这周刷新闻的时候，我被一条消息惊出一身冷汗 ——Anthropic 刚发布的新 AI 模型 Mythos，居然让美国财长和美联储主席紧急把华尔街所有顶级银行 CEO 召去华盛顿开了闭门会。美加英三国监管同步动作，网络安全专家直接警告：这可能给传统银行系统带来颠覆性的网络风险。 今天我就从技术视角，给大家拆解清楚这件事到底意味着什么。 事件梳理：一款新模型引发的全球监管警觉 事情的来龙去脉其实很清晰：4 月 7 日，Anthropic 正式发布了 Mythos 模型，官方定位是 "迄今为止在编码和代理任务方面能力最强的模型"，也就是说它不仅代码写得好，还能自主完成复杂任务。 但发布仅仅几天后，Anthropic 自己先泼了冷水：公司公开警告，Mythos 的能力可能极大增强复杂网络攻击，对传统技术架构的行业构成重大威胁。紧接着，美国财政部长贝森特和美联储主席鲍威尔直接紧急召集了美国银行、花旗集团、高盛、摩根士丹利等所有系统重要性银行 的 CEO 开会 —— 要知道，能让两大金融监管一把手同时出面，直接对话 CEO 级别，足见这件事的紧迫性。 随后英国、加拿大监管也跟进：英国央行将在近期联合财政部讨论相关威胁，加拿大已经召集本国金融机构开了风险沟通会。云安全联盟直接点出核心问题：Mythos 大幅降低了利用漏洞的技能门槛，原来只有顶尖黑客能做的复杂攻击，现在普通攻击者也能完成了 。 更有意思的是，Anthropic 自己也不敢大规模开放这个模型：目前只对摩根大通、亚马逊、苹果等少数机构有限开放，拉了个 "Project Glasswing" 项目，让这些头部机构一起用 Mythos 做防御测试，提前加固关键系统。 Mythos 到底强到了什么程度？为什么这么危险？ 我们换个通俗的说法理解 Mythos 的能力：它就像一个自带漏洞搜索引擎的 AI 黑客，能自动帮你完成从挖漏洞到写攻击代码的全流程。 根据已经公开的测试结果，这款模型的能力确实超出很多人的预期： 1.覆盖全场景漏洞挖掘 Mythos 能够识别并利用 所有主流操作系统和主流网络浏览器 中的漏洞，攻击面几乎覆盖了所有数字基础设施；
2.能挖出 "陈年旧漏" 内部测试中，它找到了 OpenBSD 操作系统中存在了 27 年的远程崩溃漏洞，还发现了 FFmpeg 中一个埋藏 16 年的漏洞 —— 这个漏洞之前被自动化工具扫描了超过 500 万次，从来没有触发过警报，结果直接被 Mythos 揪了出来；
3.自主构 建完整攻击 链 它不需要人工一步一步指令，能自己把多个零散漏洞串联起来，构建出从普通用户权限提升到完全控制服务器的完整攻击流程，这在过去是顶级黑客团队才能完成的复杂任务。
最可怕的不是它能力强，而是它把攻击门槛拉到了地板上 。过去想做高级漏洞利用，你得懂逆向工程、会写 exploit、还要懂各种绕过防护的技巧，没个三五年功力根本玩不转。现在好了，只要会给 AI 发指令，哪怕是新手也能拿着 Mythos 搞事情 —— 这就是为什么监管这么紧张。 为什么偏偏银行业最慌？ 很多人会问：不就是一个 AI 模型吗，至于让全球金融监管动起来？其实银行业的脆弱性，刚好被 Mythos 精准命中了。 第一，银行业的技术架构太特殊了：新老系统混堆，遗留系统一堆坑 。和互联网公司几年就重构一次技术栈不同，银行很多核心交易系统还跑着几十年前的老代码，有些甚至还是上个世纪的遗留系统，早就没人维护了。这些系统里藏了多少未知漏洞，没人说得清。过去黑客想批量挖这些老系统的漏洞，成本太高难度太大，现在 Mythos 几天就能扫完一遍，直接把这些暗坑都亮出来了。 第二，高度互联，牵一发动全身 。银行业是典型的 "一损俱损"，大家用的基础软件、第三方供应商都高度重合。如果 Mythos 找出了某个通用组件的漏洞，黑客一次攻击就能打穿一大堆银行，很容易引发系统性风险。就像安全专家说的："一次成功的 AI 驱动攻击，可能在整个行业产生连锁反应"。 第三，传统防御体系已经过时了 。现在银行的安全策略基本都是 "已知漏洞防御"—— 打补丁、封 IP、入侵检测，都是基于已经曝光的漏洞做防护。但 Mythos 能快速挖出大量之前没人知道的零日漏洞，原来的防御规则直接就失效了。这也是为什么行业呼吁要赶紧制定新的安全策略，原来的玩法顶不住了。 AI 攻防时代来了，我们该怎么办？ 这件事其实给整个网络安全行业敲了一个警钟：AI 改变攻防格局的时代，比我们预想的来得更快。从我作为研究生的角度看，接下来几个趋势肯定会加速到来： 1. 攻防两端都会全面 AI 化 以后不管是攻击还是防御，都会变成 AI 对 AI 的对抗。攻击者用 AI 挖漏洞写攻击代码，防御者也得用 AI 提前扫描自己的系统、找漏洞、做自动化加固。就像这次 Anthropic 的做法，主动把 Mythos 开放给金融机构做防御测试，其实就是 "以 AI 制 AI" 的思路。 2. 金融行业会加速遗留系统改造 这次事件之后，全球银行肯定会把遗留系统的安全升级提上优先级。那些运行了二三十年的老系统，以前觉得 "能不动就不动"，现在不动不行了 —— 不然真被 AI 挖了漏洞，后果不堪设想。 3. 大模型监管会越来越聚焦 "能力风险" 以前我们聊大模型监管，更多说的是偏见、隐私、生成有害内容，接下来针对大模型的网络攻击能力，肯定会出专门的监管规则。像 Mythos 这种 "限渠道有限开放" 的模式，大概率会成为高能力编码模型的标准发布方式，不可能再随便放开给所有人用。 我的一点思考 我看到这个新闻最大的感受是：AI 的 "双刃剑" 效应，终于从纸面讨论变成了真实的风险。以前我们总说 "AI 能帮我们更好地找漏洞，提升安全能力"，但没想到攻击端的能力提升，居然来得这么快这么猛。 这件事其实也给我们国家的金融机构提了醒：不要觉得这是美国的事，和我们没关系。大模型的能力扩散很快，类似 Mythos 的高能力编码模型很快就会越来越多，提前排查自己的遗留系统，早点用 AI 做攻防演练，真的不是杞人忧天。 有意思的是，这次 Anthropic 自己主动限制模型发布，其实反而挺负责任的 —— 技术发展太快，安全前置比什么都重要，总比放开了出大事再补救要好。
夜雨聆风
