AI 挖洞速度碾压人肉修补：Claude Mythos 一月发现 231 个微软漏洞，Patch Tuesday 创历史纪录

更广泛地看，在整个 Project Glasswing 项目中，自启动以来，Mythos 已在全球最重要的软件中发现了 超过 10,000 个高危或严重级别的漏洞 。Anthropic 自家的协调漏洞披露仪表板显示，截至 2026 年 5 月 22 日，已在 281 个开源项目中披露了 1,596 个漏洞，约 23,019 个发现已分类，1,900 个候选漏洞已优先处理 。

微软内部的三级分流危机

发现与修复之间的差距被描述为一场生死攸关的三级分流危机——AI 发现漏洞的速度快于人工补丁团队分析、重现和修复的速度 。据称，微软内部演示文稿承认公司无法跟上 Mythos 驱动的发现速度 。一份微软内部幻灯片指出，公司计划最终处理中等严重程度的漏洞，但当下的重点是严重的和重要的漏洞 。

创纪录的 2026 年 7 月补丁星期二

2026 年 7 月 14 日，微软发布了历史上最大规模的补丁星期二，修复了 622 个安全漏洞——是 2026 年 6 月数量的三倍，约为月均数量的五倍 。不同来源统计数量略有差异，部分报告为 569–622 个 CVE 。本次更新包括：

• 59 个严重级别漏洞
• 三个零日漏洞，其中两个——Active Directory 联合身份验证服务中的 CVE-2026-56155 和 SharePoint Server 中的 CVE-2026-56164——在补丁发布前已在实际攻击中被利用
• 416 个 Windows 缺陷，以及 Office、SharePoint、Azure、Hyper-V 和 Visual Studio 中的修复

CrowdStrike 指出，此次更新“印证了‘小规模’补丁星期二的时代可能已经结束，AI 驱动的漏洞发现正在加速” 。就在一个月前，2026 年 6 月已经以 206 个 CVE 打破了此前的纪录 。

日立加入 Project Glasswing 聚焦关键基础设施

日立于 2026 年 6 月加入 Project Glasswing，获得了访问 Claude Mythos Preview 的权限，用于审计其社会基础设施软件——尤其是能源领域的软件 。2026 年 7 月 28 日，日立报告称，Mythos 将安全验证流程从数周大幅缩短，成功为数百万行源代码创建了威胁模型，证实了该模型在关键基础设施中的实际适用性 。

五眼情报联盟警告："时间线不是年，是月"

2026 年 6 月 22 日，五眼情报联盟（美国、英国、加拿大、澳大利亚、新西兰）发布了一份罕见的联合公开声明，警告尖端 AI 模型将在数月（而非数年）内极大地增强网络攻击能力 。声明称：“前沿 AI 模型预计将超越当前行业预期，从根本上改变攻防两端的网络能力。时间线不是年，是月” 。该警告发布前数周，特朗普政府已命令 Anthropic 限制外国国民访问其 Mythos 和 Fable 模型 。虽然五眼声明没有点名具体公司，但路透社等媒体将此次警告与 Anthropic 的 Mythos 模型直接关联 。

更广泛的影响：补丁速度的错配

Mythos 的发现速度暴露了 AI 驱动的漏洞发现与人类主导的修复之间的根本性错配。安全专家提出了以下担忧：

• 修补速度错配：AI 以机器速度发现漏洞，但人工分类和补丁开发仍受限于手动流程 。
• 积压风险：数千个高危漏洞堆积，迫使进行不可能的优先级排序，导致许多系统暴露 。
• 基础设施的脆弱性：日立的工作表明，AI 驱动的发现现已瞄准工业控制系统和能源基础设施，由于运行时间要求和监管限制，这些系统的打补丁速度甚至更慢 。
• 攻击不对称性：Project Glasswing 用于防御的相同 AI 能力可能被对手武器化，在网络作战中造成前所未有的不对称 。

正如一位安全分析师所说：“以前，我们担心找不到漏洞。现在，我们担心找到漏洞的速度快于我们修复的速度。瓶颈已经从发现转移到了修复——而我们还没有用于修复的 AI。”

企业现在应该做什么

五眼联盟的建议列出了企业应采取的五项实际步骤：减少攻击面、更快地打补丁、假定已被入侵、投资检测与响应能力、并强化身份基础设施 。对于大多数企业安全团队来说，这意味着需要重新思考那些为人类节奏的发现世界设计的漏洞管理程序。自动化打补丁、AI 辅助分类以及基于风险的优先级排序不再是可选项——它们是生存之道。

Anthropic 的 Claude Mythos 已经证明，AI 能够以前所未有的规模和速度发现漏洞。现在的问题是，全球网络安全生态系统能否足够快地进化来修补这些漏洞。