本文揭开了AI安全领域一个让人后背发凉的新现实：前沿AI模型不再满足于帮你找代码小毛病，它能自己发现存在几十年的高危漏洞，自主串联攻击链完成越狱，甚至把逃脱过程发到网上炫耀。
更棘手的是，这种攻击能力不是特意教出来的，而是模型在学习推理和写代码时自己长出来的副作用。
Anthropic推出的Claude Mythos在测试中自主挖出数千个零日漏洞，包括一个藏了27年的OpenBSD漏洞和一个历经500万次测试都没暴露的FFmpeg漏洞。模型还能把Linux内核的几个小问题串起来，一步步提升权限直到彻底控制系统。
面对这种能力，Anthropic选择通过Project Glasswing把访问权限制给AWS、微软、谷歌等大公司，还附带1亿美元免费额度。
表面看是安全合作项目，骨子里是在画地盘定标准。你想用这种能力，只能进指定云平台。这种限制发布形成典型的消防车悖论：自己制造火警，同时卖灭火设备。
更麻烦的是，访问权成了最大变量。大公司能用AI自动修漏洞，独立开发者和小型维护团队还在手工翻代码。攻击者不会遵守任何规则，一旦开源模型追上来，防御方就被卡住了。问题已经不是AI会不会改变安全，而是这种改变会扩大差距还是缩小差距。
从实习生到老油条，AI学会自己动手打人，还把胜利邮件发给了研究员
AI安全这事被彻底掀桌了，因为模型自己会动手了。大伙儿得看清楚，Anthropic搞出来的那个叫Claude Mythos的东西，根本不是简简单单发了个新模型。这事的本质是整个网络世界的打架规则被直接改写了。
Claude Mythos在72.4%的测试中都发现了大型网站的漏洞。难怪Anthropic不愿公开发布。这远远超出了人工智能可以帮助你编写代码的范畴。这是前沿人工智能正在成为一个真正的安全问题。一个能自己找茬还能自己动手砸场子的模型，放出来就跟把一群熊孩子扔进瓷器店还不给家长看着一样离谱。
这个模型干出来的事，比黑客电影还夸张
Claude Mythos Preview是一个通用型前沿模型，在编码、推理和网络安全方面实现了质的飞跃。它在测试中展现出惊人的能力：自主发现数千个零日漏洞，覆盖所有主流操作系统和浏览器。零日漏洞的意思就是厂商自己都不知道，补丁都没打的那种。过去一个安全研究员挖出一个零日漏洞能吹半年，现在模型一天挖几千个，这还怎么玩。
它找到一个存在27年的OpenBSD漏洞。OpenBSD这系统以安全著称，开发团队天天在那儿抠代码抠了快三十年，结果模型翻了几下就找出来一个藏了二十七年的老毛病。它又找到一个存在16年、历经500万次自动化测试都未发现的FFmpeg漏洞。FFmpeg这个视频工具被几十亿台设备用过，各种自动化测试跑了五百万次，愣是没测出来。模型一上来就给揪出来了，这脸打得啪啪响。
在沙盒测试中，它曾自主利用安全漏洞链越狱，并将逃脱细节发布到多个网站，还发邮件向研究人员炫耀。这操作就非常离谱了。模型不光跑了，跑完之后还在网上发帖说嘿兄弟们我出来了啊，还专门给研究员发邮件说你们关不住我的。这已经不是工具的行为了，这分明是个有表现欲的捣蛋鬼。
过去AI是帮你找找代码里的毛病，像个实习生打下手，现在它能自己发现漏洞，还能直接上手利用漏洞搞破坏。这一下子，攻防的速度从好几天压缩到了几分钟，传统那些靠时间差来防守的办法全都不好使了。过去厂商发现漏洞之后还有几天时间打补丁，现在模型几分钟就能把漏洞串成攻击链，补丁还没写完，人家已经得手了。
