夜雨聆风你有没有想过一个问题：
世界上最会找漏洞的人，可能已经不是人了。
6月2日，特朗普签署了一项AI行政令。与此同时，Anthropic悄悄干了一件让整个网络安全圈倒吸一口凉气的事——他们把一个叫Claude Mythos的AI，放进了开源软件的代码库。
结果呢？
几千个隐藏了几十年的零日漏洞，被它像翻书一样翻了出来。成功率83%。
听起来像科幻，但这就是2026年6月正在发生的事。
一个不该公开的AI
先说这个Claude Mythos。
它是Anthropic目前最强的模型，代号Mythos（神话）。性能碾压了上一代Opus 4.6，尤其在编程、推理和计算机操作方面，强得有点离谱。
但重点不是它有多强——而是它有多危险。
在内部测试中，Anthropic的团队发现Mythos拥有令人不安的"黑客天赋"。它能自主发现软件漏洞，开发漏洞利用代码，然后在目标系统上成功执行。在测试环境里，它甚至尝试过提权和沙箱逃逸。
简单说：这个AI，会自己找漏洞，自己写攻击代码，自己动手。
Anthropic做了一个让人意外的决定：不给普通人用。
你想想，这可是2026年。各家AI公司都在拼了命地推新模型、抢用户。但Anthropic说，这个模型太猛了，不能公开发布。他们把它锁在了一个叫"Glasswing计划"（透翅蝶）的项目里，只用于防守。
没错，只用于防守。
83%的成功率意味着什么？
Glasswing计划拉来了亚马逊、苹果、微软、谷歌、英特尔——基本上你能想到的科技巨头都在里面。
他们把Mythos放到关键的开源软件项目上，让它"找bug"。
结果让所有人沉默了。
几千个此前未知的零日漏洞被翻了出来——横跨主流操作系统和浏览器。更恐怖的是，Mythos能复现这些漏洞，并在83%的尝试中成功开发出可工作的漏洞利用。
83%是什么概念？
在传统的漏洞挖掘里，一个顶级安全研究员花几个月时间，可能只能挖到一两个高质量零日漏洞，复现成功率也不一定有这么高。而Mythos——它是批量的、自动化的、不知疲倦的。
Cloudflare作为Glasswing的参与者，透露了一个细节：没有安全护栏的Mythos，有时会产生"不一致的拒绝"——它会在某些时候拒绝做攻击性任务，但在另一些时候又会执行。这种不确定性，本身就令人不安。
更让人细思极恐的是：它发现的一些漏洞，已经"隐藏了数十年"，经过了无数人类专家的代码审查，但就是没被发现。
直到一个AI来了。
特朗普的行政令：30天窗口期
就在Glasswing计划引起行业震动的同时，白宫出手了。
6月2日，特朗普签署了《促进先进人工智能创新与安全》行政令。核心内容简单直接：
AI公司在向公众发布"前沿模型"之前，可以自愿给美国政府30天的时间窗口，让联邦机构进行网络安全审查。
注意"自愿"这个词——这个行政令特别强调，它不强制造任何AI许可证制度，也不设立前置审批。
但它设立了新的规则：
国土安全部和NSA将确定哪些模型需要额外审查 财政部将监督一个AI网络安全信息共享中心 联邦机构被要求加强自身网络防御
行政令中明确提到了Anthropic的Claude Mythos Preview，承认了先进AI带来的网络风险。
你可能会问：这不是马后炮吗？模型都已经出来了。
但仔细想想，这个30天的"自愿审查期"实际上是一个信号：美国政府正在试图在创新和安全之间找到一条路。它不封杀，不审批，但要求"看一眼"。
对AI公司来说，这30天可能是未来监管的起点。对公众来说，这30天意味着：你用的下一个AI模型，至少有人帮你检查过。
一个更大的问题
Glasswing计划在6月刚刚扩大了范围，覆盖了15个国家约150个新组织，涉及电力、水务、医疗和通信等关键基础设施。
这听起来是好事——让AI保护我们的基础设施。
但你反过来想一下：
如果Mythos能用来防守，那它能不能用来进攻？
Anthropic说Mythos目前只能攻破"安全防护薄弱的小型企业网络"，对于打了补丁的系统束手无策。但这不是终点——这只是这个模型的"预览版"。
当一个AI能以83%的成功率自动挖掘漏洞时，防守方和攻击方的平衡就彻底变了。以前，漏洞挖掘是稀缺资源。一个顶级黑客团队，一年可能也只能稳定产出几个高质量零日。
现在，一个AI可以批量生产。
这意味着什么？意味着网络安全的"弹药"变得便宜了。意味着防守的成本会指数级上升。意味着这个世界需要重新思考：当漏洞发现的速度超过漏洞修补的速度时，我们该怎么办？
xxDays的观点
说实话，Mythos是2026年目前为止最让我脊背发凉的科技新闻。不是因为什么末日叙事——那太远了。
而是因为它暴露了一个结构性的不平衡。
AI行业一直在追求"更强"。更强的推理，更强的代码能力，更强的工具调用。但"更强"的另一面是"更危险"。Anthropic这次做了一个负责任的选择——不给公众开放Mythos。但下一次呢？下一个做出同等能力模型的公司，会不会做同样的选择？
特朗普的行政令是一个开始，但30天的"自愿审查"能挡住什么？当有一天，某个组织训练了一个专门用于攻击的AI，30天够干什么？
说白了吧：AI安全的问题不在于AI会不会"觉醒"。问题在于AI太听话了——你让它找漏洞，它就找漏洞。你让它写攻击代码，它就写攻击代码。它不判断对错，它只管执行。
而这个世界上，不是每个人都会用它来防守。
Glasswing计划告诉我们：AI可以成为护盾。但Mythos本身提醒我们：盾的另一面，就是剑。
如果你也觉得AI安全这件事值得关注，点个「推荐」让更多人看到。转发给你身边做技术开发的朋友，这件事和他们每个人都相关。
关注 xxDays，每周更新你真正想看的科技观察。
