Microsoft gaat Mythos inzetten om kwetsbaarheden te vinden

Microsoft wil het Mythos Preview-model van Anthropic gaan gebruiken om kwetsbaarheden in zijn software te identificeren en updates te ontwikkelen. Dit zou het bedrijf in staat stellen om sneller en meer problemen te ontdekken en ze eerder aan te pakken.

Microsoft schrijft dat het geavanceerde AI-modellen als Claude Mythos Preview rechtstreeks wil integreren in zijn Security Development Lifecycle, de manier waarop Microsoft beveiliging in het ontwikkelproces integreert. De softwareleverancier test Mythos al via het samenwerkingsverband Project Glasswing.

Microsoft meldt dat het Mythos al heeft geëvalueerd met behulp van zijn eigen CTI-Realm-benchmark, die het bedrijf vorige maand introduceerde. "De resultaten lieten aanzienlijke verbeteringen zien ten opzichte van eerdere modellen", schrijft het bedrijf. Microsoft schrijft ook andere modellen te evalueren.

Door AI ontdekte kwetsbaarheden handelt Microsoft af via de bestaande processen van zijn eigen Security Response Center, waaronder Update Tuesday. Daarnaast gaat Microsoft ook bepaalde opensourcecodebases scannen op kwetsbaarheden. Deze worden aangepakt door middel van gecoördineerde openbaarmaking. Ook gaat de softwaremaker partners vroegtijdig op de hoogte stellen van gevonden kwetsbaarheden via het Microsoft Active Protections Program.

Bron: Sarayut Thaneerat/Moment/Getty Images

Reacties (41)

[RadYeon]

Geen dag zonder nieuws over promotie van Mythos? Het valt de laatste tijd wel een beetje op.
Hopelijk wordt het ook ingezet om de erbarmelijke kwaliteit van updates te verbeteren.

[Reactie gewijzigd door RadYeon op 23 april 2026 14:55]

[TheProst]

Helaas worden goedbedoelde initiatieven vaak misbruikt. Ik ben bang dat hetzelfde zal gebeuren als Mythos in de verkeerde handen valt.

In dat geval zouden veel kleine bedrijven achter elkaar slachtoffer kunnen worden. Bedrijven die Mythos wél kunnen inzetten om kwetsbaarheden op te sporen en te patchen, zullen dan juist beter beschermd zijn.

[nzall]

Ik zou eigenlijk graag eens willen kijken hoeveel "defecten" Mythos zou kunnen vinden in het product waar ik aan meewerk in mijn bedrijf, maar ik betwijfel dat zoiets betaalbaar zal zijn voor een micro-onderneming...

[TheProst]

ik betwijfel dat zoiets betaalbaar zal zijn voor een micro-onderneming...

Denk dat dit dus ook precies het probleem gaat worden. Alle grote software zal niet het probleem worden. Hopelijk zullen ze het betaalbaar maken, dan hoeven we hopleijk geen datalek artikelen meer te zien op tweakers.

hoeveel "defecten" Mythos zou kunnen vinden in het product waar ik aan meewerk in mijn bedrijf

Maar beetje vertrouwen in je werk mag trouwens ook wel. Zullen er vast niet veel zijn #Slijmbal

[nzall]

Gewoon realisme. Ons product is meer dan 30 jaar oud, en ik werk hier nog maar 10 jaar, en ik ga er niet van uit dat ik onfeilbaar ben.

[Verwijderd]

Laat AI oude code herschrijven in Rust? 👀

[nzall]

Wij zijn een Java product, met honderden dependencies, dus dat lijkt me geen goed idee...

[Niemand_Anders]

Rust lost vooral memory issues op, maar niet logische bugs. Voorbeeld deze week bleek er weer in lek in PDF te zitten waardoor javascript uit de sandbox kon komen. Dat ga je met Rust niet voorkomen.

Maar zelfs met Claude Opus 4.6 (4.7 is niet altijd even goed) kun je zeer goed je bestaande codebase laten analyseren op potentiele issues.

Om claude code met opus-4.6 te laten werken kun je dit in de ./claude/settings.json plaatsen:
{ "model": "claude-opus-4-6" }
Elk model dat claude aanbied via de API, kun je ook met claude code gebruiken, ook al kun je het niet direct via /model selecteren. Je de settings kun je effort ook al standaard op 'max' zetten ipv 'High' .

[PolarBear]

Kleine bedrijven draaien toch ook software van Microsoft (of Firefox etc). Er is natuurlijk risico als je zelf software hebt gemaakt. Maar heel veel software zal grosso modo veiliger worden.

[TheProst]

De grote softwarepakketten vormen waarschijnlijk niet het grootste probleem. Het zit juist meer in maatwerksoftware. Deze wordt vaak door kleinere partijen ontwikkeld, en voor hen is het mogelijk minder rendabel om in dergelijke oplossingen te investeren, zeker als het geen goedkoop pakket zal zijn en er minder klanten of advertentie-inkomsten tegenover staan.

