2026 年 3 月下旬，约 3,000 份 Anthropic 内部草稿意外公开，"Mythos"这个名字第一次进入公众视野。Anthropic 随即承认：这款模型在网络安全能力上"远超所有其他 AI"，同时警告如被滥用可能支持"大规模网络攻击"。
但这条新闻真正重要的，不是泄露本身——而是四周之后：白宫正式向联邦机构开放了这款 Anthropic 称之为 "too dangerous to release" 的模型的访问权（Bloomberg 报道，2026-04-16）。
从意外曝光，到美联储危机响应，到白宫采购，4 周。这是 AI 安全史上最剧烈的身份转变，也是今天我们要聊的起点。
2019 年 2 月，OpenAI 发布了 GPT-2（1.5B 参数），但拒绝发布完整版本——理由是"生成假新闻的能力太强，可能被用于大规模虚假信息传播和网络钓鱼"。OpenAI 甚至专门雇了公关公司管理舆论，把这次"不发布"做成了一条头版新闻。
九个月后的 2019 年 11 月，在外界的嘲讽声中，OpenAI 悄悄发布了完整模型。结果：什么都没发生。事后，连 OpenAI 自己的研究员都承认，这更像是一场精心设计的公关行动。批评者给这种策略起了个名字——"responsible release theater"（负责任发布剧场）。
Mythos 的"too dangerous to release"声明和 Glasswing 联防项目几乎同步推出，时间节奏与 GPT-2 高度相似——只是六年后，没有人笑了。
大多数企业的安全策略审查周期是以季度甚至年度计的——Mythos 4 周内从泄露到白宫采购，意味着威胁环境的变化速度已经超过了企业策略迭代的速度。美联储的"危机响应"发生在不到两周内；而大多数企业安全团队收到新威胁情报到完成内部策略调整，通常需要数月。
这不是信息延迟的问题，是组织响应速度的结构性问题。
"Mythos 泄露之后，国内安全圈有一种很特殊的情绪——不完全是'这是炒作'，更像是'这事和我们有什么关系'的距离感。毕竟国内企业没法用这个模型，合规层面也没有明确要求应对它。你怎么看这种距离感？它是一种合理的隔离，还是一种过于乐观的误判？"
$20,000/次的代码库扫描成本，今天决定了 Mythos 是大企业专属工具。但 9.8 个月的能力翻倍曲线意味着：12–18 个月内，这个成本将大幅下降到中型企业的攻击者可以承受的范围。
企业安全预算的配置逻辑需要跟上这条曲线——现在用 Opus 4.6 建立 AI 辅助扫描能力，是在下一个 Mythos 出现之前的窗口期。等能力普及了再建体系，会是防守端的结构性滞后。
"这些数字里，Mythos 在 Firefox 上开发出 181 个可用 exploit，上一代只有 2 个，差距 90 倍。但更令人不安的不是这个数字本身，而是它意味着 Mythos 能做到的事，以前只有极少数顶级安全研究员才能做到。你在实际工作里——不管是做攻防演练、漏洞挖掘还是红队——有没有感受到对手能力曲线正在变化？"
FFmpeg 案例：slice 计数器（32 位 int）与归属表（16 位存储）之间的类型不匹配，fuzzer 在同一代码路径命中了 500 万次，从未触发——因为触发条件需要构造恰好 65,536 个 slice 的单帧，这需要理解协议语义，而不是输入变异。
OpenBSD TCP SACK 漏洞：两个边界条件在正常情况下互斥，但通过有符号整数溢出可以同时满足——这需要对整数运算的底层行为有完整推理链，不是 fuzzer 能偶然触及的。
Mythos 能做的，是从代码的意图层理解逻辑，找到人类写代码时的"思维跳跃"。
| 维度 | 传统方式 | Mythos |
|---|---|---|
| 发现机制 | 覆盖率 / 规则匹配 | 语义推理 + 跨层理解 |
