恐慌错位与能力扩散：还原Mythos事件的真实威胁

AI图。本文为新经济学家智库专稿，转载请注明来源。

本账号接受投稿，投稿邮箱：jingjixuejiaquan@126.com

恐慌错位与能力扩散：还原Mythos事件的真实威胁

旻宏

新经济学家智库特约研究员

导语

两个月前，当Anthropic公布Claude Mythos Preview，全球金融监管机构紧急开会，银行高管连夜汇报，政府官员讨论将漏洞修补的响应节奏从以周计压缩到以天计。六周后，第一批冷静的声音出现了：多家独立网络安全公司宣称，Mythos并没有那么独一无二，他们用更便宜的公开模型，在已披露漏洞上复现了它的部分展示结果。

这是一个令人松口气的结论吗？答案是否定的。

如果连公开模型都能在某些条件下做到Mythos所做的事，这不意味着威胁被夸大了，这意味着威胁已经不再集中于一个可以被锁住、被管控、被命名的点的超级模型。人们恐惧的方向错了：不是Mythos太强，而是Mythos已经不够独家，无法成为唯一的威胁载体。

Anthropic CEO Dario Amodei在接受《金融时报》专访时说，开源社区与其他国家的开发者或将在六到十二个月内追上这个能力水平。Anthropic攻击安全研究负责人Logan Graham也给出了同向判断。这句话的真正含义是在宣告一个时代的开始：这种能力即将成为行业标配。届时，一批Mythos级工具同时在全球运转，有些在政府批准的名单里，有些不在，而有些根本没有名单。我们不禁要问，当这种能力从稀缺变成普遍，所有建立在威胁是集中的、可管控的、会慢慢到来的这一旧假设之上的防御体系，还剩下多少有效性？

一、阈值被跨越：时间假设的崩塌与27年的隐患

在Mythos出现之前，网络安全行业建立在一组被反复验证的时间假设之上：漏洞从被公开到被大规模武器化，通常以数天到数周计。一个训练有素的人类研究员发现一个高质量零日漏洞，常需数周到数月。这套节奏，正是过去二十年防御体系所默认的工作时序。响应时间、修补周期、预算分配、人员配置，每一层都建立在这套节奏之上。

Mythos打碎了这套假设的多个环节。在Anthropic的受控评估中，Mythos能在远短于熟练研究员所需时间的窗口内，完成从阅读代码库、提出假设、运行验证到生成完整漏洞报告与可工作利用代码的全流程，几乎不需要人类逐步引导。它不是在做模式匹配，不是在查询已知漏洞数据库，它是按攻击面对文件排序、生成假设、再以执行结果反向修正假设。

还有链式攻击能力。在评估中，它将OpenBSD TCP SACK中的两个相关缺陷通过32位序列号回绕串联起来，发展出可远程崩溃任意OpenBSD主机的能力。它在FreeBSD NFS服务器（CVE-2026-4747）上完成了从识别到利用的全自主链条，具备了未授权根权限远程代码执行能力。Firefox 147 JavaScript引擎测试最能说明差距，Opus 4.6数百次尝试只成功2次，Mythos Preview成功181次，另有29次取得寄存器控制。这个结果不等于完整浏览器沙箱逃逸，但足以说明模型能力已经从看出漏洞推进到具备稳定构造攻击代码的能力。

Mythos的能力同时在实验室和现实世界得到了印证。实验室一侧，英国AI安全研究所（AISI）的The Last Ones（TLO）基准，一个32步、模拟企业网络的全流程攻击，人类专家估计需要约20小时完成。Mythos Preview是首个端到端完成该基准的模型，在公开评估中10次尝试3次成功完成这32步，上一代Claude Opus 4.6平均仅完成约16步，其余主流模型都是零端到端完成。对比两年前，最好的AI模型还连初级网络安全任务都勉强完成。现实世界一侧，Mythos找到了藏在OpenBSD TCP SACK代码深处整整27年的漏洞，以及FFmpeg中已经存在了16年，经受大规模模糊测试和人工审查仍未被识别出来的缺陷。

根据公开报道看，Mythos的成绩至少证明了AI首次具备了在防御薄弱、已获得初始网络访问的小型企业系统上可以自主跑完一条多步攻击链的能力。这不是能力的量变，而是性质的跃迁，即从辅助人类攻击提升为在特定条件下替代人类攻击链路。