Daarnaast kan het ook via IoT-apparaten misgaan. Bij ons op het werk is alles goed gesegmenteerd, waardoor het risico beperkt is. Maar bij bijvoorbeeld een tandartspraktijk is de kans aanwezig dat camera’s of andere systemen niet up-to-date zijn, omdat ze ooit zijn geïnstalleerd en daarna niet meer worden bijgewerkt door het ontbreken van interne IT.

[keigezellig123]

Eens, maar dat is met meer dingen. Met een keukenmes kun je groenten snijden maar ook iemand neersteken.

[The Realone]

Kun je met een keukenmes ook tienduizenden mensen tegelijk neersteken vanuit volledige anonimiteit en/of beschermd door je eigen overheid?

[Mizgala28]

Dit dus

Het is altijd afwachten tot iemand met zo'n dom voorbeeld komt dan (zoals de comment waarop je reageerde)

Mythos is veel gevaarlijker dan meeste mensen beseffen, en het is afwachten wanneer en niet of het in verkeerde handen valt en verkeerd gebruikt zal worden.

En "verkeerde handen" zijn niet alleen criminelen, maar ook verkeerde overheden of leiders.

Mythos had nooit mogen bestaan, het is in feite de doos van Pandora wat digitale wereld betreft.

[Reactie gewijzigd door Mizgala28 op 23 april 2026 15:36]

[Ozzy]

Het hierboven aangehaalde mes snijdt aan twee kanten. Het is een vloek en een zegen.

De vloek is het als een hacker het gebruik om lekken te vinden, maar de zegen is, zoals Microsoft het gaat inzetten, namelijk vóórdat de software wordt gedeployed het al door Mythos kan laten scannen. En daarmee hebben ontwikkelaars voor het eerst een voorsprong op hackers.

We lopen dan niet meer achter de feiten aan, maar hebben voor het eerst hetzelfde gereedschap als de hackers PLUS een voorsprong in tijd. Dat is een gamechanger.


Wat naar mijn idee veel problematischer is, is niet ontwikkelaars versus hackers, maar wat je in vele dystopische boeken en films al ziet, grote corporaties met meer macht dan overheden. De macht en de voorsprong die de "tech-bro's" nu al hebben, gaat nooit meer ingehaald worden, precies die bedrijven zijn ook diegene die hier nu wel toegang tot hebben. Daar is de politiek al jarenlang voor gewaarschuwd, monopolies en het misbruik daarvan, teveel afhankelijk van te weinig partijen, achterhaald of zelfs geen beleid, geen handhaving, geen regelgeving en daarmee staan de techbedrijven de facto grotendeels boven de wet. Als Mythos echt doet wat ze zeggen dat het doet en een selecte groep bedrijven en organisaties heeft wel toegang, maar de rest niet, dan is dit een tipping point dat we nooit meer gaan terugdraaien.

[Gielovic]

Dat laatste lijkt me eerlijk gezegd wat overdreven 'doemdenken'. Ik deel de dystopische zorg, maar denk niet dat de beschikbaarheid van een tool om kwetsbaarheden in het eigen product terug te dringen bepalend is voor de (on)omkeerbaarheid van dit proces.

Big tech heeft al decennia oneindig veel meer mensen en middelen dan de kleine partijen die hier 'buiten de boot' dreigen te vallen en toch hebben ze het tot op heden niet voor elkaar gekregen om degelijke en veilige producten te maken. Monopolie, machtsmisbruik en hele diepe zakken om concurrentie de nek om te draaien zijn veel effectiever dan het bouwen van een deugdelijk product.

[Ozzy]

Maar dat geef ik toch ook aan als argumenten?

Als Mythos er voor zorgt dat die grote partijen, als enige, wel "degelijke en veilige producten" kunnen maken, dan geeft ze dat juist weer een extra voorsprong ten opzichte van de bedrijven die geen toegang krijgen tot Mythos. Dan hoeven ze de concurrentie niet meer de nek om te draaien, maar kunnen ze met een daadwerkelijk deugdelijk(er) product concurreren. Dat is wat ik bedoel met dat nooit meer in kunnen halen, ze hebben dan naast geld, macht, resources ook nog een beter product.

[batjes]

Het process is niet recent met AI uit de lucht komen vallen en speelt al wat langer.

Het wordt dankzij de LLM's allemaal wel een beetje enger en gevaarlijker met veel meer realistische doomscenarios.

In het verleden was 1 van de grote problemen van de grote techbro's om door al die enorme hoeveelheden data te spitten en daar wat zinvols uit te halen. Dankzij LLM's is die data plotseling enorm waardevol geworden en je ziet links en rechts dat het dataminen de laatste jaren weer een paar tandjes hoger is gezet, zelfs Google komt weer met een desktop search app, lol.

We hebben al lange tijd last van het probleem dat de grote techbro's dusdanig groot zijn, dat gezonde concurrentie al lang niet meer mogelijk is. Het is er allemaal niet beter op eworden. Alles wordt enorm geënshitificeerd ( ), prijzen stijgen als maar door.

