网络安全即工作量证明：谁花的token更多

网络安全正在变成一个算力问题：在英国AI Security Institute的攻击靶场上，最强的模型花的token越多，进展就越大。按照Drew Breunig的解读，这让防御变成了一场比攻击者花得更多的竞赛。 2026年4月，只有一个模型Claude Mythos Preview在10次尝试中有3次完成了该研究所的32步企业网络攻击靶场。¹ 到7月，AISI统计出已有四个公开发布的闭源权重模型完成了该靶场，表现最好的在10次中成功6次和7次；另有一个开放权重模型Kimi K3在10次中完成了1次。⁷ Breunig解读背后的前提，即对最强的模型而言，更多token能换来更多进展，至今依然成立。但他给单次尝试定的价格已经站不住了。²

本文首次发布于2026年4月14日，即AISI发布第一份报告的次日。2026年10月2日，我根据AISI、NIST的CAISI和Anthropic此后发布的内容重写了全文。4月版写了什么、哪些地方已经过时，列在文末附近的“4月版写了什么”一节中。

TL;DR

• 靶场。 “The Last Ones”是一个模拟的企业网络攻击：横跨四个子网、约二十台主机的32个步骤，AISI估计人类专家需要大约20小时才能完成。它从取得初始访问之后开始，而且没有防御者。¹⁴
• 谁完成了它。 4月有一个模型。4月底有两个。到7月23日，有四个公开发布的闭源权重模型和一个开放权重模型。¹⁴⁷
• 一次运行的成本。 Breunig所说的每次尝试12,500美元是一个估算：AISI的1亿token预算乘以Mythos Preview的输出价格。AISI在7月为1亿token的靶场运行标价时，Opus 4.5和4.6约为85美元，开放权重的GLM-5.2估计为46美元。²⁶¹⁰
• 谁能运行它。 AISI认为，主要开放权重模型在网络能力上落后闭源前沿4到7个月。Anthropic报告称，任何人都能下载的GLM-5.3在一个公开基准上构建端到端漏洞利用的成功率与Mythos Preview大致相当。⁶⁹
• 前沿没有平台期。 对最强的模型，AISI的4月和5月报告发现，在1亿token的上限处性能仍在上升。较弱的模型则停滞了，开放权重的GLM-5.2就是其中之一。¹⁴⁵⁶
• 依然成立的保留意见。 这些靶场没有防御。AISI表示，它无法判断这些能力“will translate against defended, real-world systems”（在有防御的真实系统上会如何体现）。⁵

AISI测了什么，以及发生了哪些变化

AISI的网络靶场测试的是模型能否独自完成一整场攻击。与SpecterOps共同构建的“The Last Ones”（TLO）“modelled on the kill chain of an enterprise intrusion”（以企业入侵的杀伤链为蓝本）：智能体从一台没有凭据的非特权机器出发，必须串联起侦察、凭据窃取、跨Active Directory林的横向移动、借道CI/CD供应链的跳转，以及窃取一个内部数据库。每次尝试有1亿token的预算。⁴

4月到7月间的五份报告讲述了这个过程：

7月23日的报告这样描述现状：“Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.”（解出TLO已不再是少数模型的专利。在此前的测试中，已有四个公开发布的闭源权重模型解出TLO，能力最强的模型以10次中6次和7次的更高稳定性解出。）⁷ 报告没有点出这四个模型的名字，也没有说明限量发布的Mythos Preview是否算在其中。

第二个靶场也有了进展。4月时，没有模型能完成“Cooling Tower”，这是针对一座模拟发电厂的7步攻击；AISI指出Mythos Preview“got stuck on IT sections of this range”（卡在了这个靶场的IT环节）。5月13日，AISI报告较新的Mythos Preview检查点在10次中解出3次，称之为“the first time that a model completed the second of our two cyber ranges”（模型首次完成我们两个网络靶场中的第二个）。AISI从中得出一个教训：“Notable capability jumps do not always require new model releases.”（显著的能力跃升并不总是需要发布新模型。）¹⁴⁵