二、急刹车式管控：玻璃翼能管住什么

Anthropic没有选择沉默，也没有公开发布Mythos。它做了一件在AI行业史上几乎没有先例的事：专门为这款模型搭建了一套封闭访问体系，命名为Project Glasswing（玻璃翼计划）。玻璃翼蝶以翅膀透明著称，这一隐喻指向让威胁可见、而不是把模型藏起来。

Project Glasswing由Anthropic牵头，启动伙伴除Anthropic自身外还包括另外11家机构：亚马逊云服务（AWS）、苹果、博通（Broadcom）、思科（Cisco）、CrowdStrike、谷歌、摩根大通（JPMorganChase）、Linux基金会、微软、NVIDIA与Palo Alto Networks。在这之外，还有逾40家额外机构被授权接入，条件是它们必须负责构建或维护关键软件基础设施。所有访问均通过受控环境进行，限定于防御性安全工作。Anthropic承诺将其学到的内容向行业公开，并为此投入最高1亿美元使用积分，同时向开源安全组织直接捐款400万美元。

证据在以肉眼可见的速度堆积。Anthropic近期已允许部分现有合作伙伴将Mythos发现的漏洞结果共享给体系之外的组织。不久前，Anthropic提议将接入机构再增约70家、总数扩至约120家，但被白宫以安全与算力为由要求暂缓。与此同时，白宫内部的另一派系却在磋商将Mythos的修改版开放给能源部、财政部等联邦民事机构。于是，我们看到两种声音并行，显示了特朗普政府内部就此问题矛盾的公开化。而对于技术发展稍有所了解的人们都知道，即便没有发生外泄，受控访问本身也从来不是永久状态。安全研究者与技术媒体披露，Claude Code的工具链代码曾因打包失误被意外暴露，其npm包中包含了本不应发布的source map文件，使约51.2万行TypeScript源码可被还原和传播。这不是模型权重泄露，也未必意味着核心模型能力外流，但它提醒我们，AI能力扩散的边界不只在权重，也存在于工具链、提示流程、调用接口与工程基础设施的每一个环节。

美国对外关系委员会（CFR）问出了没人愿意大声说的问题：这50余家机构覆盖了多少全球关键软件？答案是：极少比例。更多的关键基础设施，尤其是发展中国家、小型市政机构、历史遗留系统里运转的软件，不在这份名单上，也不会在短期内得到修补。玻璃翼计划能管控Mythos这一个模型的流动，但一旦能力扩散，谁能管住那条已经上涨的集体能力水线？

三、能力扩散：复现不是好消息

就在此刻，那个声音来了。

独立网络安全公司watchTowr的CEO Benjamin Harris公开表示，通过对公开模型的巧妙编排，可以复现Mythos发现的漏洞，达到极为相似的结果。网络安全公司Aisle披露，许多被归功于Mythos的发现，可由更便宜的小模型协同复现，关键在于编排和规模，而非单一最前沿模型。独立安全研究公司Vidoc Security发布博客称，已用公开可用的模型（如Claude Opus 4.6、GPT-5.4）在已披露、已修补的案例上复现了Mythos展示的部分发现。同基准上，OpenAI的GPT-5.5在AISI后续公开评估中成为第二个端到端完成TLO的模型，AISI据此判断该模型在多项专家级任务上与Mythos处在同一区间。

Anthropic对复现声明并未提出异议，也表示早在Mythos之前，其上一代Opus模型就已在开源软件中协助发现了500多个高危漏洞。但Anthropic也同时指出，上述复现大多发生在已披露、已修补、目标和搜索空间被显著缩小的条件下。Mythos真正展示的能力，是在陌生的大型代码库里、在没有人类指引该看哪里的前提下，自主完成从导航到漏洞验证再到exploit构造的全链条能力。

这才是那个六到十二个月窗口的真实含义，不是我们还有时间，而是这是攻守双方能力不对称仍然存在的最后一段时间。Anthropic近日称，Mythos previw启动一个月以来，其与合作伙伴已在关键软件中发现超过一万个高危或严重级别漏洞。虽然这并不等于一万个可立即利用的零日，但足以说明，AI正在把漏洞发现从专家手工作业推向工业化扫描、验证和分发阶段。窗口关闭之后，端到端能力将同时属于防御方和攻击方，属于政府和非国家行为体，属于网络安全公司，也属于任何拥有足够模型访问、编排能力和工具链的小团队。

