Китайський Zhipu AI наздогняє Anthropic Mythos у виявленні вразливостей. Критичні CVE на початок липня

Поки Anthropic проєктом Project Glasswing обмежує доступ до Mythos, китайська відкрита модель від Zhipu AI показує схожі результати, які інколи навіть випереджають Claude у задачах із пошуку вразливостей.

За результатами незалежного дослідження від Semgrep модель Zhipu AI GLM-5.2 показала точність у 39% під час виявлення вразливостей IDOR (Insecure Direct Object Reference). Для порівняння, Claude Code на тих самих задачах демонстрував 32–37%.

Уся ця історія виглядає, відверто кажучи, як промо Semgrep Multimodal, але водночас викликає інтерес спробувати Zhipu AI та інші open‑source‑моделі саме в контексті виявлення вразливостей у коді.

Проте.

Mythos досі лідирує в пошуку вразливостей

І дістає дуже старі баги з реального софту. Mythos знайшов 29‑річний баг з витоком пам’яті у Squid proxy — популярному open‑source веб‑проксі.

Помилка існує в коді ще з 1997 року.

CVE‑2026‑47729 зачіпає всі версії Squid із дефолтними налаштуваннями. Коли Squid парсить FTP‑лістинг директорій і після timestamp не вказано ім’я файлу, парсер читає за межі буфера й повертає частину heap‑пам’яті атакуючому. У цій пам’яті можуть опинитися HTTP‑запити з паролями, API‑ключами та багато іншої чутливої інформації.

Класичний приклад Out-of-bounds Read вразливості.

ШІ еволюціонує, виявляючи помилки, які вже пережили, деколи, тисячі людських code-review та сканів вразливостей. Зараз дуже цікавий час з точки зору ШІ та кібербезпеки. Дуже цікавий.

Що думаєте обрати? Користуватися AI для безпеки (з розумінням) чи залишитися позаду? 🤔

Топ CVE за останній тиждень

Ключові CVE, які варто закрити Не забудьте актуалізувати патчі для цих CVE, інакше можуть бути проблеми:

• Ubiquiti UniFi OS (CVE‑2026‑34908, 34909, 34910) — критичні вразливості;
• Cisco UCM (CVE‑2026‑20230) — SSRF до root‑прав;
• Ще дві Linux privesc‑вразливості pedit COW (CVE‑2026‑46331), DirtyClone;
• Linux kernel — нове сімейство локальних privesc DirtyFrag, JFrog уже виклали експлойт;
• Apache TTP Server (CVE‑2026‑44631, CVE‑2026‑29167);
• Splunk Enterprise (CVE‑2026‑20253) — відсутня автентифікація;
• NGINX Plus (CVE‑2026‑42055);
• Squid (CVE‑2026‑47729) — Squidbleed, 29‑річний витік пам’яті, який знайшов Mythos.

Підписуйтеся на мій Telegram‑канал та LinkedIn.