这个"神话"漏洞扫描器，还没那么神

Anthropic给自家AI安全工具取名Mythos（神话），结果名字成了预言——它确实更像一个"神话故事"，而非神话级的技术突破。

名字里的讽刺

Mythos这个词有两层意思。一层是"神话"，暗示超凡力量；另一层是"与现实不符的信仰体系"。Anthropic显然想要前者，但市场正在验证后者。

这个工具能自动化专家级的人工代码审计流程，这是事实。但它擅长发现的是"人类已知的漏洞类型"，对"人类尚未认知的漏洞"基本无视。训练数据的边界，就是它的边界。

Project Glasswing的受限发布策略——仅向有真实需求的可信合作伙伴开放——被评价为一种"负责任的伦理实践"。但原文也指出，其他无限制的模型在这方面表现同样出色。一些炒作，一些真相，大语言模型终究是大语言模型。

真正的信号：一场可控的过渡

cynical的说法是，这不过是AI公司罕见的伦理操作。更 cynical的说法是，封闭测试配合媒体曝光只是一场 hype 演练。但还有第三种解读：这是更好未来的早期 glimpse。

原文提出两个关键命题。第一，Mythos这类工具的效果将持续进化，暴露更多结构和个体代码缺陷。第二，这些工具终将普及，速度成本或许可控，但结果不可避免——IT领域没有长期秘密。

当前绝大多数运行中的代码诞生于"漏洞检测前工业时代"——靠人眼而非AI完成审计。这不是一个适合放任"无情漏洞狩猎机器人"横行的公共环境。来得太快，会很混乱。但它们正在来。

航空安全的隐喻

原文频繁引用航空安全模型。喷气时代初期，新客机存在结构和机械缺陷，导致坠机。随着时间推移，不仅是设计和材料知识进步，工程与监管纪律也同步演化。

现在空难仍会发生，但必然可追溯至"本应做对却未做对"的环节，而非全新的未知故障。代码安全的未来图景类似：当真正优秀的工具存在时，代码可以在发布前变得真正优秀。此后坏人也拥有同样工具，并不重要。

有一类代码保证零安全风险：未部署的代码。新代码问题再多，数量有限。关键是在发布前拦截。

威胁景观将从"无法控制的地质和气候力量"转变为"可培育、可控制、令人安心的反戏剧性"状态。这是原文描绘的愿景——不是消除风险，而是将风险从混沌自然力转化为可管理的工程问题。

过渡期的生存是前提。 survive intact，然后让机器人自由漫游。这个条件句里的张力，就是当前真实的行业处境。