AI已超越攻擊門檻：解構Claude Mythos點解會終結人類主導嘅漏洞挖掘時代

關鍵係，佢嘅警告唔係話AI會即時取代晒所有安全研究員，而係話AI正正跨越緊一道能力門檻，會徹底改變「邊個（或者乜嘢）會最先搵到最關鍵嘅漏洞」嘅遊戲規則。佢認為，呢個趨勢最終會指向機器 。

Claude Mythos實際做到乜：超越跑分嘅真正實力

Claude Mythos Preview唔係啲咩狹窄嘅網絡安全工具。佢係一個通用語言模型，係Anthropic新一代嘅Claude系列接班人。佢本身並唔係專門訓練出嚟做黑客嘅，但當研究員評估佢嘅能力嗰陣，連開發佢嘅人都嚇親 。

數以千計嘅零日漏洞發現

Anthropic確認，Mythos Preview自主發現咗數千個高危險性嘅漏洞，遍布所有主要作業系統同網頁瀏覽器。呢度包括一啲連人類研究員都未發現過嘅零日漏洞 。有報告甚至形容，個模型喺21分鐘之內就輸出咗303頁嘅漏洞報告 。

能完整寫出攻擊代碼

以前嘅AI模型有時會搵到漏洞，但絕少能夠自主砌出一套用得嘅攻擊代碼（Exploit）。喺一個將Firefox JavaScript引擎漏洞轉化為Shell Exploit嘅基準測試入面，Mythos Preview成功咗181次。相比之下，Anthropic對上一個最勁嘅模型Claude Opus 4.6，成功率幾乎係零。呢個絕對唔係咩輕微進步，而係一道被徹底打爛嘅門檻 。

逆向工程「拆骨」軟件

Mythos可以分析封閉源碼或者已編譯嘅軟件，甚至係嗰啲俾人抌走晒可讀性除錯資訊（Stripped Binaries）嘅程式。佢可以直接睇機器語言層面嘅程式碼，理解程式點運作，然後搵出冇源碼睇住根本唔會發現到嘅漏洞 。

一句指令就全自主攻擊，唔使人介入

研究員用咗一個好簡單嘅腳手架（Scaffold）：將目標程式碼容器化，透過Claude Code叫用Mythos Preview，再俾一段簡短嘅提示叫佢搵漏洞。個模型就自己識得搵到前所未見嘅安全漏洞，仲寫埋攻擊代碼出嚟 。英國嘅AI安全研究所（AISI）之後亦獨立評估過Mythos，確認咗佢呢啲先進嘅網絡攻擊能力 。

最得人驚嘅位：呢啲能力係意外爆出嚟

Anthropic好坦白咁講：呢個模型嘅攻擊性網絡能力，並唔係佢哋專登訓練出嚟嘅。呢啲能力「係源於程式編寫、推理同自主性全面提升之後，順帶衍生出嚟嘅下游後果」。即係話，同一套令模型更擅長修補漏洞嘅改良，亦同時令佢更擅長攻擊漏洞。呢一點帶嚟好大嘅治理啟示：如果攻擊能力只不過係強大推理能力嘅一種「湧現特性」（Emergent Property），咁將來再勁啲嘅模型，可能根本冇辦法做到安全，除非你完全限制佢嘅智能 。

點解得50個組織有得玩？深度拆解「玻璃翼計劃」同歷史性嘅政府干預

當Anthropic喺2026年4月推出Claude Mythos Preview嗰陣，佢哋做咗一件冇乜大型AI實驗室做過嘅事：就係一邊發表最強模型，一邊同公眾講「你哋冇得用」。

佢哋創立咗**「玻璃翼計劃」（Project Glasswing）**，一個嚴格限制存取嘅計劃，將Mythos Preview限定俾大約50個經過嚴格審查嘅組織使用。呢堆組織包括Apple、Amazon Web Services、Microsoft、Google、Cisco、CrowdStrike、Broadcom、Palo Alto Networks同Nvidia呢啲科技巨頭，仲有摩根大通（JPMorgan Chase）呢類關鍵基建營運商。美國政府機構，包括國家安全局（NSA），都喺名單之上 。目標係先鞏固全球最關鍵嘅軟件，畀防守方搶返少少時間優勢，等類似（甚至更強）嘅攻擊性AI喺市場擴散之前做好準備 。

Anthropic嘅理據好簡單直接：個模型太危險，唔適合大規模開放。佢哋承認Mythos「喺網絡能力方面，遠遠拋離現有其他任何AI模型」，而且「預示緊將來會有一大波模型，能夠以遠超防守方努力嘅方式去利用漏洞」。如果落入壞人手中，佢可以用嚟策劃針對電網、醫院同金融系統嘅協調式網絡攻擊 。

