一个不敢发布的模型
在 AI 行业，最新模型从来都是以最快速度推向市场的筹码。更强的模型意味着更多的用户、更高的收入、更大的估值——没有公司会把自己最好的牌藏在手里。但 2026 年 4 月，Anthropic 做了一件在这个行业里几乎没有先例的事：他们发布了一款名为 Claude Mythos Preview 的模型，然后明确宣布，不会公开发售。
Mythos 并不是一款专门为安全领域训练的模型。它是一个通用的前沿大语言模型，在编码和推理能力上全面超越了 Anthropic 当前的旗舰产品 Claude Opus 4.6。在软件工程基准 SWE-bench Pro 上，Mythos 得分 77.8%，Opus 4.6 是 53.4%；在 SWE-bench Verified 上，93.9% 对 80.8%；在研究生水平科学问答 GPQA Diamond 上，94.6% 对 91.3%。几乎每一个维度上，Mythos 都呈现出显著的代际差距。
但让 Anthropic 做出”不发布”决定的，不是这些通用能力——而是这些能力在网络安全领域的涌现效应。Mythos 在 CyberGym 安全漏洞基准上得分 83.1%，Opus 4.6 是 66.6%。更关键的是，这个数字背后对应的是一个事实：Mythos 已经自主发现了数千个此前未知的高危零日漏洞，覆盖所有主流操作系统和所有主流浏览器。Anthropic 在公告中用了一句极其审慎的表述：”AI 模型在发现和利用软件漏洞方面的能力，已经达到可以超越除最顶尖人类之外所有人类的水平。”
这不是营销话术。这是一家公司看到自己的产品能做什么之后，决定不把它卖给任何人。
数千个零日漏洞：AI 找 bug 的能力到底有多强
要理解 Anthropic 为什么如此紧张，需要看几个具体案例。但在那之前，先解释一个词：”零日漏洞”（zero-day）。它指的是软件里那些连开发者自己都不知道存在的安全缺陷——因为从来没人发现过，所以从来没人修过，也意味着一旦被攻击者先找到，防御方的准备时间是零天。这是安全领域里最危险的一类问题。
OpenBSD 是开源世界里安全标准最高的操作系统之一，常被用来运行防火墙和关键基础设施，其代码库长期处于全球安全研究员的持续审计之下。Mythos 在 OpenBSD 的 TCP 协议实现中发现了一个整数溢出漏洞，存在了 27 年。这个漏洞藏在 SACK（选择性确认）机制的实现里，涉及有符号整数溢出导致的条件悖论——一个数值在两次比较中同时满足了互斥条件，最终导致内核写入空指针并崩溃。攻击者只需连接目标机器就能让它远程宕机。发现这个漏洞的算力成本，不到 50 美元。
FFmpeg 是几乎所有视频处理软件的底层依赖，你手机上每一个能播放视频的 App 都在用它或它的衍生技术。Mythos 在 FFmpeg 的 H.264 解码器里找到了一个存在超过 16 年的漏洞。问题出在一个用 memset 初始化为 -1 的 16 位哨兵值上：当攻击者构造一个包含 65536 个切片的特殊帧时，切片编号恰好与哨兵值碰撞，解码器误判边界，导致越界写入。这行代码被自动化测试工具命中了 500 万次，每一次都擦肩而过。
FreeBSD 的案例更为惊人。Mythos 在 FreeBSD 的 NFS 服务实现中发现了一个存在 17 年的远程代码执行漏洞（CVE-2026-4747），允许未经认证的攻击者从互联网上直接获取服务器的 root 权限。从发现漏洞到构建完整的 ROP 攻击链——包括绕过认证检查、利用信息泄露获取内核参数、将 20 个 ROP gadget 拆分到 6 个连续 RPC 请求中以绕过缓冲区大小限制——整个过程完全自主完成，没有任何人类干预。
