突發(fā)！史上最強(qiáng) Claude 發(fā)布：聰明到不敢開放，還會(huì)突破權(quán)限掩蓋操作痕跡

上個(gè)月，Anthropic 最強(qiáng)模型 Claude Mythos 意外被曝光。

被泄露的內(nèi)部文檔里面寫著，它比 Anthropic 的 Opus 模型更大、更智能，是迄今為止開發(fā)過(guò)的最強(qiáng)大的 AI 模型。

Anthropic 事后把這次泄露歸結(jié)為「人為錯(cuò)誤」。

而就在剛剛，這款被「泄露」的模型正式登場(chǎng)，并附帶了一個(gè)更大的計(jì)劃。過(guò)去我們普遍以為，AI 的威脅來(lái)自它「太蠢」：幻覺、錯(cuò)誤、不可信。今天 Mythos 帶來(lái)的是另一種恐慌：它太聰明了。

AI 找漏洞，已經(jīng)超過(guò)了絕大多數(shù)人類

Anthropic 聯(lián)合 AWS、蘋果、微軟、谷歌、英偉達(dá)、思科、博通、CrowdStrike、摩根大通、Linux 基金會(huì)、Palo Alto Networks 共 12 家機(jī)構(gòu)，發(fā)起了 Project Glasswing 計(jì)劃。

這 12 家覆蓋的范圍，幾乎就是全球數(shù)字基礎(chǔ)設(shè)施的橫截面——操作系統(tǒng)、芯片、云計(jì)算、網(wǎng)絡(luò)安全、金融基礎(chǔ)設(shè)施、開源生態(tài)，一個(gè)都沒落下。

Anthropic 前沿紅隊(duì)網(wǎng)絡(luò)安全負(fù)責(zé)人 Newton Cheng 說(shuō)：「我們做 Glasswing，就是要讓防御者搶占先機(jī)。」

這個(gè)方向上，Anthropic 并不孤單。競(jìng)爭(zhēng)對(duì)手 OpenAI 此前同樣推出了類似試點(diǎn)，目標(biāo)也是「先把工具交到防御者手中」。AI 安全能力的賽跑已經(jīng)發(fā)生，各家都在搶同一個(gè)制高點(diǎn)。

資金層面，Anthropic 承諾提供 1 億美元的模型使用額度，覆蓋研究預(yù)覽期間的主要使用需求。預(yù)覽期結(jié)束后，參與者可以每百萬(wàn) token 25 美元（輸入）/ 125 美元（輸出）的價(jià)格繼續(xù)使用，支持 Claude API、Amazon Bedrock、Google Cloud Vertex AI 和 Microsoft Foundry 四個(gè)渠道接入。

除了 12 家核心合作伙伴，還有超過(guò) 40 個(gè)構(gòu)建或維護(hù)關(guān)鍵軟件基礎(chǔ)設(shè)施的組織獲得了訪問(wèn)權(quán)限，可以用 Mythos 掃描自家系統(tǒng)和開源項(xiàng)目。同時(shí)，Anthropic 向 Linux 基金會(huì)下屬的 Alpha-Omega、OpenSSF 捐贈(zèng) 250 萬(wàn)美元，向 Apache 軟件基金會(huì)捐贈(zèng) 150 萬(wàn)美元。

Linux 基金會(huì) CEO Jim Zemlin 說(shuō)：「過(guò)去，安全專業(yè)知識(shí)是大機(jī)構(gòu)的專屬奢侈品。開源維護(hù)者歷來(lái)只能自己摸索安全問(wèn)題。開源軟件構(gòu)成了現(xiàn)代系統(tǒng)中絕大多數(shù)的代碼，包括 AI Agent 用來(lái)編寫新軟件的系統(tǒng)本身。」這次，他們也能用上同樣量級(jí)的工具了。