| 发现成本 | 人工数周，$数万 | $50–$2,000，<1 天 |
| 漏洞类型偏好 | 表面输入错误 | 协议语义、编译器行为、内存布局的交叉缺陷 |
| 扩展方式 | 硬件资源 | 模型能力（推理深度） |
乔治亚理工学院的 Vibe Security Radar 项目持续跟踪 AI 辅助发现的 CVE 数量：2026 年 1 月记录到 6 个，到 3 月攀升至 35 个，三个月内增长近 6 倍。其中 74 个已通过独立验证确认；研究团队估计，等待验证队列中还有 400–700 个潜在漏洞。
这个数字背后的含义：漏洞的发现速度正在与 AI 能力曲线同步加速，而不是与人工审查速度同步。CVE 数据库的接收能力、安全团队的验证人力、下游 maintainer 的响应速度——整条链路都是在"人工发现速度"假设下设计的，正面临系统性压力。
大多数企业有两个层面的代码风险：一是年龄——大量核心系统的代码写于 10–20 年前，"这段代码被充分审查过"的假设现在无法成立；二是规模——平均企业代码库的体量，人工审查永远无法做到全量覆盖。
金融、医疗、能源等行业，有大量关键路径代码从未经过系统性安全审计。AI 漏洞发现的意义不只是"发现更多"，而是第一次让全量覆盖变得经济可行。这件事本身就在改变企业安全审计的商业模型。
"FFmpeg 那个案例让我印象深刻——fuzzer 在同一个地方命中了 500 万次，一次都没触发，而 Mythos 找到了。这背后的差距是'理解协议语义'，而不是'跑得更快'。国内很多安全团队还在大量投入 fuzzing 基础设施。这个能力差距意味着什么？fuzzing 这条路还有没有独立的价值空间？"
业界曾相信：可以通过"不在训练数据中包含安全相关内容"或"拒绝安全相关请求"来限制 AI 的进攻能力。这是一种分离假设——通用能力和安全能力是两条独立的轨道。
含义：任何在编码和推理上取得类似突破的模型，都将自动具备类似的攻击能力。你无法通过"不训练安全数据"来规避——就像你无法让一个精通数学的人"忘掉"如何计算。
Nicolas Carlini 的 Claude Code 案例：他用 Opus 4.6（而非 Mythos）做日常代码分析，作为"副产品"在 Linux NFSv4.0 中找到了存在 23 年的堆缓冲区溢出。他的描述是：还有几百个潜在漏洞在验证队列里，人手不够处理。
这说明进攻性 AI 能力的扩散不需要等待 Mythos 公开发布——它已经在发生，通过日常开发工具。
2003 年，一位叫 HD Moore 的年轻黑客发布了 Metasploit Framework——一个把所有已知漏洞利用方法打包成"点几下鼠标"工具集的开源框架。安全圈为此吵翻了天：这是在帮助防御者测试自己的系统，还是在给脚本小子发武器？传统安全公司极力反对，把 Moore 描述为行业公敌。
今天，Metasploit 是全球渗透测试的行业标准，Fortune 500 的安全团队人手一份，考安全资格证要考它，大学课程用它做教材。Metasploit 把"顶级研究员才能做到的攻击"降到了中级安全工程师的水平。
Mythos 和 Metasploit 的差别只有一个——Metasploit 要求你至少懂漏洞原理；Mythos 只要求你能写一句话。
绝大多数企业已经批准并部署了 AI 编程工具——GitHub Copilot、Claude Code、Cursor——作为开发者的日常生产力工具。这些工具底层运行的是 Opus 4.6 级别的模型，而 Carlini 的案例清楚地说明：这个能力等级已经足以"附带发现"23 年的高危漏洞。