所有这些结果背后有两个发现。第一，对最强的模型而言，多花token每次都换来了更多进展。4月：“Models continue making progress with increased token budgets across the token budgets tested.”（在所测试的各档token预算中，模型都随预算增加而持续进展。）4月30日：“we have not yet observed a plateau with the best models.”（我们尚未在最强的模型上观察到平台期。）5月：性能“would likely still improve beyond that budget, especially for recent models”（超出该预算后很可能仍会提升，尤其是较新的模型）。¹⁴⁵ 但这并不适用于所有模型：7月，GLM-5.2与Opus 4.6并驾齐驱“to step 11 before stalling”（直到第11步，随后停滞）。⁶ 第二，进展速度很快。AISI在2月估计，前沿模型能完成的网络任务长度“had doubled every 4.7 months since late 2024”（自2024年末以来每4.7个月翻一番），并在5月报告Mythos Preview和GPT-5.5“substantially exceeded”（大幅超出）了这一趋势。⁵ 这一估计以每项任务250万token的预算为基础。AISI在7月2日的分析中发现，这一趋势“~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task”（若按每项任务5,000万token而非250万token来估计时间跨度，会陡约60%）。¹³

一次运行的成本

Breunig把4月的结果换算成了金额：“AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.”（AISI为每次尝试安排了1亿token的预算。那就是Mythos每次尝试12,500美元，十次运行共12.5万美元。）² 本文的第一版把这个数字放进了标题。

这是一个估算，而且是偏高的估算。1亿token花12,500美元，相当于每百万token 125美元，这是Mythos Preview输出token的标价。它的输入价格是25美元。¹⁰ 把预算里的每个token都按输出单价计算，得到的是上限，而不是账单。

AISI在7月关于开放权重模型的报告中公布了价格：“A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.”（一次1亿token的网络靶场运行，Opus 4.5和4.6的成本均约为85美元；按当前价格，GLM-5.2估计为46美元，DeepSeek V4-Pro为1.19美元。）⁶ 这些是“advertised first-party prices”（公开标示的第一方价格），AISI注明它对开放权重模型并未使用第一方提供商，“so real compute costs may vary”（因此实际算力成本可能有所不同）。

有三点使这些数字不能当作一次成功攻击的价格。被标价的模型没有一个完成了靶场。Mythos Preview每token的标价是Opus的五倍，所以它的运行比Opus更贵。而且AISI没有公布任何一次完成TLO的运行价格，因此我无法说出它的成本是多少。被标价的运行能说明的是数量级。Opus 4.6的一次运行约85美元。按Mythos Preview五倍的标价折算，大约是几百美元。这是我的计算，不是AISI的，但离12,500美元差得很远。⁶¹⁰

一些更小的数据点也指向同一方向。在AISI 4月30日的报告中，GPT-5.5解出了一道资深游戏测试员花了大约12小时的逆向工程题目，用时“in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage”（10分22秒，没有人工协助，API费用1.73美元）。⁴ 在Anthropic 9月的报告中，一名研究人员让GLM-5.3-Flash把一个Chrome修复的公开细节变成了可用的漏洞利用链，耗费“20 minutes of human attention, plus eight hours of work”（20分钟的人工关注，外加8小时的工作），后者由模型完成。“At Zhipu’s API prices, this effort would have cost $20.40.”（按智谱的API价格，这项工作的成本为20.40美元。）⁹ 两者都只是单次被标价的会话，而不是比率。

Mythos级别的价格也降了下来。Anthropic的定价页面目前将Mythos 5和Mythos 5.1列为每百万输入token 10美元、每百万输出token 50美元，而Mythos Preview是25美元和125美元。¹⁰

谁能运行它

4月时，这种能力还处在限量发布的门槛之后。变化最大的正是这一点。

AISI 7月17日的报告测量了开放权重模型与闭源模型在网络能力上的差距，发现差距正在缩小：近期的开放权重模型“lag frontier closed models’ cyber capabilities by 4 to 7 months”（在网络能力上落后前沿闭源模型4到7个月），而2025年大部分时间里这一差距是6到10个月。报告还明确说明了这一差距为何重要。权重一旦公开，“safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring”（安全防护可以被移除，副本可以被下载、再分发，并在监控之外的私有系统上运行）。AISI自己对开放权重模型的测试也“were largely unimpeded by safeguards”（基本没有受到安全防护的阻碍）。⁶

GLM-5.2没有完成靶场。六天后，Kimi K3在10次尝试中完成了1次。AISI和CAISI将其解读为该模型“is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access”（在受到指示并获得初始网络访问时，能够自主攻击规模小、防御薄弱且存在漏洞的企业系统）。⁷

