Claude Mythos 企業版挖出超1萬高危漏洞：Anthropic 聯手13家巨頭建AI安全聯盟
Anthropic 最近搞了個大動作，但這次不是發新模型那麼簡單。
4月7日，它聯合了一串你可能做夢都想不到會站在一起的公司——AWS、Apple、Broadcom、Cisco、CrowdStrike、Google、摩根大通、Linux 基金會、微軟、NVIDIA、Palo Alto Networks——宣佈成立一個叫 Project Glasswing 的安全聯盟。使命只有一個：用 AI 來解決全球最關鍵軟件的安全問題。
同一天，Anthropic 還透露了另一個重磅消息：他們內部用 Claude 系列模型對企業代碼庫做大規模安全掃描，結果發現超 1 萬個高危漏洞。
這兩個消息湊在一起，整個安全圈炸了。
一萬多個高危漏洞是怎麼挖出來的
這要從 Anthropic 的 AI 安全研究說起。
Claude Mythos 是 Anthropic 內部一直在打磨的安全研究專用模型。和普通 Claude 不同，它專門針對代碼逆向、漏洞發現、滲透測試場景優化過，能在大規模代碼庫裏自動找出存在真實威脅的漏洞點。
在 Glasswing 項目啓動之前，Anthropic 的團隊先用 Claude Mythos 對一批企業級代碼庫做了”壓力測試”——結果讓人頭皮發麻：一萬多個高危漏洞，覆蓋從身份認證繞過、內存損壞到供應鏈攻擊等多種類型。
這些漏洞不是靠傳統掃描器找的，也不是安全工程師人工挖的，是 AI 模型自動跑出來的。
對比一下傳統做法：專業安全團隊做一次完整的企業代碼審計，耗時通常以月計，費用動輒數十萬美元。Claude Mythos 在同樣規模的代碼庫上，時間可以壓縮到天級別甚至更短。
這就是 AI 安全研究工具的量級差距。
Claude Mythos 到底有多猛
《紐約時報》4月7日的報道標題直接寫了一句話：“Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”——說白了就是這個模型猛到 Anthropic 自己都覺得不適合公開發布。
BBC 隨後專門發了一篇文章追訪，標題就叫：“What is Anthropic’s Claude Mythos and what risks does it pose?”
從各方信息綜合來看，Claude Mythos 的核心能力集中在三個方向：
– 代碼理解與逆向：能讀懂複雜的企業級代碼庫結構，找出其中的安全缺陷
– 漏洞可利用性評估：不只找漏洞，還能判斷這個漏洞在真實攻擊場景裏能不能被利用
– 大規模自動化掃描：一次對整個代碼庫跑，不需要人工逐步排查
這個能力組合意味着什麼？
意味着以前一個安全團隊幹三個月的活，現在 AI 可能幾天就給你跑完了。而且 AI 不會疲勞、不會漏掃、不會因爲代碼複雜就產生畏難情緒。
Project Glasswing：AI 安全聯盟是什麼來頭
光有 AI 能力還不夠，Anthropic 拉來了 13 家科技巨頭髮起 Project Glasswing。
這份名單本身就值得細品：
– 雲廠商：AWS、Microsoft Azure
– 安全廠商：CrowdStrike、Palo Alto Networks
– 芯片/硬件：Broadcom、NVIDIA
– 企業用戶：摩根大通
– 開源基礎設施：Linux 基金會
– 操作系統：Apple
– 網絡設備：Cisco
– AI 公司：Anthropic、Google
這個組合意味着什麼？意味着他們不是隻做理論研究，而是要從芯片層、操作系統層、雲平臺層、應用層，全鏈路打通 AI 安全能力的落地。
Glasswing 的核心計劃包括：
– 建立一套 AI 驅動的代碼安全評估標準