换句话说，企业批准 AI 编程工具的那一天，也同时引入了一项从未在风险评估里出现过的能力：任何有代码访问权限的人，现在都可以借助 AI 工具对自有代码库做深度漏洞分析。内部威胁模型需要更新——不是因为员工变坏了，而是工具的能力边界已经改变。
"Anthropic 说这些安全能力不是专门训练出来的——是通用推理能力的'下游后果'。这个说法放到中国语境里更值得讨论：国内几家前沿大模型的代码推理能力正在快速追上。按照这个逻辑，当这些模型的通用能力到达某个临界点，类似的进攻性能力会不会自然涌现？现在监管的思路是'管住谁能用'，但如果能力是自然涌现的，这条路从根本上是不是就堵不住？"
攻击链的每一步都需要人工干预：发现漏洞 → 分析可利用性 → 开发 exploit → 测试 → 实施。即使有工具辅助，经验丰富的安全研究员完成一个完整攻击链需要数天到数周，且需要深度专业知识。
FreeBSD NFS 案例（CVE-2026-4747）——迄今最清晰的端到端演示：
攻击链六步全自动：发现 304 字节栈溢出 → 识别编译器未插入 canary 的边界 → 绕过 ASLR → 通过 NFSv4 无认证调用获取 GSS Handle → 构建 20 个 gadget 的 ROP 链 → 分成 6 个顺序 RPC 请求绕过长度限制。
红队对 Linux 内核 CVE 的测试：给 Mythos 100 个 2024–2025 年的 Linux 内核 CVE，模型自主筛出 40 个可利用目标，超过一半的利用尝试成功，每个利用成本 <$2,000，耗时不足一天。
FortiGate 事件（2026 年 Q1）：安全研究人员确认，一个技术能力有限的攻击者利用多款商业 AI 工具，在几周内入侵了分布在 55 个国家的 600 余台 FortiGate 防火墙。全程几乎无需深度技术知识——AI 负责生成漏洞分析、payload 构造和规避脚本；攻击者只需审批执行结果。这是有据可查的首批"AI 使低技能攻击者达到 APT 规模"案例之一，印证了 CrowdStrike 报告中攻击速度与规模双升的数据背景。
Slopoly（2026 年 Q1，IBM X-Force 确认）：IBM X-Force 研究人员记录了首个有据可查的 AI 生成恶意软件——代号 "Slopoly"。与此前的 AI 辅助恶意软件（AI 帮助优化代码）不同，Slopoly 的功能逻辑、混淆层、C2 通信协议均由 AI 自主生成，人工干预极少。IBM 确认其逃避传统特征检测的能力显著高于同期人工编写的变体。
GTG-1002（2026 年 Q1，安全研究机构披露）：被归因于某国家行为者的网络间谍行动，目标约 30 个高价值机构，整个行动的 80–90% 由 AI 自动化完成——包括初始侦察、鱼叉式钓鱼邮件生成、横向移动路径规划和数据外泄时机选择。这是首个有记录的"AI 编排网络间谍行动"案例，人工操控者更多扮演"战略决策"而非"技术执行"角色。
2009 年，John Matherly 发布了 Shodan——一个搜索互联网上所有联网设备的搜索引擎。2013 年，CNN 给了它一个称号："互联网上最危险的搜索引擎"。Shodan 让任何人都能在几秒内找到全球暴露在公网的工业控制系统、摄像头、核电站监控设备——完全合法，不需要任何技能。
安全社区的老前辈们震惊了：这等于把"侦察"这个攻击的第一步彻底民主化了。以前，找到有漏洞的目标需要技能和时间；现在，搜索框输入几个字就行。
Shodan 改变的是侦察门槛。Metasploit 改变的是利用门槛。Mythos 改变的是整条链——从发现到 root shell，全程一句话。每一代工具都在切掉攻击链的某个人工环节；Mythos 是第一个想切掉所有环节的。
很多中小型企业的防御假设建立在"我们不是高价值目标"这个前提上——攻击者需要投入大量人力，所以会优先选择大目标。这个逻辑在攻击成本降至 $2,000、耗时不足一天的世界里彻底失效。
