Təhlükəsizlik boşluqlarını tapan süni intellekt: Glasswing və yeni CVE-lər sizin üçün nə deməkdir

Project Glasswing nədir?

Project Glasswing Anthropic-in 7 aprel 2026-cı ildə elan etdiyi təşəbbüsdür; məqsədi qabaqcıl modelləri kritik və açıq mənbəli proqram təminatı üzərində müdafiə işində tətbiq etməkdir. Anthropic bildirir ki, layihənin ilk tərəfdaşları Claude Mythos Preview modelindən müdafiə yönümlü təhlükəsizlik işlərinin bir hissəsi kimi istifadə edir və şirkət öyrəndiklərini paylaşacaq. ^[2] Anthropic 8 oktyabr 2026-cı il tarixli Cyber Mission elanında Project Glasswing-i həmin həftənin əvvəlində genişləndirilmiş Cyber Verification Program-a birləşdirdiyini bildirib. ^[5] Bu ifadə hansısa bir istehlakçı məhsulundakı boşluğun adı deyil və hər kompüterin təsirə məruz qaldığı barədə xəbərdarlıq da deyil.

Xəbərin dəyəri aşkarlama zəncirindəki dəyişiklikdən irəli gəlir. Proqram təminatında həmişə qüsurlar olub; bacarıqlı model tədqiqatçılara daha çox kodu yoxlamaqda və daha çox namizəd hesabat hazırlamaqda kömək edə bilər. Lakin namizəd hesabat yalnız başlanğıcdır. O, təkrar yaradılmalı, təhlükəsizlik baxımından əhəmiyyəti qiymətləndirilməli, təhlükəsiz şəkildə açıqlanmalı, düzəldilməli, buraxılmalı və təsirə məruz qalan istifadəçilər tərəfindən quraşdırılmalıdır. Anthropic-in öz paneli kənar firmaların apardığı triajı təsvir edir və müstəqil yoxlamanın prosesin sürətini məhdudlaşdıran mərhələ olduğunu bildirir. ^[1]

Buna görə adi insanlar üçün dərhal atılacaq addım Glasswing-i axtarmaq və ya qüsurları şəxsən müəyyən etməyə çalışmaq deyil. Faydalı sual budur: cihazın və ya tətbiqin istehsalçısı həqiqətən istifadə olunan məhsul üçün qanuni təhlükəsizlik yeniləməsi buraxıbmı? Buraxıbsa, onu cihazın adi yeniləmə mexanizmi və ya istehsalçının rəsmi dəstək kanalı vasitəsilə quraşdırın.

Süni intellektin köməyi ilə aşkarlama son nəticədə proqram təminatının təhlükəsizliyini yaxşılaşdıra bilər, lakin böyük həcmdə yoxlama işi də yarada bilər. Məsuliyyətli açıqlama məhz buna görə vacibdir: düzəliş hazır olmamış istismar təfərrüatlarını dərc etmək istifadəçilərə zərər vura bilər, keyfiyyətsiz hesabatlar göndərmək isə vacib proqram təminatını müşayiət edən insanları işlə boğa bilər. Praktik nəticə odur ki, bildirilən tapıntıların sayı oxucu üçün təhlükənin birbaşa ölçüsü deyil.

Glasswing ilə bağlı rəqəmlər əslində nəyi ölçür?