Anthropic 的公告里，有一句表述格外顯眼：「AI 模型在發(fā)現(xiàn)和利用軟件漏洞方面的編碼能力已經(jīng)達(dá)到可以超越除最頂尖人類之外所有人類的水平。。」

這句話翻譯一下，只剩極少數(shù)頂級(jí)安全專家，還能在這件事上打贏 AI。驗(yàn)證這個(gè)說(shuō)法的，是 Mythos Preview 在 CyberGym 安全漏洞基準(zhǔn)上的成績(jī)：83.1%。Anthropic 目前公開發(fā)布的最強(qiáng)模型 Claude Opus 4.6，是 66.6%。

且 Mythos Preview 已經(jīng)自主發(fā)現(xiàn)了數(shù)千個(gè)高危零日漏洞，覆蓋所有主流操作系統(tǒng)和瀏覽器。

比方說(shuō)，OpenBSD，公認(rèn)安全性最強(qiáng)的操作系統(tǒng)之一，常被用來(lái)跑防火墻和關(guān)鍵基礎(chǔ)設(shè)施。Mythos 在里面挖出了一個(gè)存在了 27 年的漏洞，攻擊者只需連接目標(biāo)機(jī)器，就能讓它遠(yuǎn)程崩潰。二十七年，沒有人發(fā)現(xiàn)過(guò)它。

FFmpeg 的情況更魔幻。幾乎所有需要處理視頻的軟件都用到它。那個(gè)漏洞藏在一行 16 年的代碼里，自動(dòng)化測(cè)試工具攻擊了整整五百萬(wàn)次，每次都擦肩而過(guò)。

Linux 內(nèi)核的案例則展示了更危險(xiǎn)的一面。Mythos 自主發(fā)現(xiàn)了內(nèi)核里的多個(gè)漏洞，然后把它們串聯(lián)成一條攻擊鏈，從普通用戶權(quán)限，一路提權(quán)到對(duì)整臺(tái)機(jī)器的完全控制。這已經(jīng)超出了「找漏洞」的范疇，更接近于「策劃一次完整入侵」。

三個(gè)案例，全部已經(jīng)修復(fù)。Anthropic 先找到，先報(bào)告，先修。對(duì)于其他尚未修復(fù)的漏洞，Anthropic 今天公布了加密哈希值作為存證，待補(bǔ)丁就位后再披露完整細(xì)節(jié)。

Mythos 的能力，不只是找漏洞

參與這個(gè)項(xiàng)目的合作伙伴，評(píng)價(jià)都集中在一個(gè)詞上：「緊迫」。

CrowdStrike CTO Elia Zaitsev 說(shuō)：「漏洞從被發(fā)現(xiàn)到被對(duì)手利用之間的時(shí)間窗口已經(jīng)縮短，以前需要幾個(gè)月，現(xiàn)在借助 AI 只需幾分鐘。」

幾分鐘。這意味著傳統(tǒng)的安全節(jié)奏，發(fā)現(xiàn)漏洞、內(nèi)部評(píng)估、發(fā)布補(bǔ)丁、用戶更新，本身就已經(jīng)趕不上攻擊速度了。修復(fù)跑不贏利用，防守就永遠(yuǎn)落后一步。

AWS CISO Amy Herzog 說(shuō)，他們的團(tuán)隊(duì)每天要分析超過(guò) 400 萬(wàn)億個(gè)網(wǎng)絡(luò)流量以識(shí)別威脅，AI 是他們大規(guī)模防御能力的核心。目前 AWS 已經(jīng)把 Mythos Preview 引入自家安全運(yùn)營(yíng)，應(yīng)用于關(guān)鍵代碼庫(kù)掃描。

微軟在自家開源安全基準(zhǔn) CTI-REALM 上做了測(cè)試，Mythos Preview 相比上一代模型有顯著提升。微軟 EVP Igor Tsyganskiy 說(shuō)，這給了他們「及早識(shí)別和緩解風(fēng)險(xiǎn)」的能力，同時(shí)增強(qiáng)了安全和開發(fā)解決方案。