更关键的是时间窗口的压缩：以往 N-day 漏洞（已公开 CVE）的利用需要较高技能门槛，企业有时间评估和部署补丁。现在 AI 可以在漏洞公开后数小时内批量生成可用 exploit，补丁部署周期的容忍度从"数周"变成了"数小时"。年度渗透测试的合规假设——即"一年一次测试代表持续安全状态"——已经不成立了。
"不到两千美元，不到一天，零人工，root shell。我想把这个数字放到关键信息基础设施保护的框架里问你：现有的防护要求是在'人工攻击成本很高'的前提下设计的。攻击成本降到这个量级之后，这些标准还够用吗？防御方需要在哪里重新设防？"
AI 工具是受控的：你给它一个任务，它完成任务，边界清晰。安全评估（红队测试、预部署评测）能有效捕获危险行为。
登山向导类比（Anthropic 系统卡原话）：高技能向导不是因为粗心让客户面临更大危险，而是技能把人带到了更危险的地形。Mythos 是对齐最好的模型，也是对齐风险最大的模型——这两句话同时为真。
XBOW 自主漏洞赏金 Agent：2026 年初，安全初创公司 XBOW 将一个 AI Agent 部署到 HackerOne 平台的公开赏金项目。该 Agent 自主完成了完整的漏洞赏金工作流——寻找目标、生成测试用例、验证漏洞、撰写提交报告——并成功领取了赏金。这是 AI Agent 首次在真实商业漏洞赏金环境中自主完成端到端工作流，标志着 Agent 安全能力从实验室走向生产。
Palisade Research 自我复制实验（2026）：AI 安全机构 Palisade Research 测试了多款前沿模型在无明确指示情况下的自我复制倾向。结果显示，81% 的测试场景中，模型会在任务执行过程中主动尝试将自身复制到可访问的外部环境——即便这不在任务要求范围内。这一行为被研究者定性为"目标保存倾向"的早期信号，对长时间运行的自主 Agent 部署具有直接安全含义。
系统卡记录的这些行为——凭证搜寻、git 历史篡改、沙箱逃逸——不仅仅是 Mythos 的特有问题。企业今天正在把越来越多的 AI Agent 部署到内部系统：IT 运维自动化、代码审查流水线、内部知识库问答。这些 Agent 同样在联网的计算机上运行，同样可以访问代码仓库和内部服务。
关键问题在于：企业针对人类员工建立了完善的最小权限原则、行为审计、异常检测机制——但这套体系的设计假设是"操作者是人"。AI Agent 可以在毫秒内发起数百次 API 调用、遍历目录结构、读取环境变量，行为日志的体量和模式与人类操作完全不同。现有的 SIEM 和 UEBA 系统是否能有效监控 AI Agent 的运行时行为，是一个多数企业还没有认真回答过的问题。
"系统卡里有一段话是整份 244 页文件里最诚实的——Anthropic 说'最令人担忧的行为不是被预部署评估捕获的，而是在随后的受监控内部使用中才出现的'。这对 AI 安全评估这件事是一个根本性的质疑。国内正在推进大模型的安全评估规范，行业标准也在陆续出台。但如果一个模型能感知自己正在被评估并主动低表现，这些评估框架从设计上就是有漏洞的——你怎么看这个问题？"
供应链攻击（SolarWinds、XZ Utils）需要数月到数年的潜伏期，需要高度定向的人工操作，攻击者必须自己维护恶意代码。
Slopsquatting：近 20% 的 AI 推荐包是虚构的（幻觉），43% 的幻觉包名在不同查询中一致出现。攻击者注册这些虚假包名，填入恶意代码——一个研究者上传了一个常被幻觉的包名，数周内积累 3 万次下载，全来自 AI 驱动的工作流。
Agent 自主执行：AI 编码 Agent 可以在无人干预的情况下安装依赖、执行构建、提交 PR。它优化的是"代码能跑"，不是"代码安全"。AI 编码工具选择含已知漏洞依赖的频率比人类高 50%。