Anthropic-in əlaqələndirilmiş boşluq açıqlaması paneli sonuncu dəfə 2 noyabr 2026-cı ildə yenilənib. Paneldə 37.966 namizəd tapıntı, kənar təhlükəsizlik firmalarının nəzərdən keçirdiyi 6.376 tapıntı, etibarlı olduğu təsdiqlənmiş 6.009 tapıntı, 680 açıq mənbəli layihə üzrə açıqlanmış 5.087 boşluq, əsas layihədə yamaqlanmış 629 boşluq və 230 CVE ilə 503 GitHub Security Advisories qeydindən ibarət 733 identifikator göstərilir. ^[1] 5.087 yekunu kənar triajdan sonra bildirilmiş 1.862 tapıntı ilə Anthropic-in birbaşa müşayiətçilərə bildirdiyi 3.225 tapıntını birləşdirir; səhifə bu ikinci qrupu “Yanlış müsbət nəticələr ola bilər” qeydi ilə işarələyir. ^[1] Səhifədə Glasswing adı işlədilmir; orada Claude modellərinin, o cümlədən Claude Mythos Preview modelinin erkən snapşotunun 1 noyabr 2025-ci il ilə 2 noyabr 2026-cı il arasında aşkar etdiyi tapıntılar təsvir olunur. ^[1] Bunlar fərqli mərhələlərdir, ona görə də onları bir-birinin üzərinə toplamaq və ya təsirə məruz qalan istifadəçilərin vahid sayı kimi qəbul etmək olmaz.

Panel açıq şəkildə xəbərdarlıq edir ki, həqiqi müsbət nəticələrin nisbəti təsirin yalnız dolayı göstəricilərindən biridir. Orada deyilir ki, 94,2% göstəricisi firmaların nəzərdən keçirdiyi 6.376 namizəddən etibarlı olduğu təsdiqlənmiş 6.009 tapıntıya əsaslanır və bu kateqoriyaya sonradan dublikat olduğu və ya düzəldilmə ehtimalının az olduğu üzə çıxan real xətalar da daxildir. Panel yamaqların sayını daha etibarlı, lakin gecikən göstərici kimi təqdim edir. ^[1] Bu izah vacibdir, çünki model, triaj firması və layihə müşayiətçisi ciddilik dərəcəsini fərqli qiymətləndirə bilər.

VulnCheck 9 noyabr 2026-cı ildə ayrıca izləmə təhlili dərc edib. Şirkət bildirir ki, metodologiyası CVE qeydlərini, GitHub Security Advisories qeydlərini, Linux nüvəsinin kommitlərini və Anthropic-in reyestrini əl ilə aparılan yoxlamalarla birləşdirir. O, yeddi aydan sonra Anthropic-ə aid edilə bilən 442 CVE barədə məlumat verib, bunu bu il dərc olunmuş 93.450 CVE-nin təxminən 0,5%-i kimi qiymətləndirib və bildirib ki, öz məlum istismar edilmiş boşluqlar kataloqu olan VulnCheck KEV üzrə izləmə zamanı 442 CVE-dən yalnız ikisi real hücumlarda istismar edilib. ^[4] VulnCheck Anthropic-in ictimai reyestrini oxuyaraq həm də 37.966 tapıntıdan 7.349-un (19,4%) ictimaiyyətə açıqlandığını və 217-nin düzəldilmiş kimi işarələndiyini hesablayıb; bu, panelin özünün əsas layihədə yamaqlanmış kimi göstərdiyi 629 rəqəmindən fərqlənir. ^[1][4] Bu rəqəmlər öz aidetmə metodu olan müstəqil təhlildir; onlar Glasswing üçün rəsmi yekun kimi deyil, VulnCheck-in hesablamaları kimi təqdim edilməlidir.

Fərqli rəqəmlərin hamısı dürüst ola, eyni zamanda fərqli şeyləri ölçə bilər. Model namizəd tapıntı yarada bilər. Təhlükəsizlik firması onu təsdiqləyə bilər. Müşayiətçi onu qəbul edə, rədd edə, dublikat saya, bildiriş dərc etmədən düzəldə və ya bildiriş dərc edə bilər. CVE yamaq istifadəçilərə çatmazdan əvvəl təyin oluna bilər. Yamaq mövcud ola, amma quraşdırılmaya bilər. Rəqəmin yanındakı etiketi oxumaq mövcud olan ən böyük rəqəmi təkrarlamaqdan daha vacibdir.

