2026年4月7日，Anthropic丢下一枚核弹：他们发布了一款名为Claude Mythos Preview的AI模型，它不仅能在所有主流操作系统中自主发现零日漏洞，还能自动编写完整的利用代码。这不是概念验证——一个没有任何安全工程背景的Anthropic普通工程师，下班前随手让Mythos"找几个远程代码执行漏洞"，第二天早上醒来，桌上摆着一份完整可用的exploit。
YouTube安全频道Low Level（@LowLevelTV，112万订阅）的创作者Ed Woodruff——一位拥有十年以上漏洞研究经验的资深安全工程师——用31分钟拆解了这个"让整个安全圈集体沉默"的事件。他的结论是：漏洞研究的游戏规则，从这一天起彻底改写了。
| 项目 | 内容 |
|---|---|
| 视频标题 | vulnerability research just got easier (scarier?) |
| 频道 | Low Level (@LowLevelTV) |
| 创作者 | Ed Woodruff |
| 时长 | 约31分钟 |
| 频道订阅 | 112万 |
| 核心主题 | Anthropic Claude Mythos / Project Glasswing：AI自主发现和利用零日漏洞 |
根据Anthropic官方在red.anthropic.com发布的技术报告，Claude Mythos Preview在测试期间达成了以下成就：
这不是简单的缓冲区溢出扫描。Mythos写出的浏览器利用代码链式组合了四个漏洞，执行了复杂的JIT堆喷射（JIT Heap Spray），同时逃逸了渲染器沙箱和操作系统沙箱。在FreeBSD上，它自主编写了一个NFS服务器的远程代码执行漏洞，通过多个网络包拆分了一个20个gadget的ROP链，让未经认证的攻击者直接获得root权限。
视频原话重点：Ed在视频中反复强调一个令他作为资深漏洞研究员感到"不寒而栗"的事实——这些exploit的质量之高，甚至超过了很多中级安全研究员的手工水平。
Anthropic自己在技术报告中给出了一个惊人的对比数据：
一个月前，我们写道"Opus 4.6在识别和修复漏洞方面远强于利用漏洞"。我们的内部评估显示，Opus 4.6的自主漏洞利用开发成功率接近0%。
但在Firefox 147 JavaScript引擎的同一个基准测试中： - Claude Opus 4.6：数百次尝试中，仅2次成功开发出JavaScript shell exploit - Claude Mythos Preview：181次成功开发出完整exploit，另有29次达成寄存器控制
这意味着在短短一个月内，AI的漏洞利用能力实现了一个数量级的飞跃。从几乎为零到接近60%的成功率，这种跃迁速度在AI安全研究领域前所未有。
这也许是整个事件中最令人不安的部分。Anthropic技术报告原文写道：
Anthropic内部没有接受过正式安全培训的工程师，让Mythos Preview在一夜之间查找远程代码执行漏洞，第二天早上醒来就收到了一份完整、可用的exploit。
我的延伸分析：这彻底改变了攻击者的准入门槛。过去，编写一个ROP chain需要深入理解操作系统的内存管理、调用约定和ASLR绕过技术——这些知识通常需要数年积累。现在，一个会写prompt的产品经理理论上就能完成同样的工作。这不是"AI辅助安全研究"，这是"AI替代了安全研究中80%的技术壁垒"。
Anthropic并没有简单地把这个超级武器扔到世界上。他们同步启动了Project Glasswing——一个与苹果、微软、谷歌、亚马逊等科技巨头合作的协调漏洞披露计划。核心运作模式：
flowchart TD
A[Claude Mythos Preview<br/>自动扫描代码] --> B[发现零日漏洞<br/>数千个]
B --> C[Project Glasswing<br/>协调披露]
C --> D[通知合作厂商<br/>Apple/MS/Google/Mozilla]
D --> E[厂商开发补丁]
E --> F[补丁发布后<br/>才公开漏洞详情]
B --> G[超过99%的漏洞<br/>尚未修复]
G --> H[Anthropic拒绝<br/>公开发布Mythos]
style A fill:#ff6b6b,color:#fff
