Anthropic 的 Mythos 让工程师深陷安全漏洞，Microsoft 紧急应对

Anthropic 的 Mythos 发现了数百个安全漏洞，其速度快过 Microsoft 工程师修复漏洞的速度，迫使 Microsoft 陷入一场“紧急冲刺”。这一冲突通过一则 Google News 条目浮出水面，但相关报道揭示的问题要大得多：AI 如今能够以超过人工修复速度的节奏加速发现漏洞。

直接承受压力的是负责 SharePoint、Microsoft 365、Teams 和 Copilot 的团队。ProPublica 查阅的内部记录显示，截至 5 月中旬，许多高优先级发现仍未解决。传统安全分诊机制突然显得不那么可靠，因为 Mythos 能将多个轻微缺陷串联成一条严重的攻击路径。

Mozilla 提供了一个重要对照。其 Firefox 团队同样收到了大量来自 Mythos 的发现，但每一项相关补丁仍需要由人工编写和审查。新的瓶颈已不再是发现可疑代码，而是验证每项发现、理解其背景、构建安全修复方案、测试该修复方案，并在攻击者复现同样工作之前完成发布。

Microsoft 的记录实际揭示了什么

Mythos 将漏洞发现从周期性的安全工作，转变为持续不断的生产队列。

5 月中旬，数十名 Microsoft 工程师和管理者开会讨论 Project Glasswing——Anthropic 的受控网络安全计划。在类似能力的系统广泛可用之前，Anthropic 已向部分选定组织提供 Claude Mythos Preview 的访问权限。

根据 Microsoft 内部记录，一名管理者告诉参会者，Mythos 发现漏洞的速度快过 Microsoft 修复漏洞的速度。这名管理者将应对工作形容为一场“紧急冲刺”。

一张演示幻灯片展示了 SharePoint 内部的规模。据报道，仅在 4 月，Mythos 就发现了 90 个被归类为严重的漏洞，以及 141 个被归类为重要的漏洞。它还在 5 月上半月发现了更多问题。

这些分类很重要。Microsoft 将利用后可能造成严重后果（包括可自我传播攻击）的漏洞定义为“严重”。“重要”漏洞则可能危及用户数据或扰乱计算资源。

内部演示预计，SharePoint 工程师将持续忙碌数月。团队计划先处理严重发现，随后处理重要发现，约 300 项中等级别发现则留待之后处理。

这些记录还描述了 Microsoft 365、Teams 和 Copilot 中数百个严重或重要漏洞。据报道，截至 5 月中旬，其中大多数仍未打补丁。Microsoft 拒绝透露在演示之后已修复多少 Mythos 发现。

这些发现未必属于引人注目的全新攻击类别。据报道，一名工程管理者将其中许多问题形容为普通但真实的漏洞。这一细节让事件更具影响，而非相反。

软件产品会在多年的功能开发、兼容性决策和继承组件中积累普通缺陷。人工安全研究人员能够检查的范围有限。能够持续检查代码的模型，会暴露那些部分因无人有足够精力发现而长期隐藏的弱点。

Microsoft 表示，其安全决策会考虑可利用性和对客户的潜在影响。该公司还表示，加速利用漏洞并非新现象，同时承认目前存在强烈的紧迫感。

这两种说法可以同时成立。安全团队一直都在漏洞被知晓后与攻击者竞速。改变的是，能够同时开始的竞赛数量。

据报道，Microsoft 已向约 50 名全职员工分发 Mythos 访问权限。这个有限群体就能产生足以让产品团队忙碌数月的队列。若类似工具落入更多研究人员、客户和对手手中，流入量将成倍增加。

这正是该事件值得获得比其 Google News 框架所暗示更多关注的原因。Microsoft 面对的并非一个危险的零日漏洞——即此前未知但可被利用的漏洞。它面对的是一个能在庞大代码库中反复发现新候选问题的生产系统。

该系统不需要休息、排期空档或个人动机。只要组织提供计算资源和有效测试环境，它就能持续搜索。

结果是一种结构性失配：漏洞发现已经开始像软件一样扩展，而修复工作仍主要依赖专家人工劳动来扩展。

为什么 Google News 的关注低估了这场安全转变

核心反转在于，更强的防御性检测能力可能暂时让软件供应商显得更不安全。

Anthropic 推出 Project Glasswing，旨在让部分选定的防御方有时间在类似能力扩散前发现并修复弱点。Microsoft 加入了这项工作，并通过 Microsoft Foundry 向获批的 Project Glasswing 客户提供 Mythos。