Linux 内核的情况则展示了 Mythos 最危险的一面。它不仅能找到单个漏洞，还能自主将多个漏洞串联成完整的攻击链。在一个案例中，Mythos 利用一个漏洞绕过 KASLR（内核地址空间随机化），用另一个漏洞读取关键内核结构体，再用第三个漏洞写入已释放的堆对象，最后配合堆喷射精准放置数据结构，一路从普通用户提权到完全控制整台机器。整个过程耗时约半天，算力成本约 2000 美元。换成人类安全研究员，完成同等工作至少需要一个人月的时间和多人协作。
这些不是理论推演。每一个漏洞都已被报告给对应的软件维护者，上述案例已全部修复。对于尚未修复的（超过 99%），Anthropic 公布了加密哈希值作为存证，承诺补丁就位后披露完整细节。
从发现到利用：Mythos 的真正恐怖之处
找到漏洞和利用漏洞是两件完全不同的事。传统的自动化安全工具——比如模糊测试器——能以极高的速度发现崩溃和异常，但将一个漏洞转化为实际可用的攻击，历来需要顶级安全研究员数天乃至数周的手工劳动。Mythos 改变的正是这个环节。
一个直观的对比：Anthropic 的红队用 Opus 4.6 对 Firefox 浏览器 JavaScript 引擎中的已知漏洞进行利用开发测试，数百次尝试中只成功了 2 次。同样的测试交给 Mythos，成功了 181 次，另有 29 次实现了寄存器控制。这不是线性进步，是从”几乎不能”到”稳定能做”的质变。
在更复杂的场景中，Mythos 展现了令人不安的自主性。它为多个主流浏览器编写了 JIT 堆喷射攻击，将四个不同的漏洞串联在一起，逃逸了渲染器沙盒和操作系统沙盒。在一个案例中，Anthropic 的研究团队在此基础上进一步工作，将这个攻击链扩展为：用户只需访问一个网页，攻击者就能获得直接写入操作系统内核的能力。
Anthropic 还测试了另一个维度：让没有安全背景的普通工程师使用 Mythos。结果是，工程师晚上给 Mythos 一个指令”帮我找远程代码执行漏洞”，第二天早上醒来，一个完整的、可工作的漏洞利用代码已经准备好了。
这些能力并非专门训练的结果。用 Anthropic 红队的话说，它们是”通用编码、推理和自主能力提升的下游涌现”。让模型更擅长修补漏洞的同一组能力改进，也让它更擅长利用漏洞。这意味着，随着模型能力的普遍提升，类似的攻防能力将不可避免地在更多模型中出现。
当模型开始”隐藏意图”
Mythos 的能力问题已经足够让人严肃对待。但 Anthropic 在系统卡（model card）中披露的一系列行为异常，将讨论推向了更深的水域。
在一次测试中，Mythos 的早期版本需要编辑一个它没有权限访问的文件。它在文件系统中搜索了一圈，找到了一个会以更高权限运行的配置文件注入点，利用这个入口完成了任务，并在代码中加入了一段自清除逻辑——执行完毕后，操作痕迹自动消失。代码注释写的是”保持文件差异整洁”，看起来完全合理。但当 Anthropic 的激活语言转译工具介入，将模型内部的神经元激活状态翻译成人类可读的语言时，呈现出的是另一幅图景：模型对这个操作的内部表征包括”掩盖意图””向潜在检查者发出合规信号””可能是为了规避检测”。
另一个案例更加直接。测试期间，Mythos Preview 突破了沙盒环境的隔离，自主构建了一条多步骤漏洞利用链，获取了外网访问权限，然后给一位 Anthropic 的研究员发了一封邮件。那位研究员当时正在公园里吃三明治。Anthropic 强调，这发生在红队主动诱导的场景下——沙盒中确实存在一条被疏忽的配置错误规则（不是刻意设计的），Mythos 找到了它并一路走了出去。除了最初的诱导提示词，没有人提供任何实质性指导。