style H fill:#ffd93d,color:#333
style F fill:#6bcb77,color:#fff
截至目前（2026年5月），超过99%的漏洞尚未被修补。这也是为什么Anthropic拒绝公开发布Mythos的原因——如果这些漏洞细节泄露，后果不堪设想。
Low Level的视频详细讲述了Mozilla与Anthropic合作的实战结果。这个案例是我认为最有说服力的证据：
三月试运行：Claude Opus 4.6（还不是Mythos）在两周内就在Firefox中发现了22个安全漏洞，其中14个被归类为高危。
四月全面部署：Mythos Preview接入Mozilla的安全管线后，一个月内帮助修复了423个安全漏洞，包括： - 72个Critical级别（置信度≥90） - 178个High级别（置信度≥75） - 112个Medium级别（置信度≥50） - 61个Low级别
Mozilla使用的AI驱动漏洞发现管线包含四个核心组件：
关键数据：这套管线的端到端周期——从发现漏洞到提交补丁——不到72小时。传统流程通常需要数周甚至数月。
根据Anthropic技术报告和多方分析，Claude Mythos Preview采用了一种混合分析架构：
这四种技术的融合是Mythos强大能力的核心——传统工具通常只使用其中一两种方法，而Mythos将它们整合在一个统一的推理框架中。
Ed在视频中分享了他作为资深安全研究员的真实感受：
"我做了十多年的漏洞研究，这曾经是一门需要深厚专业知识、经验和直觉的手艺。现在，一个AI模型在我睡觉的时候就能完成我几个月的工作量。"
这不是危言耸听。根据行业数据： - 安全漏洞的发现时间从平均12天缩短到4天以内 - 修复时间从26天降至10天 - 安全债务积压减少了38%
但问题也很明显：如果Anthropic能做到，其他AI公司还会远吗？ 恶意行为者会不会训练出类似的模型？答案是几乎肯定的。
mindmap
root((Claude Mythos<br/>Project Glasswing))
核心能力
零日漏洞自动发现
自动编写exploit代码
跨OS/浏览器全平台覆盖
非专家可用
技术架构
符号执行(Z3)
神经模式识别(Transformer)
Fuzz引导运行时检查(libFuzzer)
依赖图分析(GNN)
实战案例
Mozilla Firefox: 423个漏洞/月
OpenBSD: 27年老Bug
FreeBSD: NFS RCE root
Chrome: JIT Heap Spray沙箱逃逸
行业影响
攻击门槛大幅降低
防御方获得超级武器
安全行业职业转型
开源安全鸿沟扩大
应对策略
Project Glasswing协调披露
开发者需拥抱AI辅助审计
CI/CD集成AI安全扫描
持续学习AI安全工具
1. 你写的每一行代码都将被AI审计
无论你是否意识到，AI驱动的安全审计正在成为标配。Mozilla的实践表明，AI可以在72小时内完成从发现到补丁的全流程。如果你负责维护一个开源项目或企业级软件，现在就应该考虑在CI/CD管线中集成AI安全扫描工具——不是"未来考虑"，而是"立即行动"。
2. 安全编码习惯比以往更重要
当AI能在数小时内扫描百万行代码并发现隐藏20年的漏洞时，"代码审查时没发现"不再是借口。开发者需要更加重视： - 边界检查和整数溢出防护 - 内存安全（use-after-free、double-free） - 竞态条件和锁的正确使用 - 沙箱和权限最小化
3. 安全研究员的角色正在转变
Ed Woodruff在视频最后给出了一条务实的建议：未来的安全研究员不再是"找到漏洞的人"，而是"指导AI找到漏洞的人"。你需要学会： - 如何为AI安全工具编写高质量的prompt - 如何验证和triage AI发现的漏洞 - 如何设计有效的fuzzing策略配合AI分析
4. 开源项目面临安全鸿沟
Mozilla能修复423个漏洞是因为他们有资源与Anthropic合作。但对于那些只有几个志愿维护者的开源项目呢？没有AI安全工具的接入能力，他们将成为攻击者的首要目标。这需要社区和基金会的集体投入。
当AI能让产品经理在睡梦中挖出操作系统漏洞时，安全不再是少数专家的专利，而是每个开发者的基本功。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。