这一安排让防御方获得了先发优势。然而，当模型产出发现的速度快过团队吸收速度时，先发优势的价值也有限。

传统安全计划将漏洞发现视为稀缺资源。组织会运行测试、接受外部报告，并为由此产生的队列排序。最危险的漏洞会立即得到关注，较低严重程度的发现则等待处理。

Claude Mythos Preview 改变了这一过程的供给侧。截至 5 月 22 日，Anthropic 的披露仪表板报告了 23,019 项候选发现。外部安全公司已审查其中 1,900 项，并确认 1,726 项有效。

Anthropic 已在 281 个开源项目中披露 1,596 个漏洞。当时仅有 97 个被列为已由上游修复。Anthropic 明确指出，人工分诊和审查是限制速度的关键环节。

这些数字涵盖的是 Anthropic 跟踪的开源工作，而非 Microsoft 的私有队列。它们仍说明了同一种机制：模型以一种速度生成候选项，外部专家以另一种速度验证，维护者再以第三种速度打补丁。

候选发现并不自动等同于可利用漏洞。审查人员必须复现其行为、排除误报、评估现实攻击条件，并确定受影响代码是否可达。

即使是有效漏洞，也可能不在项目的威胁模型范围内。其他发现可能与已知报告重复。一份措辞完善的 AI 生成说明并不能消除工程判断的必要性。

不过，Mythos 并非只是在制造人们熟悉的大量模糊、低质量 AI 报告。在 Anthropic 经外部审查的发现中，报告的真阳性率为 90.8%。该比例来自 Anthropic 雇用的安全公司，而非每个受影响维护者，因此不应将其视为具有普遍证明力的结论。

发现数量仍大到足以改变组织行为。安全团队必须准备好应对更多有效报告，同时还要处理误报、重复项以及无法造成实质伤害的问题。

当供应商维护拥有数十年累积代码的产品时，压力会尤为尖锐。较老的组件往往包含在过去架构下合理的假设。现代功能可能让这些假设暴露于新的输入和攻击路径之下。

Microsoft 的规模放大了问题。Windows、Microsoft 365、SharePoint、Teams 和 Azure 服务于政府、学校、医院和企业。广泛部署组件中的缺陷，会为攻击者带来更高的潜在回报。

普及度也扩大了防御工作量。工程师必须评估多个产品版本、云配置、访问控制和客户环境。关闭一个弱点的补丁不能破坏现有部署，也不能制造另一个漏洞。

发现漏洞的同一 AI 尚无法保证生成安全的生产修复方案。生成看似合理的代码，与理解每项依赖关系和运营后果并不相同。

这种区别往往会在 Google News 对 AI 发现数千个缺陷的摘要中消失。标题数字衡量的是发现能力，而不是有多少发现可被利用、有多少补丁安全，或客户安装这些补丁的速度。

因此，Microsoft 的紧急应对同时反映了成功与失败。Mythos 为防御方提供了此前不具备的可见性。这种可见性也揭示出已有多少未解决的安全工作。

当小漏洞形成攻击链时，传统分诊机制会失效

AI 挑战了将每个漏洞作为独立项目进行优先级排序的假设。

安全分诊通常依据发现的潜在影响和可利用性进行排序。能够被远程利用并让攻击者获得控制权的缺陷，理应比后果有限的本地漏洞获得更多关注。

这种层级依然必要。没有公司能够立即修复每一个软件缺陷。根据其安全响应计划，Microsoft 每年处理数千份漏洞报告。

复杂之处在于漏洞链式利用，即将多个独立弱点组合为一次攻击的技术。一个低严重程度的信息泄露问题，可能暴露利用访问控制错误所需的数据。另一个缺陷随后可能帮助攻击者逃离受限环境。

单独来看，这些漏洞似乎可以接受。组合起来，它们却可能形成通往敏感数据或系统控制权的路径。

Anthropic 高级技术顾问、美国外交关系协会研究员 Vinh Nguyen 警告称，四个低级别缺陷可能组合成高严重程度后果。他认为，Microsoft 现有的分诊策略可能低估了这种风险。

