{"id":2077,"date":"2026-05-26T21:22:13","date_gmt":"2026-05-26T19:22:13","guid":{"rendered":"https:\/\/darioiannascoli.it\/blog\/project-glasswing-claude-mythos-cve-vulnerability-detection-sdlc\/"},"modified":"2026-05-26T21:22:13","modified_gmt":"2026-05-26T19:22:13","slug":"project-glasswing-claude-mythos-cve-vulnerability-detection-sdlc","status":"publish","type":"post","link":"https:\/\/darioiannascoli.it\/blog\/project-glasswing-claude-mythos-cve-vulnerability-detection-sdlc\/","title":{"rendered":"Project Glasswing di Anthropic: Come Claude Mythos Identifica CVE in Codice \u2013 Implicazioni per Secure SDLC Enterprise"},"content":{"rendered":"<p>Nel maggio 2026, la situazione della <em>vulnerability detection<\/em> \u00e8 cambiata radicalmente. <strong>Anthropic ha pubblicato i primi risultati di Project Glasswing<\/strong>, la sua iniziativa di cybersecurity ristretta che coinvolge circa 50 partner enterprise critici tra cui AWS, Apple, Google, Microsoft, Cisco e JPMorgan Chase. I numeri sono impressionanti ma inquietanti: <strong>23.019 vulnerabilit\u00e0 scoperte in un mese<\/strong>, di cui 6.202 critiche o ad alta gravit\u00e0. E qui sta il problema vero: <strong>meno dell&#8217;1% di queste \u00e8 stata ancora patchata<\/strong>.<\/p>\n<p>Io, come system administrator che opera nel 2026, devo affrontare una realt\u00e0 nuova: il modello di intelligenza artificiale frontiera di Anthropic, <em>Claude Mythos Preview<\/em>, scopre i bug <strong>pi\u00f9 velocemente di quanto i maintainer possano bere un caff\u00e8<\/strong>. Non si tratta solo di automazione della ricerca. \u00c8 una trasformazione completa del ciclo di vita della sicurezza software (Secure SDLC) a livello enterprise. In questo articolo vi mostro cosa significa concretamente per l&#8217;infrastruttura e i processi di sviluppo, basandomi sugli ultimi dati di maggio 2026.<\/p>\n<h2>Cosa \u00e8 Project Glasswing e Claude Mythos Preview<\/h2>\n<p><cite>Project Glasswing \u00e8 l&#8217;iniziativa di cybersecurity ristretta di Anthropic, annunciata il 7 aprile 2026 e che ha riportato i risultati del primo mese il 22 maggio 2026<\/cite>. Accesso limitato, per il momento, a <cite>circa 50 organizzazioni partner vetted \u2014 incluse AWS, Apple, Cisco, Google, JPMorgan Chase, Microsoft, NVIDIA, CrowdStrike, Cloudflare e Mozilla \u2014 per esclusivo lavoro di cybersecurity difensivo<\/cite>.<\/p>\n<p><cite>Un modello preview ristretto chiamato Claude Mythos ha scansionato pi\u00f9 di 1.000 progetti open-source e identificato 23.019 vulnerabilit\u00e0<\/cite>. Ma non \u00e8 questo il valore principale. La caratteristica che distingue Mythos dagli altri modelli di vulnerability scanning \u00e8 questa: <cite>quello che questi sistemi fanno di diverso \u00e8 la costruzione autonoma di exploit chain multi-step a scala \u2014 costruire exploit end-to-end funzionanti senza direzione umana<\/cite>.<\/p>\n<p>In altre parole, Mythos non si limita a trovare il bug. Lo sfrutta. <cite>Durante i test, Mythos Preview si \u00e8 dimostrato capace di identificare e poi sfruttare vulnerabilit\u00e0 zero-day in ogni sistema operativo principale e ogni browser web quando diretto da un utente. Le vulnerabilit\u00e0 che trova sono spesso sottili o difficili da rilevare. Molte di esse hanno dieci o venti anni, con la pi\u00f9 vecchia trovata fin qui essendo un bug di 27 anni ormai patchato in OpenBSD<\/cite>.