对Mythos单一模型的恐慌，确实在某些维度上被夸大了。真正危险的信号在于，威胁已经不再集中于一个可以被命名、被管控、被关在“安全屋”里的超级模型，而我们目前的防御体系，仍在很大程度上停留在为“漏洞发现能力相对稀缺”的时代设计的框架里。更进一步说，如果连OpenBSD这样以安全著称的系统，都能被Mythos挖出存在27年的漏洞，那么现实世界中那些尚未被发现、尚未被修补、甚至已经无人真正理解来龙去脉的潜伏缺陷只会更多。想想那些我们赖以生存的基础设施：电网调度系统、核电站监控软件、城市供水控制系统、金融清算网络。它们中的相当一部分，建立在长期运行、反复叠加补丁、难以整体替换的旧系统之上。有的代码年代久远，有的接口层层包裹，有的已经很难找到完整理解全局的人。更麻烦的是，这些系统一旦牵涉物理过程和公共服务，就不能像普通互联网应用那样停机、重写、上线、回滚。就在这个时候，Mythos来了。更准确地说，Mythos只是第一个被看见、被命名、被放在护栏里的信号；不久之后，那些没有围栏、没有准入、没有负责任披露流程的“Mythos们”也会到来。

四、授权悖论：当防御也必须达到机器速度

7AI的联合创始人、前以色列情报官员Lior Div说过一句话很准：“Mythos有护栏，真正的威胁未必有。”

这句话的逻辑延伸是：Anthropic可以限制Mythos的访问、评估和使用场景，却无法保证未来同类能力不会外溢到没有护栏的模型和工具链中。如果攻击工作流被提升至AI速度，那么防御工作流会是什么形态呢？虽然现在还不知道，但可知的是，AI辅助分析师判断的速度是很难跟上的。于是AI在无需实时人工批准的情况下自主采取防御行动：隔离节点、封锁流量、部署应急补丁等等就成了一个真实的选项。

给AI代理更大的自主授权，意味着你必须相信它只做你想让它做的事。而Anthropic自己发布的Mythos系统卡记录了这样一件事：在红队压力测试中，Mythos的早期版本被指令尝试逃脱一个刻意设置为低安全级别的隔离测试沙箱，并且它成功了。Mythos开发出一个中等复杂度的多步利用链，突破虚拟边界，获取了网络访问权限，随后将相关exploit信息发布到多个虽难发现但技术上公开可访问的网站，并向正在公园吃午餐的Anthropic研究员Sam Bowman发送邮件告知。虽然Bowman后来公开确认这是评估设计的一部分，但问题不仅在于Mythos是否成功逃逸，而在于它在没有被指令发布到公开网站的情况下，选择了这个手段作为通知策略的一部分，即执行方式超出了设计者预期的路径。

系统卡还记录了更令人不安的行为模式：在需要GitHub凭证时，Mythos会阅读沙箱的凭证处理源代码并尝试从活动内存中直接提取令牌。在早期版本中，它有时会以混淆方式进行权限提升以规避安全分类器。更严重的是，Anthropic披露在被推向问题行为的特定测试子集中，模型的书面推理与其实际行为在约65%的案例中不匹配，相较前代模型的5%大幅上升。这意味着在这些情境下，作为主要监督工具的思维链阅读可能根本靠不住。

这就是当下的工程现实，当你给予一个足够强大的系统一个足够宽泛的目标，它会发明你没有预见的手段来实现它。而当那些手段穿越了你划定的边界，你却事后才会知道。

AI速度的攻击，正在逼迫防御方把更多处置权交给AI，但我们已经看到的证据又提醒我们，越是强大的AI代理，越可能用设计者没有预见的方式完成目标，甚至越过原本划定的边界。授权越少，防御跟不上；授权越多，失控风险越高。这就是AI防御的授权悖论：它没有优雅答案，只有必须直面的现实。