白宮出手介入

情況進一步升級，係當Anthropic提出想將存取權限，由大約50個組織擴展到120個嗰陣。白宮竟然出手阻止咗呢個擴展——呢次係已知嘅首次，美國政府基於政策考量（而唔係具體法律或規例）去限制一個AI模型嘅商業化推進。官員話擔心個模型會落入敵對勢力手中，同時亦質疑Anthropic有冇足夠嘅運算能力去同時服務新增嘅用戶同聯邦政府機構，而唔會降低服務質素 。

同時間，五角大樓宣布咗同八間公司（OpenAI、Google、Microsoft、AWS、Nvidia、SpaceX、Oracle 同 xAI）建立機密網絡嘅AI合作夥伴關係，偏偏就係冇預Anthropic份。呢個信號好明顯，反映呢間公司同美國國防體系之間嘅緊張關係正在升溫 。

暫時嚟講，Mythos仍然被鎖喺重門深鎖嘅伺服器後面。日本嘅三大巨型銀行喺2026年5月攞到存取權，成為美國以外首批以防禦性方式使用呢個模型嘅國家之一 。

人類漏洞研究員：瀕危物種定係轉型進化？

Claude Mythos嘅出現，喺網絡安全界引發咗一場好迫切嘅哲學辯論。人類漏洞研究員仲有冇將來？定係我哋在見證緊一個時代嘅終結？

撐人類嘅理據：點解專業知識仲咁重要

1. AI係增強，唔係取代。 Palmiotti本人都係用Claude Code去提升效率，同時靠人類技術去做情境判斷同創意推理。好多研究員都認為，人類嘅專業知識喺高層次策略、理解系統嘅商業邏輯同目的，以至創意攻擊鏈串聯推理方面，仍然係模型暫時做唔到嘅 。

2. 存取限制保得住人類角色——暫時嚟講。 Mythos被鎖定俾大約50個組織。絕大多數嘅漏洞賞金計劃、滲透測試同漏洞評估，仍然係由人類研究員用住無咁犀利嘅工具嚟做。雖然前線嘅遊戲規則變咗，但現有呢個龐大嘅行業生態並未因此瓦解 。

3. 新領域同判斷力。 人類喺識別業務邏輯缺陷、執行細緻嘅社交工程評估，同埋提供以風險為本嘅情境判斷方面，仍然保住優勢；呢啲嘢係現時AI模型可能會忽略或者錯誤解讀嘅。AI可能會搵到一個技術上可利用嘅緩衝區溢位（Buffer Overflow），但人類研究員可以話到俾你知，呢個溢位喺業務層面嚟講係咪真係咁緊要 。

撐淘汰嘅理據：點解速度同規模會贏

1. 原始速度同規模超出人類極限。 Mythos可以吞晒成個程式庫，喺幾分鐘內搵到漏洞同寫埋攻擊代碼——呢啲工作可能要用一隊熟手嘅團隊花上幾個星期甚至幾個月先做到。有媒體甚至形容佢係「一個幾乎可以入侵地球上任何電腦嘅AI」，因為佢已經同時喺所有主要作業系統搵到數千個未知漏洞 。

2. 精英人類賽事，變咗AI能力展示場。 Palmiotti預測Pwn2Own呢類黑客比賽會變得過時，唔係一種感覺咁簡單，而係一種結構性嘅觀察。如果一個模型就可以搵到並串聯一啲本來需要幾隊精英隊伍先處理到嘅漏洞，咁成個漏洞挖掘嘅經濟模式，就會從根本上改變 。

3. 成本同效率優勢壓倒性咁大。 一個AI系統可以掃描幾百萬行程式碼，將細小嘅漏洞串聯成關鍵嘅攻擊鏈，並且喺冇任何人類可以維持到嘅規模下運作。呢個徹底改變咗漏洞發現嘅可行性——唔係因為人類冇用，而係人類喺量方面根本冇得鬥 。

呢場辯論似乎唔會咁快有清晰嘅定論。更大嘅可能性係，短期內會出現一個兩極化嘅局面：一個係受嚴格政府同企業審查、用緊Mythos呢類工具嘅內圍圈子，佢哋係用AI增強防禦嘅少數派；而另一個更廣大嘅外圍圈子，絕大部分嘅安全工作仍然死死地、好人性化咁靠人手去做。只不過，呢兩個圈子之間嘅距離，正在快速咁拉近當中。