文章探讨了AI模型Mythos发布后引发的网络安全行业恐慌，但作者认为无需过度改变现有策略，应保持冷静，继续做好长期以来的安全工作。

后神话时代的网络安全：保持冷静，继续前行！

随着对Mythos AI模型的恐惧、不确定性和疑虑开始变得真实，我们该如何应对？矛盾的是，我认为我们多年来一直在做的事情几乎不需要改变。

恐惧、不确定性和疑虑推动网络安全行业

Anthropic公司发布的Claude Mythos预览版被宣称为该领域的游戏规则改变者，能够自动搜寻和利用零日漏洞。然而，仔细阅读相关评估报告会发现，情况并不那么戏剧化。虽然Mythos确实比之前的模型有所进步，但进展是渐进的。GPT-5.4和Opus 4.6在高级CTF挑战中的表现并不落后太多。这些基准测试与真实的企业环境相去甚远，尤其是对于拥有成熟网络安全项目和专门安全运营中心的公司而言。正如文章强调的，这些测试“缺乏常见的安全特性，如主动防御者和防御工具，模型也不会因触发安全警报而受到惩罚”。

关于Mythos发现“27年历史的OpenBSD漏洞”或“16年历史的FFmpeg漏洞”的宣传，安全专业人士可能会会心一笑。强调漏洞“历史悠久”是CVE公告中常见的点击诱饵手法。在拥有数十万行代码的开源产品中，发现数十年历史的漏洞并不罕见，这通常意味着之前没有足够专业的人去检查那个区域。

Mythos只是旧模型的渐进式改进？

Mythos最大的变化在于，资金雄厚的组织有能力进行大规模搜索。根据Anthropic红队的博客文章，发现BSD漏洞需要运行模型一千次，成本约2万美元。整个Glasswing项目分配的代币预算高达1亿美元。这确实带来了新风险，但主要针对那些原本就拥有高级网络安全资源的参与者，而非普通脚本小子。

早期模型如果经过同样彻底的实验，可能也能发现部分漏洞。一些尝试用更经济的方式复制该概念的研究显示，在没有Mythos或Opus模型的情况下，DeepSeek在云托管领域表现不错，而Gemma 4和Qwen 3.6在可自托管类别中表现出色，能发现Mythos在基准测试中发现的大约一半漏洞。

然而，Mythos类模型独有的优势在于不仅能发出警告，还能实际证明漏洞的可利用性，这解决了早期AI漏洞挖掘的最大缺点：误报。Mozilla声称其271个发现中误报率极低，Cloudflare也认为误报率“优于人类测试者”。

OpenAI追赶，美国政府限制Anthropic

美国政府决定阻止非美国公民使用Fable/Mythos，迫使Anthropic完全关闭该服务。与此同时，OpenAI继续推进GPT5.5-Cyber和Codex Security插件，但降低了恐吓宣传，专注于防御方。普通公司无法访问5.5-Cyber，但大型网络安全公司可以，然后以高价回售给客户——这是以“负责任部署”为借口的虚假稀缺。

我们能做什么？

利用现有AI资源

虽然没有Mythos和ChatGPT 5.5-Cyber，但Opus 4、GPT-5.5以及Strix等开源工具结合本地模型也能实现很多功能。

持续改进漏洞管理

CVE发布率多年来一直在稳步增长。分类和基于上下文的优先级排序是保持漏洞管理可持续性的关键，这也是AI辅助可以发挥优势的领域。

减少攻击面

保护漏洞的最佳方法是首先避免漏洞存在。停用不需要的功能是众所周知的安全加固技术，但在大多数企业环境中严重使用不足。微服务和容器化基础设施的兴起使这变得更容易，建议使用“最小化”或“无发行版”容器。

增加防御层次

纵深防御方法比以往任何时候都更重要。可以添加上下文感知代理、特权访问管理网关、抗钓鱼MFA等。蜜罐和诱饵令牌等诱骗系统也值得重新考虑，因为早期AI入侵模型可能笨拙、嘈杂且天真，很容易触发这些陷阱。

采用零信任原则

明确验证、使用最小权限访问和假设被攻破。上下文感知代理（也称为零信任网络访问网关）通常允许在获得目标系统视线之前强制执行预认证。如果攻击者首先无法访问服务，那么软件是否存在未认证RCE漏洞就无关紧要了。

总结

Mythos的网络安全能力是真实的，但进步可能比最初宣传的更线性。让我们保持冷静，利用Mythos可用性的意外暂停来重新组织和优先处理正确的项目：

• 不要将LLM的专有使用权交给攻击者，我们可以在防御中利用AI
• 通过改进漏洞管理流程来缩短关键漏洞的修补时间
• 通过减少部署内容和限制可访问性来减少攻击面
• 在部署服务时采用零信任思维
• 在路径上设置陷阱，让AI辅助的攻击者触发并提醒安全运营中心

Mythos并没有否定我们现有的网络安全优先级，但它提高了忽视这些优先级的代价。

根据评论内容，总结主要观点如下：

1. 对Mythos模型安全影响的质疑（评分：无） - 评论者认为Mythos只是安全工具箱中的又一工具，不会根本改变安全行业格局。多数安全问题源于配置错误、不良实践和人为因素，而非软件漏洞。 - 关键引用："Mythos is just another tool in the toolbox... it is incredibly short sighted to think it will move the needle in any meaningful way"（评论3） - 另一评论指出："The genie is out of the bottle... You can find some pretty good vulnerabilities even with models like Deepseek V4 Flash"（评论8）

2. 对美国政府介入的批评（评分：无） - 评论者认为特朗普政府将选择哪些组织获得AI模型访问权，造成不对称优势，可能被用于不当目的。 - 关键引用："This will establish an asymmetry where the chosen organizations get to secure their stuff and break other people’s systems"（评论4） - 另一评论质疑时间线："The timing of all of this just seems to be a play to pump the stock"（评论5）

3. 对商业动机的怀疑（评分：无） - 评论者指出Mythos发布、政府管制、IPO等事件时间线高度巧合，怀疑是人为操纵股价。 - 关键引用："I would not be surprised if the US government... actually have purchased stock in the company to artificially pump up the stock"（评论5）

4. 对AI安全能力的认可（评分：无） - 部分评论承认AI在发现漏洞方面的潜力，但认为其影响被夸大。 - 关键引用："The CCC talk in December showed me how good llms are at ctf... It also showed how critical it is to use llms now"（评论9）

5. 对行业恐慌的批评（评分：无） - 评论者认为围绕Mythos的恐慌是供应商营销手段，实际威胁被夸大。 - 关键引用："The fear porn around this all has been horrible... Mythos is all the vendors will talk about because they want to sell something"（评论3）

平衡性总结： 评论呈现两极分化：一方认为Mythos是重大安全威胁，另一方认为其影响被夸大，且政府介入和商业动机值得警惕。多数评论者强调基础安全实践（如配置管理、人员培训）比依赖单一模型更重要。