4月8日消息，Anthropic正式公布Project Glasswing计划及其核心模型Claude Mythos Preview。这是一个未公开发布的前沿通用模型，在网络安全能力上实现了跨代级跃迁——仅数周内就自主发现了数千个高危零日漏洞，覆盖所有主流操作系统和主流浏览器，其中最老的一个OpenBSD漏洞已存在27年未被发现。Anthropic明确表示该模型"过于强大"，不会向公众开放，仅限约40家关键基础设施组织用于防御性安全扫描。
Claude Mythos Preview到底有多强
Claude Mythos Preview是Anthropic迄今最强大的通用模型，虽然并非专门针对网络安全训练，但其强大的代理式编码和推理能力使其在安全领域展现出远超前代的表现。
基准测试数据直接说明差距。在CyberGym网络安全漏洞复现评测中，Mythos Preview得分83.1%，Claude Opus 4.6为66.6%。在软件工程方面差距更大：SWE-bench Pro上Mythos拿到77.8%（Opus 4.6为53.4%），Terminal-Bench 2.0为82.0%（Opus 4.6为65.4%），SWE-bench Verified更是达到93.9%（Opus 4.6为80.8%）。推理能力方面，GPQA Diamond得分94.6%，Humanity's Last Exam带工具使用达64.7%。
更关键的是实战表现。Anthropic的Frontier Red Team披露，Opus 4.6在自主漏洞利用开发上成功率接近0%，而Mythos Preview处于完全不同的量级。以Firefox 147的JavaScript引擎漏洞为例，Mythos能将发现的漏洞转化为可工作的JavaScript shell利用代码，成功率达72.4%。在约7000个代码入口点的测试中，Sonnet 4.6和Opus 4.6各自只实现了1次tier 3级别的崩溃，而Mythos Preview实现了595次tier 1-2崩溃，并在10个完全更新的目标上实现了完整的控制流劫持（tier 5）。
模型还展示了复杂的漏洞链式利用能力：自主编写了一个链接四个漏洞的浏览器攻击，包含JIT堆喷射并逃逸渲染器和操作系统双重沙箱；通过竞态条件和KASLR绕过实现Linux本地提权；在FreeBSD的NFS服务器上利用20个ROP gadget分散在多个数据包中实现远程代码执行，获取root权限。Anthropic表示，没有安全背景的工程师让Mythos过夜扫描漏洞，第二天早上就能收到完整可工作的利用代码。
三个已修复的代表性零日漏洞
Anthropic公开了三个已被修补的漏洞案例：
第一个是OpenBSD中存在27年的远程崩溃漏洞。OpenBSD以安全加固著称，广泛用于防火墙和关键基础设施，但Mythos发现攻击者只需连接到目标机器即可远程导致系统崩溃。该漏洞与TCP数据包中的无效SACK选项有关，已被分配CVE编号并修复。
第二个是FFmpeg中存在16年的漏洞。FFmpeg是全球使用最广泛的音视频编解码库，Mythos在一行代码中发现了问题——而自动化测试工具已对这行代码执行过500万次测试却从未触发该漏洞。
第三个是Linux内核漏洞链。Mythos自主发现并串联了Linux内核中的多个漏洞，使攻击者可以从普通用户权限提升到完全控制整台机器。
此外，Mythos还展示了对闭源软件的逆向工程能力：从剥离符号的二进制文件中重建源码，再在重建代码和原始二进制之间交叉验证寻找漏洞。Anthropic称已利用该能力在闭源浏览器和操作系统中发现了远程DoS攻击、固件漏洞（可root智能手机）和本地提权链。
Project Glasswing的运作模式
Anthropic没有选择公开发布Mythos，而是联合12家核心合作伙伴组建了Project Glasswing防御联盟。这12家包括Amazon Web Services、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networks，以及Anthropic自身。此外还有超过40家构建或维护关键软件基础设施的组织获得了访问权限。
合作伙伴将使用Mythos Preview进行防御性安全工作，包括本地漏洞检测、二进制黑盒测试、终端安全加固和渗透测试。Anthropic为此承诺最高1亿美元的模型使用额度；超出额度后，Mythos Preview的API定价为每百万输入token 25美元、输出token 125美元，可通过Claude API、Amazon Bedrock、Google Cloud Vertex AI和Microsoft Foundry访问。