Microsoft 回应称，链式利用长期以来一直是其漏洞评估的一部分。这一回答说明公司是否理解该技术，但并未完全解决其人员配置、模型和修复流程能否评估快速膨胀队列中的跨漏洞链条。

人工审查人员很难考虑数百项发现之间的每一种可能关系。随着队列增长，组合数量会迅速上升。Mythos 之类的系统可以反复搜索这些组合，并构建多步骤演示。

这使得未修复的中等级别发现更难被忽视。它们的单项严重程度可能仍属中等，但当另一个漏洞补上缺失步骤时，其价值就会改变。

这一挑战也削弱了静态严重程度评分的意义。漏洞的实际风险取决于部署条件、可用权限、可达服务以及它与其他弱点的相互作用。

Microsoft 表示，它会持续重新评估是否应提高较低评级问题的级别。当 AI 发现新关系的速度快过审查团队绘制这些关系的速度时，这种自适应方法就变得至关重要。

该公司正在增加自动化手段，以验证发现的质量和严重程度。它还计划将基于智能体的安全测试嵌入开发流程，让工程师在编写代码时就能发现漏洞。

将发现工作前移是合理的。仍然了解发生变更组件的开发人员，往往能比数月后介入的远程事件团队更高效地修复问题。更早进行测试也能减少需要发布补丁的已发布版本数量。

然而，将 Mythos 引入开发流程并不能消除现有软件中积压的问题。Microsoft 必须在改变未来版本开发流程的同时，保障当前产品的安全。

它还必须避免将错误判断自动化。若分诊代理高估每一项发现，就会耗尽工程资源；若低估攻击链中有价值的关联，则会造成虚假的安全感。

组织需要证据充分的报告，其中应包含可复现的行为、受影响的配置、现实的攻击前提条件以及建议的修复方案。它们还需要一份持久记录，将每项发现与设计决策、测试和后续事件关联起来。

对于工程团队而言，可搜索的知识库可以在代码、事件记录和技术文档之间保留这些上下文。它无法决定漏洞严重性，但可以减少重建早期决策所需的工作量。

因此，真正的较量并非 Mythos 与 Microsoft 工程师之间的对决，而是机器速度的发现能力，与围绕更慢、逐项人工审查报告建立的组织系统之间的竞争。

Microsoft 几乎可以立即购买更多计算能力。要扩大真正理解某个遗留组件的资深工程师队伍，则需要更长时间。

Mozilla 说明修复工作仍需要人类工程师

Firefox 表明，AI 可以放大有价值的发现，但不会自动完成修复中最困难的部分。

Mozilla 的经验提供了最清晰的公开对照，因为其工程师同时描述了收益与工作负担。

2026 年 4 月，Firefox 发布了 423 项错误修复，而 2025 年 4 月仅为 31 项。Mythos 帮助发现了高严重性漏洞，其中包括一些已在浏览器中存在十多年的缺陷。

据报道，该模型在 Firefox 的沙箱中发现了问题；沙箱是一层隔离机制，旨在限制恶意代码造成的损害。沙箱漏洞尤其有价值，因为利用它们通常需要一连串富有创造性的操作。

Mozilla 工程师告诉Firefox 安全研究人员，近期系统相比早期 AI 扫描工具已有显著改进。更好的代理工作流可以测试候选发现，并在提交前筛除部分质量较低的结果。

不过，Mozilla 并未允许 AI 直接发布由此产生的补丁。每个相关错误仍需由一名工程师编写修复，再由另一名工程师审查。

团队曾要求 AI 提出补丁建议，但这些输出通常只是起点，并非可直接替代人工工作的生产就绪方案。

这一差距解释了 Microsoft 的积压问题。发现一条可疑代码路径是一项范围明确的任务；修复一款广泛部署的企业产品，则需要承担更长的责任链条。

工程师必须针对正确的软件版本确认报告。团队必须确定该缺陷是否影响云服务、本地安装环境，或两者皆受影响。还必须构建回归测试并检查相邻组件。

随后，补丁需要经历审查、集成、质量测试、发布准备和客户沟通。在客户能够安装防护措施前，敏感细节必须受到控制。

大型供应商还面临额外限制：一次安全更新可能会在无数环境中引发运营故障。仓促发布补丁，可能是用一种安全风险交换停机、数据损坏或兼容性问题。

AI 编程系统可在多个环节提供协助。它们可以提出测试建议、识别相关函数、总结变更历史，并比较潜在修复方案。但这些行动都不会将责任从工程师身上转移出去。

Microsoft 自己此前的研究也强化了这一限制。2025 年的一项研究发现，领先模型在 SWE-bench Lite 的许多任务上仍难以完成调试；该基准来自真实的软件问题。研究人员认为，模型在提出修复前，需要更丰富的交互数据，以展示代理如何使用调试器。

