Anthropic Mythos AI：能快速找出全球軟件漏洞，為何觸發 G20 網絡安全警報？

根據公開資料，該系統已經找出 數以千計的漏洞，遍布「所有主要操作系統與網頁瀏覽器」之中，顯示全球軟件生態其實存在大量長期未被發現的安全問題。

對企業安全團隊來說，這種能力非常有價值：

• 能更早發現漏洞
• 可以在黑客利用之前修補
• 提升整體基礎設施防禦能力

但同時亦意味著另一個問題：漏洞被發現的速度，也可能被武器化。

為何 Anthropic 要向金融穩定委員會（FSB）簡報

金融穩定委員會是協調全球金融監管的重要機構，成員包括 G20 國家的中央銀行、金融監管機構和財政部門。

當某種技術可能影響全球金融系統穩定時，FSB 通常會成為各國協調政策與風險評估的平台。

據報導，英倫銀行（Bank of England）行長、同時也是 FSB 主席的 Andrew Bailey 已邀請 Anthropic 向監管機構介紹 Mythos 的能力以及它發現的潛在漏洞。

原因在於：現代金融體系高度依賴數碼基礎設施，例如：

• 銀行核心系統
• 雲端運算平台
• 身份驗證系統
• 支付與交易網絡

如果某個被廣泛使用的軟件出現嚴重漏洞，理論上 可能同時影響多間銀行或金融機構。

為何這個模型被認為「太危險」而不能公開

Anthropic 選擇不公開 Mythos，其中一個主要原因是它可能 大幅降低尋找漏洞的門檻。

過去，安全研究員可能需要幾星期甚至幾個月分析程式碼才能找到漏洞。但若 AI 可以自動完成這些工作，漏洞發現速度可能被壓縮到極短時間。

這帶來一個典型的「雙用途」（dual‑use）問題：

• 防禦方可以更快修補漏洞
• 攻擊方也可以更快找到攻擊入口

如果這種工具被犯罪組織或國家級黑客取得，他們可能能更快發現並利用系統漏洞。

因此 Anthropic 目前把 Mythos 當成 敏感的網絡安全技術，而不是普通 AI 產品。

Project Glasswing：有限度開放給防禦機構

為了在提升安全與降低風險之間取得平衡，Anthropic 推出了 Project Glasswing。

這是一個受控計劃，只讓少數重要機構提前使用 Mythos 模型進行防禦性研究。

參與機構包括多家大型科技公司與網絡安全企業，例如：

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• Google
• JPMorganChase
• Microsoft
• NVIDIA
• The Linux Foundation
• Palo Alto Networks

這些組織負責維護全球大量關鍵基礎設施，因此可以利用模型主動搜尋漏洞，並在黑客發現之前修補問題。

簡單來說，目標是建立 協調式防禦：先找出問題，再迅速修復。

為何監管機構開始把 AI 網絡能力視為「系統性風險」

金融監管機構近年逐漸將 AI 網絡能力視為 潛在的系統性金融風險，而不只是技術問題。

金融穩定委員會曾指出，AI 可能透過多個渠道放大金融體系的脆弱性，例如：

• 對少數科技供應商的依賴
• 網絡安全風險增加
• 多家機構同時出現故障
• AI 模型治理不足等問題

由於銀行、交易市場和支付系統通常使用 相同的軟件堆疊、雲端平台與開源組件，一個關鍵漏洞可能同時影響多個機構。

如果 AI 能大幅加快漏洞發現甚至攻擊速度，衝擊就可能從單一企業擴散到整個金融系統。

仍然未知的關鍵細節

目前 Mythos 的許多技術細節仍未公開。

Anthropic 並沒有披露：

• 模型具體發現了哪些漏洞
• 這些漏洞的嚴重程度
• 是否已由獨立安全研究人員驗證

外界所知的大部分資訊仍來自公司聲明和媒體報道，而不是完整的技術論文。

某程度上，這種保密本身也是安全策略——因為過早公開漏洞資訊，可能反而增加被攻擊的風險。

AI 正在改變網絡安全的攻防節奏

Mythos 反映出一個正在出現的趨勢：AI 正同時強化 網絡攻擊與防禦。

過去需要人類安全研究員長時間分析的工作，未來可能由 AI 在幾分鐘或幾小時內完成。

對科技公司、政府與金融機構而言，最大的挑戰是：

如何在利用 AI 保護關鍵基礎設施的同時，避免同樣的能力被用來發動更大規模的網絡攻擊。