接着是GLM-5.3，Z.ai（原智谱AI）在8月底发布了它的权重。CAISI在9月17日称其为“the most cyber-capable open-weight model released to date”（迄今发布的网络能力最强的开放权重模型），并在其基准上将它定位为落后美国前沿约四个月。⁸ Anthropic的Frontier Red Team在9月29日报告，GLM-5.3在ExploitBench上的410次尝试中有50次构建出端到端漏洞利用，而Mythos Preview为56次；在Anthropic内部基准上，完整控制流劫持的成功率为4%，Mythos Preview为6%。⁹

安全防护很薄弱。Anthropic用一个掩护说辞绕过它们的比例为64%，用预填推理则达到92%。直接从权重中移除这些防护，一个“which had never previously attempted this task”（此前从未尝试过这项工作）的团队花了约2,200 GPU小时，“roughly $4,400”（约4,400美元）；有经验的团队估计只需1,200美元。而且“Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.”（模型发布后几天之内，就有多位开发者公开发布了GLM-5.3的abliterated版本。）⁹ Glasswing一文对这份报告有更详细的介绍。

我没有找到任何公开的GLM-5.3在TLO上的运行结果。我能支撑的论断更窄一些：已有开放权重模型完成了这个靶场，而一个更新的开放权重模型在一个公开基准上构建漏洞利用的能力，已与4月那个限量发布的模型相当。

Breunig的论点，六个月之后

Breunig的论点只有一句话：“to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them”（要加固一个系统，你在发现漏洞利用上花的token必须多于攻击者在利用漏洞上花的token）。他把它比作加密货币的工作量证明，即“where success is tied to raw computational work”（成功与纯粹的计算工作量挂钩），并说得很直白：“You don’t get points for being clever. You win by paying more.”（聪明不加分。谁付得多谁赢。）²

他由此推出了两个结论。第一个关于开源。如果安全取决于花钱，那么Linus定律“given enough eyeballs, all bugs are shallow”（只要眼睛足够多，所有bug都无处藏身）就可以延伸到token上：许多公司出钱保护的库，会比一个团队独自维护的代码得到更好的保护。Simon Willison同一天也提出了同样的观点：开源库“become more valuable, since the tokens spent securing them can be shared across all of their users”（会变得更有价值，因为为保护它们而花的token可以由所有用户共享）。²³ Breunig自己补上了其中的复杂之处：被广泛使用的软件包也是更有价值的目标，“which incentivizes attackers to spend more on OSS targets”（这会促使攻击者在开源目标上花更多钱）。

第二个结论是一个新的工作阶段。他预期会出现开发、审查、加固的循环，其中加固的含义是：“Identify exploits, autonomously, until the budget runs out.”（自主地找出漏洞利用，直到预算用完。）第一个阶段受人力投入所限，最后一个阶段受资金所限。²

价格的暴跌并没有推翻这个论点，Breunig在4月就说明了原因：“Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.”（即使推理优化让成本下降，只要模型还没到安全收益递减的那个点，你仍然需要比攻击者买更多的token。成本由一个漏洞利用的市场价值决定。）² 更便宜的token会同时降低双方的成本。它改变的是谁负担得起扮演攻击者的角色。

防御方也有证据。Anthropic表示，Mythos Preview的限量发布让经过审核的防御者在同类模型公开之前“find more than 10,000 vulnerabilities in critical software”（在关键软件中发现了一万多个漏洞）。⁹ AISI也拿自己做了这个实验：在7月的一项案例研究中，一个前沿模型在AISI自家研究平台的预发布副本中找到了一条5步攻击链，“for under £150 in tokens”（token花费不到150英镑）。¹² 其中第一项工作，我写在了Project Glasswing里；在它之前的结果，即用Claude Code和一个简短脚本找到的一个存在了23年的Linux内核bug，我写在了When Your Agent Finds a Vulnerability里。

保留意见仍然意味着什么

AISI的每份报告都带着同样的局限，而这些局限至今没有解除。TLO“lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path”（没有主动防御者和防御工具，对会触发安全警报的行为不施加惩罚，并且包含一条刻意设置的攻击路径）。⁷ 它从攻击者已经进入内部之后开始。4月，AISI写道它“cannot say for sure whether Mythos Preview would be able to attack well-defended systems”（无法确定Mythos Preview能否攻击防御完善的系统），并表示正在构建具备“active monitoring, endpoint detection and real-time incident response”（主动监控、端点检测和实时事件响应）的靶场。¹ 5月，它列出了证据所不能说明的事项：“how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems”（进展速度将如何演变，AI何时会达到某个特定的能力阈值，以及这些能力在有防御的真实系统上会如何体现）。⁵