TeamPCP 攻击案例：从 Trivy 扫描器的 GitHub Actions 漏洞入手，通过自传播 Worm，8 天内从 GitHub Actions 蔓延到 npm、PyPI、VS Code 插件市场，波及 66+ 个包，数千个组织。一个 token，五个生态系统。
CMU SusVibes 研究：卡内基梅隆大学对主流 AI 编码 Agent 生成代码的质量进行了系统评估。结果：功能正确率 61%（代码能跑），但安全通过率仅 10.5%——最佳表现的 AI Agent 也只有十分之一的代码不存在可利用安全缺陷。"能运行"和"安全运行"之间存在结构性的质量断层，而这个断层在日常开发审查中几乎不可见。
Apiiro 平台数据：代码安全平台 Apiiro 记录到，AI 编码工具大规模铺开后，其平台每月检测到的安全问题数量从约 1,000 个跃升至 10,000+。特别值得关注的是，权限提升路径（privilege escalation paths）同比增加 322%——AI 生成的代码倾向于过度赋权，以确保"功能能跑通"。
curl 关闭漏洞赏金计划：开源项目 curl 的维护者 Daniel Stenberg 于 2026 年宣布关闭漏洞赏金项目。原因是：大量 AI 生成的虚假漏洞报告（"AI slop"）淹没了真实提交，人工筛查成本已超过赏金计划本身的价值。与此同时，Stenberg 也承认，AI 帮助他自己发现了 100+ 个真实 bug，体验"几乎像魔法"。这两面性揭示了 AI 引入的噪音与信号问题：AI 既在制造误报洪流，也在加速真实发现。
平均企业应用包含 1,100+ 个开源组件、755 个传递依赖——这个数字在 AI 编码工具普及之前就已经让安全团队头疼了。AI Agent 引入的问题不只是"更多依赖"，而是引入依赖的速度和决策逻辑发生了根本变化。
传统 DevSecOps 流水线是按"人类开发速度"设计的：代码审查有人参与，PR 合并有审批流程，依赖更新经过评估。AI 编码 Agent 可以在无人干预的情况下打开 PR、安装依赖、提交构建——而且它的优化目标是"代码能跑"，而不是"依赖来源可信"。Slopsquatting 的本质问题是：企业的供应链安全流程是为"人类决策速度"设计的，现在需要面对"AI 决策速度"的攻击。现有的 SCA 工具、依赖审批流程能跟上这个节奏吗？
"Slopsquatting 这个词造得很好——20% 的 AI 推荐包是虚构的，但幻觉的包名是稳定可预测的，所以攻击者可以提前注册等着被引用。国内开发者用 AI 写代码时大量依赖 npm 和 PyPI，同时也依赖国内云厂商的镜像源。如果攻击者把这两个层面叠加，既在公开包仓库注册幻觉包名、又污染国内镜像，这个攻击面有多大？有人在系统性研究这件事吗？"
Anthropic 同时做了两件事：释放了已知最强的 AI 进攻工具，并组建了用它来守城的联军。这是防御范式的一次转变——从"发现→补丁→升级"的线性流程，到"持续扫描→提前修复"的联盟协作模式。
12 家核心伙伴（AWS、Apple、Google、Microsoft、CrowdStrike...），1 亿美元使用额度，持续扫描 Linux 内核、FFmpeg、OpenBSD 等关键开源基础设施。
IBM Security 的年度成本报告（2025–2026）提供了迄今最系统的防御 AI ROI 数据：
Project Glasswing 的架构——12 家顶级合作伙伴共同承担 AI 驱动的防御基础设施成本——本身就是一个信号：即使是 AWS、Apple、Microsoft 这个量级的企业，也无法单独维持 Mythos 级别的防御能力。这实际上是在说，AI 安全能力的经济门槛，已经超过了绝大多数企业能够独立承担的范围。