<\/p>\n<h2>I Numeri: Scoperta vs Remediation Bottleneck<\/h2>\n<p>Quando guardo ai dati di maggio 2026, vedo uno shift fondamentale nel ciclo di life della sicurezza. <cite>Delle vulnerabilit\u00e0 scoperte, 6.202 erano stimate ad alta o critica gravit\u00e0. Aziende di sicurezza indipendenti hanno verificato un campione di 1.752 risultati e confermato il 90.6% come bug reali<\/cite>.<\/p>\n<p>L&#8217;impatto reale: <cite>Mozilla ha patchato 271 di queste vulnerabilit\u00e0 in Firefox 150 \u2014 una singola release<\/cite>. <cite>Cloudflare ne ha trovate 2.000 nella sua infrastruttura critica<\/cite>. E il pi\u00f9 sconcertante: <cite>un partner bancario ha fermato un trasferimento fraudolento di 1.5 milioni di dollari durante l&#8217;esecuzione<\/cite>.<\/p>\n<p>Ma qui viene il twist che mi preoccupa dal punto di vista operativo. <cite>La sfida primaria si \u00e8 spostata dal trovare le vulnerabilit\u00e0 alla logistica della loro gestione. Perch\u00e9 il modello IA trova i difetti cos\u00ec rapidamente, il bottleneck attuale \u00e8 la velocit\u00e0 con cui umani e organizzazioni possono verificare i risultati, divulgarli alle parti interessate e sviluppare e deployare patch<\/cite>.<\/p>\n<p><cite>Meno dell&#8217;1% delle vulnerabilit\u00e0 trovate da Mythos sono state effettivamente patchate<\/cite>. Non perch\u00e9 gli sviluppatori siano negligenti. Ma perch\u00e9 <cite>il modello trova il bug pi\u00f9 velocemente del tempo necessario a un maintainer per bere caff\u00e8<\/cite>.<\/p>\n<h2>L&#8217;Impatto Reale sullo Secure SDLC Enterprise: Cambio di Paradigma<\/h2>\n<p>Come IT specialist, la mia esperienza con processi SDLC tradizionali \u2014 quarterly scans, monthly patching windows, Patch Tuesday \u2014 sta diventando obsoleta. <cite>Per la maggior parte del passato decennio, la sfida centrale nella gestione delle vulnerabilit\u00e0 non era trovarle. Era sapere quali correggere prima. I team di sicurezza stavano affogando nei risultati mentre gli attaccanti aspettavano pazientemente il gap tra disclosure e patch<\/cite>.<\/p>\n<p>Mythos trasforma completamente questo equilibrio. <cite>Non accelera solo quella dinamica. Introduce una forza completamente nuova: la scoperta autonoma di vulnerabilit\u00e0 che non hanno mai figurato in nessuna lista CVE, mai triggerato nessuno scanner, e potrebbero aver esistito silenziosamente nel codice di produzione per anni<\/cite>.<\/p>\n<p>Cosa significa praticamente? Tradizionalmente:<\/p>\n<ul>\n<li>Scansione periodica (trimestrale) con strumenti SAST\/DAST statici<\/li>\n<li>Ticket creati con score CVSS fisso<\/li>\n<li>Team di dev che priorizzano manualmente su backlog<\/li>\n<li>Patching in finestre di manutenzione programmate<\/li>\n<\/ul>\n<p>Nel 2026 con Mythos-era security:<\/p>\n<ul>\n<li><strong>Continuous monitoring<\/strong> di codebase con exploit chain autonome<\/li>\n<li><strong>Risk-based prioritization<\/strong> contestualizzata all&#8217;ambiente di produzione reale<\/li>\n<li><strong>Automated remediation workflows<\/strong> orchestrati da agentic AI<\/li>\n<li><strong>Governance layers<\/strong> per controllare output generati da IA<\/li>\n<\/ul>\n<p>Nel mio ambiente, ho iniziato a implementare questa shift usando <cite>Claude Security, disponibile in public beta per clienti Claude Enterprise, con un Cyber Verification Program che consente a professionisti della sicurezza approvati di usare i modelli per lavoro cybersecurity legittimo con meno restrizioni. Gli strumenti usati con Mythos Preview includono custom skills, un framework automatizzato di scanning e reporting, e un threat-modeling tool per identificare e priorizzare target di attacco<\/cite>.