Anthropic's AI Finds Bugs. IBM Bets $5B It Can Fix Them.

IBM and Red Hat have launched Project Lightwell, a $5 billion subscription-based patching service backed by 20,000 engineers, aimed at closing the gap between AI-driven vulnerability discovery and remediation in open-source software. The initiative was spurred by Anthropic's Claude Mythos model, which through Project Glasswing has already disclosed 1,596 vetted vulnerabilities across 281 open-source projects — but only 97 have been patched, a 6% fix rate. Lightwell delivers backported, signed patches with contractual SLAs for enterprises in regulated industries, without requiring production upgrades. Design partners include 11 major financial institutions. Critics question whether the scale justifies the cost given leaner competitors like Chainguard, and analysts note structural limits: hundreds of thousands of vulnerabilities are quietly fixed each year without CVE designations, creating a latent attack surface that no commercial pipeline currently covers.

Nguồn: https://www.darkreading.com/vulnerabilities-threats/anthropic-s-ai-finds-bugs-ibm-bets-5b-it-can-fix-them-. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Adventures in Nodeland2 Hot15 phút2 giờ trướcAI

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành khi chúng không ảnh hưởng riêng biệt đến dự án của mình.