Anthropic udostępni model Mythos. Konsekwencje dla firm korzystających z AI

Anthropic potwierdził, że w ciągu najbliższych tygodni udostępni publicznie model Mythos-class, który dotychczas był dostępny tylko dla wybranych firm i badaczy bezpieczeństwa. Decyzja zapadła po miesiącach opóźnień – w kwietniu 2026 roku Anthropic wstrzymał publiczne wdrożenie, powołując się na poważne ryzyko dla bezpieczeństwa oprogramowania. Dla polskich firm, które wdrażają sztuczną inteligencję do procesów biznesowych, oznacza to konieczność zweryfikowania polityk bezpieczeństwa i gotowości na nowe zagrożenia.

Dlaczego publiczne udostępnienie modelu jest ryzykowne?

Anthropic od początku podkreślał, że Mythos jest znacznie potężniejszy od dotychczasowego flagowego modelu Opus 4.8, zwłaszcza w zakresie rozumienia kodu i autonomii. W kwietniowym komunikacie firma ostrzegała: „Przewaga będzie należeć do strony, która potrafi najlepiej wykorzystać te narzędzia. W krótkim okresie mogą to być atakujący, jeśli laboratoria na granicy możliwości nie będą ostrożne przy udostępnianiu tych modeli.” Publiczny dostęp do tak zaawansowanego narzędzia oznacza, że każdy – w tym cyberprzestępcy – będzie mógł testować jego możliwości w generowaniu kodu, analizie luk czy automatyzacji ataków. Firma twierdzi, że opracowała już zabezpieczenia, które mają zapobiec nadużyciom, ale nie ujawniła szczegółów technicznych tych mechanizmów.

Co to oznacza dla firm w Polsce?

Model Mythos, zwłaszcza przy integracji z narzędziami programistycznymi (np. Claude Code), może być używany przez zespoły deweloperskie do szybszego tworzenia kodu, testowania czy debugowania. Ta sama autonomia, która przyspiesza pracę, może jednak ułatwić atakującym generowanie złośliwego oprogramowania lub identyfikowanie podatności w systemach firmowych. Jak wskazują eksperci, przedsiębiorstwa powinny już teraz przeanalizować, jakie modele AI są wykorzystywane w ich organizacji, i wdrożyć mechanizmy kontroli, takie jak audyt kodu generowanego przez AI czy ograniczenie dostępu do repozytoriów. Tematyka zarządzania ryzykiem związanym z AI to również główny wątek nadchodzącego SecurityWeek AI Risk Summit, który odbędzie się w sierpniu 2026 roku. W agendzie znajdą się m.in. zabezpieczanie wdrożeń AI oraz ataki adversarialne.

Regulacyjne konsekwencje i odpowiedzialność firm

Publiczne udostępnienie tak zaawansowanego modelu stawia przed firmami nowe wyzwania w świetle regulacji, takich jak unijny akt w sprawie sztucznej inteligencji (AI Act) czy dyrektywa NIS2. Zgodnie z tymi przepisami, przedsiębiorstwa stosujące systemy AI wysokiego ryzyka muszą zapewnić nadzór człowieka, przejrzystość działania oraz odporność na próby manipulacji. W przypadku modeli generujących kod, odpowiedzialność za ewentualne błędy czy luki w zabezpieczeniach może spoczywać na firmie, która wdrożyła takie narzędzie do swojego łańcucha dostaw oprogramowania. W praktyce oznacza to konieczność wprowadzenia dodatkowych procedur testowania i walidacji kodu pochodzącego z AI. Warto więc śledzić komunikaty producenta dotyczące konkretnych wersji modelu i powstrzymać się od stosowania niezweryfikowanych wydań w newralgicznych systemach.

Jak bezpiecznie przygotować się na nową falę AI?

Niezależnie od decyzji Anthopic, trend udostępniania coraz potężniejszych modeli jest nieodwracalny. Firmy powinny:

• Przeprowadzić ocenę ryzyka dla każdego narzędzia AI używanego w organizacji – zarówno wewnętrznie, jak i przez podwykonawców.
• Wdrożyć zasady bezpiecznego programowania z wykorzystaniem AI, w tym obowiązkowy przegląd kodu generowanego maszynowo przed wdrożeniem do produkcji.
• Szkolić zespoły w zakresie nowych zagrożeń – już dziś widać, że świadomość OSINT i OPSEC rośnie, o czym świadczy m.in. frekwencja na bezpłatnym szkoleniu Sekuraka, które zgromadziło ponad 2000 uczestników.
• Monitorować aktualizacje producentów i reagować na komunikaty o podatnościach – jak w przypadku niedawno wykrytego ataku typu prompt injection w akcji GitHub Claude Code, opisanego przez Microsoft Threat Intelligence.

Środowisko bezpieczeństwa nie stoi w miejscu – zarówno atakujący, jak i obrońcy będą korzystać z coraz lepszych narzędzi. Kluczowe, aby polskie firmy nie czekały na pierwszy incydent, tylko już teraz wdrożyły podstawowe mechanizmy kontroli i polityki bezpiecznego korzystania z zaawansowanej AI.