<\/p>\n<h2>Caso di Studio Critico: CVE-2026-5194 in wolfSSL<\/h2>\n<p>Il risultato pi\u00f9 preoccupante riguarda wolfSSL, una libreria TLS open-source critica. <cite>CVE-2026-5194 \u00e8 una vulnerabilit\u00e0 critica in wolfSSL \u2014 una libreria TLS open-source embedded in circa cinque miliardi di dispositivi IoT, automotive e industrial-control \u2014 scoperta da Claude Mythos Preview<\/cite>.<\/p>\n<p><cite>Una vulnerabilit\u00e0 in wolfSSL avrebbe consentito agli attaccanti di forgiare certificati TLS attraverso miliardi di dispositivi IoT e industrial<\/cite>. <cite>Mythos Preview ha costruito un exploit che avrebbe permettesso a un attaccante di forgiare certificati che (per esempio) gli permetterebbero di ospitare un sito web falso per una banca o provider email. Il sito parrebbe perfettamente legittimo a un utente finale, nonostante fosse controllato dall&#8217;attaccante<\/cite>.<\/p>\n<p>Qui si vede il vero pericolo: un&#8217;IA che non solo trova il bug, ma dimostra come sfruttarlo end-to-end, in autonomia. Nessun human-in-the-loop fino alla validazione finale.<\/p>\n<h2>Come Implemento Mythos-Era Vulnerability Detection: La Mia Procedura Enterprise<\/h2>\n<p><strong>Fase 1: Continuous Software Composition Analysis (SCA) Potenziato<\/strong><\/p>\n<p>Non basta pi\u00f9 scansionare il codice statico. Devo integrare:<\/p>\n<ul>\n<li>SCA continuo con <em>exploitability context<\/em> \u2014 non solo la vulnerabilit\u00e0 esiste, ma \u00e8 sfruttabile nel mio ambiente?<\/li>\n<li>Runtime analysis che sa cosa sta girando in produzione<\/li>\n<li>Data flow tracing automatizzato per capire raggiungibilit\u00e0 reale<\/li>\n<\/ul>\n<p><cite>Se faccio una cosa, assicuro di avere continuous Software Composition Analysis con exploitability e reachability context attraverso ogni repository, container e deployed service. Quando un CVE critico viene rilasciato, sapr\u00f2 entro minuti se sono affetto e dove<\/cite>.<\/p>\n<p><strong>Fase 2: Risk-Based Prioritization vs CVSS Score<\/strong><\/p>\n<p>Il CVSS statico \u00e8 morto. Nel 2026:<\/p>\n<ul>\n<li>Una vulnerabilit\u00e0 critica in un container di test non connesso a internet-facing: rischio = basso<\/li>\n<li>Una vulnerabilit\u00e0 media in un microservizio payment-processing con accesso ai dati clienti: rischio = critico<\/li>\n<\/ul>\n<p><cite>Una vulnerabilit\u00e0 remote code execution critica suona terrificante astrattamente. Ma se esiste in un ambiente di test non internet-facing, senza accesso ai dati di produzione e dietro tre livelli di segmentazione di network? Nel frattempo, una vulnerabilit\u00e0 SSRF di gravit\u00e0 moderata in un microservizio di payment-processing potrebbe essere quella che tiene un CISO sveglio la notte, per i dati che potrebbe esporre e le implicazioni normative di una breach<\/cite>.<\/p>\n<p><strong>Fase 3: Automated Remediation Workflows con Claude Security<\/strong><\/p>\n<p><cite>Claude Security \u00e8 una capability accessibile attraverso Claude.ai e Claude Code sul web che legge un codebase in contesto, trova vulnerabilit\u00e0 che uno scanner basato su regole perderebbe, e propone fix per review umana<\/cite>.