{"title":"Когда ИИ стал старшим пентестером: как Cloudflare уронила новый Mythos на свой код и испугалась","url":"https://verapointmedia.com/news/project-glasswing-what-mythos-showed-us/","markdownUrl":"https://verapointmedia.com/news/project-glasswing-what-mythos-showed-us.md","language":"ru","category":"news","publishedAt":"2026-05-18T15:02:04.000Z","updatedAt":"2026-05-18T15:02:04.000Z","references":["https://blog.cloudflare.com/cyber-frontier-models/","https://news.google.com/rss/articles/CBMiX0FVX3lxTE14UzJEQmxmcDNKd0xQVTJQMnlmNUpaTjhaTjAxV1RadFAyMEpJb3hYODJZclcyeEFnS3BTTDg2VUJLTThhWHdyX1RWb1JFajh6NF9wX05zT1FlRVBjQ0Nn?oc=5","https://news.google.com/rss/articles/CBMiS0FVX3lxTFBfQUdtMDZYaEtZV0JMSk1ZSzdqTl9mV3dQTnZYcVEzaHo4cV8yUEl2a25QMWRXenFTYUQ3NF9WakR5WXVwaDRTZC1ZYw?oc=5","https://news.google.com/rss/articles/CBMiwAFBVV95cUxQcXZ1RXBILUY5d1RlZERQaVJlTDZhX09MbDZQMzRSVTBnaGFsS0loZG0ydnZZcy0wYXJydG92Vi01dnNLVV82anBKOGxieXdCZkFqQVdyc0t5TmtvN3JwUzk4V1BHQW9LX0p6dmxtSDR5NUVNeFdSRzhIdWdERlo3QXZiV2lzYml0Q1JUY0lpYjQxUkFpTDY5TVA3TDBEX3ZQQi03M2Rza3FoSjlucXhGbVBubFVhYlBmRS1nVk9OREE?oc=5"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# Когда ИИ стал старшим пентестером: как Cloudflare уронила новый Mythos на свой код и испугалась\n\n- Site: VeraPoint News\n- Section: Новости\n- Date: 2026-05-18\n- Canonical: https://verapointmedia.com/news/project-glasswing-what-mythos-showed-us/\n- Markdown: https://verapointmedia.com/news/project-glasswing-what-mythos-showed-us.md\n- Summary: Cloudflare протестировала модель безопасности Mythos на своём живом коде. Вместо сканера она получила соавтора атак, который строит цепочки эксплойтов.\n- Tags: #security #ai #cloudflare #mythos #devops #cybersecurity\n- Image: https://verapointmedia.com/static/content-assets/news/project-glasswing-what-mythos-showed-us/cover.webp\n\n## Sources\n\n- https://blog.cloudflare.com/cyber-frontier-models/\n- https://news.google.com/rss/articles/CBMiX0FVX3lxTE14UzJEQmxmcDNKd0xQVTJQMnlmNUpaTjhaTjAxV1RadFAyMEpJb3hYODJZclcyeEFnS3BTTDg2VUJLTThhWHdyX1RWb1JFajh6NF9wX05zT1FlRVBjQ0Nn?oc=5\n- https://news.google.com/rss/articles/CBMiS0FVX3lxTFBfQUdtMDZYaEtZV0JMSk1ZSzdqTl9mV3dQTnZYcVEzaHo4cV8yUEl2a25QMWRXenFTYUQ3NF9WakR5WXVwaDRTZC1ZYw?oc=5\n- https://news.google.com/rss/articles/CBMiwAFBVV95cUxQcXZ1RXBILUY5d1RlZERQaVJlTDZhX09MbDZQMzRSVTBnaGFsS0loZG0ydnZZcy0wYXJydG92Vi01dnNLVV82anBKOGxieXdCZkFqQVdyc0t5TmtvN3JwUzk4V1BHQW9LX0p6dmxtSDR5NUVNeFdSRzhIdWdERlo3QXZiV2lzYml0Q1JUY0lpYjQxUkFpTDY5TVA3TDBEX3ZQQi03M2Rza3FoSjlucXhGbVBubFVhYlBmRS1nVk9OREE?oc=5\n\n---\n\nЯ открыла блог Cloudflare, чтобы глянуть, нет ли новостей по DDoS-защите для одного из проектов, и сразу же наткнулась на заголовок «Project Glasswing». Вместо сухого отчёта о нагрузках на сервер я нашла что-то вроде дневника растерянности. Инженеры компании, которая защищает пол-интернета, написали, что им пришлось сесть и кардинально пересмотреть все свои рабочие процессы. Поводом стал не сбой и не хакерская атака, а внутренний эксперимент: они запустили новую модель для поиска уязвимостей, Mythos, на свои собственные рабочие репозитории. И машина не просто нашла баги — она начала думать как стратег-противник. Тот, кто в этом дуэте выглядел продвинутой игрушкой, а кто на самом деле держит все рычаги и вынужден всё перестраивать, стало ясно с первых же абзацев.\n\nСуть эксперимента Cloudflare, который они назвали Project Glasswing, проста и радикальна. Они взяли несколько новейших языковых моделей, специально обученных на вопросах кибербезопасности, и натравили их на свои живые, рабочие репозитории — больше пятидесяти штук. Главной звездой стал Mythos Preview от Anthropic (создатели Claude). И результат оказался не очередным шагом вперёд для автоматических сканеров. Это сигнал о появлении принципиально нового типа агента в отделе безопасности.