该研究之后，网络安全模型快速进步，但验证仍处于核心地位。真实环境包含文档未记载的行为和业务约束，而基准测试无法完全呈现这些因素。

竞争格局也在扩大。OpenAI 已开发面向网络安全的模型，而 Microsoft 则介绍过一个多模型安全系统，该系统在 Windows 网络和身份验证组件中发现了 16 个漏洞。

据报道，Palo Alto Networks 在测试 Anthropic 和 OpenAI 模型时发现了 75 个错误，而其通常每月发现的数量为 5 至 10 个。其研究人员仍观察到，在针对环境进行调优改善结果前，各产品的误报率接近 30%。

Curl 维护者 Daniel Stenberg 报告了更为温和的结果。Mythos 发现了一个低严重性错误、数个误报，以及另一个被项目认为无关紧要的问题。

这些案例避免了一个过于简单的结论，即 Mythos 总能压倒每一个目标。其表现取决于代码库、工具、提示词、可用上下文和人类操作员。

Microsoft 的产品覆盖面也远大于单个开源项目。SharePoint、Microsoft 365、Teams 和 Copilot 同时涌现大量问题，可能会给多个专业团队带来压力。

这种不确定性很重要，因为 Anthropic 掌握了大部分公开性能数据。独立维护者和测试合作伙伴提供了宝贵证据，但目前尚无统一审计能够衡量各供应商的发现质量、修复时间和生产环境结果。

Anthropic 的仪表板还统计了可能已知、或维护者决定不修复的真实错误。其真阳性指标不应被混同为最终成为严重公开安全公告的发现比例。

审慎的结论依然重要。Mythos 已跨过一个门槛：专业组织获得的有用发现已足以改变人员配置和发布计划。

但它尚未跨过能够安全关闭其自身所制造队列的门槛。

风险在于修复能力，而非单一 AI 模型

Microsoft 最深层的脆弱性，是可扩展检测能力与稀缺产品知识之间的缺口。

最直观的解读是，Anthropic 是挑战者，而 Microsoft 是不堪重负的既有巨头。这种竞争确实重要，但也可能分散人们对更广泛约束的注意力。

Anthropic 希望 Mythos 能在攻击者获得同等访问能力之前，帮助防御者保护重要系统。Microsoft 也通过 Foundry 提供经批准的访问。即使 Anthropic 的模型暴露 Microsoft 产品中的弱点，两家公司仍保持合作。

主要矛盾在于 AI 速度防御的承诺，与人类速度修复的现实之间。

经验丰富的安全工程师所做的不只是修改有缺陷的代码。他们了解系统边界、威胁模型、客户依赖关系和发布后果。这些知识大多特定于某一产品或组件。

遗留代码加剧了人才短缺。原始作者可能已经离开；文档可能遗漏设计假设；测试可能覆盖正常运行，却无法呈现恶意输入。

技术债，即早期妥协所累积形成的工程工作，在这些妥协掩盖可被利用的行为时，就会变成安全债。AI 可以比组织偿还这些债务的速度快得多地揭示它们。

Microsoft 的内部安全响应中心在繁忙时期历来处理过数百乃至数千份报告。ProPublica 此前曾报道人手不足的担忧，而 Microsoft 表示会持续评估安全响应所需的资源。

商业激励并不容易协调。新功能可以带来可见的收入和客户关注；安全维护通常是在防止那些永远不会变得可见的损失。

AI 驱动的发现使这种失衡更难维持。每项新功能都会扩大机器可检查的代码范围；每次推迟重构，都会增加未来模型可以探测的交互关系。

担忧并不止于 Microsoft。志愿维护者支持着嵌入商业产品和公共基础设施的开源库。一个小团队可能收到技术上有效的报告，却没有时间复现或修复。

负责任披露有助于延迟公开细节，但不会创造工程能力。披露窗口可能变成资金不足项目无法赶上的倒计时。

五眼联盟警告称，先进 AI 漏洞能力将会扩散，并敦促组织做好准备。这一警告的重要性，与其说在于某个预测日期，不如说在于整体发展方向。

攻击者并不需要完全相同的 Mythos 服务。他们需要的是能够检查代码、测试假设，并以越来越少的人力投入组合利用弱点的模型和工具。

获得源代码很有帮助，但并非总是必需。攻击者可以检查开源组件、逆向工程二进制文件、研究过去泄露的代码，或测试暴露的服务。

Microsoft 表示，其安全流程假定坚定的对手能够获得代码。这种威胁模型是恰当的。运营层面的问题是，公司能否在攻击者将发现转化为可靠技术手段之前修复这些问题。