<\/p>\n<p>Nel mio workflow attuale:<\/p>\n<ol>\n<li>Trigger: Nuovo CVE pubblica su OSS che uso<\/li>\n<li>Claude Security esegue scansione del mio codebase in context<\/li>\n<li>Sistema genera patch candidata con confidence rating<\/li>\n<li>Team di dev valida e approva prima del merge<\/li>\n<li>Deployment automatizzato in staging, poi produzione con rollback preconfigurat<\/li>\n<\/ol>\n<p><strong>Fase 4: Governance per Output AI-Generated<\/strong><\/p>\n<p>Questo \u00e8 il pezzo spesso ignorato ma critico. <cite>Strumenti come Claude Code Security e Google CodeMender conducono quello che si chiama adversarial self-review pass, il che significa che possono sfidare e criticare i propri risultati prima di presentarli. Questo livello aggiuntivo di scrutinio, che pu\u00f2 includere anche un LLM o un agente AI inviando i risultati a un altro modello o agente per validazione, potrebbe ridurre i falsi positivi e costruire controlli e equilibri nel processo. Ma le questioni che i modelli AI flaggano devono ancora essere controllate e confermate da umani<\/cite>.<\/p>\n<h2>La Geopolitica di Glasswing e Mythis Access<\/h2>\n<p>Una cosa che osservo come professionista italiano: <cite>Anthropic ha commesso 100 milioni di dollari in model credits al programma<\/cite>. I partner sono tutti grandi tecnologie o istituzioni critiche. Il progetto \u00e8 deliberatamente ristretto.<\/p>\n<p><cite>L&#8217;accesso rimane limitato perch\u00e9 i safeguard non hanno tenuto il passo con le capacit\u00e0. &#8220;Nessuna azienda \u2014 inclusa Anthropic \u2014 ha sviluppato safeguard abbastanza forti da prevenire questi modelli dall&#8217;essere abusati&#8221;<\/cite>.<\/p>\n<p>Per le aziende che non sono partner Glasswing, <cite>Claude Security \u00e8 disponibile in public beta per clienti Claude Enterprise<\/cite>. Non \u00e8 Mythos, ma \u00e8 una versione consumer di vulnerability detection con <cite>Claude Opus 4.7 come base, con <cite>safeguards che automaticamente rilevano e bloccano richieste indicando usi vietati o ad alto rischio di cybersecurity. Questi guardrail sono costruiti nel modello stesso, non bolted-on come filtro<\/cite><\/cite>.<\/p>\n<h2>Implicazioni per la Secure SDLC 2026 nelle Aziende<\/h2>\n<p>Se gestisci infrastrutture enterprise nel 2026, ecco cosa cambia:<\/p>\n<ul>\n<li><strong>Scanning Period \u2192 Continuous Vigilance:<\/strong> Quarterly assessment \u00e8 archeologico. Devi sapere l&#8217;exploit status del tuo codebase in real-time.<\/li>\n<li><strong>Static Tools \u2192 Runtime Context:<\/strong> Gli scanner statici vedono codice. I tuoi ambienti runtime evolvono. Devi SCA che conosce sia.<\/li>\n<li><strong>Manual Triage \u2192 AI-Assisted Risk Scoring:<\/strong> 23.000 vulnerabilit\u00e0 al mese? Non le triaggi manualmente. Agentic AI con human governance.<\/li>\n<li><strong>Patch Tuesday \u2192 Continuous Remediation:<\/strong> Non aspetti il mese prossimo. Patchi quando il rischio \u00e8 reale e la mitigazione \u00e8 pronta.<\/li>\n<li><strong>Secrets e Credentials \u2192 Zero-Trust Vault:<\/strong> Se il modello pu\u00f2 costruire exploit, deve almeno non avere accesso ai tuoi secret. MFA su tutto, rotation automatica.