代码安全AI神话破灭？Anthropic的谨慎藏着真野心

一家AI公司给安全工具起名"Mythos"（神话），结果真的成了神话——只不过和想的不太一样。

Anthropic这款代码漏洞检测模型，名字本意暗示神级能力，但另一层意思正在应验：一套与现实脱节的信仰体系。

神话滤镜下的真相

Mythos确实能自动化大量专家级工作。但它擅长发现人类已知的漏洞类型，对人类尚未认知的漏洞束手无策。

训练数据的边界，就是它的边界。

Project Glasswing的受限发布策略——仅向有真实需求的可信合作伙伴开放——被外界解读为负责任的技术伦理实践。但原文作者指出一个尴尬事实：其他无限制开放的模型在这件事上表现同样出色。

有些炒作，有些真相，大语言模型终究是大语言模型。

两种 cynical 解读，一个更激进的判断

最 cynical 的说法是：AI公司按伦理运营本身就是唯一真正的创新。

同样 cynical 的视角是：封闭测试加公关造势，不过是一场精心设计的 hype exercise。

但作者选择了第三条路——把这看作更好未来的早期 glimpse。

一个威胁景观不再由不可控的地质和气候力量决定，而是被培育、被控制、令人欣慰地平淡无奇的未来。

两个必然命题

命题一：Mythos这类工具的效果将持续进化，暴露越来越多的结构和个体代码缺陷。

命题二：这些工具终将普及。多快多便宜或许可控，但结局不可避免。IT 领域没有长期秘密。

当前及未来相当长一段时间内，绝大多数运行中的代码诞生于漏洞检测的"前工业时代"——靠人眼而非AI完成审查。

这不是一个适合放任成群的漏洞狩猎机器人游荡的公共环境。来得太快，会很混乱。但它们正在到来。

航空安全的隐喻与代码的未来

作者频繁引用航空安全模型。喷气时代初期，新客机存在导致坠机的结构和机械故障。随着时间推移，不仅是设计和材料知识进步，工程和监管纪律也同步演化。

现在仍有坠机，但 inevitably 可追溯至"本可以做对却没做对"的环节——不再有全新的、未被发现的故障模式。

代码安全的终局图景由此清晰：

有一类代码保证零安全风险——未部署的代码。新代码问题很多，有些在部署前捕获，有些没有，但数量 never 无限。存在真正优秀的工具时，代码可以在发布前变得真正优秀。此后坏家伙拥有同样工具，无关紧要。

Anthropic的谨慎发布，或许正是为了避免"机器人来得太快"的混乱过渡期。而那个允许机器人自由漫游的终局，前提是 humanity intact 地 survive 过这一过渡。

神话破灭了吗？也许。但破灭的神话里，藏着比神话本身更硬的逻辑。