Syarikat yang mendapat akses awal kepada model kecerdasan buatan Claude Mythos Preview keluaran Anthropic mencatat peningkatan kira-kira 120% dalam pendedahan kerentanan perisian berbanding perubahan dalam kumpulan syarikat China yang dijadikan pembanding. Namun, kajian praterbit yang diterbitkan pada 4 November tidak menemukan kelewatan pembaikan yang ketara dari segi statistik dalam saluran vendor dan pengedaran Linux yang dikaji.
Jumlah pendedahan awam tidak menggambarkan keseluruhan kerentanan sebenar. Penemuan kelemahan, penerbitan pembaikan dan pemasangan tampalan oleh pengguna juga merupakan peringkat yang berbeza. Oleh itu, hasil kajian ini belum membuktikan bahawa risiko serangan terhadap perisian benar-benar menurun.
13 syarikat peserta dibandingkan dengan 267 syarikat China
Kajian oleh Thomas Mosk meliputi tempoh Oktober 2025 hingga September 2026. Anthropic mengumumkan Project Glasswing pada 7 April 2026 dan memberikan akses kepada Mythos Preview kepada beberapa syarikat. Analisis pendedahan membandingkan 13 syarikat peserta dengan 267 syarikat China; kumpulan pembanding masih boleh menggunakan alat kecerdasan buatan yang lain.
Anggaran kajian menunjukkan pendedahan kerentanan oleh syarikat peserta meningkat sekitar 120% secara relatif, manakala pendedahan kerentanan berimpak tinggi naik kira-kira 150%. Istilah “berimpak tinggi” merujuk kepada skor komponen impak yang melebihi median dalam penilaian keterukan kerentanan, bukannya pengukuran langsung terhadap kerugian sebenar.
Akses kepada Glasswing tidak diberikan secara rawak, sementara amalan pendedahan kerentanan mungkin berbeza antara negara. Faktor ini mengehadkan kesimpulan sebab dan akibat. Dapatan menunjukkan kaitan antara akses dengan perubahan pendedahan, tetapi tidak membuktikan bahawa model itu sendiri menyebabkan keseluruhan peningkatan.
Saluran pembaikan tidak menunjukkan kelewatan ketara
Mosk menilai keupayaan pembaikan secara berasingan daripada pendedahan, menggunakan sampel yang lebih pendek untuk membandingkan kerentanan berkaitan Glasswing dengan kerentanan lain di luar China. Satu analisis menjejaki 658 kerentanan yang dilaporkan kepada vendor melalui Zero Day Initiative sehingga Jun 2026. Analisis kedua meliputi 14,855 kerentanan yang diumumkan sehingga Julai dan meneliti pembaikan oleh pengedaran Linux seperti Debian, Ubuntu, Red Hat dan SUSE.
Kedua-dua saluran tidak menunjukkan kelewatan pembaikan yang signifikan dari segi statistik. Bagi kerentanan yang telah didedahkan, tempoh pembaikan median oleh pengedaran Linux kekal sehari. Anggaran pembaikan vendor menolak kemungkinan kelewatan melebihi kira-kira 13%, tetapi perubahan yang lebih kecil masih boleh berlaku. Anggaran hiliran juga tidak dapat menolak penurunan sekitar 11 mata peratusan dalam bahagian pembaikan yang diselesaikan dalam tempoh 90 hari.
Kajian ini hanya mengukur sampel kerentanan dan saluran pembaikan tertentu. Ia tidak meliputi beban kerja yang tidak didedahkan atau mengukur seberapa cepat pengguna akhir memasang tampalan. Maka, penerbitan tampalan tidak bermakna semua sistem berkaitan telah dikemas kini.
Bilangan eksploitasi tidak berubah dengan ketara
Dalam perbandingan sehingga Mei, sebelum Glasswing diperluas pada Jun, kajian tidak menemukan perubahan yang signifikan dari segi statistik dalam bilangan kerentanan diketahui yang telah dieksploitasi pada syarikat besar di luar China, bagi tempoh satu, dua atau tiga bulan. Namun, ini bukan bukti bahawa bilangan eksploitasi langsung tidak berubah. Anggarannya mempunyai ketepatan terhad, tidak dapat menolak turun naik pada tahap tertentu dan hanya merangkumi eksploitasi yang diketahui pada peringkat awal—bukan semua serangan atau kerentanan yang belum didedahkan.
Dalam beberapa perbandingan, bahagian kerentanan yang diketahui telah dieksploitasi daripada jumlah kerentanan yang didedahkan menurun. Jika jumlah pendedahan meningkat, bahagian itu boleh menjadi lebih kecil walaupun bilangan kerentanan yang diketahui dieksploitasi tidak berkurang. Oleh itu, kajian menganggap perubahan nisbah tersebut sebagai petunjuk, bukannya pengesahan bahawa serangan telah menurun.
Pada 2 Julai, Epoch AI turut menganalisis perubahan pendedahan kerentanan berisiko tinggi dan kritikal selepas Mythos Preview. Analisis itu mengingatkan bahawa statistik awam mungkin tidak merangkumi penemuan yang belum didedahkan dan boleh dipengaruhi oleh peningkatan tumpuan terhadap pencarian kerentanan.
Bagi infrastruktur kripto, penemuan kerentanan, penerbitan tampalan dan pemasangan pada nod ialah peringkat yang berlainan. Pada 29 Oktober, Bitcoin Core mendedahkan tiga kerentanan yang ditemui dengan bantuan AI dan telah disahkan serta ditampal. Namun, pemasangan tampalan pada nod rangkaian masih menjadi persoalan berasingan. Kajian ini mendapati peningkatan pendedahan tidak disertai kelewatan ketara dalam saluran pembaikan yang diukur, tetapi kesannya terhadap jumlah serangan dan keselamatan perisian dalam operasi sebenar masih belum dapat dipastikan.