一个27年没被人发现的漏洞，AI用了几周就找到了
OpenBSD，操作系统界的"防弹衣"，防火墙和关键基础设施的守门员，在程序员眼里几乎是安全的代名词。
然后Anthropic的新模型Claude Mythos Preview来了。它扫了一眼代码，发现了这个已经存在27年的远程崩溃漏洞——只要连上网络就能让机器宕机。更讽刺的是，FFmpeg里那个藏了16年的bug，自动化测试工具撞了500万次都没发现，Mythos Preview轻松定位。
这不是科幻片。这是上周刚官宣的Project Glasswing，一场由Anthropic牵头、集结了Amazon、Apple、Google、Microsoft、NVIDIA等11家科技巨头的"数字防卫战"。
当AI学会了"找茬"，而且比黑客还狠
说实话，看到这份合作名单我愣了一下。这些平日里在法庭上互相撕咬、在广告里阴阳怪气的巨头们，居然坐下来签了一份"停战协议"？
原因只有一个：他们真的怕了。
Claude Mythos Preview是个未发布的"幽灵模型"。Anthropic坦白说，这玩意儿太危险了，不能公开给所有人用。它能自主发现数千个零日漏洞（zero-day），从Linux内核到Chrome浏览器，从银行系统到电网控制软件，几乎无所不包。
更细思极恐的是它的"自主性"。不需要人类指着说"这里查查"，它自己就能完成漏洞发现、分析、利用代码编写的全流程。在Linux内核的测试里，它甚至自主串联了多个漏洞，从普通用户权限一路提权到完全控制。
这意味着什么？以前找个漏洞需要顶尖黑客蹲几个月，现在AI几小时搞定。成本、技术门槛、时间——全部断崖式下跌。
玻璃翼蝴蝶：透明，但致命
项目代号Glasswing（玻璃翼）取自一种中南美洲的蝴蝶。它的翅膀透明，能隐身于丛林；但透明的代价是，猎物看不见它，天敌也看不见它。
这个隐喻挺妙的。代码里的漏洞就像这些透明翅膀——藏在明处，却躲过了人类几十年的审视。
Anthropic已经砸了1亿美元的使用积分，让40多家关键基础设施组织用上Mythos Preview扫雷。他们还捐了400万美元给开源安全组织。表面看是公益，但骨子里是恐慌：如果这种能力先落到朝鲜、伊朗或者勒索软件团伙手里，全球互联网可能就是一锅端。
毕竟，网络犯罪的全球年损失已经飙到5000亿美元。AI要是再火上浇油，这数字后面可能得加个零。
等等，这真的是在"保卫"所有人吗？
有意思的是，评论区里不是所有人都买账。
有人质疑：这到底是安全革命，还是营销噱头？"每次LLM公司说'这模型太强了所以不能公开'，我都想笑。从GPT-3.5开始他们就这么说，这怕不是内部梗。"
更尖锐的批评指向了数字鸿沟。一位评论者指出：大科技公司可以用AI提前扫清自家代码，但那些没人维护的开源小项目呢？结果可能是"马太效应"加剧——大公司的软件越来越安全，长尾的小众软件变成筛子，成为黑客的提款机。
还有技术层面的质疑：Mythos确实找到了模糊测试（fuzzing）漏掉的bug，但反过来呢？模糊测试找到的，AI一定找得到吗？没人知道。
最扎心的一条评论是："社会即将为软件行业多年来对内存安全的傲慢态度付出惨重代价。"
一场不得不跟的军备竞赛
老实讲，我觉得Anthropic这次有点"逼宫"的意思。
他们一边展示肌肉（看，我能找到27年的老bug），一边呼吁建立"独立第三方机构"来监管AI网络安全。这像是在说：要么我们一起制定规则，要么等某个黑产团队训练出同样的模型，到时候谁都别哭。
Project Glasswing承诺90天后公开部分漏洞修复报告，并制定AI时代的安全实践标准。但问题是，当防御方开始用AI时，攻击方肯定也在用。而且攻击方没有伦理委员会拖后腿。
Apple和Google如果真的把Mythos级别的模型用于iOS和Android代码审计，确实可能让NSO Group这样的商业间谍软件公司破产——前提是，他们愿意分享这种能力，而不只是用来保护自己的后花园。
尾声：谁来看守看守人？
写到这里，我突然想起那个FFmpeg的漏洞。500万次自动化测试都没发现，AI一眼看穿。这既让人安心，又让人不安。
安心的是，我们终于有了更锋利的手术刀来切除软件癌症；不安的是，这把手术刀要是落到疯子手里，就是完美的凶器。
Project Glasswing是个开始，但绝不是终点。当AI的代码能力超越99%的人类黑客时，我们需要的不仅是技术防线，还有全新的信任机制。
问题是：当透明成为武器，谁来看守这些拥有"上帝视角"的守门人？
【锐评】：巨头们表面在搞"联合防御"，实则在抢跑AI时代的网络安全标准制定权，小玩家和开源社区注定在这场"玻璃翼"游戏中成为透明背景板。
参考链接：
https://www.anthropic.com/glasswing