还存在过度反应的风险。如果 Microsoft 在没有严格验证的情况下，将工程师投入到每一项 AI 发现中，就可能延误有价值的安全工作和产品维护。

因此，团队需要更好的优先级排序，而不是放弃优先级排序。严重性评分必须纳入攻击链、真实部署暴露面、已知利用情况以及补偿性控制措施的可用性。

它们还需要衡量修复吞吐量。按发现的错误数量计数，会奖励模型扩大队列；按关闭的工单数量计数，则可能奖励草率分类。一个有用的指标必须反映经过验证的风险降低，同时不鼓励流于表面的补丁。

客户透明度将很重要。买方需要了解供应商是否正在缩短暴露窗口、提升补丁质量，以及减少反复出现的缺陷类别。仅凭庞大的发现数量，无法证明取得进展或遭遇失败。

Google 新闻周期将转向下一个模型公告。Microsoft 的队列仍将存在，以及关闭队列所需的产品知识与测试工作。

当 Google 新闻周期过去后该关注什么

三个信号将表明 Microsoft 是在调整其安全体系，还是仅仅在挺过第一波 Mythos 冲击。

第一个信号是 Microsoft 针对所报告 SharePoint 积压问题的补丁记录。内部计划预计需要数月工作，其中重要发现将延续至 8 月，中等严重性错误则在之后处理。

Microsoft 尚未公布将安全更新与 Mythos 发现关联起来的完整统计。未来的公告或许会揭示，高优先级发现是否在减少，以及相关缺陷是否会在同一组件中反复出现。

持续减少将支持 Microsoft 的说法，即它能够将 AI 发现与有效修复相结合。若问题持续累积，则表明发现能力仍然超过工程吞吐量。

第二个信号是 Microsoft 是否改变对关联漏洞的排序方式。该公司表示，漏洞链已被纳入风险分析，但 Mythos 可以以挑战逐案审查的规模测试各种组合。

关注是否出现新的严重性评估指南、自动化链路分析，或将相关漏洞归入攻击路径的报告。这些变化将表明，Microsoft 正在围绕 AI 的实际能力重新设计漏洞分诊流程。

如果排名较低的发现仍在等待处理，且没有可见的关联分析，那么关于链式风险被低估的担忧仍将存在。

第三个信号是竞争性网络安全模型在独立测试中的表现。OpenAI、Microsoft、Anthropic、安全厂商和政府实验室都在开发或评估能够发现漏洞的系统。

多个模型得出可比结果，将证实 Microsoft 面临的是全行业的能力转变，而非与某个 Anthropic 预览版本相关的短暂激增。相反，如果误报率或漏洞利用验证方面存在巨大差异，则说明运营设计与模型原始智能同样重要。

开发者应关注厂商是否发布端到端衡量数据。有价值的报告应包括候选发现、已确认漏洞、接受的严重性等级、修复时间中位数、回归问题以及部署覆盖率。

企业采购方也应提出一个相关问题：他们的供应商能否将自动化发现转化为经过验证的客户保护？如果一家厂商发现了更多漏洞，却无法安全地修复它们，那么它只是提升了可见性，并未完成安全工作。

知识工作者和产品负责人同样发挥作用。事件记录、架构决策和客户约束必须保持可供评估 AI 发现的工程师访问。更好的组织记忆能够缩短模型告警与可辩护修复方案之间的时间。

下一条 google news 头条可能会强调更高的漏洞数量或更强的模型。更有意义的结果将出现在不那么引人注目的运营数据中。

Microsoft 能否缩短处理队列、保持补丁质量，并在攻击者之前识别出危险的漏洞组合？读者应追踪这三个信号，并要求看到证据，证明 AI 速度的发现能力正在产出 AI 辅助防御，而不只是更快地列出尚未解决的风险。