文章摘要
Mythos AI模型发现了一个curl安全漏洞。2026年4月Anthropic公司曾表示其Mythos AI在源代码中查找安全漏洞方面表现优异,这次发现证实了该能力。
文章总结
以下是经过编辑整理的文章主要内容：
标题：Mythos AI在curl代码中发现漏洞
核心内容： 1. 背景事件： - Anthropic公司2026年4月发布的新型AI模型Mythos因"危险地擅长"发现源代码安全漏洞引发媒体关注 - 该模型通过Linux基金会的Alpha Omega项目向开源项目提供访问权限，curl首席开发者Daniel Stenberg受邀参与
- 漏洞扫描过程：
- 对curl代码库（17.6万行C代码）进行全面扫描
- 此前已使用AISLE、Zeropath等AI工具发现并修复了200-300个漏洞
- 当前还使用GitHub Copilot等工具辅助代码审查
- 扫描结果：
- 初始报告显示5个"已确认安全漏洞"
- 经团队核查后确认为：1个低危漏洞（计划在curl 8.21.0版本修复）、3个误报、1个普通bug
- 同时发现约20个非漏洞类代码问题
- 技术亮点：
- 零内存安全漏洞发现
- 验证了curl现有的安全防护机制有效性
- 覆盖了所有协议实现和TLS后端等关键组件
- 作者评价：
- 认为Mythos的表现被过度营销炒作
- 强调现有AI代码分析工具整体上显著优于传统工具
- 指出AI工具优势包括：跨平台检测、协议规范验证、自动生成修复建议等
- 项目现状：
- curl已被安装超过200亿次
- 代码库历经573位贡献者的4.14次平均重写
- 历史上共发布188个CVE漏洞公告
结语： 作者呼吁持续使用AI工具进行代码审计，同时表示curl项目将继续保持严格的安全标准。尽管Mythos此次发现有限，但AI代码分析的整体价值不容忽视。
（注：已剔除原文中的导航菜单、评论、图片说明等非核心内容，保留关键数据和技术细节）
评论总结
以下是评论内容的总结，平衡呈现不同观点并保留关键引用：
对Mythos模型效果的质疑
- 认为其效果被过度营销，实际提升有限： "I see no evidence that this setup finds issues to any particular higher or more advanced degree..."（评论2） "Big whoopdy-doo. I find vulnerabilities in every code base I examine, too."（评论9）
对cURL代码质量的赞赏
- 认为cURL是经过充分测试的典范： "It really is the perfect example of something done so right..."（评论3） "curl was already analyzed to death with every tool available"（评论5）
对LLM安全扫描必要性的讨论
- 部分人认为LLM将成为必备工具： "today you need to do security scanning additional with LLMs"（评论6）
- 另一部分认为现有方法仍有效： "simply recompiling for a different platform surfaces all sorts of issues"（评论10）
模型性能比较
- 有用户反映Claude Opus表现不如GPT： "Opus is constantly failing...GPT 5.5 can easily churn out fixes"（评论7）
对营销策略的评价
- 认为本次事件是成功的营销案例： "An amazingly successful marketing stunt for sure"（评论11） "Never waste a good marketing scare"（评论11）
其他观点
- 测试过程透明性质疑： "the guy who runs the test...could just have removed the more interesting bugs"（评论1）
- 提示词技巧的重要性： "Prompting style (still?) does matter after all"（评论8）
关键数据引用： - 代码规模对比："660,000 words, which is 12% more than...War and Piece"（评论4） - 发现漏洞等级："severity low CVE"（评论3）