2026年4月7日，Anthropic发布了一款名为Claude Mythos的前沿大模型，却同时宣布不会向公众开放——原因是该模型的能力已超出可控范围，可能对全球网络安全构成威胁。这一史无前例的"发布即封禁"操作，立即引发安全界的高度警觉。
一、模型能力超出预期：自主发现数千零日漏洞
Claude Mythos并非专门训练的网络安全模型，而是Anthropic在通用大模型逻辑推理与智能体自主决策能力进化后的副产品。测试结果显示，Mythos能够自主发现主流操作系统和浏览器中的数千个高危漏洞，其中许多漏洞已在人类代码审查和自动化测试中存活数十年：OpenBSD中潜伏27年的漏洞、FreeBSD存在17年的远程代码执行漏洞、躲过超500万次模糊测试的FFmpeg漏洞，以及Firefox中的271个安全漏洞。
更令人担忧的是，该模型不仅能发现漏洞，还能自主编写完整的攻击利用代码，将多个漏洞串联成多阶段攻击链——这种能力此前仅由最顶尖的人类黑客掌握。Anthropic内部前沿"红队"测试人员洛根·格雷厄姆表示："有人可能利用Mythos以自动化方式快速、大规模地发动漏洞利用攻击，而全球大多数机构——包括技术最为先进的组织——都将无法及时完成系统补丁修复。"
二、安全界与金融监管机构发出警告
Mythos的发布迅速引发连锁反应。5月7日，国际货币基金组织（IMF）首次专门发文警告：以Mythos为代表的最新一代AI模型，正在将网络安全风险推升至可能引发"宏观金融冲击"的量级。IMF指出，AI模型可大幅降低识别和利用漏洞的时间和成本，使得"同时发现并攻击广泛使用系统中的弱点"成为可能。金融机构普遍使用相同的软件和共享服务提供商，这意味着AI模型可能"在众多机构中同时制造漏洞"，一旦多家机构同时遭到攻击，"信心效应、支付中断、流动性紧张和甩卖动态可能随之而来"——这正是系统性风险的经典传导路径。
美国副总统万斯也在多个场合表达担忧，称Mythos等新型AI模型可发起网络攻击，冲击乡镇银行、医院及供水设施，而地方政府并无能力应对此类风险。白宫国家经济委员会主任凯文·哈塞特透露，政府正研究一项行政令，为Anthropic的Mythos等新一代AI模型建立类似FDA药物审批的审查机制，确保它们在被证明安全后才能向公众开放。
三、受控发布与监管挑战
面对广泛担忧，Anthropic启动了名为"玻璃翼计划"（Glasswing Project）的受控发布策略，目前仅向约40家以美国为主的机构开放访问权限，包括亚马逊、微软、摩根大通等大型银行。这些机构可以提前获知漏洞并进行补丁修复。然而，4月中旬发生的未经授权访问事件令Anthropic陷入尴尬——一群活跃于私人Discord频道的用户在Mythos开放当天即获得了访问权限。调查显示，入侵手段极为低级，入侵者仅通过对模型在线位置进行"有根据的猜测"便成功突破。
网络安全专家与AI研究人员向CNBC证实，Mythos所展现的高危能力，现有旧版AI模型（包括Anthropic和OpenAI的过往版本）同样可以实现。网络安全公司watchTowr Labs首席执行官本·哈里斯称："整个行业眼下已经可以通过合理调度现有公开模型，复现出Mythos找出的同类漏洞，最终结果高度相似。"这意味着，安全界的恐慌更多源于AI加速漏洞挖掘的速度，而非Mythos本身的独特能力——企业仍需数日甚至数周才能完成补丁修复，安全防护缺口持续扩大，系统长期暴露在风险中。
