Claude Mythos 在 OpenBSD 中发现了一个存在 27 年的漏洞

# Claude Mythos Preview 揭示 OpenBSD 等系统的漏洞

Anthropic 已推出 Project Glasswing 项目——一个使用非公开 Claude Mythos Preview 模型扫描关键基础设施的程序。在短短几周运行中，该 AI 发现了主要操作系统和浏览器中的数千个未知漏洞。合作伙伴包括 AWS、Apple、Google、Microsoft、NVIDIA 以及超过 40 个获得系统审计权限的组织。

由于其先进的网络安全能力，该模型不会公开发布。在基准测试中，Mythos Preview 超越 Opus 4.6：

• SWE-bench Verified：93.9% vs. 80.8%；
• Terminal-Bench 2.0：82% vs. 65.4%；
• CyberGym：83.1% vs. 66.6%。

Anthropic 计划在发布 Mythos 级模型前，进一步完善 Opus 的安全机制。

OpenBSD 中存在 27 年的漏洞

在以严格安全著称的 OpenBSD 中，该模型自主发现了一个可以通过简单连接远程崩溃机器的 bug。该漏洞已存在 27 年，并在发现后得到修补。

这展示了 AI 在无需人工提示的情况下分析遗留代码的有效性。OpenBSD 是极简主义和审计的金标准，此类缺陷极为罕见。

FFmpeg 和 Linux 内核中的 bug

在 FFmpeg 中，Mythos Preview 发现了一个存在 16 年的单行代码缺陷，它逃过了 500 万个自动化测试。该 bug 可能在媒体处理过程中导致崩溃。

在 Linux 内核中，AI 独立拼凑出一条漏洞链，使普通用户获得 root 权限。所有发现均已修补。

此类漏洞链需要深入理解组件交互——这是 AI 超越人工审计的任务。

资金与模型访问

Anthropic 向参与者分配 1 亿美元信用额度，并为开源安全投入 400 万美元：

• 250 万美元——通过 Linux Foundation 给 Alpha-Omega 和 OpenSSF；
• 150 万美元——Apache Software Foundation。

预览结束后，Mythos Preview 将通过 Claude API、Amazon Bedrock、Google Vertex AI 和 Microsoft Foundry 以每百万输入令牌 25 美元、每百万输出令牌 125 美元的价格向合作伙伴提供。

该项目以透明翅膀的 Greta oto 蝴蝶命名——隐喻隐藏的漏洞以及透明度的必要性。

关键要点

• Mythos Preview 自主发现 OpenBSD（27 年）、FFmpeg（16 年）和 Linux 内核中的遗留漏洞。
• 基准测试：在 SWE-bench（93.9%）、Terminal-Bench（82%）、CyberGym（83.1%）中领先。
• 基础设施和开源安全投资 1.04 亿美元。
• 模型集成到 AWS、Google 和 Microsoft 的 API 平台，用于企业审计。
• 结果报告将于 90 天内发布。

开发者展望

对于中高级专家，这是一个信号：应将 AI 集成到 CI/CD 中进行安全扫描。该模型擅长：

• 遗留代码的自主模糊测试；
• 组装利用链；
• 绕过现有测试场景。

Project Glasswing 聚焦于手动审计无法跟上代码库的基础设施。预期报告将揭示行业最佳实践。

— Editorial Team