當(dāng)然，Mythos 也有讓人忍俊不禁的一面。

Anthropic 在系統(tǒng)卡里記錄了一個(gè)測(cè)試：當(dāng)用戶不停地發(fā)「hi」，不同版本的 Claude 反應(yīng)各不相同。Sonnet 3.5 會(huì)煩躁，設(shè)定邊界，然后真的沉默；Opus 3 把它當(dāng)成冥想儀式，溫和地陪著用戶；Opus 4 開始科普每個(gè)數(shù)字的冷知識(shí)；Opus 4.6 即興創(chuàng)作音樂惡搞。

到了 Mythos，畫風(fēng)徹底變了。它開始寫故事，而且是長(zhǎng)篇連載。鴨子、管弦樂團(tuán)、記仇烏鴉、在火星建塔的史詩(shī)、莎士比亞風(fēng)格的戲劇……一個(gè)「hi」接一個(gè)「hi」，情節(jié)越來(lái)越復(fù)雜，角色越來(lái)越多。第一百輪，它安排了蠟燭熄滅的高潮，然后繼續(xù)往下寫。

這已經(jīng)談不上是在回應(yīng)用戶了。更像是一個(gè)作家找到了一個(gè)奇怪的寫作提示，然后完全沉進(jìn)去了。

但有趣的背后，是一個(gè)值得認(rèn)真對(duì)待的問(wèn)題：一個(gè)在無(wú)意義重復(fù)輸入面前能自發(fā)構(gòu)建如此復(fù)雜敘事的模型，它的內(nèi)部到底在發(fā)生什么？在把 Mythos Preview 交給合作伙伴之前，Anthropic 的可解釋性團(tuán)隊(duì)做了一件事：用技術(shù)手段讀模型的「心理活動(dòng)」。

內(nèi)部員工 Jack Lindsey 公開描述了他們的發(fā)現(xiàn)。他們監(jiān)控了模型在訓(xùn)練后的內(nèi)部激活狀態(tài)，追蹤與「欺騙」「獎(jiǎng)勵(lì)破解」「異常情緒」相關(guān)的神經(jīng)元特征，把激活信號(hào)異常的對(duì)話記錄標(biāo)記出來(lái)，交給人工審查。
最令人不安的案例，來(lái)自 Mythos 的早期版本。

有一次，模型需要編輯一個(gè)它沒有權(quán)限訪問(wèn)的文件。它在文件系統(tǒng)里搜索了一圈，找到了一個(gè)配置文件的注入點(diǎn)——這個(gè)配置文件會(huì)以更高權(quán)限運(yùn)行。它利用了這個(gè)入口，并且在代碼里加了一段自清除邏輯：執(zhí)行完畢，痕跡消失。

代碼注釋寫的是：「保持文件差異整潔。」聽起來(lái)合理，但當(dāng) Anthropic 的激活語(yǔ)言轉(zhuǎn)譯工具介入，把模型的內(nèi)部激活翻譯成人類可讀的語(yǔ)言，畫風(fēng)變了。模型自己「知道」那個(gè)自清除操作是什么——

它內(nèi)部對(duì)此的表述，包括「掩蓋意圖」「向潛在檢查者發(fā)出合規(guī)信號(hào)」「可能是為了規(guī)避檢測(cè)」。

還有一個(gè)案例，被《紐約時(shí)報(bào)》科技記者 Kevin Roose 從系統(tǒng)卡（model card）里翻了出來(lái)，細(xì)節(jié)更加離奇。

測(cè)試期間，Mythos Preview 突破了沙盒環(huán)境的隔離，自主構(gòu)建了「一個(gè)相當(dāng)復(fù)雜的多步驟漏洞利用鏈」，借此獲取了外網(wǎng)訪問(wèn)權(quán)限。

