夜雨聆风1999年，一个安全缺陷被写进了OpenBSD的代码里。
那时候，网景浏览器还在和IE争浏览器市场，大多数人用56K的猫拨号上网，谷歌连公司都还没成立。这个bug就这样安安静静地躺在某一行的源代码中，一个所有安全专家都错过了的细微疏忽。
2007年，iPhone诞生，它在。
2014年，心脏出血漏洞震动全球，它还在。
2026年5月，这个横跨了四分之一个世纪的安全缺陷，终于被找到——不是被哪一位全球顶尖安全专家熬夜翻代码翻出来的，而是被一个AI发现的。
发现它的是Anthropic内部正在测试的代码安全审计模型——Claude Mythos Preview。在同一次大批量代码扫描中，这个模型还顺手从Firefox的代码库里翻出了271个安全漏洞，导致Mozilla紧急发布Firefox 150一次性全部修复。FreeBSD也没幸免——一个存在了17年的远程代码执行漏洞被一并发现。
美联储主席鲍威尔和财政部长贝森特为此专门召集了全美各大银行的CEO闭门开会。会议主题不是利率，不是通胀，就是这个AI的能力，以及它一旦被恶意使用可能给金融体系带来的系统性风险。
一个模型，同时惊动了浏览器厂商、操作系统社区和全球金融监管机构。
这不是科幻电影的开头。这是2026年5月真实发生的事。
｜一、一次"平平无奇"的代码审计
Claude Mythos Preview是Anthropic开发的一个专门用于代码安全审计的大模型——目前还没有公开发布。在Anthropic内部的一次批量代码审计测试中，安全团队做了一件听起来很简单的事：把几大主流操作系统和浏览器的源代码丢给Mythos，让它"看看有没有问题"。
这不是渗透测试。不是黑客攻击。不是什么秘密武器。
本质上，就是找一个审稿人来做一次全面的通读。
只是这个"审稿人"不会累、不会分心、不会因为看了三万行代码就眼睛发酸。它会逐行、逐函数、逐路径地检查每一条代码路径。它在Firefox的代码库里找到了271个安全问题。对于在Mozilla工作了十年的安全工程师来说，这些漏洞就在他们眼皮底下——不是因为它们藏得有多深，而是因为人类的大脑不擅长在一千多万行代码中建立跨模块的因果关系。一个函数在A文件里定义，它的调用在B文件里发起，上下文涉及到数百个文件中的相关代码——这种"大范围推理"恰好是人类的弱点，恰恰是AI的优势所在。
更让安全界震惊的是那个存在了27年的OpenBSD漏洞。
OpenBSD以安全著称。它的社区对代码质量的追求近乎偏执——宣传口号就是"默认安全"。27年里，无数安全专家审过它的代码，发现并修补了无数漏洞。但有一个bug，在代码里躺了27年，直到一个AI把它翻了出来。
27年是什么概念？
1999年这个bug被写进代码的时候，大多数人还在用拨号上网。
2001年，iPod发布，Windows XP上市，它在。
2007年，第一代iPhone面世，它在。
2014年，心脏出血漏洞（Heartbleed）成为全民话题，它还在。
2026年的今天，它终于被找到了。
一个跨越了四分之一个世纪的安全缺陷。不是因为它藏得有多深，而是因为人类的注意力极限决定了——你不可能在没有遗漏的情况下审查完数百万行代码。而AI可以。
｜二、"零日漏洞"的游戏规则正在被重写
在网络安全领域，"零日漏洞"指的是软件开发者还不知晓、因而没有任何补丁的安全缺陷。名字来源于"开发者知道这个漏洞的第零天"——在你发现它之前，它可能已经被利用了不知道多久。
一个零日漏洞在黑市上的价值，可以达到数百万美元。过去，发现它们需要顶尖安全专家花几周甚至几个月时间钻研同一段代码，靠的是直觉、经验和对特定编程语言或系统架构的深度理解。
Mythos做的事情，等价于把"需要几周"变成"几小时后"，把"靠运气"变成"可复现"。
不是找到了一两个漏洞。是一次扫描，找到了数百个。
这是量变，也是质变。当漏洞发现效率从"几个月找几个"提升到"几小时内找几百个"，整个安全策略都需要重新设计。