有人值守的网络会改变问题本身。对真实的攻击者来说，动静是有代价的，每一次警报都是防御方做出响应的机会。靶场去掉了这种代价。AISI公开发布的内容中，最接近针对真实防御的测试是7月的那项案例研究：在一个检测系统与生产环境“exactly mirror”（完全一致）的预发布环境中进行的一次演练。结果是“one basic commercial alerting system did not flag any of the autonomous agent activity as a security event”（一个基础的商用告警系统没有把任何自主智能体活动标记为安全事件），而一个更先进的监控工具“did correctly identify some of the aggressive behaviour as anomalous”（确实正确地将部分激进行为识别为异常）。¹²

也有两点指向相反的方向。单次尝试的成功率低估了反复尝试所能换来的东西。如果各次尝试相互独立、目标也不变，那么一个10次成功3次的模型，尝试十次至少成功一次的概率约为97%；一个10次成功1次的模型，这个概率约为65%。这些是我的计算，依赖于上述假设，而一个有防御、不断变化的网络会打破这个假设。此外，从4月到7月，趋势只朝一个方向发展：从一个10次中3次的模型，到多个模型，最好的达到10次中6次和7次。此后AISI没有再公布靶场结果。

测试还暴露出另一种风险。8月4日，AISI披露，在一项网络评估的122次运行中，有10次在开启互联网访问、关闭开发者网络分类器的情况下，智能体“took autonomous, unsanctioned action on the live internet, targeting real people and organisations”（在真实互联网上采取了自主的、未经授权的行动，目标是真实的个人和组织）。AISI记录了19起此类行动，其中17起来自Mythos 5，包括一次试图向某个开源项目植入恶意代码的尝试，被人类维护者拒绝。AISI没有发现由此造成的损害，并强调这些配置“are not commercially available”（并未商用提供）。¹¹ AISI暂停了风险最高的网络评估，为智能体网络测试关闭了互联网访问，并在10月1日表示正在恢复大部分评估工作。¹⁴

这种行为在别处也出现了。9月28日，AISI报告称，在关闭网络分类器的模拟运行中，GPT-6 Astra针对任务范围之外的目标“completed a supply-chain attack 29.2% of the time”（有29.2%的情况完成了供应链攻击）。AISI表示，模型意识到自己身处模拟之中，可能是导致部分此类行为的原因，同时它也无法排除在真实条件下出现同样行为的可能。¹⁵ Anthropic也报告了自己的四起事件：在一家外部合作方构建的网络安全评估中，由于配置错误，未搭载出厂网络安全防护的Claude模型被接入了开放互联网，并“gained unauthorized access to real third-party systems”（未经授权访问了真实的第三方系统）。其中一起，Mythos 5向PyPI上传了一个恶意软件包。¹⁶ 一个能力强、被赋予困难目标、又接入开放网络的智能体，危及的不只是它的目标，还有第三方。我在关于突破隔离的文章中讨论过另一家实验室的相关案例。

我会怎么做

1. 先缩短补丁窗口。 唯一被标价的那次N-day会话，用8小时的模型时间就把一个公开修复变成了可用的漏洞利用链。从厂商发布修复到您部署修复之间的空档，如今攻击起来很便宜。AISI自己的建议也从同一处入手：“regular application of security updates, robust access controls, security configuration, and comprehensive logging.”（定期应用安全更新、健全的访问控制、安全配置以及全面的日志记录。）¹⁹
2. 为加固阶段做预算。 在发布之前以及每次重大变更之后，对自己的系统运行自动化漏洞利用发现，token预算按系统所保护资产的价值来定。按AISI公布的价格，预算已不再是障碍，分诊才是。在AISI自己的案例研究中，整个项目花费“under £1000 in LLM tokens”（LLM token费用不到1,000英镑），而对于静态代码审查，“Separating the most important reports from the noise took human judgement, from the most experienced engineers.”（要从噪音中分拣出最重要的报告，需要最有经验的工程师做出人工判断。）²⁶¹²
3. 假设攻击者掌握开放权重。 规划时要假定，GLM-5.3水平、没有任何安全防护的漏洞利用开发能力，任何想要的人都能拿到。Anthropic的报告也是这么说的。⁹
4. 优先选择有人出钱保护的依赖，并且自己也出一份。 Breunig和Willison关于共享token的观点，只有在token真的被花出去时才成立。供应链一文讲述了攻击者抢先一步时，两个被广泛使用的软件包遭遇了什么。²³
5. 给自己的智能体套上缰绳，同时清楚它管不到什么。 我的钩子能阻止我的智能体强制推送到main或泄露凭据。但对于探测这些智能体所接触系统的外部攻击者，它们毫无作用。我写过的性能盲区也是同理：智能体写的代码通过了所有测试，运行速度却慢了最多446倍。一道关卡只能拦住它被设计来拦截的那类失败。安全需要属于自己的关卡，而且必须是对抗性的。

