Anthropic Mythos AI 正在揭露全球軟體漏洞，G20 監管機構為何緊急關注？

人工智慧正快速改變網路安全的運作方式。其中最受關注的案例之一，是 Anthropic 尚未公開發布的 AI 模型「Claude Mythos」。這個模型被設計用來在大型軟體與基礎設施中搜尋安全漏洞。

根據早期報導，Mythos 在發現隱藏漏洞方面的能力非常強大，以至於 Anthropic 不僅限制了模型的公開存取，還開始向全球金融監管機構進行簡報，包括 金融穩定委員會（Financial Stability Board, FSB） 以及與 G20 相關的中央銀行與財政部門官員。主要原因很直接：同樣的技術既能幫助防禦，也可能讓攻擊者更快找到可利用的漏洞。

Mythos AI 模型到底能做什麼

Claude Mythos 是一個前沿 AI 模型，專門用來分析複雜的軟體系統並識別安全弱點。憑藉強大的程式碼理解與推理能力，它可以快速檢查大型程式碼庫與基礎設施層，找出傳統工具或人工審查可能忽略的漏洞。

報導指出，該模型已經在 主要作業系統與網頁瀏覽器中發現數千個潛在弱點，顯示許多軟體長期存在但未被察覺的安全問題。

對資安團隊而言，這種能力極具價值。越早發現漏洞，就能越早修補，避免被攻擊者利用。但問題也在於：如果漏洞能更快被找到，也意味著它們可能更快被攻擊者利用。

為何 Anthropic 要向金融穩定委員會簡報

金融穩定委員會（FSB） 是一個由各國中央銀行、金融監管機構與財政部組成的國際協調組織，主要負責監測可能影響全球金融穩定的風險。

報導指出，英國央行總裁、同時也是 FSB 主席的 Andrew Bailey 已邀請 Anthropic 向 G20 的財政部與中央銀行進行簡報。原因是 Mythos 發現的部分漏洞可能與全球金融系統的數位基礎設施有關。

現代金融系統高度依賴數位科技，例如：

• 銀行核心軟體
• 雲端平台
• 身分驗證系統
• 即時支付網路

如果某個廣泛使用的軟體存在重大漏洞，就可能同時影響多家金融機構。

為何這個模型被認為不適合公開發布

Anthropic 至今沒有公開發布 Mythos，主要是因為它可能 大幅降低尋找重大漏洞所需的時間與技術門檻。

如果一個 AI 工具能自動掃描作業系統、瀏覽器或核心基礎設施並找到可利用的弱點，那麼風險就不再只是一般的資安問題。犯罪組織或國家支持的駭客也可能使用同樣的技術來快速武器化漏洞。

因此，Mythos 被視為具有 高度「雙重用途」（dual‑use）特性 的技術——既能防禦，也能攻擊。

Project Glasswing：限制存取的協作防禦計畫

為了降低風險，Anthropic 沒有直接發布模型，而是推出 Project Glasswing，讓少數受信任的組織在受控環境下提前使用 Mythos。

目前參與的機構包括多家全球科技與資安公司，例如：

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• Google
• JPMorganChase
• Microsoft
• NVIDIA
• Linux Foundation
• Palo Alto Networks

這些機構負責全球大量數位基礎設施，例如雲端平台、作業系統、開源軟體與金融服務。他們可以利用 Mythos 搜尋漏洞並在攻擊者發現之前進行修補。

為何監管機構把 AI 資安能力視為「系統性風險」

金融監管機構現在越來越傾向把 AI 資安能力視為 系統性金融風險，而不只是單一公司的技術問題。

金融穩定委員會曾指出，AI 可能透過多種方式放大金融系統的脆弱性，例如：

• 對少數科技供應商的高度依賴
• 網路攻擊風險上升
• 多家機構同時出現相關性失敗
• AI 模型治理與監管不足

由於銀行、支付系統與金融市場都依賴類似的軟體與雲端平台，一個關鍵漏洞就可能同時影響多個機構。如果 AI 讓漏洞發現或利用速度大幅提升，衝擊可能跨越國家與金融市場。

仍然未知的關鍵問題

儘管 Mythos 已引起高度關注，但外界仍然不知道許多細節。

Anthropic 尚未公開說明：

• 模型具體發現了哪些漏洞
• 這些漏洞的嚴重程度
• 是否已由獨立資安研究人員驗證

目前大部分資訊仍來自公司聲明與媒體報導，而非公開的技術研究。

這也反映了這類 AI 工具的核心難題：如果公開太多漏洞資訊，本身就可能帶來新的安全風險。

網路安全正在進入新的 AI 時代

Mythos 代表資安領域的一個重要轉變：AI 同時加速「攻擊」與「防禦」。

過去資安研究人員可能需要數週甚至數月分析大型程式碼庫，而未來強大的 AI 模型可能在幾分鐘或幾小時內完成類似工作。

對科技公司、政府與金融機構而言，新的挑戰是：如何在利用 AI 保護關鍵基礎設施的同時，避免這些能力被用來發動更大規模的網路攻擊。