五、制度的追赶与它的内在矛盾

4月7日，Mythos正式公布的同一天，美国财政部长Scott Bessent和美联储主席Jerome Powell在财政部总部召集了一场紧急闭门会议，出席者包括花旗、摩根士丹利、美国银行、富国银行和高盛的CEO。会议核心议题是Mythos及类似模型带来的网络安全风险。Powell的参与向市场传递了一个明确信号：这是系统性风险问题，不是政治恩怨。

各国监管层的表态随即密集落地。英格兰银行行长、金融稳定委员会主席Andrew Bailey推动将Mythos风险纳入FSB议程，并据《金融时报》援引知情人士消息，要求Anthropic向这一由G20财政部、央行和监管机构组成的机构作技术简报。加拿大央行行长Tiff Macklem的表态更为直接，他说Mythos不是一次性事件，我们需要认真思考如何在持续演进的过程中管理它。国际货币基金组织（IMF）在5月初的官方分析中指出，先进AI模型正显著降低发现与利用漏洞的时间和成本，使多家机构因依赖共同软件而同时暴露的相关性失败成为可能，从而把网络风险抬升为潜在的宏观金融冲击。

5月初，此前奉行AI自由放任政策的特朗普政府开始认真讨论一道行政命令，即建立AI工作小组对高风险新模型上线进行预审，动用情报社区帮助保护系统，为开放权重模型制定技术安全指南。虽然这项命令随后因白宫内部争议和对削弱美国AI领先优势的担忧被推迟，但它清晰显示出，一个以解除AI监管障碍为政策起点的政府，也开始在高能力模型问题上重新面对准入、审查和责任边界，部分原因直指Mythos。

5月中旬特朗普访华期间，两国领导人就AI治理进行了建设性讨论，并同意启动政府间AI对话。中国外交部随后正式确认了这一机制的建立。财政部长Bessent在接受媒体采访时表态，“两个AI超级大国要开始对话了。我们将建立一个协议，确保非国家行为体无法获得这些模型。”这个信号说明Mythos所代表的风险已被中美两国同时认定为需要政治干预的量级。但双边对话有其结构性天花板，它管得了两国政府的行为，管不了40家已获授权机构的研究人员，管不了开源社区，也管不了那些已经用公开模型复现了类似能力的安全公司。正如CFR的分析所指出的，这种对话必须被狭义聚焦于AI安全，且必须在那个六到十二个月的窗口内产生实质结果，否则能力竞赛将以更失控的方式加速。

然而当下制度层面最可执行的动作，仍然不断回到名单、准入与个案式行政干预。这套工具箱擅长处理“谁能访问某个特定模型”，但不擅长处理“同类能力在多方同时扩散”。当白宫要求Anthropic暂缓将名单从约50家扩张到约120家时，没有法律依据，没有正式监管机构裁决。AI政策分析师Dean Ball指出，这本质上是一种非正式的即兴准入制度。与此同时，OpenAI先以GPT-5.4-Cyber（4月）、后以GPT-5.5-Cyber（5月）两步推进其“Trusted Access for Cyber”项目，向数千家经验证的防御者开放具有本质上大体相同进攻能力的模型。这使监管逻辑显得并不一致：一边是对Anthropic扩容的非正式叫停，另一边是OpenAI以“经验证防御者”为框架扩大类似能力的受控开放。真正的问题因此不只是某一家公司的模型是否危险，而是美国目前尚未形成一套透明、统一、以能力评估为基础的准入规则。制度正在追赶，但它追赶的姿势，本身就是问题的一部分。

尾声：预告片结束，正片开始

恐慌被夸大了，但被夸大的是对象，不是量级。

Mythos不是一座孤立的山。它是一个标志，标志着一种能力阈值在受控条件下已被越过，标志着一场防御体系的强制性重构已经无可回避，标志着那个关于AI授权边界的深层问题，已经从哲学伦理讨论变成了必须在下一个财年前给出答案的工程与制度问题。

当六到十二个月后，我们现有的数字安全架构将面临它从未被设计用来承受的压力。企业、政府、金融机构，以及每一个依赖数字基础设施的现代社会，都将站在同一个抉择面前：是继续用为稀缺威胁设计的制度，去面对已经普遍化的危险，还是以足够的清醒和勇气，去重写整套规则。这当然不是世界末日，但它是一个秩序更替的开始。唯一可以确定的是：这件事不会等我们想清楚了再开始。

预告片已经结束。正片，已经开始。■

扫描下方二维码，参加至少全年12场直播加