全球銀行與科技巨頭急忙應對 Mythos AI 揭露數千軟體漏洞，專家指現有模型已可復現
Anthropic's Mythos set off a cybersecurity 'hysteria.' Experts say the threat was already here
作者: Hugh Son,Samantha Subin | 時間: Fri, 08 May 2026 20:01:44 GMT | 來源: CNBC
f t
全球銀行、科技巨頭和政府在 上月 被要求匆忙應對，以控制 Mythos 模型所構成的風險，該模型據稱極其強大，已發現世界軟體基礎設施中數千個此前未知的漏洞。
不過只有一個問題：他們擔憂的能力已經存在。
網路安全專家和人工智慧研究者告訴 CNBC，Mythos 揭露的軟體漏洞可用現有模型找到，包括 Anthropic 和 OpenAI 的模型。
本哈里斯，網路安全公司 watchTowr 的執行長表示：「目前業界所見的是，人們能夠通過巧妙調度公共模型，重現用 Mythos 發現的漏洞，取得非常、非常相似的成果。」
Mythos 讓執行長和政策制定者震驚，擔憂一個危險的 AI 驅使網路犯罪新時代可能即將到來。Anthropic 將其發布限制在幾家美國公司，包括 Apple、Amazon、JPMorgan Chase 和 Palo Alto Networks，以降低惡意行為者取得該模型的風險。
即便如此，此發布促使特朗普政府考慮對未來模型進行新的政府監管。
這是 Anthropic 一系列高知名度發布的最新一次，加劇了這兩家 AI 巨頭的競爭，雙方即將迎來備受矚目的首次公開發行。幾週後 Mythos 來臨，OpenAI 執行長山姆奧特曼宣佈 GPT-5.5-Cyber，一款專門針對網路安全的模型。
OpenAI 於週四允許受審的網路安全團隊有限接觸 GPT-5.5-Cyber。
Mythos 的受控發布，屬於名為 玻璃翼計畫 的安全措施，旨在讓企業界有時間鞏固網路防禦，以應對犯罪集團和敵對國家即將來臨的攻擊浪潮。
Anthropic 執行長達里奧阿莫迪本週在活動中表示：「危險在於漏洞數量、違反事件數量以及勒索軟件對學校、醫院造成的財務損失的顯著增加，更不說銀行了。」
但對在網路戰爭前線作戰的人來說，Anthropic 宣傳的關鍵能力之一——大規模尋找軟體漏洞——從去年就存在了。
Vidoc 網路安全公司執行長克勞迪婭克洛克告訴 CNBC：「我們目前的模型強大得足以大規模檢測零日漏洞，這已經足夠可怕了。」
她稱這情況已經持續了「幾個月，如果不是一年」。
「零日」是指以前未知的軟體漏洞，尚未被修補，讓攻擊者在防衛者回應之前有利用時間。
Vidoc 的研究人員利用一種稱為「調度」的技術來測試是否發現 Mythos 發現的相同漏洞。如名稱所示，該過程涉及創建工作流，將程式碼拆分為更小塊，協調各種工具或模型以交叉檢查結果。
「我們讓舊模型針對相同程式碼庫，以查看我們是否能檢測到相同漏洞，」克洛克說。「是的，我們用 OpenAI 和 Anthropic 的舊模型都做到了。」
另一家網路安全公司 Aisle 發現，Mythos 的許多頭號結果可用於較便宜的並行工作模型複現——表明規模和協調比擁有最新模型更重要。
Aisle 創辦人斯坦尼斯拉夫福特在部落格文章中寫道：「一千個足夠稱職的偵探搜索各地，將比一個必須猜測在哪裡尋找的聰明偵探發現更多漏洞。」
在接受 CNBC 評論時，Anthropic 並未否認早期模型有能力發現軟體漏洞。
事實上，公司發言人表示，Anthropic 數月來一直在警告，AI 的網路能力正迅速提升。他們引用了二月的一篇部落格文章，顯示 Claude Opus 4.6 一款廣泛可用的模型，在開源軟體中發現超過 500 個「高嚴重度」漏洞。
本週的 Anthropic 活動上，阿莫迪確認了這一點，表示雖然 Mythos 發現的軟體漏洞規模從早期模型激增，但趨勢並非新穎。
阿莫迪說：「風險非常真實。這就是為什麼我們採取了那些行動。但在某種意義上，這並不那麼意外……我們已經看到過一段時間的警告。」
讓 Mythos 不同之處在於其能夠邁向下一步，開發需要很少或沒有人工輸入即可運作的利用程式，有效地自動化了以往需要熟練研究人員的過程，Anthropic 發言人表示。
但為犯罪集團和敵對國家工作的駭客已經具備這套技能，網路研究者表示。North Korea, China and Russia 的駭客「無論是否有 Anthropic，都懂得這樣做，」克洛克說。
根據哈里斯的说法，AI 導致的駭客威脅讓企業和政府監管機構擔憂保護關鍵系統免受新一輪勒索軟件和其他類型攻擊。
他將與銀行、保險公司與監管機構在近期的對話描述為「歇斯底里」。
甚至在生成式 AI 出現之前，企業就面臨熟練駭客在數小時內利用新發現漏洞的問題，而修補程式碼通常需要幾天或幾週。某些修補需要關鍵系統離線，使情況複雜化。
哈里斯說：「業界正在對他們目前面臨的漏洞數量感到恐慌。但在 Mythos 廣泛可用之前，它就無法快得足夠修復漏洞。」
之前，只有全球極小部分專家有能力與時間尋找軟體中隱晦的漏洞並加以利用，哈里斯表示。現在，使用現有 AI 模型，製造網路浩劫的門檻已降低。
這意味著銀行和其他目標將看到更多攻擊，哈里斯說，以往不太受網路罪犯關注的軟體系統現在也會面臨威脅。
雖然 Anthropic、OpenAI 和其他機構正在開發相稱於其識別問題的網路防禦能力，但研究人員表示，初始優勢在於攻勢而非防衛。
JPMorgan 的 詹姆斯·戴蒙 上月曾暗示這一點，他說雖然 AI 工具最終可能幫助公司抵禦網路攻擊，但首先使它們更易受攻擊。
律師事務所 Mayer Brown 合夥人兼紐約金融監管機構前執行副監事長賈斯汀赫林說：「漏洞發現的數量大幅增加，但他們似乎尚未部署有助於修復它們的工具。」
赫林說：「漏洞管理是網路安全的偉大西西弗斯式任務。」
Mythos 初始發布的有限群體先一步修補漏洞，但有一個缺點。AI 研究者未被允許接觸 Mythos，以獨立驗證 Anthropic 的聲稱或開始建立防禦。
一些人說這阻止了更廣大的網路社群參與解決方案。
這造成了「有者與無者」的分層，可能阻礙網路安全創新的步伐，使用 Anthropic 模型的網路安全新創 Tenzai 執行長 帕夫爾·古里維奇 說。
他說，許多網路安全新創公司正在開發解決方案，幫助企業在這個 AI 新時代。
齊法蘭安全共同創辦人本·塞利說：「他們正嘗試找出在這一情況變成世界可用之前修復世界的最佳方式。這是種雞和蛋的情況，且你會打破一些蛋。這是不可避免的。」
這也凸顯了網路安全創新面臨的分層問題。