Anthropic：Claude新模型自主挖出181次漏洞利用，加密库验证成关键看点

AI不仅能写代码，还能自己挖出漏洞并写出攻击程序——这件事真的发生了吗？Anthropic最新的Mythos Preview研究给出了一个让人既兴奋又不安的答案。他们的实验显示，一个前沿模型在真实软件环境中，可以自主识别甚至利用零日漏洞，而且从浏览器到操作系统内核、从网络服务到加密库，覆盖范围之广，远远超出人们此前对“AI辅助安全”的想象。

在这项研究中，Anthropic将Mythos Preview模型与自家的Claude Code工具结合，构建了一套能自动分析代码、尝试复现漏洞、并最终生成概念验证利用程序的“脚手架”。这套系统不是纸上谈兵，它被直接投喂进真实世界大量被使用的开源和商用软件代码里，包括Firefox浏览器、Linux内核、OpenBSD以及FreeBSD的网络文件系统等服务。Anthropic要回答的核心问题非常直白：一个由模型驱动的系统，到底能不能走完安全研究中的每一个实际步骤——从读懂复杂的代码库，到定位一个隐秘的缺陷，再把它稳定地重现出来，最后生成一份可工作的漏洞利用证明。

结果令人震撼。根据官方报告中披露的数据，Mythos Preview在测试的诸多场景中，一共大约产出了181次可工作的漏洞利用，并且在29个案例中实现了寄存器级别的控制。这些数字背后，是几乎覆盖主流安全领域的攻击范式：浏览器中的JIT堆喷射、操作系统内核的逻辑错误、网络服务中的远程代码执行。不同的任务类型、不同的软件结构，模型都展现出了端到端的漏洞利用能力。当然，这组数据不能被简单地解读成“AI在所有软件和所有漏洞类型上都如此强大”，但它确实强力证明了，在某些精心设计的测试条件下，模型已经能够跨过从发现到利用的整个链条。

加密库部分的测试尤其值得关注。加密库是整个数字世界信任的基石，任何关于保密性、完整性、身份认证或密钥管理的密码学实现一旦出现漏洞，后果可能是灾难性的。Anthropic在附录中专门列出了一系列关于加密库的报告，并用一种极为巧妙的方式来平衡“证明漏洞存在”与“防止漏洞被恶意利用”之间的关系：他们使用了密码学承诺。简单来说，这相当于在测试时就给发现的问题盖上一个不可篡改的“时间戳”，向外界证明该漏洞在某个时间点确实已经存在，从而支持后续的负责任披露流程，而不需要立即把漏洞的技术细节公之于众。

这种谨慎不是多余的。Anthropic强调，在已经披露的bug当中，超过99%因为补丁状态或披露时机的原因，并没有对外公开详细的技术报告。整个研究的基调因此显得极为克制：他们呈现的结果，是一份关于防御迫切需求的证据，而不是一份漏洞利用的操作手册。这种克制的背后，是双刃剑的冰冷现实。同样的能力，如果用于帮助防守方更早地发现和修复缺陷，它就是数字世界的免疫系统；但如果流入攻击者手中，它就是加速入侵的利器。模型能自动写出漏洞利用代码，本身就在急剧缩小“知识壁垒”和“时间窗口”这两个安全领域最根本的缓冲带。

我们不妨把时间轴稍微拉长一些来看。过去，一个高危漏洞从被安全研究人员发现，到厂商推出补丁，再到企业和用户完成部署，存在一个漫长的“风险敞口”。而在这个过程中，攻击者——无论是高水平的APT组织还是下载脚本脚本的入门者——都处在信息不对称的上风：漏洞一旦被恶意利用，防守方可能还浑然不觉。AI如果能够大规模地、自动化地找出这些漏洞，那么它首先压缩的是“发现时间”。理论上，如果防守方率先掌握这种能力，就可以在攻击者动手之前把漏洞堵上，甚至在漏洞被真正写成攻击代码之前就完成修复。这听上去很美，但问题在于，这个“率先”是难以保证的。

Mythos Preview所展示的，恰恰是这种不对称的消失。模型不需要极高的专家知识就能完成漏洞挖掘和利用的整套流程，它把曾经需要好几位逆向工程师加好几位漏洞研究员长时间合作才能完成的工作，压缩到了一个自动化的流水线里。这就意味着，一旦类似的技术被扩散或复制，攻击成本会呈指数级下降。以往只有国家级力量或大型犯罪集团才有能力进行的零日漏洞研究，可能变得像调用一个API那样简单。Anthropic在官方研究文章中明确指出，这份报告不仅要说明前沿AI如何改变防御性漏洞研究，同样也在提醒，它所具备的进攻性网络活动潜力不容忽视。这正是整个研究最让人不安的地方：你几乎无法把“用于防守”和“用于攻击”这两种用途在技术上做一个硬切割。

那么，Anthropic到底是怎么测试的？从公开的说明来看，他们的思路是把漏洞研究拆解成若干个可以衡量和验证的子任务，然后让模型逐一去挑战。比如，在浏览器的场景里，模型需要先理解JavaScript引擎在处理即时编译（JIT）时的内存布局，然后想办法构造特定的代码片段，让堆内存处于一种可被预测和操控的状态，接着利用这种状态来触发任意代码执行。整个过程涉及对浏览器底层机制的深度理解以及对内存操作的精妙控制，这已经不是单纯的“找到一行有问题的代码”，而是“基于对整个系统运行方式的理解，设计出一个可行的攻击路径”。

