%. Данные относятся к Project Glasswing и независимому разбору открытого реестра раскрытий. Разрыв показывает, что поиск теперь опережает проверку, приоритизацию и выпуск исправлений. Для бизнеса это важно, поскольку быстрое обнаружение само по себе не делает программы безопаснее.
Почему поиск перестал быть ограничением
В раннем сообщении Project Glasswing компания Anthropic отметила, что работу сдерживает не поиск дефектов, а проверка отчетов, координация раскрытия и помощь с исправлениями. Некоторые сопровождающие даже просили замедлить раскрытия, потому что не успевали разбирать поток сообщений. Обнаружение стало задачей распознавания закономерностей: модели просматривают крупные кодовые базы, прослеживают пути выполнения и отмечают аномалии. Устранение осталось ручным и требует воспроизведения, оценки влияния, регрессионного тестирования и согласованного графика выпуска.
Исправление требует контекста, полномочий и ответственности, которых у автоматического поиска нет. Кто-то должен подтвердить достоверность, оценить влияние, выбрать исправление, убедиться в отсутствии регрессий, связаться с участниками и взять на себя итог. Во многих проектах с открытым кодом это волонтер, совмещающий сопровождение с основной работой и семейными обязанностями. ИИ может указать на возможный дефект, но не отвечает за сломанное обновление или несвоевременное раскрытие.
Нагрузка ложится на экосистему, которая была перегружена еще до сканирования с помощью ИИ. Компоненты с открытым кодом присутствуют в 98% коммерческих кодовых баз, поэтому большинство корпоративных систем зависит от небольших групп сопровождающих. Такие команды давно работают с ограниченными ресурсами, растущими требованиями к безопасности и увеличением объема сопровождения. Когда модель внезапно выдает сотни или тысячи сообщений по таким проектам, именно пропускная способность сопровождающих ограничивает безопасность цепочки поставок.
Что это меняет для пользователей открытого кода
Компаниям, использующим открытый код, нужны мощности устранения, растущие вместе с обнаружением, а не очередной сканер. Это означает финансируемую ответственность за разбор, тестирование и согласованные обновления, с понятными сроками обслуживания критических зависимостей. Крупные фирмы могут содержать команды безопасности продуктов и оплачивать продленную поддержку устаревших компонентов. Небольшие фирмы острее чувствуют ту же очередь и выигрывают от сокращения числа зависимостей, меньшего числа поставщиков и покупки сопровождаемых сборок.
При выборе решений стоит отделять число находок от снижения риска и проверять пропускную способность до покупки. Полезные вопросы касаются доли подтвержденных отчетов, времени от сообщения до проверенного исправления, покрытия регрессионными тестами и координации раскрытия. Большое число находок без исправлений не снижает подверженность риску и перегружает внутренние команды. Поддержка сопровождающих, коммерческое сопровождение и планомерная модернизация важнее сырого объема сканирования, поскольку запущенные жизненные циклы ведут к спешным миграциям.
Показателем станет доля перехода от находок к раскрытиям и исправленным выпускам в реестре Glasswing за ближайшие кварталы. Если доля раскрытий заметно превысит 10%, а доля исправлений ощутимо вырастет выше 1%, мощности устранения догоняют поиск. Если объем продолжит расти при прежней конверсии, бюджеты безопасности придется смещать от обнаружения к сопровождению и устойчивому реагированию.
