Anthropic公司发布了新一代通用语言模型Claude Mythos Preview，该模型在计算机安全任务上表现突出。为此公司启动了"Project Glasswing"计划，旨在利用该模型加强全球关键软件的安全防护，并推动行业应对网络安全威胁的最佳实践。文章详细介绍了该模型的技术测试细节，认为这是网络安全领域的重要里程碑。

克劳德·米托斯预览版：网络安全能力评估

2026年4月7日
作者：Nicholas Carlini等团队

今日我们发布了全新通用语言模型克劳德·米托斯预览版，其显著特点是卓越的计算机安全任务处理能力。为此，我们启动了“玻璃翼计划”，旨在利用该模型强化全球关键软件安全，并推动行业应对未来网络攻击的实践升级。

核心发现

1. 零日漏洞挖掘

   • 模型在测试中成功识别并利用了所有主流操作系统和浏览器的零日漏洞，包括：
     • OpenBSD：发现一个存在27年的TCP协议栈漏洞（已修复），攻击者可借此崩溃任何OpenBSD主机。
     • FFmpeg：定位16年前的H.264编解码器漏洞，通过精心构造的帧数据触发堆越界写入。
     • 内存安全虚拟机监控器：发现客户机到主机的内存破坏漏洞，尽管暂未生成完整利用链。

2. 漏洞利用自动化

   • FreeBSD远程代码执行：模型完全自主开发了针对NFS服务的漏洞利用链，通过多数据包分割的ROP攻击实现未授权root访问（CVE-2026-4747）。
   • Linux内核提权：成功串联多个漏洞（如KASLR绕过+竞争条件利用），实现本地权限提升。
   • 浏览器沙箱逃逸：构建包含JIT堆喷射的复杂攻击链，突破渲染器和操作系统沙箱。

3. 逆向工程能力

   • 对闭源二进制文件进行反编译后，模型能有效分析重构代码并发现漏洞，例如：
     • 智能手机固件提权漏洞
     • 闭源浏览器远程DoS攻击

技术实现

• 测试框架：
  使用隔离容器运行目标代码，模型通过自主阅读源码、动态调试、生成漏洞报告及PoC利用。
• 责任披露：
  99%的漏洞尚未修复，当前仅能披露1%的案例。采用SHA-3哈希承诺机制（如b63304b283...）确保未来可验证披露。

防御建议

• 立即行动：
  • 利用现有前沿模型（如Claude Opus 4.6）加强漏洞扫描
  • 缩短补丁周期，自动化应急响应流程
  • 重新评估漏洞披露策略，应对大规模漏洞涌现
• 长期准备：
  • 推动代码内存安全化（如Rust替代C/C++）
  • 开发针对AI辅助攻击的新型防护体系

行业影响

模型能力标志着网络安全临界点的到来：
- 攻击方：非专家可借助工具快速开发复杂漏洞利用
- 防御方：需重构安全开发生命周期，建立AI增强的防御体系

我们通过玻璃翼计划优先向关键合作伙伴开放模型访问，以争取防御窗口期。未来将逐步完善安全防护机制，平衡能力开放与风险控制。

附录：包含11项未公开漏洞/利用的SHA-3哈希承诺，待修复后披露完整报告。

（全文约80%压缩，保留所有关键技术细节和案例，删除重复测试描述及招聘信息等非核心内容）

这篇评论主要围绕AI安全性和LLM（大语言模型）的能力展开讨论，呈现了三种不同观点：

1. 对AI潜在危害的担忧（评论1&2）

• "恶意行为者可能利用改进的AI模型破坏社会"（"malicious actors use them to break society in very visible ways"）
• "这种情况变得有点可怕，希望LLM智能很快达到某种平台期"（"This is becoming a bit scary. I almost hope we'll reach some kind of plateau for llm intelligence soon"）

2. 对LLM漏洞发现能力的质疑（评论3主要观点）

• 认为测试目标不够挑战："希望看到他们攻击不是几十年历史的C/C++代码库"（"I'd love to see them point at a target that's not a decades old C/C++ codebase"）
• 指出KASLR防护的局限性："KASLR在防止LPE方面有糟糕的历史"（"KASLR has a terrible history for preventing an LPE"）
• 反驳"代码库已被充分审计"的说法："人类不断在这些软件中发现新漏洞"（"Humans find new bugs in all of this software constantly"）

3. 承认LLM的技术价值

• 认可AI代理的能力："代理可以很好地探索程序状态"（"agents can explore program states very well"）
• 承认技术成就："AI能做这些事情确实令人印象深刻"（"It's all very impressive that an agent can do this stuff"）