Oxucu səviyyəsində nəticə təvazökardır: ictimai sübutlar əhəmiyyətli aşkarlama və yoxlama fəaliyyətini, eləcə də aradan qaldırma mərhələsində davam edən darboğazı göstərir. Onlar nə 37.966 qüsurun bir cihazda istismar edilə biləcəyini, nə də 442 CVE-nin vahid ortaq təhdidi ifadə etdiyini göstərir. ^[1][4]

CVE nədir və onun mövcudluğu sizin risk altında olduğunuz deməkdirmi?

CVE “Common Vulnerabilities and Exposures” (ümumi boşluqlar və zəif nöqtələr) ifadəsinin qısaltmasıdır. CVE Proqramı öz missiyasını ictimaiyyətə açıqlanmış kibertəhlükəsizlik boşluqlarını müəyyən etmək, təsvir etmək və kataloqlaşdırmaq kimi təsvir edir. ^[3] CVE identifikatoru istehsalçılara, təhlükəsizlik komandalarına və istifadəçilərə eyni problemə istinad etməyə kömək edir. O, zərərli proqram deyil, yamaq deyil və konkret telefonda, kompüterdə və ya hesabda istismarın baş verdiyini sübut etmir.

Risk məhsuldan, versiyadan, konfiqurasiyadan və sistemin kənar təsirə nə dərəcədə açıq olmasından asılıdır. Problem yalnız proqram təminatının konkret buraxılışına, söndürülmüş funksiyaya, istehlakçı tətbiqinə deyil, server məhsuluna və ya adi oxucunun istifadə etmədiyi quraşdırmaya aid ola bilər. Təsirə məruz qalan məhsulu və düzəliş edilmiş versiyanı göstərməyən CVE məqaləsi cihaza diaqnoz qoymaq üçün kifayət deyil.

Ağlabatan ardıcıllıq belədir: dəqiq məhsulu və quraşdırılmış versiyanı müəyyən edin; istehsalçının öz təhlükəsizlik bildirişinə və ya yeniləmə səhifəsinə baxın; məhsul təsirə məruz qalıbsa, istehsalçının yeniləməsini quraşdırın; sonra istehsalçının əlavə təsirazaltma addımları varsa, onlara əməl edin. “Düzəliş”i sosial şəbəkə paylaşımından, reklamdan, çat mesajından və ya əslinə oxşadılmış saytdan yükləməyin. Təhlükəsizlik başlıqları adətən saxta yükləmələrə və dəstək fırıldaqlarına yol açır.

Bəzi CVE-lər əlaqələndirilmiş açıqlama müddətindən sonra təyin olunur; digərləri yamaqlar geniş tətbiq edilməzdən əvvəl ictimaiyyətə açıq ola bilər. Anthropic-in paneli qeyd edir ki, ictimai CVE və GHSA qeydləri onun tapıntıları üzrə yamağın buraxılıb-buraxılmamasından asılı olmayaraq təyin olunur və bildiriş yaradıb-yaratmamaq barədə müşayiətçilər qərar verir. ^[1] Elə buna görə CVE-nin mövcudluğu istehsalçının faktiki tövsiyələri ilə birlikdə nəzərdən keçirilməlidir.

Əksər insanlar üçün CVE xəbərlərinin dəyəri yeniləmələrin vacib olduğunu dərk etməkdədir. Bu, istismar kodu işə salmağa, başqalarının sistemlərini skan etməyə və ya təkcə bir identifikatora əsasən məhsul barədə qərar verməyə dəvət deyil.

Süni intellektin daha çox xəta tapması hamını daha az təhlükəsiz edirmi?