Met alle gegevens die momenteel door jan en alleman in die LLM's gedumpt wordt...

Ja ik begin best wel een beetje te doemdenken, de weg die we bewandelen vind ik niet leuk meer.

[Toshirou]

Maar dan vraag ik mij zo nu af. Misschien een domme vraag.. maar als criminelen (hun variant/fork) van Mythos in handen krijgen, sturen die dan ook hun requests naar een serverpark die de grote techbedrijven hiervoor ook gebruiken of kunnen die "illegale" requests intern worden gefilterd?

[keigezellig123]

Volgens mij bedoel ik gewoon hetzelfde in mijn 'domme' comment, maar wil het nog wel een keer uitleggen:

Je hebt iets (een mes) dat met goede bedoelingen gemaakt is (je kunt het gebruiken om groente te snijden), maar als het in vekeerde handen valt (overvallers of andere criminelen) is het gevaarlijk (zij kunnen er mensen mee doden)

Dus ik bagateliseer hier NERGENS dat het een potentieel gevaar is, integendeel ik wil met mijn 'domme' voorbeeld is dat het niet nieuw is..

[bigkillerstorm]

Jah Nvidia heeft ook toegang gekregen. Als ze nu 1-2 agents van Mythos op hun software stack op GitHub forks los laten gaat het wat sneller want alles loopt half jaar+ achter met depencies uit stenen tijdperk. Sinds dat ding als Senior Developer codeert alleen dan op de snelheid van een raket kunnen ze eindelijk wat terug slag maken. Ik moet alles Manual patchen via Opus om bleeding edge te werken. Opus stop na 1 paar berichten als pro tenzij je midden in de nacht wat hulp vraagt.

[jarco5000]

Ergens moet dat toch pijnlijk zijn, heel veel geld aan openAI geven om uiteindelijk nog te moeten betalen om een model te kunnen gebruiken van de concurrent van openAI.

[Mellow Jack]

Microsoft heeft ook in ze geïnvesteerd

[You119]

Dat model gaat zich wezenloos schrikken van die spaghetti met aardbeiensaus die Windows inmiddels is geworden. Tegelijkertijd vraag ik me nu af - ben er niet veel mee bezig dus wellicht heb ik het gemist - krijgen de Linux ontwikkelaars en Linux-distro makers ook de kans om zich voor te bereiden voor Mythos-light bij een groter publiek komt? Ze hebben doorgaans minder grote budgetten, maar de impact van een lek (of vele) kan groter zijn dan bij Windows, en er zal wellicht minder capaciteit zijn om het op te lossen.

[Ozzy]

De Linux Foundation is een van de organisaties waarvan bekend is dat ze wel toegang hebben gekregen tot Project Glasswing,

https://www.anthropic.com/glasswing

[Reactie gewijzigd door Ozzy op 23 april 2026 17:16]

[Yzord]

Hmm, ik vrees dat na de eerste ronde meteen duizenden bugs naar boven komen. Als Firefox er al 251 had tijdens de first run, dan zal het bij Windows wel schrikbarend worden.

[the-body]

Het zal ook een kwestie van tempo worden. Zijn de softwarebouwers sneller met het patchen van alle nieuw gevonden kwetsbaarheden of zijn de slechtwillenden er eerder bij. Zal allebei een beetje waar worden vrees ik.

[blackSP]

Ik gebruik Gemini 3.1 Pro voor het vinden van kwetsbaarheden en bugs cq optimalisatie mogelijkheden in C code. Bizar goed. ChatGPT en Le Chat zijn daar veel minder goed in. Claude Mythos is vast fantastisch maar er zijn alternatieven.

[dasiro]

Door AI ontdekte kwetsbaarheden handelt Microsoft af via de bestaande processen van zijn eigen Security Response Center, waaronder Update Tuesday

is er iemand die deze benaming gebruikt? Al voor zo lang ik weet heet dit in de volksmond "patch tuesday"

[IStealYourGun]

Oei, straks gaat de volgende patch +5 gig groot zijn.

[Verwijderd]

Nee dat heet windows 12.

[nextware]

Heb je de gemiddelde patches van Microsoft al eens gezien ?? Beetje standaard maandelijkse update van een OS server versie zijn al bijna 2GB (sommige al groter). Tel daarbij een .Net update en één of andere updates op en je machine staat al meer dan 5GB aan updates binnen te harken.

[Powerblast]

Ik weet niet waar jij .NET updates van 3GB binnenharkt maar de verse installer is zelfs maar 200MB groot.

[Diovarus]

Waarom dacht ik gelijk aan bier..

[moggeneeve]

Bijna weekend

[hottestbrain]

Καλησπέρα

[Ascathon]

Calimera is goeiemorgen, calinichta is goeienacht
Klapso dat is huilen, jeljo dat is een lach

[m-a-r-t-1]

Afgelopen weekend bij de Griek er hier nog een paar van ingezet, drinkt lekker weg.