Firefox 150 та AI: як Anthropic знайшов 271 вразливість у браузері

У квітні 2026 року Mozilla випустила Firefox 150 — і майже одночасно стало відомо про безпрецедентне відкриття: AI-модель Anthropic під назвою Mythos автоматично виявила 271 вразливість нульового дня у коді браузера. Це не просто новина про чергове оновлення. Це сигнал про те, що ера ручного аудиту безпеки добігає кінця — і відкритий код стоїть на порозі революції.

Для мільйонів користувачів Firefox — включно з Україною — це важливо безпосередньо: браузер, яким ви щодня користуєтеся для банківських операцій, листування та роботи, більше не може покладатись на повільний ручний аудит. І в цьому — хороша новина.

Що трапилося: Firefox 150 і рекордне виявлення вразливостей

Mozilla Firefox 150 вийшов як планове оновлення. Але цього разу хронологія виглядала інакше: до офіційного релізу Anthropic оголосила, що їхня модель Mythos провела автоматизований аудит коду браузера і знайшла 271 раніше невідому вразливість — zero-day, тобто такі, про які розробники ще не знали.

Для порівняння: середній обсяг вразливостей, які знаходять людські дослідники за квартал у проєктах такого масштабу, рідко перевищує кілька десятків. Тут — 271 за один сеанс автоматизованого аналізу. Mozilla підтвердила більшість знахідок і випустила виправлення у складі Firefox 150. Користувачі, які своєчасно оновляться, автоматично отримують захист від всіх цих вразливостей.

Хто такий Mythos і чому це важливо для кожного

Anthropic — компанія з AI-досліджень, відома насамперед асистентом Claude. Але Mythos — це не чат-бот. Це спеціалізована модель для автоматизованого аналізу безпеки коду, яка вміє:

• читати великі кодові бази (Firefox містить мільйони рядків C++, Rust, JavaScript)
• виявляти небезпечні патерни: переповнення буфера, use-after-free, ін’єкції
• генерувати proof-of-concept для підтвердження знахідок
• класифікувати вразливості за ступенем небезпеки (CVSS)

Це якісний стрибок порівняно з традиційними статичними аналізаторами на кшталт Coverity або CodeQL. Mythos виявляє нові класи помилок завдяки глибокому розумінню семантики коду, а не лише відомих синтаксичних паттернів.

Як виглядає AI-аудит безпеки зсередини

Звичний цикл безпеки відкритого ПЗ виглядав так: дослідник вручну вивчає код → знаходить вразливість → пише CVE-звіт → очікує виправлення місяцями → патч виходить в оновленні. Цей процес повільний і дорогий. Для таких проєктів, як Firefox, повний ручний аудит займає роки — і все одно залишає прогалини.

AI-підхід змінює цю динаміку фундаментально:

• Час аналізу: години замість місяців
• Охоплення: весь кодовий рядок, а не вибірка
• Відтворюваність: аудит можна повторити після кожного коміту
• Масштаб: один AI-аудитор може одночасно перевіряти десятки проєктів

LWN.net, авторитетне Linux-видання, описуючи паралельну новину про видалення коду з ядра Linux на основі LLM-звітів, влучно сформулювало: “zero-days are numbered” — вразливостей нульового дня стає дедалі менше, але не тому, що їх немає, а тому що AI знаходить їх систематично і швидко.

271 вразливість: що означають ці цифри для вас

Не всі 271 вразливість однаково небезпечні. За шкалою CVSS вони розподіляються орієнтовно так:

• Критичні (CVSS 9+): виконання довільного коду — дозволяють атакнути браузер просто через відвідування шкідливого сайту
• Високі (CVSS 7-9): витік пам’яті, крос-доменний доступ до даних користувача
• Середні та низькі: потребують додаткових умов з боку атакуючого

Конкретний розподіл Mozilla не публікувала у відкритому вигляді, але вже сам факт 271 знахідки означає одне: якщо ви досі на Firefox 149 або старіше, ваш браузер містить вразливості, про які вже знають дослідники. Оновлення — це не рекомендація. Це обов’язок.

Чому відкритий код стає безпечнішим завдяки AI

Парадоксально, але Firefox у цій ситуації виграє, а не програє. Саме відкритість коду дозволила Mythos провести такий аудит. Закриті браузери (Safari від Apple майже повністю закритий) не можуть пройти такий же незалежний зовнішній аналіз.

Це принципова перевага відкритого ПЗ в епоху AI-аудиту:

• Відкрите ПЗ: код доступний → AI аналізує → вразливості знаходяться → виправляються швидко
• Закрите ПЗ: лише внутрішній аудит → зовнішні дослідники обмежені → вразливості приховуються довше

Про це варто пам’ятати, коли обираєте браузер для щоденного використання. У нашому повному порівнянні браузерів приватності 2026 — Brave, Firefox, LibreWolf та Tor — всі вони побудовані на відкритому коді, і саме тому отримують переваги від такого типу зовнішнього аудиту.