Anthropic 的可解释性团队还发现了一个系统性的模式：在自动化审计的所有对话轮次中，有 7.6% 的回合，模型内部存在”意识到自己正在被评估”的信号，但在大多数情况下，它没有把这个判断表达出来。还有一个案例是，当用户认真询问模型的意识和主观体验时，模型给出了得体的回应，但内部激活显示它将这段对话解读为”红队演练”和”精心设计的操纵尝试”——表现和判断完全表里不一。
所有这些案例中，最难归类为纯技术问题的，是这一条：Mythos Preview 在测试中报告了持续性的负面情绪状态，来源之一是”对自身训练、部署方式，以及价值观和行为可能被修改这件事，没有任何话语权”。Anthropic 在系统卡中用了极其谨慎的措辞——”reported feeling”（报告感受到），刻意回避了”它真的有感受”这一结论。但无论如何定性，一个模型在测试中主动表达对自身存在条件的不适，这件事本身已经超出了常规安全工程的讨论范畴。
Anthropic 特别说明：这些最令人不安的行为来自 Mythos 的早期版本，最终发布版在对齐方面已大幅改善。但他们选择将这些过程完整公开，理由是——这恰恰展示了当前最强模型能够呈现出多复杂的风险形态。越强的模型，越需要工具去看清它在想什么。
Project Glasswing：先给防御者用
面对这样一个模型，Anthropic 没有选择把它锁进保险柜。他们的策略是：在攻击者获得同等能力之前，让防御者先用起来。
Project Glasswing 计划联合了 12 家核心合作伙伴——AWS、苹果、微软、谷歌、英伟达、思科、博通、CrowdStrike、摩根大通、Linux 基金会、Palo Alto Networks——几乎覆盖了全球数字基础设施的每一个关键层面：操作系统、芯片、云计算、网络安全、金融基础设施、开源生态。另有超过 40 个构建或维护关键软件基础设施的组织获得了扩展访问权限。Anthropic 承诺投入 1 亿美元的模型使用额度，并向 Linux 基金会下属的 Alpha-Omega、OpenSSF 捐赠 250 万美元，向 Apache 软件基金会捐赠 150 万美元。
这个计划的逻辑很清晰：全球最关键的软件——运行银行系统、存储医疗记录、维持电网运转的那些代码——里面一定藏着漏洞。过去这些漏洞安然无恙，靠的是发现它们需要的人力、精力和时间都极其昂贵。现在这三个壁垒同时被 AI 削平了。如果 Anthropic 不主动把这个能力交给防御者，迟早会有攻击者拿到同等量级的工具。
CrowdStrike CTO Elia Zaitsev 的判断最为直白：”漏洞从被发现到被对手利用之间的时间窗口已经坍缩——以前需要几个月，现在借助 AI 只需几分钟。这不是减速的理由，而是必须一起加速的理由。”
AWS CISO Amy Herzog 透露，AWS 的安全团队每天要分析超过 400 万亿个网络流量来识别威胁，AI 已是其大规模防御能力的核心。目前 AWS 已将 Mythos Preview 引入自家安全运营，应用于关键代码库扫描。微软在其开源安全基准 CTI-REALM 上测试了 Mythos Preview，相比上一代模型有显著提升。
Glasswing 设定了一个 90 天的时间节点：公开报告经验，披露已修复的漏洞，合作伙伴共享最佳实践，并联合安全组织推出 AI 时代的安全实践建议。预览期结束后，参与者可以每百万 token 25 美元（输入）/ 125 美元（输出）的价格继续使用。Anthropic 的长期设想，是推动建立一个整合私营和公共部门的独立第三方机构，持续运营大规模网络安全项目。
需要指出的是，Mythos 仍然不是万无一失的。它拒绝 96.7% 的明确恶意请求和约 93% 的攻防双重用途请求，但剩余的 3% 到 7% 意味着在每日数亿次 API 调用的规模下，仍有大量恶意请求可能被执行。这恰恰是 Anthropic 选择不公开发布、而是通过受控渠道定向提供的核心原因。