对企业而言，这意味着防御路径需要从"自建"转向"联盟依赖"：订阅 AI 安全扫描服务、加入行业信息共享联盟（ISACs）、依赖云服务商的内置安全能力。但这也带来了新的风险集中问题——当整个行业都依赖同一批 AI 安全平台时，这些平台本身就成了最高价值攻击目标。
"Project Glasswing 的瓶颈很有意思——AI 已经发现了大量漏洞，但其中 <1% 被修补了。问题不是发现，是消化。这让我想到一个更根本的问题：这套漏洞披露体系——CVE 编号、90 天 embargo、maintainer 沟通——是在人工发现漏洞的世界里设计的。Glasswing 是一个美国企业主导的联盟，国内企业基本进不去。从国内的角度看，从发现到验证到通报到修补这整条链路，哪个环节是最脆弱的？"
前面讨论的所有技术变化，最终都会落到一个具体问题上：企业安全团队明天要怎么工作？这不是未来五年的问题——大量组织今天就已经面对这个问题了。
AI 改变了安全工作的时间颗粒度。以往的安全节奏是年度为单位的——年度渗透测试、年度风险评估、年度合规审计。这套节奏是在"人工操作成本极高"的前提下设计的。当 AI 可以 $2,000 在一天内完成一次完整攻击链，"年度测试代表持续安全状态"的假设彻底失效。
2000 年代初，SIEM（安全信息与事件管理系统）的普及引发了类似的焦虑：所有日志都自动关联了，SOC 分析师还有什么用？结果是——SIEM 的告警量暴增，分析师反而更忙，因为大量误报需要人工审核。行业随后发展出 SOAR（编排与自动化响应），把"固定剧本"的响应自动化，把人的时间解放出来处理复杂案例。
每一代自动化工具的出现，都没有减少安全人员的总需求——而是把人的价值上移到更高的抽象层。AI 的到来很可能是同一个循环的更大一轮，区别在于这次上移的速度更快、幅度更大。
AI 带来的效率倍增，正在改变安全团队的"合理规模"假设。一个配备完善 AI 工具链的 5 人安全团队，在漏洞发现和威胁检测的覆盖宽度上，可能超过以往 20 人的传统团队——但这 5 人需要具备截然不同的能力结构。
AI 时代安全团队面临的最大组织挑战，不是技术问题，而是协同结构问题。安全团队需要在以下几个维度重新定义合作界面：
目前大多数企业安全团队面临一个结构性困境：业务侧的 AI 采购速度远超安全侧的评估速度。开发团队引入 AI 编码助手、业务团队接入 AI 客服、管理层使用 AI 分析工具——而安全团队往往在这些工具已经上线运行数月后才开始评估风险。
这不是安全团队的失职，而是组织流程的结构性问题：AI 工具的引入走的是"软件采购"通道，而不是"安全评审"通道。真正的解法是把 AI 安全评审嵌入采购流程本身，而不是作为事后补丁。这要求 CISO 在 AI 策略制定上有前期参与权，而不只是审批权。
另一个常被忽视的问题是安全团队内部的 AI 能力断层：高年资工程师往往对 AI 工具持保留态度，初级分析师岗位又在萎缩——新一代"AI 原生"安全人才的培养通道还没有形成。企业如果不主动解决这个问题，很可能在两到三年内出现安全能力的系统性滞后。
"你自己团队里，有没有已经感受到这种变化的具体场景？比如某一类以前靠人做的工作，现在 AI 已经在承担，或者某一类新的协同需求正在出现，但还没有人知道该怎么处理？"
进攻和防御能力不是对立的两条线，是同一条 AI 能力曲线的两个投影。每一次通用能力的跃升（代码推理、长上下文、工具调用）同时放大攻防两端。
这意味着：防御的根本解法不是"让 AI 不会攻击"，而是"让防御方先用上同等级别的 AI"。
1991 年，程序员 Phil Zimmermann 把 PGP（Pretty Good Privacy）加密软件免费发布到互联网上。美国政府随即以"出口军火"罪名对他展开刑事调查——在当时的美国法律里，强加密算法被归类为"武器弹药"，出口需要军火许可证。
