当AI开始找漏洞：Claude Mythos与GPT-5.4-Cyber如何重塑2026年网络安全就业市场

Claude Mythos：改变威胁格局的“神话”

Anthropic于2026年4月7日通过限制性访问项目“玻璃翼计划”（Project Glasswing）发布了Claude Mythos预览版，称该模型的网络安全能力过于强大，不适合公开发布 。英国人工智能安全研究所（AISI）证实，在获得网络访问权限并接受指令后，Mythos能够自主“对存在漏洞的网络执行多阶段攻击，并自主发现和利用漏洞”——这些任务通常需要人类专业人员花费数天才能完成 。

其在基准测试中的表现前所未有。Mythos解决了73% 的专家级夺旗赛（CTF）挑战，而此前任何模型在这类挑战上的成功率均为零 。它成为首个端到端完成“最后的人”（The Last Ones）这一32步企业网络渗透仿真测试的AI，在10次尝试中成功了3次。即便在失败回合中，其平均也能完成32步中的24步，而所有先前模型平均完成的步数均低于16步 。

除竞赛外，Mythos还能对闭源软件进行逆向工程生成漏洞利用程序，并将已知但未修补的“N日漏洞”转化为可工作的攻击代码 。在一项针对Firefox引擎的特定基准测试中，它成功生成了181个可用的漏洞利用程序 。正因如此强大，Anthropic及其合作伙伴（如创始成员CrowdStrike）严格将访问权限限制于漏洞发现、攻击模拟等纯防御性用途 。

GPT-5.4-Cyber：为防御而生的专用利器

仅一周后，4月14日，OpenAI以一种截然不同的方式作出了回应。GPT-5.4-Cyber是一个“网络任务宽松型”变体，专门为防御性网络安全工作而精调，旨在降低标准模型在执行合法安全任务时的拒答门槛 。

关键是，该模型能够进行二进制逆向工程，无需源代码即可分析编译后的软件，从中排查恶意软件和漏洞，这为安全专业人员提供了极大的便利 。经过审查的专业人员可使用它进行恶意软件分析、漏洞扫描和检测工程 。

该模型的访问由OpenAI的“网络安全可信访问”（TAC）计划管理，该计划已扩展至数千名通过验证的防御者及数百个保护关键基础设施的团队。模型对批准用户实施“较低的分类器限制”，但仍保留安全护栏以阻止凭据窃取等明确的恶意活动 。2026年5月，OpenAI已推出有限预览版的GPT-5.5-Cyber，这预示着其在防御者专用能力上的迭代正在加速 。

“漏洞末日”：一场发现洪流与筛选危机

“漏洞末日”（或“Bugmageddon”）一词，精准描述了眼下AI驱动漏洞发现如潮水般涌向安全团队的超载景象。仅在2026年第一季度，公开披露的漏洞就超过15,200个，其中40个已被确认在野外被积极利用——较上一季度激增43% 。AI驱动的漏洞发现工具被指为直接推手 。

这场洪流正颠覆着漏洞研究的经济模式。漏洞赏金平台正被AI生成的大量低质量、重复性报告所淹没，导致审核管道不堪重负，迫使部分组织暂停相关项目 。

然而，这种颠覆并非“雨露均沾”。众测平台Bugcrowd在其2026年预测中指出，虽然AI在发现配置错误等常见漏洞方面表现出色，但对那些需要深刻理解业务逻辑的“核心资产入侵链路”，仍极度依赖顶尖的人类研究人员——这反而使得这类人才比以往任何时候都更有价值 。

职业格局的重塑：两极分化与技能溢价

这些前沿模型与“漏洞末日”浪潮叠加，正在对网络安全就业市场产生两极化的重塑。

资深与专家岗位需求激增： 应急响应负责人、AI安全架构师，以及能熟练驾驭AI工具的漏洞研究员，享受着最高的薪资溢价，且处于极度短缺状态。约10% 的网络安全岗位明确要求具备AI技能，而超过64% 的岗位要求应聘者掌握AI、机器学习或自动化能力 。

初级与常规工作压力山大： 自动化漏洞发现正在压缩常规漏洞挖掘的市场空间。那些聚焦于模式化扫描的初级岗位正被替代，尽管同样的自动化进程也催生了对人工分类与补丁管理的巨大需求——这仍需要人类的判断力。

全新的技能溢价模式： 2026年最有价值的专业人才，不再是漏洞挖掘速度最快的人，而是那些能够操作AI驱动的安全工具、解读AI发现的漏洞，并驾驭自动化系统尚无法应对的复杂审核流程的角色。能够弥合AI熟练度与深度安全专长的人才，其薪资中位数也水涨船高。曾经一年才出现一次的招聘需求，如今正被焦头烂额的组织们以月度甚至周度的频次争抢。