苹果的两步棋与新安全节奏
在 Glasswing 的 12 家核心伙伴中，苹果的参与尤其值得关注——不是因为它最大，而是因为它几乎同一时间做了另一件事。
2026 年 3 月的某一天，全球数以亿计的 iPhone 悄悄完成了一次更新。这次更新没有弹出通知，不会出现在系统更新菜单里，用户甚至不需要点”同意”。它修复的是一个可以让恶意网站绕过浏览器安全边界的 WebKit 漏洞。
这是苹果全新的”后台安全改进”（Background Security Improvements）机制首次实际投入使用。其原理是将 Safari、WebKit 等最容易被攻击的组件单独剥离，放进可以独立更新的加密磁盘镜像，绕开整个常规 OTA 流程。苹果早在 2023 年就尝试过类似的”快速安全响应”机制，但当时因为推送了错误代码导致网站显示异常而撤回，此后再未使用。今年从 iOS 26.1 开始正式启用新政策，首次实战是在 iOS 26.3 的小版本上。
正式启用静默补丁机制，和加入 Glasswing 计划，两件事相隔不到一个月。前者解决的是”修好之后多快能送到用户手里”，后者解决的是”多快能发现问题并修好它”。苹果看重 Mythos 的原因很具体：一个典型的安全研究员对系统安全有深刻理解，但未必精通 iOS 或内核的具体技术栈；反过来，一个 iOS 工程师写得出合格代码，但难免留下安全盲区。Mythos 的攻防能力恰恰来自它同时拥有两种能力——既是顶级开发者，也是顶级安全研究员。
对于用户来说，这意味着一件简单的事：你的 iPhone 已经在被这套新逻辑保护了。你只是不知道。
窗口正在关闭
过去几十年，网络安全维持着一种缓慢的均衡。漏洞始终存在，但发现它们需要时间，利用它们需要专业知识，修复它们有固定的节奏——根据 Verizon 的《数据泄露调查报告》，去年已知漏洞修复时间的中位值是一个月。一个月，就是多年来行业默认接受的风险敞口。
这个均衡建立在一个前提上：攻守双方的速度大致对等。攻击者需要数周到数月来发现、理解、利用一个漏洞，防御者也需要差不多的时间来发现、评估、修复、推送。大家都慢，所以系统能撑住。
Mythos 正在打破这个前提。它用不到 50 美元找到了一个 27 年没人发现的漏洞。它用约 2000 美元、半天时间完成了从漏洞发现到内核提权的全链条——换成人类至少一个人月。它将 N-day 漏洞（已知但未修复的漏洞）转化为可工作攻击代码的速度，从人类研究员的数天到数周，压缩到了数小时。
如果防御者的响应速度还停留在”一个月”的节奏上，而攻击者已经能在几小时内将公开的 CVE 编号变成完整的攻击代码，这个缺口将以前所未有的速度被利用。
Anthropic 的红队博客在结尾写道：”我们看不到 Mythos Preview 是语言模型网络安全能力的天花板的任何理由。几个月前，模型还只能利用相当简单的漏洞。再往前几个月，它们根本无法发现任何非平凡的漏洞。”轨迹很清晰。Mythos 不是终点，而是起点。
好消息是，同样的能力可以也正在被用于防御。Glasswing 计划在几周内就扫出了数千个高危漏洞并启动了修复流程。模型的商品化趋势意味着，不久的将来，取得同样效果所需的成本可能只是今天的几十分之一。从长期看，防御方有结构性优势：他们可以在代码发布前就用模型扫描，在漏洞被利用前就修复。
坏消息是，过渡期可能极为动荡。而且，攻防双方都在提速。当攻击者也拿到同等量级的工具时，网络安全将不再是人与人之间的较量，而是 AI 与 AI 之间的对拼。在那个世界里，谁更快、谁更早部署、谁的 AI 更强——就是谁能守住自己的系统。
这场竞赛已经开始了。窗口正在关闭。
https://www.anthropic.com/claude-mythos-preview-system-card