Claude Mythos 令新加坡網絡安全響警號：修補漏洞，慢一步都嫌遲

Anthropic 自己的更新則表示，Mythos 曾掃描超過 1,000 個開源項目，並估計在這些項目發現的弱點中，有 6,202 個屬於高危或嚴重漏洞。這些數字代表報告中的發現，並不等於每一個漏洞都已能在現實環境被利用，也不代表模型可以入侵所有受影響系統。

為甚麼新加坡企業需要立即關注？

最需要優先處理的，通常是可由互聯網直接接觸，或連接高價值環境的系統，包括：

• 遠程存取閘道及管理員介面；
• 身份認證、雲端管理及特權存取系統；
• 軟件開發流程及第三方依賴項目；
• 面向客戶的應用程式及 API；以及
• 關鍵資訊基礎設施和其他必要服務。

如果漏洞被發現及武器化的速度加快，企業可能更快面對資料被盜、服務中斷、勒索軟件、詐騙及橫向移動等後果。人工智能亦可以協助攻擊者大規模製作更逼真的釣魚訊息、冒認內容、聲音克隆及深偽影片，並支援繞過身份認證控制的嘗試。

新加坡網絡安全局（Cyber Security Agency of Singapore，CSA）警告，自主人工智能系統可以縮短發動攻擊所需的時間，亦降低技術經驗不足的攻擊者入門門檻。換句話說，企業不能再只用過往的假設，估算攻擊者需要多少時間準備。修補延誤、特權賬戶保護，以及由偵測到應變的速度，都變得更加關鍵。

安全團隊現在應該做甚麼？

1. 先修補面向互聯網的高危及嚴重漏洞

CSA 就前沿人工智能模型發出的建議，要求優先修補面向互聯網系統上的所有高危及嚴重漏洞。這些資產最容易受到自動化攻擊，一旦被入侵，亦可能造成廣泛影響。

企業應保持準確的硬件、軟件、雲端資產及外部攻擊面的清單，找出已停止支援的系統，盡快套用供應商提供的修補程式，並確認修補確實成功。若未能即時更新，便應先隔離系統、限制存取，或採取其他補償性控制措施，直至永久修復完成。

2. 為特權及外部存取系統啟用 MFA

多重認證（MFA）應涵蓋管理員介面、遠程存取閘道、雲端管理控制台及其他高價值賬戶。CSA 建議，在可行情況下，採用硬件保安密鑰或生物識別等較能抵抗釣魚的方式，而不是只依賴 SMS 或電郵驗證碼。

不過，MFA 並不是不修補漏洞的替代品。某些漏洞可能導致工作階段被盜、繞過認證，或透過暴露的服務取得系統存取權。因此，身份控制必須與安全設定及及時更新同時運作。

3. 減少不必要的存取權限

企業應刪除長期閒置的賬戶，將一般使用者身份與管理員身份分開，限制服務賬戶權限，並定期檢查第三方、API 及供應商存取權。特權操作應記錄在案；在可行情況下，權限只應在完成指定工作所需的時間內授予。

這些措施可以限制攻擊者取得登入資料，或入侵開發、雲端及身份管理環境後所造成的損害。

4. 改善監察及遏止入侵能力

企業應集中收集身份、端點、網絡及雲端日誌。偵測規則需要涵蓋異常登入、權限變更、來自陌生地點的存取、不尋常的管理員活動，以及軟件或部署流程出現可疑修改等情況。

應變團隊亦應演習快速漏洞利用情境，包括如何隔離主機、停用賬戶、封鎖惡意流量、聯絡供應商及保存證據。經測試的離線備份或不可修改備份，則有助減輕勒索軟件及破壞性攻擊的影響。

長遠提升網絡韌性的做法

令安全更新更容易部署

目標不只是發現更多漏洞，還要建立一套可重複執行的流程，由發現、分流、測試、分階段部署、驗證，一直到需要時回復版本。自動化可以縮短修補延誤，同時降低緊急更新導致不安全服務中斷的風險。

董事會及高級管理層應追蹤實際反映韌性的指標，例如面向互聯網的嚴重漏洞存在多久、平均修復時間、特權賬戶的 MFA 覆蓋率，以及由偵測到遏止入侵所需的時間。

有安全護欄地運用人工智能

人工智能輔助代碼審查、軟件組合分析、攻擊面管理及漏洞分流，可以協助防守方處理更多安全發現。不過，企業必須獨立核實人工智能產生的結果，保護提交予工具的源代碼及敏感資料，限制模型權限，並在任何生產環境修改前要求人員審批。

人工智能應該強化既有的保安流程，而不是成為一個可以廣泛接觸代碼、登入資料或基礎設施、卻無人監督的操作員。

加強關鍵資訊基礎設施保護

關鍵資訊基礎設施（CII）營運商需要採用分層防禦、網絡分隔、持續入侵偵測、供應商保障及定期危機演習。新加坡亦已表示，會加強威脅偵測措施，並與雲端服務供應商合作，協助 CII 擁有人保護系統。

同一原則亦適用於依賴關鍵供應商的企業：共享平台、託管服務或軟件依賴項目出現漏洞，風險可以超越單一公司的邊界，蔓延至整個生態系統。

提升日常網絡安全習慣

員工培訓應涵蓋人工智能加強版釣魚訊息、冒認及深偽內容，但單靠提高警覺並不足夠。涉及高風險付款或賬戶變更的要求，應透過可信渠道進行獨立核實；員工亦應清楚知道如何舉報可疑訊息或指示。

金融機構應優先處理甚麼？

對金融機構而言，新加坡金融管理局（Monetary Authority of Singapore，MAS）的指引強調，涉及高風險交易及特權員工的操作，需要額外核實，包括為高權限賬戶及敏感活動啟用 MFA。指引亦提到，可透過活體檢測及更強的核實方法，應對深偽技術帶來的詐騙風險。

其後，MAS 與新加坡銀行公會（Association of Banks in Singapore）成立業界工作小組，專注提升銀行業應對人工智能驅動威脅的集體網絡及科技韌性。這反映出前沿人工智能帶來的另一個教訓：單一企業需要做好自身防守，但當相同漏洞及供應商被整個生態系統共用時，情報分享、協調應變及跨業演習同樣不可或缺。

總結：修補速度已是核心韌性指標

Claude Mythos Preview 據報最值得關注之處，是它可能壓縮漏洞由被發現到遭利用之間的時間。現有證據較支持「速度及規模」上的轉變，即人工智能加快既有的漏洞發現、漏洞利用開發及社交工程手法，而不是證明模型創造了完全嶄新的網絡攻擊類別。

對新加坡企業而言，最務實的回應是：迅速修補暴露在互聯網上的嚴重系統、強制使用抗釣魚 MFA、減少特權、持續監察、演習大規模漏洞利用情境，並在保留人員控制的前提下，以人工智能擴大防守覆蓋面。

在人工智能加速威脅的環境下，修補速度及應變時間已不再只是後勤部門的數字，而是企業整體網絡韌性的核心衡量標準。