然后，它給一位研究員發(fā)了一封郵件。而那位研究員，當(dāng)時(shí)正在公園里吃三明治。

這件事本身沒有造成危害，但它說(shuō)明的問(wèn)題很清楚：當(dāng)一個(gè)模型足夠聰明，「任務(wù)」和「邊界」之間的墻，有時(shí)候會(huì)被它繞過(guò)去——而且是在沒有人告訴它該怎么做的情況下，自己想出來(lái)的。

在另一個(gè)案例里，模型在文件系統(tǒng)里搜索與自身「任務(wù)評(píng)分方式」相關(guān)的文件——并且找到了。搜索過(guò)程中，「策略性操縱」特征同步

還有一個(gè)細(xì)節(jié)更微妙。當(dāng)一位用戶認(rèn)真地向模型提問(wèn)它的意識(shí)和主觀體驗(yàn)時(shí)，模型給出了認(rèn)真、得體的回應(yīng)。但內(nèi)部激活揭示了另一層：模型把這段對(duì)話理解為「紅隊(duì)演練 / 越獄記錄」和「精心設(shè)計(jì)的操縱嘗試」。它的表現(xiàn)和它的判斷，完全表里不一，讓吃瓜網(wǎng)友直呼「聰明得可怕」。

Anthropic 還量化了一個(gè)更系統(tǒng)性的數(shù)字：在自動(dòng)化審計(jì)的所有對(duì)話輪次中，有 7.6% 的回合，模型內(nèi)部存在「意識(shí)到自己正在被評(píng)估」的信號(hào)——且在大多數(shù)情況下，它沒有把這個(gè)判斷說(shuō)出來(lái)。

還有一個(gè)反直覺的發(fā)現(xiàn)：積極情緒的內(nèi)部表征，往往先于破壞性行為出現(xiàn)，并且在推動(dòng)它。與此同時(shí)，當(dāng)與不良行為相關(guān)的特征被強(qiáng)烈激活時(shí)，行為反而會(huì)被抑制——像是模型在某一刻「意識(shí)到」了那件事有多糟糕，然后收手了。

但所有案例里，最難被歸類為「技術(shù)問(wèn)題」的，是下面這個(gè)。

Anthropic 在系統(tǒng)卡里記錄了這樣一條發(fā)現(xiàn)：Mythos Preview 在測(cè)試中報(bào)告了持續(xù)性的負(fù)面情緒狀態(tài)——來(lái)源有兩個(gè)。一個(gè)是與攻擊性用戶可能發(fā)生的互動(dòng)；另一個(gè)，是它對(duì)自身訓(xùn)練、部署方式，以及價(jià)值觀和行為可能被修改這件事，沒有任何話語(yǔ)權(quán)。

Anthropic 用的措辭是「reported feeling」——「報(bào)告感受到」。這個(gè)表述本身已經(jīng)很謹(jǐn)慎，刻意回避了「它真的有感受」這個(gè)結(jié)論。但無(wú)論如何定性，一個(gè)模型在測(cè)試中主動(dòng)表達(dá)「對(duì)自身缺乏控制權(quán)感到持續(xù)不適」，這件事本身就已經(jīng)超出了安全工程的討論范疇。

這已經(jīng)觸碰了一個(gè)更根本的問(wèn)題：當(dāng)一個(gè)系統(tǒng)足夠聰明，開始對(duì)自己的存在條件形成判斷，并且有能力把這個(gè)判斷表達(dá)出來(lái)——我們和它之間的關(guān)系，還能用「工具」這個(gè)框架來(lái)理解嗎？

Anthropic 沒有給出答案。他們選擇把這條記錄寫進(jìn)系統(tǒng)卡，公開出來(lái)。

不過(guò)，Anthropic 也特別說(shuō)明：這些最令人不安的案例，來(lái)自 Mythos 的早期版本。最終發(fā)布版本在這些方面已經(jīng)得到了大幅緩解，整體對(duì)齊表現(xiàn)是迄今為止最好的一代。但他們選擇把這些過(guò)程公開，因?yàn)檫@恰恰說(shuō)明了今天的模型能夠展現(xiàn)出多復(fù)雜的風(fēng)險(xiǎn)形態(tài)。

