Anthropic के Claude Mythos Preview तक शुरुआती पहुंच पाने वाली कंपनियों ने तुलना समूह की चीनी कंपनियों के मुकाबले सॉफ्टवेयर कमजोरियों के करीब 120% अधिक सार्वजनिक खुलासे किए। 4 नवंबर को प्रकाशित एक प्रीप्रिंट अध्ययन में जांचे गए विक्रेता और Linux वितरण के पैचिंग चैनलों में सांख्यिकीय रूप से महत्वपूर्ण देरी नहीं मिली। हालांकि, सार्वजनिक खुलासे सभी कमजोरियों का लेखा नहीं होते और पैच जारी होने का अर्थ यह नहीं कि उपयोगकर्ताओं ने उसे इंस्टॉल कर लिया है। इसलिए नतीजे यह साबित नहीं करते कि इस्तेमाल में चल रहे सॉफ्टवेयर पर हमले का जोखिम घटा है।
13 कंपनियों की तुलना 267 चीनी कंपनियों से
Thomas Mosk द्वारा लिखे गए अध्ययन में अक्टूबर 2025 से सितंबर 2026 तक की अवधि शामिल है। Anthropic ने 7 अप्रैल 2026 को Project Glasswing की घोषणा की थी, जिसके तहत चुनी हुई कंपनियों को Mythos Preview की पहुंच मिली। कमजोरियों के खुलासे का विश्लेषण करने के लिए अध्ययन ने इस कार्यक्रम में शामिल 13 कंपनियों की तुलना 267 चीनी कंपनियों से की। तुलना समूह की कंपनियां अन्य AI टूल का इस्तेमाल कर सकती थीं।
शोधकर्ताओं के अनुमान के मुताबिक, कार्यक्रम में शामिल कंपनियों के यहां कमजोरियों के खुलासे करीब 120% बढ़े, जबकि उच्च प्रभाव वाली कमजोरियों के खुलासे में लगभग 150% वृद्धि हुई। यहां “उच्च प्रभाव” का मतलब ऐसी कमजोरियां है जिनका प्रभाव उप-स्कोर गंभीरता रेटिंग के मध्य मान से ऊपर था; यह वास्तविक नुकसान का प्रत्यक्ष माप नहीं है।
Glasswing के लिए कंपनियों का चयन यादृच्छिक नहीं था और अलग-अलग देशों में खुलासे की नीतियां भी भिन्न हो सकती हैं। इन सीमाओं के चलते कारण और परिणाम तय करना मुश्किल है। नतीजे AI पहुंच और खुलासों में बदलाव के बीच संबंध दिखाते हैं, लेकिन यह साबित नहीं करते कि पूरी वृद्धि का कारण अकेला मॉडल था।
पैचिंग के चैनलों में महत्वपूर्ण देरी नहीं दिखी
Mosk ने खुलासों से अलग, कमजोरियों को ठीक करने की गति का भी आकलन किया। इसके लिए Glasswing से जुड़ी कमजोरियों की तुलना छोटे नमूनों में अन्य गैर-चीनी कमजोरियों से की गई। एक विश्लेषण में जून 2026 तक Zero Day Initiative के जरिए विक्रेताओं को बताई गई 658 कमजोरियां शामिल थीं। दूसरे में जुलाई तक सार्वजनिक हुई 14,855 कमजोरियों और Debian, Ubuntu, Red Hat तथा SUSE जैसे Linux वितरणों की पैचिंग देखी गई।
दोनों चैनलों में सांख्यिकीय रूप से महत्वपूर्ण देरी नहीं मिली। सार्वजनिक हुई कमजोरियों के लिए वितरणों का पैच जारी करने का औसत समय एक दिन पर बना रहा। विक्रेता-पैच के अनुमानों ने करीब 13% से अधिक देरी की संभावना को खारिज किया, लेकिन इससे कम बदलाव की संभावना बनी रही। बाद के पैचिंग चरण के अनुमान यह भी खारिज नहीं कर सके कि 90 दिनों के भीतर ठीक की गई कमजोरियों का अनुपात करीब 11 प्रतिशत अंक घटा हो।
अध्ययन में कमजोरियों के चुनिंदा नमूने और पैचिंग के खास चैनल शामिल थे; इसमें वे कमजोरियां शामिल नहीं थीं जिनका खुलासा नहीं हुआ, और न ही यह मापा गया कि अंतिम उपयोगकर्ता कितनी जल्दी पैच इंस्टॉल करते हैं। इसलिए पैच जारी होने से यह निष्कर्ष नहीं निकलता कि हर प्रभावित सिस्टम अपडेट हो चुका है।
शोषण में आई कमजोरियों की संख्या में अहम बदलाव नहीं
मई तक के आंकड़ों की तुलना में—जून में Glasswing का दायरा बढ़ने से पहले—बड़ी गैर-चीनी कंपनियों में पहले से शोषण की पुष्टि वाली कमजोरियों की संख्या में एक, दो या तीन महीने की अवधि पर कोई सांख्यिकीय रूप से महत्वपूर्ण बदलाव नहीं मिला। इसका अर्थ यह नहीं कि शोषण की घटनाएं जस की तस रहीं। अनुमान सटीक नहीं थे, कुछ वृद्धि या गिरावट की संभावना को खारिज नहीं कर सके और केवल पहले से ज्ञात शोषण को दर्ज करते थे—सभी हमलों या अघोषित कमजोरियों को नहीं।
कुछ तुलनाओं में, सार्वजनिक हुई कमजोरियों में से ज्ञात शोषित कमजोरियों का अनुपात घटा। लेकिन कुल खुलासे बढ़ने पर यह अनुपात तब भी कम हो सकता है जब ज्ञात शोषित कमजोरियों की संख्या न बदले। अध्ययन इस बदलाव को संकेत मानता है, इस बात का प्रमाण नहीं कि हमले कम आम हो गए हैं।
Epoch AI ने इससे पहले 2 जुलाई को Mythos Preview के बाद उच्च और गंभीर श्रेणी की कमजोरियों के खुलासों में बदलाव का विश्लेषण किया था। संस्था ने आगाह किया था कि सार्वजनिक आंकड़ों में अघोषित खोजें छूट सकती हैं और कमजोरियों पर बढ़ा ध्यान भी दर्ज खुलासों को प्रभावित कर सकता है।
क्रिप्टो इन्फ्रास्ट्रक्चर में कमजोरी ढूंढना, पैच जारी करना और नेटवर्क नोड्स पर उसे इंस्टॉल करना अलग-अलग चरण हैं। 29 अक्टूबर को Bitcoin Core ने AI से खोजी गई तीन कमजोरियों का खुलासा किया था, जिनकी पुष्टि कर पैच जारी किए गए थे। लेकिन नेटवर्क नोड्स पर पैच इंस्टॉल हुए या नहीं, यह अलग सवाल था। अध्ययन में खुलासे बढ़े, जबकि जांचे गए पैचिंग चैनलों में साफ देरी नहीं दिखी; इससे यह तय नहीं होता कि हमले घटे हैं या इस्तेमाल में मौजूद सॉफ्टवेयर अधिक सुरक्षित हुआ है।