\n\n## Не кричащий сторож, а думающий стратег\n\nОбычно от таких инструментов ждёшь списка: «тут утечка, тут инъекция». Mythos же продемонстрировал нечто, что Cloudflare назвала **exploit chain construction** — построение цепочек эксплойтов. Давайте разберём, что это значит без хайпа.\n\n**Exploit chain (цепочка эксплойтов)** — это не одна дырка в заборе. Это готовый план проникновения на территорию, который учитывает несколько слабых точек. Обычный сканер — это сторож, который кричит: «Здесь забор прогнил!». Модель, строящая цепочки, — это разведчик, который смотрит на тот же прогнивший забор, замечает за ним забытую лестницу, а дальше — открытую форточку на втором этаже особняка. И докладывает: «Пролезть можно здесь, использовать лестницу оттуда, итог — доступ через окно».\n\nПо словам Cloudflare, Mythos умеет брать несколько разрозненных, казалось бы, незначительных «примитивов атаки» (маленьких кирпичиков) и соединять их в рабочий proof-of-concept (POC) — готовый сценарий. Важнее то, *как* он это делает. Его рассуждения напоминают логику старшего специалиста по безопасности (senior researcher), а не перебор вариантов тупой программой. Он строит гипотезы, предполагает, как одна уязвимость может открыть путь к другой. Команда Cloudflare получила не стажёра с металоискателем, а опытного пентестера, который мыслит как атакующий.\n\n## Суперспособность есть. Инфраструктуры для неё — нет\n\nИ вот тут возникает самый практичный для всех нас вопрос. Если это так круто, в чём проблема? Купил лицензию и живёшь в безопасности.\n\nПроблема, которую честно описали инженеры Cloudflare, упирается в суровую реальность рабочих процессов. Их существующие системы автоматизации — сломались. И сломаются у любой команды, которая решит внедрить подобный инструмент всерьёз.\n\nОни прямо пишут: чтобы использовать такие модели, придётся перестраивать CI/CD-пайплайны и политики безопасности. Расшифрую на бытовом.\n\n**CI/CD (Continuous Integration/Continuous Deployment)** — это автоматический конвейер, по которому код разработчика тестируется, собирается и выкатывается на сервера. Современные сканеры уязвимостей встроены в него как простой этап: написали код -> автоматически проверили -> если нет критических проблем, выпустили. Это **plug-and-play** («включил и работай»).\n\nMythos и его аналоги — **не plug-and-play**. Он не выдаёт простой алерт «SQL-инъекция, строка 145». Он выдаёт многостраничный нарратив: «Вот тут есть небольшая ошибка управления памятью (use-after-free), из неё можно получить доступ к произвольным данным, затем, используя другую функцию, перенаправить поток выполнения и в итоге взять контроль через ROP-цепочку». Это не сигнал «стоп» для конвейера, а мини-исследование.\n\nТакие исследования нельзя автоматически встроить в пайплайн, который будет просто останавливаться на каждом. Потому что модель может сгенерировать их десятки, и многие будут теоретически возможны, но неактуальны в *вашем* конкретном контексте. Требуется новый слой — человек или новый процесс для анализа, интерпретации и, что критично, *приоритизации* этих интеллектуальных находок. Нужно менять архитектуру работы команды. Это как заменить турникет на входе на опытного сотрудника службы безопасности — его работу уже не впихнёшь в конвейер по сборке автомобилей.