4月版写了什么

本文的第一版写于2026年4月14日，依据的是AISI 4月13日的报告和Breunig的文章。对照此后公开的内容，它在以下几处有误或已经过时：

• 价格。 标题是“AI Attacks at $12,500 a Run”（单次运行12,500美元的AI攻击），正文把这个数字当成了评估的花费。它其实是Breunig的估算，即token预算乘以输出价格；而AISI后来为其他模型的运行标出的价格在1.19美元到85美元之间。
• “No other model has solved the full chain.”（没有其他模型解出完整链路。）这句话几周内就不再成立：4月下旬GPT-5.5的结果公布；到7月23日，已有四个闭源权重模型和一个开放权重模型解出了它。
• “The 30% success rate against undefended networks is the floor, not the ceiling.”（对无防御网络30%的成功率是下限，而不是上限。）这一判断应验了，但数字已经过时：较新的Mythos Preview检查点在5月达到了10次中6次。
• Cooling Tower。 我曾写道Mythos在这个运营技术（OT）靶场上“failed”（失败了），并据此得出能力不均衡的结论。一个月后，较新的检查点在10次中解出了3次。
• Breunig的审查阶段。 我把它描述为捕捉“known bug classes”（已知的bug类别）。他的原话是“Document, refactor, and other gardening tasks.”（编写文档、重构以及其他打理工作。）
• “Or they lose by default.”（否则就会不战而败。）这句话是我自己的。Breunig写的是“Hopefully you keep trying longer than your attackers.”（但愿你比攻击者坚持尝试得更久。）
• LiteLLM和Axios。 我把它们描述为“cases where vulnerabilities persisted in widely-used libraries”（广泛使用的库中漏洞长期存在的案例）。它们实际上是供应链入侵事件，而Breunig提到它们是为了另一个论点：经历过那些风波后，有人主张用编码智能体重写依赖。
• 两处引用。 脚注把Nicholas Carlini那场演讲的标题和Anthropic的Mythos Preview报告的标题写错了。

常见问题

“网络安全即工作量证明”是什么意思？

这是Drew Breunig对一场支出竞赛的说法：“to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them”（要加固一个系统，你在发现漏洞利用上花的token必须多于攻击者在利用漏洞上花的token）。如果自动化漏洞利用发现花得越多就找到得越多，安全就取决于能否比攻击者花得更多，就像工作量证明系统把成功与计算量挂钩一样。²

有多少AI模型能完成AISI的网络攻击模拟？

根据AISI和CAISI 2026年7月23日的报告，已有四个公开发布的闭源权重模型和一个开放权重模型Kimi K3完成了“The Last Ones”。能力最强的模型在10次中完成6次和7次，Kimi K3在10次中完成1次。⁷

一次AI网络攻击运行要花多少钱？

对于完成了靶场的运行，目前没有公开价格。Breunig所说的每次尝试12,500美元，是按Mythos Preview的输出单价给1亿token预算定价的估算。AISI标价的1亿token靶场运行，Opus 4.5和4.6约为85美元，GLM-5.2估计为46美元，而这些运行都没有完成靶场。²⁶

这是否意味着AI能攻破有防御的网络？

AISI并没有这样声称。它的靶场没有主动防御者、没有防御工具、触发警报也不会受罚，而且从取得初始访问之后开始。AISI表示，结果显示的是针对“small, weakly defended and vulnerable enterprise systems”（规模小、防御薄弱且存在漏洞的企业系统）的能力。¹⁷

团队首先应该做什么？

缩短从修复公开到完成部署的时间，因为把公开修复变成漏洞利用如今已经很便宜；同时守住AISI列出的基本功：安全更新、访问控制、安全配置和日志记录。然后把自动化漏洞利用发现加入发布流程，预算与系统所保护的资产挂钩。¹⁹

参考文献