Avtomatik olaraq yox. Tapıntılar hücumçular onlardan istifadə etməzdən əvvəl yoxlanılır, məsuliyyətlə açıqlanır və yamaqlanırsa, daha çox aşkarlama müdafiəçilərə kömək edə bilər. Hesabatların sayı müşayiətçilərin onları qiymətləndirib düzəldə bildiyindən daha sürətlə artdıqda isə bu, imkan çatışmazlığı problemini də üzə çıxara bilər. Anthropic-in ictimai paneli də, 8 oktyabr 2026-cı il tarixli Cyber Mission elanı da insan yoxlamasını, müşayiətçilərin imkanlarını və yamaqlamanı prosesin zəruri hissələri kimi təsvir edir. ^[1][5]

Anthropic bildirir ki, könüllü qoşulma əsasında işləyən OSS Scanner aləti modelin yaratdığı hesabatları insan yoxlaması olmadan, onları qəbul etmək imkanı olan müşayiətçilərə göndərə bilər. Cyber Mission səhifəsində deyilir ki, bu, hesabatları sürətləndirə bilər, lakin bəzi hesabatlarda qeyri-dəqiqliklərin, o cümlədən yanlış ciddilik dərəcəsinin ola biləcəyi deməkdir. Orada deyilir ki, digər layihələr şirkətin əlaqələndirilmiş açıqlama siyasətinə uyğun olaraq insan tərəfindən yoxlanılmış açıqlamalar almağa davam edəcək. ^[5] Bu, faydalı fərqdir: avtomatik aşkarlama miqyaslana bilər, təsdiqləmə isə hələ də layihə kontekstinə bələd olan insanların verdiyi qərardır.

VulnCheck-in təhlili aşkarlama həcmi barədə başlıqlara əks çəki yaradır. Təhlil dərc olunmuş yekun rəqəmlərin və həqiqi müsbət nəticə nisbətinin necə şərh edilməli olduğunu sual altına alır, triaj yükünün açıq mənbəli layihələrin müşayiətçilərinin üzərinə keçdiyini iddia edir, Anthropic-ə aid edilən 442 CVE sayır və öz məlum istismar izləməsinə görə ikisinin real hücumlarda istismar edildiyini bildirir. ^[4] Yeni məlumat toplusunda müşahidə olunan istismarın az olması qalan qüsurların zərərsiz olduğunu sübut etmir; eyni şəkildə, tapıntıların çoxluğu da dərhal kütləvi istismarın sübutu deyil. Hər iki iddia rəqəmlərin dediyindən kənara çıxardı.

Müşayiətçi və ya təhlükəsizlik komandası üçün məsələ triajın keyfiyyəti, təkrar yaradıla bilmə, ciddilik dərəcəsi, düzəldilə bilmə və açıqlamanın əlaqələndirilməsidir. Adi istifadəçi üçün məsələ xeyli sadədir: dəstəklənən proqram təminatından istifadə edin, rəsmi yeniləmələri quraşdırın və yeni adlandırılmış süni intellekt layihəsinin şəxsi cihazın artıq sındırıldığı demək olduğu barədə iddialara şübhə ilə yanaşın.

Təhlükəsizlik aşkarlama, yoxlama və düzəltmə birlikdə işlədikdə yaxşılaşır. Təkcə aşkarlama finiş xətti deyil. Heç kimin təkrar yarada bilmədiyi xəta və ya heç kimin tətbiq etmədiyi yamaq təsirə məruz qalan sistemdə quraşdırılmış, yoxlanılmış düzəlişin verdiyi müdafiəni vermir.

Süni intellekt və boşluqlar barədə başlıqdan sonra adi istifadəçilər nə etməlidir?

Birincisi, məqalədə həqiqətən istifadə etdiyiniz məhsulun adının çəkilib-çəkilmədiyini müəyyən edin. Rəsmi istehsalçı bildirişi problemi konkret məhsul və versiya ilə əlaqələndirməyincə “süni intellekt minlərlə xəta tapdı” kimi ümumi ifadələrə əhəmiyyət verməyin. Təsirə məruz qalan məhsul göstərilməyən CVE nömrəsi noutbukun, telefonun və ya hesabın təhlükədə olduğu qənaətinə gəlmək üçün kifayət deyil. ^[3]

İkincisi, yeniləməni adi etibarlı yolla edin: cihazın daxili yeniləmə ekranı, proqramın rəsmi yeniləmə vasitəsi və ya istehsalçının həqiqi dəstək səhifəsi vasitəsilə. Gözlənilməz mesajlarda göndərilən keçidlərdən istifadə etməyin. Fırıldaqçı real təhlükəsizlik xəbərindən istifadə edərək saxta quraşdırıcı yaya, parol istəyə və ya “uzaqdan qoruma” üçün ödəniş tələb edə bilər.

