Anthropic 的 Mythos AI 正在发现关键软件漏洞，为何连 G20 监管机构都开始紧张？

据报道，该模型已经在 主要操作系统和主流浏览器中发现了数千个潜在漏洞，显示许多关键软件长期存在未被发现的安全问题。

对于防御方来说，这是一项非常有价值的能力：越早发现漏洞，就越有机会在攻击发生前修复。但这也正是争议所在——如果发现漏洞的速度大幅提高，那么利用漏洞的速度也可能同步提升。

为什么要向金融稳定委员会（FSB）简报

金融稳定委员会（Financial Stability Board，FSB）是一个协调全球金融监管的国际机构，由 G20 国家央行、财政部和监管机构组成。

当某种技术可能威胁全球金融体系稳定时，FSB通常会成为协调监管的核心平台。

据报道，英国央行行长、FSB 主席安德鲁·贝利（Andrew Bailey）邀请 Anthropic 向该机构进行简报，原因是 Mythos 模型发现了一些与 全球金融系统相关的软件安全漏洞。

现代金融体系高度依赖数字基础设施，例如：

• 银行核心系统
• 云计算平台
• 身份认证系统
• 支付网络

如果某个广泛使用的软件存在严重漏洞，就可能同时影响多家金融机构。

为什么这个模型被认为“太危险”而无法公开发布

Anthropic 目前刻意没有公开发布 Mythos，其中一个关键原因是：它可能 显著降低发现严重漏洞的技术门槛。

如果一个 AI 工具能够自动扫描操作系统、浏览器或关键基础设施并找到可利用漏洞，那么风险将不仅仅是普通网络攻击。

犯罪组织或国家支持的黑客可能利用同样的技术，快速发现并武器化这些漏洞。

正因为这种明显的 “双重用途”（dual‑use）特性，Mythos 更像一种敏感的网络安全技术，而不是普通 AI 产品。

Project Glasswing：只向少数机构开放

为了在防御和风险之间取得平衡，Anthropic 推出了 Project Glasswing。

该计划不会公开发布模型，而是向少数关键机构提供受控访问权限，用于防御性网络安全研究。

参与机构包括多家全球科技和安全基础设施提供商，例如：

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• Google
• JPMorganChase
• Microsoft
• NVIDIA
• Linux Foundation
• Palo Alto Networks

这些组织维护着全球大量关键软件和云基础设施。通过提前获得 Mythos 的能力，它们可以 主动寻找漏洞并在攻击者发现之前修复。

为什么监管机构把 AI 网络能力视为“系统性风险”

越来越多金融监管机构认为，先进 AI 网络工具不仅是技术问题，还可能成为 系统性金融风险。

金融稳定委员会此前的研究指出，AI 可能通过多种渠道放大金融体系的脆弱性，例如：

• 对少数技术供应商的依赖
• 网络安全风险上升
• 多家机构同时出现相关故障
• AI 模型治理不足

当银行、支付网络和交易市场使用相同的软件平台、云服务或开源组件时，一处关键漏洞就可能影响整个系统。

如果 AI 能大幅加快漏洞发现——甚至被攻击者利用——其影响可能在全球金融体系中迅速扩散。

目前仍然存在的未知

尽管 Mythos 已引发广泛关注，但很多细节仍未公开。

Anthropic 没有披露该模型发现的具体漏洞、严重程度，也没有说明这些漏洞是否已被独立安全研究人员验证。许多信息仍来自公司声明和媒体报道，而不是公开的技术论文。

这种保密策略本身也反映了核心难题：如果公开太多细节，本身就可能带来新的安全风险。

网络安全正在进入新的 AI 时代

Mythos 所代表的趋势正在重塑网络安全。

过去，安全研究人员可能需要数周甚至数月分析大型软件系统；未来，强大的 AI 模型可能在 几分钟或几小时内完成类似工作。

对科技公司、政府和金融机构来说，一个关键挑战正在出现：

如何在利用 AI 加强防御的同时，避免同样的能力被用于大规模网络攻击。