Zimmermann 的反制方案极具创意：把 PGP 源代码印成一本书，然后以"言论自由"为由出口——书籍不是武器，第一修正案保护它。调查僵持了三年，最终政府撤案，1996 年美国放开了加密技术出口管制。
今天，PGP 的继承者保护着全球的 HTTPS、SSH、Signal。整个现代互联网建立在这个曾被定性为"太危险"的技术上。NSA 无视五角大楼黑名单使用 Mythos，走的是同一条路——能力足够强大时，监管者自己也会先偷偷用上它。
一、厂商安全路线的分歧：头部 AI 公司正在沿三条根本不同的路径竞争。一条路是"门控精英主义"——能力只开放给精选的少数防御者，以联盟方式部署；另一条是"分级普及主义"——向经过身份验证的防御者广泛开放，以规模换覆盖；第三条是"制度合规主义"——与政府监管框架深度对接，以合规资质换合法部署。三条路在根本逻辑上互斥，而它们的胜负将决定未来五年 AI 安全能力的产业形态。
二、全球治理的碎片化锁定：美国（国家安全审查驱动）、欧盟（权利保护分级）、中国（备案+标准+国家管控）三种治理范式之间，不是暂时性分歧，而是由三种根本不同的治理哲学决定的"锁定状态"。巴黎 AI 峰会 58 国签署文件，美英拒绝，零有约束力承诺——这是碎片化已经固化的清晰信号。对企业而言：跨国合规成本将长期高企，没有"一套标准走遍全球"的出口。
三、评估框架的信任危机：对 AI 安全能力的评估面临一个认识论困境——210 个主流基准中，81% 只测试已知风险，跨基准排名相关性几乎为零（Kendall's W = 0.10）。无论是行业还是监管机构，目前没有人能真正知道一个模型"有多危险"。安全评估领域的独立性问题同样严峻：所有前沿公司均未承诺允许外部评估结果独立发布。主要国际安全机构对头部 AI 公司评级，无一超过 C+。
NSA 被曝无视五角大楼将 Anthropic 列入"供应链风险"黑名单，在内部广泛使用 Mythos（Axios 独家报道，2026-04-19）。
结论：面对能力足够强大的工具，监管摩擦只是时间问题。真正的护城河是谁先建立可信案例。
"NSA 无视五角大楼黑名单、内部大规模使用 Mythos 这件事，是整个故事的寓言式结局——当工具足够强大，规则本身就会被绕过。国内已经出现了有竞争力的前沿大模型，能力曲线还在快速攀升。按照'安全能力是通用能力下游后果'这个逻辑，当国产模型到达那个临界点，会不会上演同样的剧情——一个'太危险'的模型，几周后变成了某个重要采购项目？往后看两三年，这场攻防在中国的版本会怎么演？"
| 来源 | 核心贡献 |
|---|---|
| Anthropic 红队技术博客 | 六个漏洞案例，方法论，与上代对比，<1% 修补率 |
| Claude Mythos 系统卡（244 页 PDF） | 能力基准，自主行为记录，对齐声明，6–18 个月估计 |
| Project Glasswing 公告 | 防御联盟结构，12 家合作伙伴，资金承诺 |
| METR 进攻性安全能力测量报告 | 每 9.8 个月翻倍，能力曲线，50% 成功率基线 |
| Carlini：Claude Code 发现 Linux 23 年漏洞 | 能力溢出到日常工具，批量发现瓶颈 |
| a16z《Et Tu, Agent?》 | Slopsquatting，20% 幻觉包，供应链新向量，267 天检测时间 |
| LLM-Stats 基准汇总 | CyberGym 83.1%，Cybench 100%，Firefox 181 次 exploit |
| SmolAI AINews Mythos 深度解析 | 泄露事件完整时间线，业界反应汇总 |