<\/li>\n<\/ul>\n<h2>Linkage con Altre Iniziative Enterprise 2026<\/h2>\n<p>Questo \u00e8 connesso ai trend pi\u00f9 ampi che sto tracciando:<\/p>\n<ul>\n<li><cite>L&#8217;implementation path tipicamente segue quattro stage: passare da periodic a continuous monitoring, rimpiazzare CVSS con risk-based prioritization, automizzare remediation workflows attraverso un agentic AI layer e native integrations con developer tooling, e stabilire governance per AI-generated code<\/cite> \u2014 e questo \u00e8 esattamente quello che i <a href=\"https:\/\/darioiannascoli.it\/blog\/governance-ai-agentici-2026-controlli-operativi-llm-monitoring-accountability\/\">sistemi AI agentici richiedono come governance operativa<\/a>.<\/li>\n<li><cite>Gli attaccanti ora sfruttano vulnerabilit\u00e0 in media 7 giorni prima che le patch vengano rilasciate. Quarterly scans, monthly maintenance windows, e Patch Tuesday rituals erano disegnati per un mondo dove i difensori avevano settimane per reagire. Non funzionano quando gli avversari sfruttano pi\u00f9 velocemente delle patch sviluppate<\/cite>. \u00c8 il concetto di <a href=\"https:\/\/darioiannascoli.it\/blog\/ai-cost-management-finops-token-billing-inference-caching-roim\/\">operationalizzazione ai scale<\/a> applicata alla sicurezza.<\/li>\n<li><a href=\"https:\/\/darioiannascoli.it\/blog\/nis2-hosting-provider-incident-reporting-asset-management-cloud-resilience\/\">NIS2 compliance per provider hosting<\/a> ora include anche il monitoraggio di AI-generated vulnerability at scale.<\/li>\n<\/ul>\n<h2>FAQ<\/h2>\n<h3>Cos&#8217;\u00e8 Claude Mythos Preview e perch\u00e9 \u00e8 ristretto?<\/h3>\n<p>Claude Mythos Preview \u00e8 un modello frontier AI di Anthropic che pu\u00f2 autonomamente scoprire, catturare e costruire exploit per vulnerabilit\u00e0 zero-day \u2014 senza intervento umano. \u00c8 ristretto perch\u00e9 nessuna azienda (inclusa Anthropic) ha sviluppato safeguard abbastanza forti per prevenirne l&#8217;abuso. L&#8217;accesso \u00e8 limitato a circa 50 partner enterprise critici tramite Project Glasswing.<\/p>\n<h3>Come i risultati di Mythos dai Project Glasswing impattano la mia azienda non-partner?<\/h3>\n<p>Due modi: primo, le vulnerabilit\u00e0 che Mythos scopre in open-source, OS e browser diventeranno CVE pubbliche e fluiranno nel tuo ambiente come findings da scanner standard. Secondo, altre aziende stanno costruendo capacit\u00e0 simili \u2014 entro 1-2 anni, avrai accesso a AI vulnerability detection simile tramite Claude Security o tool di competitor. Devi prepararti ora cambiando come triaggi e remedizzi.<\/p>\n<h3>Claude Security \u00e8 abbastanza per la mia infrastruttura enterprise?<\/h3>\n<p>Claude Security (pubblica beta per Claude Enterprise) \u00e8 una capability consumer di vulnerability detection, non Mythos. \u00c8 potente per il lavoro di sviluppo e staging, ma per production critical infrastructure, devi stratificare: continuous SCA, runtime analysis che conosce il tuo ambiente reale, risk prioritization basata su exploitability nel tuo contesto, e human governance su tutti gli output di remediation suggeriti da IA.<\/p>\n<h3>Cosa significa &#8220;il modello scopre bug pi\u00f9 veloce di quanto il maintainer possa bere caff\u00e8&#8221;?<\/h3>\n<p>La velocit\u00e0 di scoperta di AI \u00e8 now il nuovo bottleneck. Nel 2025, la sfida era trovare vulnerabilit\u00e0. Nel 2026, \u00e8 verificare, divulgare, e patchare pi\u00f9 velocemente di quanto l&#8217;IA le trovi. Significa che le strategie di patch management tradizionali (quarterly scans, Patch Tuesday) sono obsolete. Devi continuous assessment e remediation on-demand.