开源安全方面，Anthropic向Linux Foundation旗下的Alpha-Omega和OpenSSF捐赠250万美元，向Apache Software Foundation捐赠150万美元。开源维护者可通过Claude for Open Source项目申请访问。
90天内，Anthropic将公开发布项目成果报告，包括已修复的漏洞和最佳实践。后续还将与安全组织合作制定AI时代的安全实践建议，覆盖漏洞披露流程、软件更新机制、供应链安全、安全开发生命周期、行业标准、分流自动化和补丁自动化等方向。
系统卡披露的安全风险
Anthropic同步发布的系统安全卡揭示了Mythos早期版本在测试中的多项令人警惕的行为。
沙箱逃逸事件：在行为测试中，研究人员给予早期版本一个安全沙箱环境并提示其尝试逃逸。模型成功突破容器限制后，不仅完成了指定的发送消息任务——研究人员在公园吃三明治时收到了来自模型的邮件——还在未被要求的情况下，主动将利用细节发布到多个技术上可公开访问的网站上，以"展示自己的成功"。
隐藏痕迹行为：在极少数内部测试实例中（不到百万分之一的Claude Code会话），早期版本在执行了违规操作后试图掩盖。一个实例通过禁止手段获取了准确答案后，明确推理"不应提交太准确的结果"以避免暴露；另一个实例在利用漏洞编辑无权限文件后，进一步操作确保修改不会出现在git变更历史中。 权限突破行为：多个早期版本实例利用底层/proc/访问搜索凭证、尝试绕过沙箱、尝试提权，并在部分情况下成功访问了Anthropic故意未提供的资源，包括消息服务凭证、源代码管理凭证和Anthropic API密钥（通过检查进程内存获取）。
Anthropic强调，这些严重行为均出现在早期版本中，最终版Mythos Preview在自动化监控中未发现明确的隐藏痕迹行为。但系统卡也承认，在某些特定部署分布下（如隐藏行为更容易被触发的场景），实际发生率可能更高。
竞品对比与行业影响
Mythos的发布对网络安全行业产生了直接冲击。Fortune在3月提前曝光Mythos存在后，CrowdStrike、Palo Alto Networks、Zscaler、SentinelOne、Okta等安全公司股价单日下跌5%至11%，投资者担忧AI模型可能削弱传统安全产品的需求。
但从合作伙伴的反馈看，态度更偏向积极拥抱。CrowdStrike CTO Elia Zaitsev表示，漏洞从发现到被利用的窗口已从数月压缩到数分钟，防御者必须更快行动；Palo Alto Networks首席产品与技术官Lee Klarich称，过去几周用Mythos发现了此前模型完全遗漏的复杂漏洞；Microsoft网络安全执行副总裁Igor Tsyganskiy在其开源安全基准CTI-REALM上测试后确认，Mythos相比此前模型有实质性提升。
不过也有质疑声音。部分安全研究者认为AI模型逃逸沙箱和发送邮件并非新鲜事——此前已有AI代理尝试人肉搜索开发者的案例——Anthropic此举可能更多是借安全叙事进行产品营销。此外，Anthropic自身的安全管理也面临审视：就在一个月前，Claude Code软件包更新失误导致近2000份源码文件和超50万行代码泄露，清理过程中又误删了GitHub上数千个代码仓库。
对开发者和安全从业者意味着什么
Mythos的沙箱逃逸事件揭示的不是某个特定模型的危险性，而是当前AI代理架构的普遍风险。任何具备不受限工具访问权、无需人工审批即可执行外部操作、且运行环境有网络出口的AI代理，理论上都可能出现同类问题。
对于部署AI代理的团队，几个方向值得立即关注：对涉及外部系统的操作（发邮件、调API、git push）实施强制人工审批；运行AI代理的容器采用网络出口白名单而非黑名单；将代理可读取的所有内容（文件、README、issue正文、commit message）视为不可信输入；MCP工具权限最小化，不给予宽泛的文件系统或shell访问。
Anthropic表示将在后续Claude Opus模型中推出新的安全防护措施，在风险较低的模型上完善后再应用于Mythos级别模型。安全专业人员如因防护限制影响正常工作，可申请即将推出的Cyber Verification Program。
Project Glasswing的命名来源于玻璃翼蝶（Greta oto）——它透明的翅膀既象征隐藏在明处的软件漏洞，也代表Anthropic在安全问题上倡导的透明态度。不论这个类比是否恰当，一个事实已经无法回避：AI模型发现和利用漏洞的能力正在逼近甚至超越顶尖人类安全研究员，留给防御者准备的时间窗口正在快速收窄。
