Anthropic 開放 Mythos AI 威脅資訊共享：為何對全球資安防禦很重要

零日漏洞指的是軟體開發者尚未發現或修補的嚴重安全缺陷。一旦被攻擊者利用，往往會造成大規模入侵或資料外洩。

Mythos 的能力意味著：

• 能快速掃描大型程式碼庫
• 找出系統弱點
• 幫助企業在攻擊者之前修補漏洞

但問題也很明顯：同樣的能力也可能被用來發動攻擊。

因此 Anthropic 並未公開釋出 Mythos，而是透過一個受控測試計畫——Project Glasswing——讓少數組織在防禦場景中使用。

新的「威脅分享」機制怎麼運作

在 Glasswing 計畫初期，參與者受到保密協議（NDA）限制，無法廣泛分享由 Mythos 發現的漏洞資訊。

現在 Anthropic 已調整規則：參與者可以將相關威脅資訊分享給 同樣可能受到影響的組織。

這個改變的核心邏輯很簡單：

• 若某家公司透過 Mythos 發現新漏洞
• 其他使用同一軟體或系統的組織可以被快速通知
• 這些組織便能及早修補或採取防護措施

支持者認為，這讓 Glasswing 更接近資安界長期採用的 **「負責任漏洞揭露」（responsible disclosure）**機制——也就是在公開前先通知相關防禦方修補問題。

哪些公司參與 Project Glasswing

Glasswing 計畫聚集了一批全球最重要的科技與資安機構，共同測試 AI 在漏洞發現上的能力。

已知參與者包括：

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• Google
• JPMorganChase
• Microsoft
• Nvidia
• Palo Alto Networks
• Linux Foundation

這些企業負責維護或保護全球大量關鍵基礎設施，因此被視為測試 AI 資安能力的理想合作對象。

為何 Mythos 仍被嚴格限制

即使允許分享漏洞情報，Anthropic 仍對 Mythos 的使用採取高度限制。

原因很直接：模型能力太強。

研究與測試顯示，Mythos 可以在大量系統中迅速發現嚴重漏洞，涵蓋主要作業系統、瀏覽器與軟體函式庫。

如果這樣的工具落入惡意人士手中，可能會：

• 自動化尋找軟體弱點
• 加速網路攻擊開發
• 在大規模系統上同時發現漏洞

因此 Anthropic 目前採取多層控制措施：

• 僅限少數經審核組織存取
• 僅能用於防禦型資安研究
• 在受控環境中運行（Project Glasswing）

監管機構也開始關注

AI 驅動的漏洞發現技術已經引起各國政府與金融監管機構注意。

據報導，多國監管單位要求 Anthropic 說明 Mythos 的潛在風險，特別是 金融系統安全。例如銀行、支付系統或金融基礎設施中的漏洞，一旦被 AI 快速發現，可能帶來系統性風險。

這意味著 AI 資安工具不再只是科技產業議題，也逐漸被視為 國家安全與金融穩定問題。

更大的問題：防禦速度 vs. 濫用風險

Mythos 與 Glasswing 也引發資安界的一個核心辯論。

支持者認為：

• AI 可以更快找出漏洞
• 組織間共享資訊可提升整體防禦
• 防禦方可能第一次在速度上追上攻擊者

但批評者則擔心：

• 強大的漏洞發現工具可能降低攻擊成本
• 一旦洩漏或被濫用，攻擊規模可能大幅增加

Anthropic 目前採取的策略——有限存取、受控測試與選擇性分享資訊——其實是一種折衷方案，試圖在防禦能力與風險控制之間取得平衡。

AI 資安時代的早期實驗

Project Glasswing 可能預示著未來資安產業的一個新階段：AI 找漏洞的速度可能比人類研究員更快。

如果這種趨勢持續發展，未來的核心問題將不再只是「如何發現漏洞」，而是：

• 誰能使用這些 AI 工具
• 漏洞資訊如何共享
• 如何建立全球治理與安全機制

從這個角度看，Glasswing 不只是測試一個 AI 模型，而是一次關於 AI 時代網路安全治理模式的早期實驗。