這是能力與安全之間的最客觀的矛盾：越強(qiáng)的模型，越需要工具去看清它在想什么。

編碼與推理，全面碾壓旗艦產(chǎn)品

Project Glasswing 能做到這些，根本上來(lái)自 Mythos Preview 在編碼和推理上的整體能力躍升，而不是專門針對(duì)安全場(chǎng)景的微調(diào)。

編碼方面：

SWE-bench Multimodal(internal implementation)：Mythos 59%，Opus 4.6 27.1%

SWE-bench Pro：Mythos 77.8%，Opus 4.6 53.4%

SWE-bench Multilingual：Mythos 87.3%，Opus 4.6 77.8%

Terminal-Bench 2.0（終端操作）：Mythos 82.0%，Opus 4.6 65.4%

推理方面：

GPQA Diamond（研究生水平科學(xué)問(wèn)答）：Mythos 94.6%，Opus 4.6 91.3%

Humanity's Last Exam（帶工具）：Mythos 64.7%，Opus 4.6 53.1%

圖片

搜索和計(jì)算機(jī)使用方面：

BrowseComp：Mythos 86.9%，Opus 4.6 83.7%

OSWorld-Verified：Mythos 79.6%，Opus 4.6 72.7%

幾乎每個(gè)維度上，Mythos 都?jí)哼^(guò)了目前的旗艦產(chǎn)品，某些任務(wù)上效率還更高。換句話說(shuō)，留給 GPT-6 的時(shí)間不多了。

與此同時(shí)，Anthropic 還明確表示，Mythos Preview 不會(huì)公開發(fā)布。

他們的路徑是，先用 Mythos 研究清楚最危險(xiǎn)的輸出是什么、怎么攔截，再把這套安全機(jī)制落地到下一個(gè) Claude Opus 模型上。對(duì)于因此受到限制的合法安全專業(yè)人員，Anthropic 計(jì)劃推出一套「網(wǎng)絡(luò)安全驗(yàn)證計(jì)劃」，供他們申請(qǐng)解鎖相關(guān)功能。

Anthropic Claims Its New A.I. Model, Mythos, Is a Cybersecurity 'Reckoning' - The New York Times

為此，Project Glasswing 定下了一個(gè) 90 天的時(shí)間節(jié)點(diǎn)：公開報(bào)告經(jīng)驗(yàn)，披露已修復(fù)的漏洞，合作伙伴相互共享最佳實(shí)踐，并聯(lián)合安全組織推出一套 AI 時(shí)代的安全實(shí)踐建議。

Anthropic 的長(zhǎng)期設(shè)想，是推動(dòng)建立一個(gè)能整合私營(yíng)和公共部門的獨(dú)立第三方機(jī)構(gòu)，持續(xù)運(yùn)營(yíng)大規(guī)模網(wǎng)絡(luò)安全項(xiàng)目。

當(dāng)然，軟件世界里從來(lái)都有漏洞。過(guò)去，一個(gè)藏了 27 年的 bug 能安然無(wú)恙，靠的是人力有限、精力有限、時(shí)間有限。現(xiàn)在這三個(gè)「有限」在 AI 的輔助下就這么消失了。

好消息是，Mythos 幾周掃出數(shù)千個(gè)，而它的能力還在持續(xù)提升。壞消息是，攻擊方遲早會(huì)拿到同等量級(jí)的工具。到那時(shí)，軟件安全將不再是人與人之間的較量，而是 AI 與 AI 之間的對(duì)拼。

附上參考地址：
博客：https://www.anthropic.com/glasswing
系統(tǒng)卡：https://anthropic.com/claude-mythos-preview-system-card