– 推動關鍵開源軟件的安全審計
– 共享 AI 發現的高危漏洞情報
– 爲全球關鍵基礎設施提供 AI 安全防護
說得直白點，這就是要建一個 AI 時代的”網絡安全聯盟”，用 AI 來對抗 AI 帶來的安全風險。
一萬個漏洞背後的真問題
挖出一萬個漏洞本身不是新聞，安全圈天天都在挖漏洞。
真正值得警惕的是這個數字背後的含義。
第一，漏洞的數量級遠超預期。
以前大家知道企業代碼庫有漏洞，但”超 1 萬高危”這個量級說明什麼？說明現有開發流程裏的安全檢查，根本不夠用。代碼寫完了、安全掃描器跑一遍、過了——但該漏的還是漏了。AI 的介入把這個問題暴露得更徹底了。
第二，漏洞的分佈說明什麼。
Anthropic 沒有公佈具體是哪些類型的漏洞最多，但根據 Glasswing 參與方的構成，我們可以推測：供應鏈漏洞（因爲有 Linux 基金會）、身份認證漏洞（因爲有云廠商和企業）、基礎設施漏洞（因爲有芯片和操作系統廠商）應該是重點方向。
第三，”發現”不等於”修復”。
挖出漏洞只是第一步。一萬個高危漏洞，誰來修？修多久？很多企業代碼庫裏的歷史漏洞，可能已經存在了五到十年，修一個還要小心不破壞現有功能。
AI 安全工具的雙刃劍
說到這裏，有一件事必須提：Claude Mythos 能用來挖漏洞，也意味着其他人也可以用類似的 AI 來挖漏洞。
Anthropic 這次選擇不公開發布 Claude Mythos，理由是”太危險”。這和它在 Claude Opus 4 時代的做法一脈相承——先評估風險，再決定開放程度。
但問題是：
– 其他公司會不會做出類似甚至更強的模型？
– 這些模型如果落到攻擊者手裏呢？
– 企業能不能趕在攻擊者之前，用 AI 把自己的漏洞補上？
Glasswing 某種程度上就是在回答這個問題：與其讓 AI 安全能力集中在少數公司手裏，不如聯合整個行業建立防禦壁壘。攻擊者有 AI，防禦者也必須有，而且要更快、更準、更系統。
普通開發者該怎麼看
如果你是一名開發者或者安全工程師，這件事有幾層意思：
短期內：Glasswing 的漏洞共享機制會優先覆蓋關鍵開源項目和基礎設施。對於你自己負責的產品線，暫時還指望不上。但可以關注他們後續公佈的技術標準和漏洞評級方法。
中期內：Claude Mythos 這類安全專用模型會逐步進入企業安全工具鏈。你可能在未來的 IDE 插件、CI/CD 安全掃描流程裏，看到類似 AI 能力的集成。提前瞭解這個方向沒有壞處。
長期內：AI 安全研究和 AI 攻擊研究之間的軍備競賽只會越來越激烈。防禦方的 AI 能力越來越強，攻擊方的 AI 能力也在同步進化。Glasswing 的成立說明，大廠們已經把這個當作戰略級問題在對待了。
爲什麼這個時間點很重要
2026 年，AI Agent 開始大量接入企業工作流——從代碼生成到數據處理，從內部系統到客戶交互。Claude 和 GPT 這類模型已經開始深入企業核心業務流程。
當 AI 開始處理敏感數據、寫關鍵代碼、接入生產系統的時候，AI 本身的安全漏洞和 AI 發現的安全漏洞，就變成了同一件事的兩面。
Glasswing 和那一萬個漏洞，是 Anthropic 投下的一顆石子——它想讓整個行業意識到：AI 安全不是一個技術問題，是一個生態問題。
單個公司解決不了，需要整個行業一起解決。
這也解釋了爲什麼蘋果、微軟、Google 這些平時互相不對付的公司，能同時坐在一張桌子上。
最後說一句
一萬個高危漏洞，不是用來製造焦慮的數字。
它是 Anthropic 用 AI 做了一次大規模”體檢”，然後把結果告訴了全世界。體檢報告出來了，問題是你打算怎麼應對？
是等着 Glasswing 的標準落地，還是現在開始用 AI 工具給自己的代碼庫做一次全面掃描？
這個選擇，得你自己做。