Anthropic 未發布的人工智慧破解了 Linux 和 OpenBSD 的漏洞，這些漏洞人類已經錯過了數十年 — 比特幣新聞

重點摘要：

• Anthropic 的 Claude Mythos 預覽在 Cybergym 上得分 83.1%，在每個主要操作系統和瀏覽器中發現數千個零日漏洞。
• Project Glasswing 於 2026 年 4 月 7 日啟動，擁有 11 位創始合作夥伴，並為防禦者提供高達 $100 百萬的 Mythos 使用信用額度。
• 一個 27 年大的 OpenBSD 漏洞和一個 16 年大的 FFmpeg 漏洞經過數百萬次自動測試仍未被發現，直到 Mythos 在數小時內找到它們。

Claude Mythos AI 在 Cybergym 上得分 83% 並在每個主要瀏覽器和操作系統中發現關鍵漏洞

該模型，Anthropic 描述為前沿 AI 歷史上最大單一模型能力提升，於 2026 年 4 月 7 日完成訓練並公開宣布，早在三月底內部細節曝光，通過一個配置錯誤的內容管理系統暴露出約 3,000 個內部文件。

Anthropic 並未向公眾或通過其一般 API 發布 Claude Mythos 預覽。公司限制了經過審核的合作夥伴群體的訪問，因為該模型展現出能夠在速度和規模上超越人類專家和先前 AI 系統，發現並利用未知軟體漏洞。

在網絡安全基準測試中，Mythos 與 Claude Opus 4.6 之間的差距難以忽視。Mythos 在 Cybergym 上得分 83.1%，而 Opus 4.6 為 66.6%；在 SWE-bench Verified 上分別為 93.9% 和 80.8%。在 SWE-bench Pro 上，分別為 77.8% 對 53.4%，差距達 24 分。它在 Humanity’s Last Exam（無工具）中得分 56.8%，而前代為 40.0%。

該模型不需要專門的網絡安全訓練來發現這些漏洞。其進步來自於推理、多步規劃和自主代理行為的更廣泛突破。給定一個目標代碼庫在隔離容器中，它能讀取源碼，形成關於記憶安全漏洞的假設，編譯並運行軟體，使用像 Address Sanitizer 這樣的調試器，按漏洞可能性對文件進行排序，並產生經驗證的漏洞報告和有效的概念驗證利用。

其中一些漏洞幾乎不需要人類指導。Tomshardware.com 報導，一個 27 年大的 OpenBSD TCP SACK 漏洞，一個微妙的整數溢出漏洞，讓攻擊者能遠程崩潰任何回應的主機，通過製作惡意封包，約 1,000 次運行成本不到 2 萬美元。另一個 16 年大的 FFmpeg H.264 漏洞經過超過五百萬次自動測試和多次審核，仍被 Mythos 發現。

瀏覽器測試結果尤為引人注目。在 Firefox 147 JavaScript 引擎測試中，Mythos 產生了 181 個完整的 shell 利用和 29 個寄存器控制案例。Claude Opus 4.6 在同一測試集產生了兩個 shell 利用。該模型還建立了可用的 Linux 核心特權升級鏈，從用戶到根用戶，經過篩選 100 個近期 CVE，縮減到 40 個可利用的候選，並成功利用超過一半。

人類驗證者審查了該模型的 198 份漏洞報告，並在 89% 的情況下同意其嚴重性評級，且在一個嚴重性等級內的意見一致率達 98%。

Project Glasswing

目前已完全修補的漏洞不到 1%。Anthropic 正在協調負責任的披露，公布未修補問題的加密 SHA-3 承諾，並遵循 90 天加 45 天的時間表，逐步公開完整細節。已披露的例子包括 17 年前的 FreeBSD NFS 伺服器遠端代碼執行漏洞 CVE-2026-4747，授予完全未驗證的 root 存取權。

與模型同時宣布的 Project Glasswing，是 Anthropic 嘗試將這些能力用於防禦，防止類似工具被廣泛使用。創始合作夥伴包括 Amazon Web Services、Apple、Broadcom、Cisco、Crowdstrike、Google、JPMorganChase、Linux Foundation、Microsoft、Nvidia 和 Palo Alto Networks。訪問權限正擴展到超過 40 個其他關鍵軟體組織。

Anthropic 承諾投入 $4 百萬美元的開源安全捐款：其中 250 萬美元通過 OpenSSF 和 Linux Foundation 捐贈給 Alpha-Omega，另外 150 萬美元捐給 Apache 軟體基金會。

公司承認，像 Mythos 這樣的 AI 工具降低了發現和利用漏洞的門檻，並警示來自國家行為者（如中國、伊朗、北韓、俄羅斯）和犯罪團伙的短期風險，若類似能力未受控制而擴散。它描述了一個過渡期的動盪，直到防禦者能完全整合這些技術。

Anthropic 表示，未來的 Claude Opus 版本將包含安全措施，以偵測並阻擋危險的網絡安全輸出，並計劃推出一個針對經過審核的安全專家的網絡驗證計劃。預計在 90 天內發布合作夥伴的發現和修補漏洞的公開報告。