AI-toegang leidt tot 120% meer kwetsbaarheidsmeldingen zonder minder snelle fixes

Wat er gebeurde

Een preprint van Project Glasswing, gepubliceerd op 4 november, vergelijkt bedrijven die vroeg toegang kregen tot Anthropic's Mythos Preview met Chinese bedrijven zonder die toegang. De hoofdvergelijking bestrijkt oktober 2025 tot en met september 2026.

De analyse kijkt naar 13 deelnemende bedrijven tegenover 267 Chinese bedrijven. De studie meldt ongeveer 120% meer gepubliceerde kwetsbaarheden bij de deelnemers. Voor hoog-impact kwetsbaarheden schat de paper ongeveer 150% meer meldingen.

Eerdere analyse van Epoch AI, van 2 juli, toonde al een toename in hoge en kritieke meldingen na Mythos Preview. Die analyse waarschuwde dat publieke tellingen niet laten zien wat niet wordt gemeld.

Mosk onderzocht ook de snelheid van fixes. Hij gebruikte twee reparatiekanalen. De eerste volgt 658 fouten die via de Zero Day Initiative aan vendors werden gemeld tot juni 2026. De tweede volgt 14.855 kwetsbaarheden die tot juli werden gepubliceerd en door Linux-distributies werden gevolgd.

In beide kanalen vond de studie geen statistisch detecteerbare vertraging. De mediaan voor tijd tot fix bleef één dag. De vendoranalyse sluit een vertraging groter dan ongeveer 13% uit. De downstreamanalyse laat nog een mogelijke daling van circa 11 procentpunt in het aandeel binnen 90 dagen gefikste gevallen toe.

Wat exploitatie betreft vond Mosk, in een vergelijking met grote non-Chinese bedrijven tot mei, geen statistisch significante verandering in het aantal bekende geëxploiteerde kwetsbaarheden over maandvensters. In sommige vergelijkingen daalde het aandeel gedocumenteerde kwetsbaarheden dat bekend is als geëxploiteerd. Dat kan komen doordat het totaal aantal meldingen groeide.

De studie benadrukt beperkingen. Toegang tot Glasswing was niet willekeurig en nationale meldpraktijken verschillen. De analyses meten alleen openbaar gemelde kwetsbaarheden, bekende exploitaties en in bepaalde reparatiekanalen. Onbekende ontdekkingen, niet-gemelde aanvallen en installatie van patches door gebruikers blijven buiten beeld.

CryptoSlate meldde op 29 oktober dat Bitcoin Core drie met AI ontdekte kwetsbaarheden openbaar maakte na validatie en patches. Installation over nodes wordt daarbij niet gemeten.

Waarom dit telt

Meer openbaar gemaakte kwetsbaarheden met gelijkblijvende fix-snelheid kan betekenen dat AI-tools het vinden en melden versnellen, maar het zegt niets over verborgen achterstanden of of softwaregebruikers de fixes ook daadwerkelijk installeren.