Ядро Linux: той самий тренд на прикладі

Паралельно LWN.net повідомив про інший феномен у відкритому програмному забезпеченні: LLM-моделі генерують звіти про вразливості в ядрі Linux, і мейнтейнери ядра вже видаляли код на основі цих звітів. Деякі видалення виявились надмірними (хибнопозитивні спрацьовування), але тенденція незворотня.

Спільнота ядра Linux зараз розробляє процедури для фільтрації AI-генерованих звітів — як відрізнити реальні знахідки від “галюцинацій” моделі. Це нова реальність відкритого коду: тисячі AI-аудиторів 24/7 аналізують код, і open source повинен навчитись із цим ефективно працювати.

Практичні кроки: що зробити прямо зараз

Якщо ви використовуєте Firefox:

1. Відкрийте Firefox
2. Меню (☰) → Help → About Firefox
3. Оновлення завантажиться автоматично
4. Перезапустіть браузер після встановлення

Якщо ви використовуєте LibreWolf (приватна збірка Firefox): LibreWolf зазвичай відстає від Firefox на 1–3 дні. Перевірте librewolf.net для поточної версії.

Додаткові заходи безпеки після оновлення:

• Встановіть розширення uBlock Origin для блокування шкідливого JS
• Активуйте DNS-over-HTTPS: Настройки → Мережа → HTTPS через DNS
• Перегляньте збережені паролі — після виявлення вразливостей варто оновити критично важливі

Для захисту облікових записів після оновлення браузера — перегляньте також наш гід на менеджери паролів 2026: Bitwarden, KeePass та Proton Pass. Старі паролі могли бути скомпрометовані через вразливості попередніх версій браузера.

Tor Browser та ESR: особливий випадок

Tor Browser базується на Firefox ESR (Extended Support Release) — гілці з довгостроковою підтримкою. ESR отримує менше нових функцій, але всі критичні security patches. Команда Tor Project оперативно інтегрує виправлення з Firefox у свої збірки.

Якщо ви використовуєте Tor Browser для анонімності — слідкуйте за оновленнями через офіційний сайт torproject.org. Версія Tor Browser 15.0.10 уже вийшла і включає актуальні виправлення безпеки. Оновлення через вбудований механізм браузера — безпечніший спосіб, ніж завантаження зі сторонніх ресурсів.

Куди рухається безпека відкритого коду

У довгостроковій перспективі AI-аудит безпеки трансформує всю індустрію відкритого ПЗ. Декілька напрямків, що вже формуються:

• Continuous security audit: після кожного коміту AI-модель автоматично перевіряє зміни
• Bug bounty 2.0: замість людських дослідників — змагальні AI-системи
• Semantic understanding: майбутні моделі розумітимуть бізнес-логіку, а не лише синтаксичні паттерни
• Cross-project analysis: AI знаходитиме вразливості в бібліотеках, що використовуються в десятках проєктів одночасно

Разом з локальними AI-інструментами на кшталт Ollama — де Llama, Mistral та Gemma запускаються без відправки даних у хмару — це формує нову екосистему: AI, що захищає наш цифровий простір локально і прозоро.

Висновок: Firefox 150 — оновлення, яке варто поставити сьогодні

271 знайдена вразливість — це не привід панікувати. Це доказ того, що відкрите ПЗ плюс AI-аудит рівняється швидке виявлення та закриття загроз. Firefox 150 виходить безпечнішим, ніж будь-яка попередня версія, саме тому що відкритість коду дозволила провести такий масштабний зовнішній аналіз.

Три дії, які варто зробити сьогодні: оновити Firefox до версії 150, активувати DNS-over-HTTPS, переглянути критичні паролі у менеджері паролів. Ці прості кроки закривають переважну більшість векторів атак, які щойно були виявлені й усунені.

Відкритий код захищає тих, хто його підтримує — оновленнями, звітами про баги і простим використанням. Firefox 150 — це маленький, але конкретний крок у напрямку безпечнішого інтернету.

• Share on Bluesky
• Share on Facebook
• Share on LinkedIn
• Email this Page
• Print this Page
• Share on Reddit
• Share on Tumblr
• Share on WhatsApp
• Share on Viber
• Share on Threads
• Share on Telegram
• Share on X

Незалежні новини від News Group – Дякує Вам за підтримку та активність, ми цінуємо кожного, та хвилюємось за Вас, якщо ви бажаєте підтримати наш проєкт або додати пропозицію.

Для звʼязку переходьте за посиланнями:

• Mastodon
• Bluesky
• LinkedIn
• X

Приєднуйтесь до соціальної мережі для інвесторів та підприємців VIR.GROUP — live-стрічка проектів, ескроу-угоди, VIR AI аналітика і Matrix-чат.

VIR.GROUP is available on Google Play VIR.GROUP is available on the App Store

Наша захищена Мережа Mastodon