AI挖出一个藏了27年的系统漏洞,细思极恐

一、27年的Bug：AI做到了人类做不到的事

OpenBSD是一个以极端安全性著称的开源操作系统。它的口号是"只有两个远程漏洞"——在长达数十年的历史中，只有极少数远程可利用的安全漏洞被发现。这个操作系统经过了数不清的安全审计、代码审查和渗透测试——全世界最顶尖的安全研究者都看过它的代码。

然而Mythos在OpenBSD的代码中找到了一个隐藏了27年的Bug。27年——这意味着从1999年起，这个漏洞就一直存在于代码中，经历了数以百计的人类审计都没有被发现。不是因为人类审计者不够优秀——OpenBSD的审计者可能是世界上最严格的一群人。而是因为这个Bug足够隐蔽，隐蔽到只有具备"以机器速度推理漏洞利用路径"能力的AI才能发现它。

这件事的含义是双重的。积极的一面：AI可以找到人类几十年都找不到的安全隐患，这对整个互联网的安全是一件好事。恐怖的一面：如果Mythos级别的AI模型被恶意行为者获取或复制，他们将拥有一种前所未有的自动化漏洞发现武器——可以在所有主流软件中以机器速度批量发现零日漏洞。这就是Anthropic决定不公开发布Mythos的根本原因。

二、数千个漏洞：规模化的恐惧

27年老Bug只是冰山一角。根据已公开的信息，Mythos在广泛使用的应用中发现了数千个软件漏洞——不是几十个、不是几百个，是数千个。这些漏洞分布在主流操作系统、浏览器和各类常用软件中。

全球网络安全行业每年投入数十亿美元来做漏洞发现和修复工作。整个行业——包括所有的安全公司、政府机构的安全团队、独立安全研究者和Bug赏金猎人——每年大约能发现和报告数万个漏洞。而一个AI模型在相对较短的时间内就找到了数千个。这不是在辅助安全研究——这是在用工业化的速度取代安全研究的核心工作。

Anthropic投入1亿美元信用额用于安全修复的决定也说明了发现的漏洞数量之多和严重性之高。1亿美元不是一个象征性的数字——它意味着需要大量的计算资源来持续运行Mythos进行安全审计，以及协调数以百计的软件项目进行漏洞修复。Anthropic实际上是在说：我们发现的问题太多了，修复它们本身就是一项需要大量投资的工程。

配图 | 虾米数码

三、攻防速度差：防御者的噩梦

NeuralBuddies的分析提出了这件事最核心的问题：如果防御者（Anthropic和Project Glasswing联盟）和攻击者（国家级黑客组织、网络犯罪团伙）同时拥有了类似能力的AI，谁会赢？

防御者面临一个结构性的劣势：发现漏洞只需要几秒钟，但修复漏洞需要数天到数周。每修复一个漏洞都需要：理解漏洞的影响范围、编写修复补丁、测试补丁不会引入新问题、经历发布和部署的流程。而攻击者只需要找到一个未修复的漏洞就够了。

这就是为什么Project Glasswing的"先发制人"策略如此重要——在攻击者用AI发现同样的漏洞之前，让防御者先找到并修复它们。但这场军备竞赛的结果高度取决于一个变量：攻击者多快能获得类似Mythos的能力？考虑到开源模型的快速发展和模型蒸馏技术的成熟，这个时间窗口可能比大多数人期望的更短。

四、对普通人和企业的影响

对普通用户来说，这件事的最直接影响是：保持你所有软件的更新变得比以往任何时候都更加重要。AI发现漏洞的速度远超人类，这意味着安全补丁的发布频率将加快——那些你总是点"稍后提醒我"的系统更新对话框，现在真的不能再忽视了。每一个你没有及时安装的安全更新，都可能是一个已经被AI发现并可能被攻击者利用的漏洞。

对企业安全团队来说，AI驱动的漏洞发现意味着你的威胁面（attack surface）正在以前所未有的速度被映射。如果你的企业使用的任何软件中存在安全漏洞，那么AI发现这些漏洞只是时间问题——问题是好人的AI先发现还是坏人的AI先发现。加速补丁管理流程、缩短从补丁发布到部署的时间窗口，应该成为2026年每个企业安全策略的首要优先事项。