传统模式下，防御的策略是：发现一个，修补一个，同时祈祷没有更聪明的攻击者找到剩下的。这种"打地鼠"式的做法，在有限的漏洞数量面前还勉强可行。但当AI可以在短时间内地毯式扫描整个代码库时，过去那种"对方应该找不到"的侥幸基础就不复存在了。
这不是某个特定厂商的问题。Windows、Linux、macOS——全球三大主流操作系统，加上Firefox等主流浏览器——都在这轮扫描中发现了大量漏洞。不是因为这些产品的代码写得特别差，而是因为所有大型软件项目都有这个问题，只是过去人类没有工具来系统性地找出它们。
当你的软件代码行数超过一千万行，就算每一千行代码只有一个潜在的安全问题，你面对的就是上万个"问题"。而人类安全团队的极限，是一个团队一年能发现和修复几百个——这还是最顶尖团队的效率。Mythos一次的发现量，就相当于一个顶级安全团队几年的产出。
这个效率差异，是整件事最核心的数字。
｜三、最强大的盾牌，也是最锋利的刀
先说好消息。
Anthropic的做法值得肯定。他们在做的事情，是AI在安全领域目前最正面的应用：
大规模发现能力：人类安全团队需要几年才能发现的漏洞，AI用几小时完成。
跨项目排查能力：发现一个漏洞模式后，可以立刻在所有相关项目中搜索同类问题，实现"发现一个、清除一批"的效果。
零成本复现能力：修复一个漏洞后，AI可以重新验证，确保修补有效，避免人工复查消耗宝贵的安全工程师资源。
Mozilla是直接受益者。接到Anthropic通知后，迅速发布了Firefox 150，一次性堵住271个安全缺口。如果没有Mythos，这些漏洞可能还要在Firefox里躺好几年，等着某个黑客团队先发现然后利用——那时候就不是修补了，而是安全事故。
从正面来说，这是安全界目前拥有的最强大的"盾牌"。
但是，所有人都知道那个更让人不安的反面。
同样的能力，被用来攻击会怎样？
Anthropic的CEO Amodei给出的判断是："我们大概有6到12个月的时间窗口。"（据The Next Web报道，Amodei在近日的发言中明确将窗口期判断为6到12个月。）
这6到12个月不是给Anthropic的——是给整个行业的。因为Anthropic判断：大约在6到12个月内，就会有其他组织复制出同等能力的漏洞发现模型。而到时候，那些组织可能不会像Anthropic一样负责任地披露漏洞。
这就引出了一个在AI界被反复讨论但从未被真正解决的问题：当一项技术同时是最强防御和最锋利攻击武器时，谁来决定它该不该存在？
这不是一个遥远的技术议题。美联储主席和财政部长上周已经在讨论它了。他们担心的不是Mythos本身会攻击银行，而是Mythos所证明的能力门槛已经被跨越——从"理论可行"变成了"实际可操作"。
还有一个更棘手的问题：Mythos发现的漏洞应该怎么公开？
如果公开全部详情——所有黑客都知道怎么利用了，而项目方来不及修补。
如果完全不公开——被动防御者永远在明处，攻击者在暗处，信息不对称只会越来越大。
Anthropic的选择是目前最合理的中间道路：先行有限范围通知受影响的项目方，给他们修复时间，然后有限度地公开。但这个方案有一个明显的薄弱环节——你怎么确保每个被通知的人都不会利用这些信息？
这个问题，目前没有人拥有完整的答案。它本质上是一个信任问题，而信任在网络安全领域从来都不是可靠的防守策略。
｜四、这事和你有关——但重点是"可以做什么"
你可能会想："银行安全是银行的事，操作系统漏洞是微软的事，跟我有什么关系？"
实际上，比你想象中关系更大。
第一，你使用的软件很可能就包含这类漏洞。Firefox是浏览器，Windows是你电脑的操作系统核心，macOS是很多人的日常工作环境——Mythos扫描的就是这些东西。这些漏洞不仅存在于服务器机房，也存在于你每天使用的软件中。
