人工智能公司Anthropic于2026年4月7日正式宣布其未公开的AI模型Claude Mythos Preview，该模型在安全基准测试中取得突破性成绩，自主发现了数千个零日漏洞，覆盖所有主流操作系统和浏览器。这一进展促使Anthropic发起Project Glasswing，一个由11个创始合作伙伴支持的网络安全防御联盟，并提供高达1亿美元的Mythos使用信用额度。
Claude Mythos的能力飞跃
根据Anthropic的描述，Claude Mythos代表了前沿AI领域有史以来最大的单模型能力飞跃。在Cybergym基准测试中，Mythos得分83.1%，而前代Claude Opus 4.6仅为66.6%；在SWE-bench Verified上得分93.9%对80.8%；在SWE-bench Pro上以77.8%对53.4%领先24个百分点。在Humanity's Last Exam中，Mythos无需工具即达到56.8%，而Opus 4.6为40.0%。这些成绩表明Mythos在推理、多步骤规划和自主智能体行为方面的显著进步。
该模型无需专门的网络安全训练即可发现漏洞。它通过读取目标源代码、建立内存安全缺陷假设、编译运行软件、使用Address Sanitizer等调试器、按漏洞可能性排序文件，最终生成带有功能性概念验证利用代码的错误报告。
发现人类数十年忽视的漏洞
Mythos发现的两项最引人注目的漏洞包括：一个存在27年的OpenBSD TCP SACK整数溢出漏洞，允许远程攻击者通过恶意数据包使任意主机崩溃；该漏洞在约1000次运行后被自主发现，总成本不到2万美元。另一个存在16年的FFmpeg H.264漏洞，此前已通过超过500万次自动化测试和多次审计，但Mythos成功将其检测出来。
在浏览器测试中，Mythos针对Firefox 147的JavaScript引擎生成了181个完整shell利用和29个寄存器控制案例，而Claude Opus 4.6仅生成2个shell利用。该模型还构建了从用户到root的Linux内核提权链，从100个近期CVE中筛选出40个可利用候选，并成功利用了其中超过一半。
人类验证者审查了198份模型生成的漏洞报告，在89%的情况下同意其严重性评估，在单个严重性级别内的一致性高达98%。
Project Glasswing：防御性网络联盟
为应对Mythos带来的双刃剑效应，Anthropic启动了Project Glasswing，旨在将这些能力导向防御。创始合作伙伴包括Amazon Web Services、Apple、Broadcom、Cisco、Crowdstrike、Google、JPMorganChase、Linux Foundation、Microsoft、Nvidia和Palo Alto Networks，另有超过40个关键软件组织获得访问权限。
Anthropic承诺向开源安全领域捐赠400万美元：其中250万美元通过OpenSSF直接给Linux Foundation旗下的Alpha-Omega项目，150万美元给Apache Software Foundation。公司同时承认，类似Mythos的AI工具降低了漏洞发现和利用的门槛，并警告来自中国、伊朗、朝鲜、俄罗斯及犯罪团体的短期风险。
截至目前，已识别漏洞中不到1%被完全修复。Anthropic正协调负责任披露流程，为未修复问题发布SHA-3加密承诺，并在90天加45天后公布完整细节。已披露的案例包括存在17年的FreeBSD NFS服务器远程代码执行漏洞（CVE-2026-4747），该漏洞可授予完全未认证的root访问权限。
Anthropic表示，未来版本的Claude Opus将包含检测和阻止危险网络安全输出的防护措施，并计划引入面向验证安全专业人士的网络安全验证计划。一份关于合作伙伴发现和已修复漏洞的公开报告预计在90天内发布。