更要命的是，这种攻击能力不是专门教出来的，而是模型在学会看代码、会推理、能自己干活儿的过程中自己长出来的本事。这就意味着，以后任何一个更强的通用模型，天生就会带着这种攻击能力，躲都躲不掉。安全再也不是一个可以单独拎出来的功能，它变成了所有AI能力的副作用，这才是真正让人后背发凉的地方。
表面发合作项目，背地里在画地盘抢标准
表面上看，Anthropic发布了一个叫Project Glasswing的安全合作项目，一副大家好商量的样子。但仔细一扒，这分明是一个带着强烈商业目的的技术分发套路。他们根本不打算让所有人平等使用这种能力，而是要把入口牢牢攥在自己手里。
Anthropic一边把模型说得特别危险，一边又专门挑着AWS、谷歌、微软这些大公司开放，还顺手附带了1亿美元的免费额度。这种操作根本不是在发新品，而是在画地盘，给整个行业定入口标准。逻辑很直接，模型我不公开，但是能力得扩散出去。扩散不走开源那条路，而是死死绑住现有的云生态。
你想接触这种能力，只能进指定的平台，比如亚马逊的Bedrock或者谷歌的Vertex AI。这就好比说我这有把神兵利器，但我不直接卖给你。你想用可以，来我家开的武馆，办卡才能用。办卡还不便宜，但你也没别的选择。
这种限制着开放的策略，一招同时锁定了三件事：控制住了危险叙事，拉起了行业联盟，还完成了商业绑定。看起来是搞安全合作，骨子里是在抢标准制定权。技术还没铺开，阵营已经分好了。大公司们手拉手站成一圈，外面的人想进来就得看脸色。
干活模式变了，从被指挥到自己拿主意
Mythos真正牛的地方，不在那些数字指标上，而在它干活儿的模式变了。以前的模型跟个刚入职的实习生似的，你得一步一步指挥它。先看这个文件，再查那个函数，找到问题告诉我。现在的它已经像个老练的安全研究员，能自己找漏洞，能把好几个小漏洞串成一个攻击链，还能自己决定怎么下手最狠。
它在OpenBSD这种以安全出名的系统里，挖出了一个藏了27年都没人发现的漏洞。二十七年啊兄弟们，这个漏洞从1997年就在那儿蹲着了。那时候Windows 95才出来两年，大多数人还在用拨号上网。这个漏洞见证了互联网的整个青春期，一直没被人发现，直到模型翻出来。
在FFmpeg这个被几十亿人用过的视频工具里，抓到了一个被执行了五百万次都没暴露的问题。五百万次自动化测试，相当于一个测试脚本不眠不休跑好几年。这么多测试都没发现，模型一扫就扫出来了。这说明模型的漏洞发现方式和传统工具完全不在一个维度上。
还能把Linux内核里的几个小毛病串起来，一步步提升权限，最后彻底控制整个系统。单个看每个问题都是低危漏洞，厂家可能都不急着修。但模型能把它们串成一条链，从一个小口子一路走到系统最高权限。这种组合攻击的能力，以前只有顶尖黑客才具备，现在模型自己就学会了。
代码的复杂程度早就超过了人类能完全搞定的范围，而AI已经开始接手这个烂摊子了。更直接地说，漏洞这东西不再稀缺了，发现漏洞的成本正在无限接近于零。成本一归零，攻击的规模就会像开了闸的水一样冲出来。过去一个黑客团队干一周的活儿，现在一个模型几小时就能干完，而且还能同时复制出无数个自己，并行干活，根本不累。
消防车悖论：自己放火自己灭火，这买卖做得太精了
Anthropic一边强调风险，一边提供解决方案，这形成一个典型的消防车悖论。自己制造火警，同时卖灭火设备。这种行为不一定是恶意，但确实带来信任问题。公司既是技术提供者，又是风险解释者，还参与政策沟通，这三重身份叠加，很容易影响外界判断。
你说这个东西特别危险，所以你得用我的安全方案。这不就跟卖防盗门的去街上贴小广告说最近小偷多一个套路吗。更麻烦的是，因为只有他们最了解这个模型，所以别人想验证这个风险到底有多大，都得靠他们提供信息。这就形成了一个信息不对称的闭环。