\n\n## ИИ — мультипликатор экспертизы. Реальный рычаг — у команды\n\nПрочитав их отчёт, я попыталась отделить маркетинг будущего от практики настоящего. Вендоры, конечно, будут продавать свои security-модели как волшебную таблетку. Но реальный сдвиг в статусах другой. Выглядеть «умным стратегом» может ИИ, а реальная сила и ответственность — у команды, которая должна его выводы осмыслить, отфильтровать и применить.\n\n**Что реально работает и впечатляет:**\nМодели вроде Mythos — это мощный **мультипликатор экспертизы**. Они не заменят senior-специалиста. Они сделают его в разы продуктивнее, обработав горы кода, наметив подозрительные связи и сформулировав гипотезы атак. Для компаний уровня Cloudflare это шанс выловить комплексные уязвимости, годами прятавшиеся на стыке систем.\n\n**С чем придётся столкнуться и перестраиваться:**\nПокупка лицензии — только начало. Основные затраты — временные и организационные. Потребуется не новая кнопка в интерфейсе, а целая новая инфраструктура принятия решений. Без неё дорогая модель рискует превратиться в интеллектуальный генератор шума, который будет только тормозить работу.\n\n## Что делать сегодня: планировать, а не покупать\n\nЕсли вы руководитель, связанный с безопасностью, или разработчик, который о ней беспокоится, не нужно срочно покупать Mythos. Нужно готовить почву.\n\n**1. Скорректировать ожидания.** Перестать думать о новых AI for security как о простых сканерах, которые встроишь за выходные. Это проект внедрения, который затронет процессы, культуру и роли в команде. Настройтесь на горизонт в полгода-год.\n\n**2. Изменить вопросы к вендорам.** Спрашивать не «сколько найдёт багов?», а:\n*   «Как выглядит интерфейс для анализа её выводов? Покажите, как мы будем это всё читать и ранжировать».\n*   «Как модель интегрируется в наш SDLC?» **SDLC (Software Development Life Cycle)** — это весь цикл жизни вашего продукта, от идеи до поддержки. Уточните, есть ли готовые плагины для вашего GitHub/GitLab, или интеграцию придётся писать самим.\n*   «Какие новые компетенции потребуются моей команде? Кого искать или переучивать?»\n\n**3. Уделить внимание архитектуре.** Если такие инструменты появляются у защитников, они рано или поздно появятся и у нападающих. Простые уязвимости будут находить и использовать ещё быстрее. Самый практичный шаг, который можно сделать уже сейчас, — уделять больше внимания безопасному проектированию систем изначально, а не только латанию дыр, найденных сканером. Потому что ИИ-стратег ищет слабые места именно в архитектуре.\n\nProject Glasswing от Cloudflare — не рекламный материал. Это честный и немного отрезвляющий отчёт с передовой. Он показывает, что новая эра в безопасности началась не с того, что ИИ научился искать баги, а с того, что он научился думать как атакующий. И теперь главный вопрос не в том, купить ли эту «думалку», а в том, готовы ли мы, люди, построить для неё рабочее место, написать регламент и — по сути — стать её руководителем. Потому что она уже здесь и ждёт задач.\n\n## Материалы\n\n- [Cloudflare Blog] Project Glasswing: what Mythos showed us: https://blog.cloudflare.com/cyber-frontier-models/\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiX0FVX3lxTE14UzJEQmxmcDNKd0xQVTJQMnlmNUpaTjhaTjAxV1RadFAyMEpJb3hYODJZclcyeEFnS3BTTDg2VUJLTThhWHdyX1RWb1JFajh6NF9wX05zT1FlRVBjQ0Nn?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiS0FVX3lxTFBfQUdtMDZYaEtZV0JMSk1ZSzdqTl9mV3dQTnZYcVEzaHo4cV8yUEl2a25QMWRXenFTYUQ3NF9WakR5WXVwaDRTZC1ZYw?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiwAFBVV95cUxQcXZ1RXBILUY5d1RlZERQaVJlTDZhX09MbDZQMzRSVTBnaGFsS0loZG0ydnZZcy0wYXJydG92Vi01dnNLVV82anBKOGxieXdCZkFqQVdyc0t5TmtvN3JwUzk4V1BHQW9LX0p6dmxtSDR5NUVNeFdSRzhIdWdERlo3QXZiV2lzYml0Q1JUY0lpYjQxUkFpTDY5TVA3TDBEX3ZQQi03M2Rza3FoSjlucXhGbVBubFVhYlBmRS1nVk9OREE?oc=5\n"}