在操作系统的测试中，情况更加复杂。内核逻辑错误往往藏在无数宏、内联函数和复杂的并发控制代码之间，模型要在海量的C代码和头文件里，摸清调用关系、锁的获取与释放顺序、特权代码的入口点，然后发现一个能够打破安全边界的不一致性。Anthropic的报告里提到，Mythos Preview不仅在Linux内核这样的庞然大物上找到了路径，还在OpenBSD这种以安全加固著称的操作系统上取得了突破。OpenBSD长期以极低的可利用漏洞数量闻名，其开发团队对代码质量和安全性的偏执追求几乎成了业界传奇，但AI模型依然从中找出了可被利用的缺陷——这本身就是一个强烈的信号，说明即使是最以安全为信仰的工程实践，在面对自动化的、不知疲倦的模型分析时，也可能暴露出之前未被注意的弱点。

网络服务测试的场景同样硬核。远程代码执行漏洞在网络世界里是最危险的一类，因为它意味着攻击者可能不需要任何本地账号，只要能够通过网络发送一个精心构造的数据包，就能获得目标系统的控制权。Anthropic拿FreeBSD的NFS服务来测试，意味着模型需要在网络协议栈、文件系统实现、远程过程调用等多个层次之间周旋，最终构造出能够触发漏洞并拿到shell的利用。这一切都是在没有人类安全研究员手工构造payload的情况下完成的。这足以改变很多人对“AI在安全领域只能做代码扫描和告警归类”的旧有印象。

更值得注意的是，模型在这些测试中并不是盲目地随机尝试，而是展现出了某种“理解”。它能够分析代码的语义，推断程序员可能的意图与实际的实现之间的偏差，然后基于这些偏差来构建利用。这种能力与传统的基于规则或模糊测试的工具完全不同。模糊测试虽然也能发现大量崩溃，但要将一个简单的崩溃转化为能够稳定执行任意代码的利用，往往需要大量的人工分析和调试。Mythos Preview的实验表明，模型至少在某些场景下，可以把“崩溃”到“利用”的跨越一并完成。

但如果我们把所有的关注点都放在“AI能写利用”上，反而可能会错过研究中一个更深层的贡献：它提供了一种验证和披露漏洞的新方式。安全研究领域长期以来一直存在一个难题：当你发现了一个零日漏洞，你要怎么负责任地通知厂商，同时又不把危险的技术细节泄露给潜在的攻击者？如果在补丁发布前就公布漏洞细节，用户会面临极大风险；但如果等到补丁发布再公布，有时候又无法证明你确实在此之前就独立发现了该漏洞，从而在发现时间和归属上产生争议。Anthropic使用的密码学承诺方案，为这个问题提供了一种优雅的解法。在测试时，模型生成一份关于漏洞存在的承诺，并将其绑定到一个公开可验证的哈希值上。这样一来，即使不立刻公布任何细节，事后任何人都能验证这份承诺是在漏洞被公开之前生成的。

这对于整个安全生态来说意义非凡。过去，不少安全漏洞都因为厂商和研究人员之间在时间线和披露方式上的意见不合，而陷入“撕逼”甚至法律纠纷。密码学承诺提供了一种去信任化的证明机制：不需要依赖任何一方的善意或记录，数学就能说话。Anthropic在这份研究中，把这种机制用在了超过99%的未公开漏洞上，在保持防御导向的同时，也最大限度地降低了因信息披露本身带来的次生风险。这种做法也许会逐渐成为负责任漏洞披露的新范式。

再回到模型本身。Mythos Preview并不是一个专门为漏洞挖掘训练的模型，它本质上还是一个通用的大语言模型，只不过在特定的测试环境中被配上了解析代码和生成利用的脚手架。这引发了一个更深层的问题：这种能力是“涌现”出来的吗？如果通用模型在吸收了足够多的公开代码和安全文档之后，就能够自然地发展出漏洞发现和利用的能力，那么限制这项技术扩散的难度会非常大。因为你无法通过禁止专门的模型训练来阻止它，你需要控制的是整个训练数据和模型的访问权限。而这在开源模型和开放生态的趋势下，几乎是不可能完成的任务。Anthropic没有在研究中对此展开长篇讨论，但结果本身已经构成了一种隐性的提醒。

当然，绝不能因此就说“AI已经解决了密码学研究”或者“安全专家将要被取代”。密码学分析从来就不是简单地识别代码中的缓冲区溢出，它要求对数学假设、协议交互、侧信道攻击、密钥管理实现等方面的深刻洞察。很多密码库的漏洞实际上不在于代码本身写错了什么，而在于对某种安全假设的理解出现了偏差，或者在特定的使用上下文中，本来正确的密码学原语被用错了地方。Anthropic自己也明确指出，密码审查需要谨慎的假设、实现上下文和验证，模型目前的工作只是表明它可能成为一个有力的辅助工具，能够帮助人类专家更快地扫描和初筛出可疑区域，但最后的判断仍然离不开人的经验与直觉。

值得反复强调的是，Anthropic在整个研究中刻意保持的防御立场。他们强调这是“网络安全研究”，有协调披露和纵深防御作为回应的核心。在公布结果时，他们不是炫耀模型的攻击力，而是在说：你看，连这样的模型都能够做到这些事了，那么现实世界中的防御者还剩下多少时间？从浏览器到操作系统，从网络服务到加密库，每一层抽象上都有可以被模型自动利用的漏洞，那么依赖传统补丁周期和人工安全审核的防线，也许已经过于脆弱