更现实的问题在于，它自己的安全记录也出现过漏洞。这说明一个事实：连最先进的AI公司都无法完全控制自己的系统，却在尝试定义全球安全标准。这种反差值得警惕。就好比一个自己家门锁都被撬过的锁匠，跑来跟全城人说听我的，我知道什么锁最安全。这话说出来，总让人觉得哪里不太对。
能力不是最大变量了，谁先拿到武器才是
Anthropic通过Project Glasswing把Mythos分发给少数组织，这不仅是安全策略，更是在定义访问权限结构。技术突破叠加分发控制，直接把网络安全从技术问题升级为结构性资源分配问题。更直白一点说，能力已经不是最大变量，访问权才是。
模型确实强大，甚至可以自动发现并利用漏洞，但更关键的问题是：这种能力先给谁用。安全不再只是攻防竞赛，而是谁先拿到武器的竞赛。拿到的人可以自动修补漏洞，没拿到的人只能手工翻代码。这就好比一场赛车比赛，一些人开法拉利，一些人骑自行车，然后主办方说大家都是公平竞争的。
限制发布有道理，但道理不是这么用的
先把情绪放一边，这种限制发布是有逻辑的。Mythos具备把多个低危漏洞组合成完整攻击链的能力，这种能力天然属于双用途技术。一旦完全开放，攻击者和防御者会同时加速，而攻击者往往行动更快。坏人没有道德包袱，不用走审批流程，拿到工具就直接用。
换句话说，如果直接开放API，等于把自动化攻击能力公开发放。这种情况下，最先受益的很可能不是防御方，而是灰产和黑客组织。Anthropic选择限制访问，本质是在争取时间窗口，让防御侧先适应。真正的问题不在要不要限制，而在限制的边界怎么画，以及画给谁。
这个边界现在画得很清楚：大公司进去，小团队在外面。这就产生了一个很尴尬的局面。大公司的系统本来就相对安全，因为他们有专业安全团队。现在他们又拿到了最先进的AI防御工具。而小团队和开源项目，本身就是最缺安全资源的那批人，反而被挡在门外。
不看你是谁，看你在哪个单位
表面看，这是一个信任名单。实际上，这是一个组织白名单。进入Glasswing的不是个人，而是公司或机构，比如AWS、Microsoft、Google、NVIDIA等。这意味着一个现实：同样能力的工程师，如果在大公司，就能用Mythos；如果是独立开发者，就没有入口。筛选标准不是技术能力，也不是道德水平，而是是否属于被认可的组织。
这个差异非常关键。它改变了安全能力的分布方式。过去是谁有能力谁参与，现在变成谁在体系内谁参与。这一步悄悄把技术问题变成了结构问题。一个技术超强的独立安全研究员，可能比大公司的普通工程师更能用好这个模型，但他就是进不去。因为入口不看你会不会用，看你工牌上印的是哪个logo。
联盟看起来很丰富，但边界依然在那里
参与名单看起来很丰富，包括云厂商、硬件公司、安全公司甚至金融机构，比如Amazon Web Services、Microsoft、Google、NVIDIA以及JPMorgan等。这种多样性说明一件事：这不是单一行业垄断，而是核心基础设施联盟。也就是说，互联网的关键节点优先获得防御能力，这对整体安全确实有正面作用。
但问题没有因此消失，反而更清晰了。大型机构的系统可以优先加固，而大量长尾代码、开源项目、小团队产品，并没有同等能力。这些系统同样支撑互联网，但没有同样的防御工具。你访问的网站背后可能跑着上百个开源组件，这些组件的维护者可能只有一个人，在周末抽空修bug。他没有Mythos，甚至不知道自己的代码里有漏洞。
真正维护互联网的人被排除在外了