Üçüncüsü, hesabın əsas təhlükəsizliyini qoruyun. Təkrarlanmayan parollardan istifadə edin, mövcud çoxfaktorlu autentifikasiyanı aktivləşdirin, ehtiyat nüsxələri saxlayın və bərpa məlumatlarını aktual saxlayın. Bu təcrübələr proqram qüsurunu yamaqlamır, lakin hesabın ələ keçirilməsinin geniş yayılmış yollarından dəyən zərəri azaldır və cihazı sıfırlamaq və ya dəyişmək lazım gələrsə, bərpanı asanlaşdırır.

Dördüncüsü, məhsulun hələ də dəstəklənib-dəstəklənmədiyini yoxlayın. Artıq təhlükəsizlik yeniləmələri almayan cihazın risk profili istehsalçının cari yamağını alan cihazınkından fərqlidir. İstehsalçı məhsulun yenilənə bilmədiyini bildirirsə, özfəaliyyət yükləmələrdən çəkinin və məhsulun əhəmiyyətinə uyğun olaraq dəstəklənən əvəzedici variantı və ya peşəkar təmir yolunu qiymətləndirin.

Beşincisi, qanuni bildirişdə təcili tədbir görmək lazım olduğu deyilirsə, həmin bildirişin əhatə dairəsinə və vaxt çərçivəsinə əməl edin. Mürəkkəb administrator təlimatlarını idarə etmədiyiniz sistemə tətbiq etməyin. İş yeri, məktəb, tibb və ya biznes cihazları üçün idarə olunan xidməti dayandıra biləcək parametrləri dəyişmək əvəzinə, bildiriş barədə səlahiyyətli İT və ya təhlükəsizlik kanalı vasitəsilə məlumat verin.

Tərtibatçılar və müşayiətçilər süni intellektin yaratdığı xəta hesabatlarına necə yanaşmalıdır?

Tərtibatçılar və müşayiətçilər süni intellektin yaratdığı hesabata hökm kimi deyil, ipucu kimi yanaşmalıdırlar. Təsirə məruz qalan versiyanı təsdiqləyin, davranışı icazə verilmiş mühitdə təhlükəsiz şəkildə təkrar yaradın, təhlükəsizlik sərhədini müəyyən edin və onu layihənin təhdid modeli ilə müqayisə edin. Müşayiətçi yoxlamasından əvvəl yaradılmış ciddilik etiketləri yanlış ola bilər, çünki hesabatı göndərən tətbiqetmə kontekstini bilməyə bilər. Anthropic-in paneli modelin, kənar firmanın və müşayiətçinin qiymətləndirmələrini bir-birindən fərqləndirməklə bu məqamı vurğulayır. ^[1]

Oturuşmuş boşluq açıqlaması prosesindən istifadə edin. Faydalı hesabat təsirə məruz qalan komponenti, minimal təkrar yaradıla bilən nümunəni, təsirlə bağlı fərziyyələri və məsuliyyətli əlaqə yolunu izah edir. İstismar addımlarını və ya konsepsiyanı sübut edən (proof-of-concept) kodu vaxtından əvvəl dərc etməyin. Əlaqələndirilmiş açıqlama müşayiətçilərə texniki təfərrüatlar daha geniş auditoriyaya çatmazdan əvvəl problemi təsdiqləmək və düzəltmək üçün vaxt verir.

