夜雨聆风本周，AI 安全公司 Anthropic 宣布了一件让整个网络安全行业都为之震动的事——他们训练出了一个名叫 Claude Mythos Preview 的 AI 模型，这个模型在每一个主流操作系统和每一个主流浏览器中都发现了高危安全漏洞。
更让人不安的是，它不仅能找到漏洞，还能自主编写利用漏洞的攻击代码。
一个改变游戏规则的时刻
过去，发现软件中的安全漏洞需要顶尖的安全研究员花费数周甚至数月的时间，逐行审查代码、构建测试用例。能做到这一点的人才，全世界屈指可数。
但现在，一个 AI 模型做到了这些人做到的事——甚至做得更好。
Mythos Preview 发现了数千个零日漏洞（即此前从未被任何人发现过的漏洞），其中一些已经在代码中潜伏了数十年：
- • OpenBSD 中的一个 27 年老漏洞：OpenBSD 被公认为世界上最安全的操作系统之一，广泛用于防火墙和关键基础设施。Mythos Preview 却发现，攻击者仅需连接到该系统，就能远程让整台机器崩溃。这个漏洞存在了 27 年，从未被人类发现。
- • FFmpeg 中的一个 16 年老漏洞：FFmpeg 是全球无数软件用来编解码视频的核心组件。在一行代码上，自动化测试工具已经跑过了 500 万次，却从未触发过这个问题——而 Mythos Preview 找到了。
- • Linux 内核漏洞链：模型自主发现并串联了 Linux 内核中的多个漏洞，实现了从普通用户权限到完全控制整台机器的提权攻击。要知道，Linux 内核驱动着全球大多数服务器。
在 CyberGym 网络安全基准测试中，Mythos Preview 的漏洞复现成功率达到 83.1%，远超此前最强模型 Claude Opus 4.6 的 66.6%。
Project Glasswing：「玻璃翼」防御计划
面对如此强大却又危险的能力，Anthropic 没有选择公开发布这个模型。
相反，他们发起了 Project Glasswing（「玻璃翼」计划，以一种翅膀透明的蝴蝶命名），联合了全球科技界的重量级玩家——亚马逊云科技（AWS）、苹果、谷歌、微软、英伟达、CrowdStrike、思科、Palo Alto Networks、摩根大通、Linux 基金会等，共同用这个模型来保护全球最关键的软件基础设施。
目前，大约 50 家精选的公司和组织获得了 Mythos Preview 的访问权限。Anthropic 承诺投入高达 1 亿美元的使用额度来支持这些安全防御工作，并向开源安全组织直接捐赠 400 万美元。
为什么不公开发布？
答案很简单：风险太高。
Mythos Preview 不仅能找到漏洞，还能编写利用漏洞的武器化代码。如果这种能力落入恶意攻击者手中，后果将是灾难性的。
网络安全公司 Corridor 的首席安全官 Alex Stamos 直言：「大语言模型在漏洞发现能力上已经超越了人类。」他曾先后担任过雅虎和 Facebook 的安全负责人。
目前，最先进的开源模型（开放权重模型）与最先进的闭源模型之间的差距不到一年。一旦开源模型追上来，恶意攻击者就可以复制它们、移除安全护栏，从而不仅用 AI 找漏洞，还能自动生成攻击代码。
硬币的另一面
不过，硬币总有两面。
过去一年里，AI 在发现安全漏洞方面的能力突飞猛进，这同样让防御者受益匪浅。
cURL 的首席开发者 Daniel Stenberg 的经历就很有代表性。cURL 是一个有 30 年历史的开源数据传输工具，被广泛用于汽车、医疗设备等物联网场景。2025 年，他收到了 185 份安全报告，其中不到 5% 是真正的安全问题——大量 AI 生成的低质量报告让他不堪其扰，甚至停止了赏金支付。
但到了 2026 年，情况发生了戏剧性的逆转。报告量更大了，但质量大幅提升——低质量报告几乎消失了。仅三个月内，cURL 团队发现并修复的漏洞数量就超过了之前每年的总和。Stenberg 用 AI 一键扫描自己的代码，找出了 100 多个经过人类多轮审查后仍然遗漏的 Bug，他用了一个词来形容：「几乎是魔法。」
Linux 基金会 CEO Jim Zemlin 也表示：「维护者们在 AI 出现之前就已经超负荷工作了，这（Mythos Preview）让他们的生活好了很多。」
这对普通人意味着什么？
安全专家 Daniel Blackford 的话或许可以让普通用户稍微安心：「我不认为普通电脑用户需要从根本上担心这件事。他们更需要担心的是不要把自己的密码泄露出去——因为这种事每天都在发生。」
但对于企业、政府和关键基础设施的运营者来说，这是一个明确的信号：网络安全的旧方法已经不够了。
正如思科首席安全官 Anthony Grieco 所说：「AI 的能力已经跨过了一个门槛，从根本上改变了保护关键基础设施免受网络威胁所需的紧迫性，而且已经没有回头路了。」
写在最后
AI 在网络安全领域的能力正以惊人的速度演进。几个月前，AI 生成的安全报告还是一堆垃圾；现在，它已经能发现人类 27 年都没发现的漏洞。
Project Glasswing 的启动，标志着 AI 驱动的网络安全攻防进入了一个全新阶段——攻击和防御的天平正在重新调整。防御者需要与 AI 携手合作，而不是与之对抗。
这场博弈才刚刚开始。
参考来源：NPR、Anthropic 官方公告、CNET、Business Insider、Fortune