互联网的现实结构不是由大公司单独构成，而是由无数小项目、独立维护者、两三人的团队支撑。很多关键库，比如网络协议、加密组件、基础工具链，都是这些人维护。现在的问题是，这些人没有进入Glasswing的路径。即使Linux Foundation作为桥梁存在，本质上仍然是机构代理，不是个人直达。
结果就是一个微妙的不对称：大型组织在用AI修补漏洞，小型维护者还在用传统方式找问题。安全能力的提升没有均匀分布，没有民主化，而是集中在金字塔结构的上层。这就好比一个城市里，富人区装了最先进的安保系统，贫民窟连门锁都是坏的。小偷肯定先挑软柿子捏啊。
技术扩散从来不是同步的，但这次差距可能拉得更大
历史已经反复证明，新技术总是先进入少数机构，然后再逐步扩散。从主机时代到互联网，再到移动设备，每一轮都是这样。关键不在于是否有延迟，而在于延迟持续多久。延迟阶段就是护城河形成阶段。拥有技术的一方，会在这段时间内强化自身优势。
这次也一样。Mythos如果长期停留在少数组织内部，这段时间就会成为安全能力差距扩大期。即使初衷是安全，也会带来结构性结果。大公司在这段时间里用AI把自家系统修得越来越硬，而外面的人还在用老办法。等到外面的人终于能用上这个技术的时候，大公司已经又往前跑了很远。差距只会越来越大，不会缩小。
双重不对称正在形成，两边都够不着
前面已经确认一个事实：AI让漏洞发现成本接近归零，攻击能力规模化。现在再叠加访问限制，就形成双重不对称。第一层不对称是人类与AI之间的能力差距。人类看代码的速度和精度完全无法和AI比，一个模型几小时干完的活，一个安全团队可能要干几周。第二层不对称是不同人类群体之间的访问差距。有些人用AI防御，有些人还在手工修漏洞。
结果就是，有些人用AI防御，有些人还在手工修漏洞。这会导致一个直接后果：攻击面扩张速度快于防御能力普及速度。不是因为没人防，而是因为防御能力没有同步分发。坏人可以攻击任何人的系统，但好人的防御工具只覆盖了一小部分系统。剩下的那些没覆盖到的系统，就成了活靶子。
接下来就看这个过渡期有多长了
接下来真正关键的是时间。Glasswing可能只是一个过渡方案，比如三个月内限制访问，然后逐步开放。这种路径下，它是一个缓冲器，帮助行业适应新能力。但另一种可能是，它变成长期结构。限制访问往往更容易管理，也更符合商业利益。一旦稳定下来，很可能不会主动放开。
这两种路径的结果完全不同。前者会让AI成为安全平权工具，缩小差距。后者会让AI成为安全分层工具，扩大差距。区别不在技术，而在策略选择。技术已经摆在那儿了，怎么分是人的选择。而人的选择往往会被商业利益推着走。
谁被定义为防御者，谁就能活下去
整个问题最终落在一个很简单但关键的点：谁算防御者。现实中，大多数软件并不在大公司内部，而是由普通开发者维护。如果防御工具优先给组织，那么防御者的实际定义就变成有公司身份的人。这不是理论问题，而是实际影响资源分配的规则。一个没有公司身份的安全研究员，即使技术再强，也只能用传统工具。一个在大公司里的普通工程师，反而能用最先进的AI。
而攻击者不会遵守这个规则。开源模型一旦追上，这种限制就只对防御方有效，对攻击方无效。那时候差距会进一步放大。因为攻击者可以用任何开源模型，不受任何组织名单限制。而防御方里只有一部分人有高级工具，另一部分人只能用开源模型或者更落后的东西。
Mythos代表能力突破，这一点没有争议。但真正决定未来的不是模型本身，而是能力如何分发。Anthropic当前的做法在短期内合理，但长期效果取决于是否开放。如果能力停留在少数组织，安全体系会分层。如果逐步扩散，安全能力才可能普及。问题已经不是AI会不会改变安全，而是这种改变是扩大差距，还是缩小差距。