- Claude Mythos Preview 已检测到基础软件中数千个严重缺陷，远远超过了人类和传统工具的检测能力。
- “玻璃之翼”项目是由 50 家科技和金融巨头组成的封闭联盟，他们利用这项人工智能技术在漏洞被利用之前对其进行修补。
- 由于该模型具有自主生成功能性漏洞的能力，因此其 ASL-4 风险级别使其仍处于受控访问状态。
想象一下，支撑互联网运行的软件，从你用来阅读这篇文章的浏览器到最强大的服务器的操作系统，都存在着几十年来无人察觉的隐形漏洞。而现在，Anthropic 公司凭借一款工具取得了突破性进展，它不仅能发现这些漏洞，还能精准地利用它们，迫使整个行业重新思考我们如何保护数据。
我们说的不是对智能聊天应用进行简单的更新，而是一次彻底的范式转变。随着“Glasswing项目”的启动，该公司决定采取积极主动的防御策略，汇聚科技和金融领域的巨头力量，在心怀不轨之人利用这项技术制造网络混乱之前，清理全球代码库。
幕后主使：克劳德·米索斯 预览
整个行动背后的真正驱动力是Claude Mythos Preview，这是一款人工智能模型，其安全分析能力远超以往的同类产品。与商业模型不同，Mythos 拥有强大的推理能力，能够识别数千个零日漏洞——甚至连最初的开发者都未曾意识到这些漏洞的存在。
该模型之所以如此强大，在于其能够关联漏洞。在现实世界中，黑客通常不会只利用单个漏洞，而是会组合多个细微的缺陷来获取完全访问权限。Mythos 能够推断出如何将这些漏洞串联起来，更令人印象深刻的是，它还能编写并执行测试代码来验证漏洞的真实性和可利用性，从而消除那些令网络安全分析师及其工具倍感困扰的误报噪音。
令人毛骨悚然的人物
如果你认为成熟的软件就足够安全，Glasswing 的数据会让你噩梦连连。短短三十天内，项目合作伙伴就发现了超过 10.000 个高危或严重漏洞。仅 Cloudflare 这家安全领域的领军企业，就在自身系统中发现了 2.000 个漏洞，其中 400 个属于严重漏洞，这表明即使是准备最充分的公司也无法完全避免错误。
开源软件的情况更加令人担忧。Anthropic 分析了约 1.000 个对网络至关重要的项目，发现了超过 23.000 个潜在漏洞，其中 6.202 个被评为严重漏洞。举例来说，该模型还发现了 OpenBSD 中一个沉寂了27 年的漏洞，以及 FFmpeg 和 FreeBSD 中分别存在了 16 年和 17 年的漏洞。这些软件明明通过了无数次安全审计，却依然存在漏洞。
为什么我们不能在家使用 Mythos？
你可能想知道为什么 Anthropic 不向公众发布这个模型。答案很简单：它太危险了。Mythos 在内部被评为ASL-4（人工智能安全等级 4），这意味着如果落入不法分子手中，它可能造成灾难性的后果。一个能够如此精准地发现漏洞的模型，可以在瞬间生成完美的攻击漏洞利用程序，从而攻击关键基础设施。
因此，只有包括微软、谷歌、苹果、亚马逊和摩根大通等巨头在内的50家精选机构才能获得访问权限。其目的是让这些机构利用人工智能大规模修补软件漏洞，赶在攻击者基于类似模型开发出自己的工具之前完成这项工作。这本质上是一场军备竞赛，Anthropic 希望正义一方能够占据上风。
对该行业及未来发展的经验教训
此次部署表明，安全问题绝不能再被忽视。Cloudflare 指出，使用 AI 代理需要非常特定的测试环境；仅仅让模型“查找漏洞”是不够的。相反，必须将任务细分，并使用对抗性审查（即由第二个代理对第一个代理的结果提出质疑）来防止 AI 捏造信息。
此外，一个令人担忧的人力瓶颈已经出现：人工智能发现漏洞的速度比程序员修复漏洞的速度更快。尽管 Mythos 可以检测到数千个错误，但分类、报告和补丁流程仍然依赖于不堪重负的人工。这导致一些公司试图将响应服务级别协议 (SLA) 缩短至发布 CVE 后两小时内，但这会带来在未进行充分回归测试的情况下发布补丁的风险。
为了应对这一挑战，Anthropic公司面向企业客户推出了Claude Security的测试版，并推出了网络验证计划，允许合法专业人士在不受通常限制的情况下使用其模型。此外，他们还向Linux基金会和Apache等基金会投入了数百万美元，以帮助开源维护者应对海量的安全报告。
事实上，发现漏洞的成本已大幅下降，而从发现漏洞到利用漏洞的窗口期也比以往任何时候都更短。“玻璃之翼”项目的成功表明，在这个新的生态系统中生存的唯一途径是保持透明和跨部门合作，并接受人工智能如今已成为攻击和防御全球数字基础设施的主要工具这一事实。
