Исследователи лаборатории Off-by-1 компании 1Password выяснили, что современные ИИ-модели хорошо находят уязвимости в коде, но плохо их исправляют. Лишь в 26% случаев GPT-5.5 и Opus 4.8 полностью устраняли найденную проблему.
В 54% случаев модели либо не решали проблему, либо создавали новую уязвимость, либо совмещали оба сценария. По словам исследователя Патрика Гэррити, ИИ снизил порог входа в обнаружение багов, но координация, приоритизация и развёртывание исправлений всё ещё требуют человека — с этим согласны даже в Anthropic.
Опасения о том, что способность ИИ находить уязвимости приведёт к их массовой эксплуатации хакерами, пока не подтвердились. Из уязвимостей, найденных Anthropic в рамках проекта Glasswing, реально использовалось менее 0,5%.
По данным Патрика Гэррити из VulnCheck, из 225 официально зарегистрированных CVE, связанных с Glasswing, хакеры воспользовались лишь одной — критической SQL-инъекцией в платформе Ghost (CVE-2026-26980).
Glasswing — инициатива Anthropic, запущенная в апреле на базе модели Mythos, эффективность которой в поиске багов сочли настолько высокой, что доступ к превью предоставили только проверенным партнёрам.
«Есть большая разница между обнаружением уязвимостей и их реальной пользой для злоумышленников», — отметил Гэррити. По его мнению, уязвимости от Anthropic не влекут иных последствий, чем случайная выборка любых других багов.