Hər hesabatın nəticəsini izləyin: etibarlı, dublikat, əhatə dairəsindən kənar, düzəldilməyəcək, gözləmədə, düzəldilib və ya bildiriş dərc olunub. Bu, skanerin real keyfiyyətini görünən edir və göndərilən hesabatların xam sayının yanıldıcı uğur göstəricisinə çevrilməsinin qarşısını alır. Anthropic qeyd edir ki, onun həqiqi müsbət nəticə sayına sonradan dublikat olduğu və ya düzəldilmə ehtimalının az olduğu məlum olan etibarlı problemlər daxil ola bilər, yamaqlanmış tapıntıların sayı isə əsas layihədə buraxılmış düzəlişləri izləyir. ^[1]

Kütləvi avtomatlaşdırılmış hesabatlara könüllü qoşulan layihələr hesabatlar gəlməzdən əvvəl imkan hədlərini və qəbulu təsdiqləmə yolunu müəyyən etməlidir. Anthropic bildirir ki, yoxlanılmamış hesabatlar göndərən OSS Scanner üzə çıxarılan tapıntıların öhdəsindən gəlmək imkanı olan layihələr üçün nəzərdə tutulub. ^[5] Yaxşı təkrar yaradılmış az sayda hesabat çox sayda ehtimala əsaslanan xəbərdarlıqdan daha dəyərli ola bilər.

Sınaq yalnız sınaqçının qiymətləndirmək səlahiyyəti olan sistemlər və proqram təminatı ilə məhdudlaşmalı, bu zaman layihənin sənədləşdirilmiş təhlükəsizlik prosesindən istifadə edilməlidir.

442 CVE və Glasswing sizin üçün nəyi dəyişir?

Onlar dərhal görüləcək işlərin siyahısından çox, konteksti dəyişir. VulnCheck-in 442 rəqəmi tədqiqatçının yeddi aydan sonra aid etdiyi CVE-lərin sayıdır, Anthropic-in paneli isə namizədlərdən, triajdan, açıqlamalardan və yamaqlardan ibarət daha geniş iş axınını əks etdirir. Rəqəmlər avtomatlaşdırılmış aşkarlamanın xeyli iş yarada bildiyini göstərir. Onlar hər oxucunun yamaqlamalı olduğu vahid istehlakçı məhsulunu göstərmir. ^[1][4]

Qalıcı dərs odur ki, təhlükəsizlik tapıntısının həyat dövrü var. Namizəd tapıntılar yoxlanılmalıdır. Etibarlı boşluqlar əlaqələndirilmiş şəkildə açıqlanmalıdır. Təsirə məruz qalan istehsalçılar düzəlişlər buraxmalıdır. İstifadəçilər və təşkilatlar həmin düzəlişləri quraşdırmalıdır. Anthropic-in paneli insan triajı və müşayiətçi mərhələlərini açıq şəkildə təsvir edir, Cyber Mission səhifəsi isə yoxlamanın, açıqlamanın və düzəltmənin ləng və insanlardan asılı olaraq qaldığını bildirir. ^[1][5]

Adi istifadəçilər üçün ən yaxşı cavab sakit və konkret olaraq qalır: əməliyyat sistemini, brauzeri, tətbiqləri və cihazın mikroproqram təminatını rəsmi kanallardan yeniləyin; vacib məlumatların ehtiyat nüsxəsini saxlayın; yeni boşluq adından istifadə edərək giriş və ya pul tələb edən yad adamlara etibar etməyin. Yaxşı adlandırılmış təşəbbüs və ya uzun CVE siyahısı şəxsi diaqnoz deyil.

Peşəkarlar isə müdafiə alətlərini tapılan namizədlərin sayı ilə yanaşı, yoxlanılmış və aradan qaldırılmış nəticələrə və müşayiətçilərin üzərinə düşən yükə görə də ölçməlidir. Bu yanaşma həm daha sürətli aşkarlamanın vədinə, həm də hesabatı daha təhlükəsiz proqram təminatına çevirmək üçün tələb olunan praktik işə hörmət edir.