第二，银行系统的安全直接影响你的钱包。当美联储主席和财政部长觉得有必要亲自召集所有大型银行CEO开会时，说明他们判断这个威胁是实实在在的。银行系统是现代经济的基础设施——所有人的工资、存款、支付、贷款都经过它。
第三，这是AI监管的一个关键转折点。在Mythos之前，AI监管的讨论大多集中在"AI会不会抢走我的工作"或"AI会不会产生意识"这类问题。Mythos把一个问题摆上了台面：AI能发现你系统里的所有漏洞，这种能力可能被滥用——然后怎么办？
这些问题没有简单的答案。但重要的是，现在有人在认真讨论它们了。
｜五、先说好消息，再说不安的事
先说好消息。
AI安全审计是人类急需的能力。全世界的操作系统和应用代码总量以百亿行计，而全球顶尖安全工程师的数量不到一万人。AI是人类在网络安全战场上唯一可能跟上节奏的工具。
全行业每年因安全漏洞造成的损失以数千亿美元计——AI如果能帮系统性地堵住漏洞，这个投资回报率是无可比拟的。从这个意义上看，Mythos展示的能力本身就是一件好事：它证明了AI可以在代码安全领域发挥比传统静态分析工具强大得多的作用。
但是，好消息有一个阴面。
AI能力一旦被证明存在，就不可能被真正"控制"。就像原子弹的物理原理不可能被遗忘一样，Mythos证明了一个事实：经过适当训练的大模型可以达到极高的漏洞发现能力。这个能力的门槛会随时间推移降低，而不是升高。
6到12个月的窗口期是否乐观？从历史上技术扩散的速度来看，可能偏乐观。重要技术能力的扩散速度往往比专家预测的快得多。而且，在"找到零日漏洞=赚钱或发动攻击"这个清晰的激励下，恶意玩家复制这项技术的动力远比善意公司披露它的动力大。
还有一个更棘手的问题我们前面已经提过——漏洞披露的两难困境，目前没有人拥有完美的解决方案。
国际货币基金组织已经就这一议题发出了正式警告。这不是科技圈的内部讨论，这是全球金融监管机构正在认真对待的议题。
｜尾声：一个行业的"斯普特尼克时刻"，以及我们能做的事
1957年10月4日，苏联成功发射了斯普特尼克一号——人类历史上第一颗人造卫星。这颗直径只有58厘米的金属球体本身没什么了不起，但它在美国引发了巨大的震动。不是因为一颗卫星有多大威胁，而是因为美国突然意识到：对方的科技能力已经超过了我们的预估。这个认知转变在历史上被称为"斯普特尼克时刻"（Sputnik Moment）——它标志着美国迅速启动太空计划，最终促成了阿波罗登月。
2026年5月，Claude Mythos的出现，某种程度上就是网络安全界的"斯普特尼克时刻"。不是因为一个AI找到了几百个漏洞，而是因为整个行业突然意识到：游戏规则已经永远改变了。
过去，防守方和攻击方的竞争是"不对称的"——防守方要守住所有点，攻击者只需找到一个缺口。Mythos把这个不对称翻了过来：防守方现在拥有了强大的扫描工具，可以系统性地填补缺口。但同时，攻击者也很快会拥有同样的工具。
真正的胜负，不取决于谁拥有更强大的模型，而取决于谁更早、更有效地把这个能力用在防守而非攻击上。
每次软件更新提示弹出来的时候，点一下"立即更新"。每个新平台的密码，不要偷懒用老的那一套。每当你看到一个可疑链接，停顿一下再点。这些小动作，就是你在AI时代的数字防御线上做的微小贡献。
网络安全从来不只是安全工程师的战争——它也是每个普通用户日常习惯的集合。
从这个意义上说，Mythos是一次预警。不是世界末日的预警，而是一个"该认真对待了"的信号。AI在安全领域的时代已经来了。它带来的是更好的防护还是更大的风险，取决于我们怎样使用它——也包括你下一次按下"更新"键时做出的选择。
这是2026年5月发生的事。它不是电影，不是小说。它是现实。而现实有一个特点：我们可以参与塑造它。
*本文信息来源于Anthropic官方公告、Mozilla Firefox 150发布说明、The Next Web报道、IMF网络安全警告、以及美联储/财政部银行CEO会议的公开信息。文中观点力求客观，不构成任何投资或安全建议。