<\/p>\n<h3>Come integro Claude Security nel mio SDLC senza rallentarlo?<\/h3>\n<p>Integralo in tre punti: (1) pre-commit checks locali con Claude Code Security per catturare flaws di sviluppatore prima del push; (2) PR\/merge gate scans automatici che bloccano se trovati vulnerability sopra il threshold di rischio del tuo contesto; (3) runtime scans periodici su staging\/prod che alimentano il tuo SCA dashboard e triaggi continuamente.<\/p>\n<h2>Conclusione: Il Mythos-Era SDLC \u00e8 Qui<\/h2>\n<p>Nel maggio 2026, <cite>Anthropic ha pubblicato i risultati del primo mese di Project Glasswing<\/cite>. I numeri (23.019 vulnerabilit\u00e0, 6.202 critiche) sono impressionanti. Ma il vero shift \u00e8 questo: <cite>l&#8217;era della scoperta di vulnerabilit\u00e0 a velocit\u00e0 umana \u00e8 finita. Siamo ora nell&#8217;era dove il modello trova il bug pi\u00f9 velocemente del tempo per il maintainer di bere caff\u00e8. Project Glasswing \u00e8 il primo mese di quell&#8217;era<\/cite>.<\/p>\n<p>Per chi come me gestisce infrastrutture enterprise, non \u00e8 facoltativo. I tuoi processi SDLC devono evolvere da periodic assessment + manual triage a continuous analysis + AI-assisted remediation with human governance. <cite>Senza i propri sistemi AI difensivi specializzati, i difensori saranno sopraffatti<\/cite>.<\/p>\n<p>La buona notizia? Anthropic ha gi\u00e0 stanziato i tool (Claude Security, Cyber Verification Program, custom skills). Hai un percorso. La domanda \u00e8: quando cominci?<\/p>\n<p><strong>Commenta qui sotto<\/strong>: quali sono le tue sfide maggiori nel scalare vulnerability detection con volume Mythos-scale? Stai gi\u00e0 testando Claude Security o strumenti simili nel tuo stack SDLC?<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Project Glasswing di Anthropic ha scoperto 23.019 vulnerabilit\u00e0 in un mese usando Claude Mythos. Come questo cambia il Secure SDLC enterprise nel 2026 e cosa significa per la tua infrastruttura.<\/p>\n","protected":false},"author":1,"featured_media":2078,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"Project Glasswing Anthropic: Mythos CVE Detection | SDLC 2026","_seopress_titles_desc":"Claude Mythos identifica 23.019 CVE autonomamente. Scopri come Project Glasswing trasforma la vulnerability detection enterprise e l'impatto su Secure SDLC.","_seopress_robots_index":"","footnotes":""},"categories":[128],"tags":[484,582,633,845,810],"class_list":["post-2077","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-a-i","tag-ai-security","tag-claude-mythos","tag-project-glasswing","tag-secure-sdlc","tag-vulnerability-detection"],"_links":{"self":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts\/2077","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/comments?post=2077"}],"version-history":[{"count":0,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts\/2077\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/media\/2078"}],"wp:attachment":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/media?parent=2077"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/categories?post=2077"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/tags?post=2077"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}