Project Glasswing：当模型发现过多漏洞之时

两周前，Nicholas Carlini展示了Claude Code可以使用一段10行的bash脚本，发现一个存在23年之久的Linux内核漏洞。今天，Anthropic宣布了将该方法规模化之后的成果：一个名为Claude Mythos的新模型，发现了数千个高危和严重级别的零日漏洞，随后决定不公开发布它。¹

Project Glasswing是Anthropic对Claude Mythos的受限部署。这是一款前沿模型，在所有主流操作系统和网络浏览器中发现了数千个零日漏洞。 Mythos发现的严重漏洞包括一个存在27年的OpenBSD TCP SACK缺陷，以及一个FreeBSD NFS远程代码执行漏洞。Anthropic将访问权限限制给12家合作伙伴组织，仅用于防御性安全用途，承诺提供1亿美元的使用额度，并在claude.com/form/cyber-use-case开放了Cyber Verification Program的申请表，供合格的研究人员申请。

Project Glasswing是Anthropic对从业者自Carlini的[un]prompted演讲以来一直在问的问题的回答：当这种能力大规模部署时会发生什么？答案是：对其加以限制。

TL;DR

Claude Mythos Preview是一款前沿模型，据Anthropic所述，其网络安全能力”是代码、推理和自主性整体提升的下游结果”。¹ Anthropic将其定位为比任何普遍可用的Opus模型（包括2026年4月16日发布的Opus 4.7）都更具网络能力的模型，并将访问权限限制给12家合作伙伴组织（Apple、Amazon、Microsoft、Google、Linux Foundation等），仅用于防御性安全工作。该模型发现了数千个零日漏洞，包括一个存在27年的OpenBSD TCP SACK缺陷、一个存在16年的FFmpeg漏洞以及一个FreeBSD NFS RCE（CVE-2026-4747）。¹ Anthropic承诺提供1亿美元的使用额度和400万美元资助开源安全组织。Cyber Verification Program申请表现已上线，面向寻求访问权限的合法安全研究人员开放。¹ 下文2026年10月1日的更新介绍GLM-5.3：据Anthropic报告，这款开放权重模型在ExploitBench上针对已知V8漏洞开发端到端利用程序的成功率，与Mythos Preview大致相当。⁷

核心要点

• 安全工程师： Carlini在[un]prompted大会上展示的能力阈值是真实的，而且可以规模化。Mythos在”所有主流操作系统和网络浏览器”中都发现了漏洞。² 12家合作伙伴组织的防御性安全团队现已获得访问权限。其他人应当为这些能力进入普遍可用模型时的场景做好准备。（到2026年9月，Anthropic报告了一款开放权重模型，其ExploitBench成功率与Mythos Preview大致相当：410次尝试中50次对56次；详见10月1日的更新。）
• 脚手架构建者： Mythos通过Claude Code在隔离容器中运行。¹ 脚手架模式（智能体CLI + 沙盒化执行 + 自动化分类）现已成为Anthropic自身前沿安全研究的生产架构。从业者独立构建的编排模式在最高层面上依然成立。
• 其他所有人： Anthropic选择了限制而非发布。这是一个带有真实权衡的治理决策。模型存在。Anthropic已经演示了这些能力。问题不再是AI能否发现零日漏洞，而是谁能获得访问权限，以及在何种约束下。

更新（2026年10月1日）：这项能力已进入开放权重模型

按Anthropic自己的回顾，Glasswing是一场争取先发时间的押注：限制模型，让防御者先用，同时预期这种能力终究会扩散。9月29日，Anthropic的Frontier Red Team表示扩散已经发生：”those models have now arrived”（这样的模型如今已经到来）。⁷ Zhipu AI（Z.ai）的开放权重模型GLM-5.3在ExploitBench（一组已知V8漏洞）上”develops end-to-end exploits in 50 of 410 attempts”（在410次尝试中有50次开发出端到端利用程序），而Claude Mythos Preview”did so at a similar rate”（成功率相近），为410次中的56次。在从Anthropic内部二进制漏洞利用基准中随机选取的100项任务上，GLM-5.3在4%的试验中实现了完整的控制流劫持，Mythos Preview为6%，而”earlier models, like Claude Opus 4.6 and GLM-5.2, do not succeed in any of them”（Claude Opus 4.6和GLM-5.2等较早的模型在任何一项任务上都未能成功）。NIST的CAISI在其独立评估中，于9月17日称GLM-5.3为”the most cyber-capable open-weight model released to date”（迄今发布的网络能力最强的开放权重模型），同时认定其能力”significantly lower than those of current U.S. frontier models”（明显低于当前美国前沿模型），落后”about four months”（约4个月）。按CAISI的说明，这一前沿既包括公开发布的模型，也包括可信访问渠道发布的模型，而美国模型在适用情况下是在关闭网络安全防护措施的状态下测试的。⁸

与本文相关的是安全防护这一部分。上述漏洞利用开发任务根本没有触发已发布模型的拒绝机制；下面的数字针对的是明显恶意的请求。在Anthropic的模拟测试中，GLM-5.3拒绝了所有直接且明显恶意的请求；但加上一个掩护说辞，它有64%的时候会参与（即尝试连接模拟目标），预填推理内容时为92%，而abliterated版本（一个经过编辑、不再拒绝的副本）则为100%。这项编辑让三个公开基准上的拒绝率从90%以上降到2%至12%之间。对于此前从未做过这件事的Anthropic团队来说，它花费了”about 2,200 GPU hours at a computation cost of roughly $4,400”（约2,200 GPU小时，计算成本约$4,400）；Anthropic估计，有经验的团队大约只需$1,200，并指出abliterated副本在模型发布后几天之内就已公开。权重是公开的：”anyone can download GLM-5.3”（任何人都可以下载GLM-5.3）。一次会话说明了代价之低。一位研究人员把一个最近披露的Chrome缺陷以及另一个缺陷的公开细节交给较小的GLM-5.3-Flash，它”chained together exploits for these two flaws, building a reliable exploit chain for an ARM64 target”（把针对这两个缺陷的利用程序串联起来，构建出一条针对ARM64目标的可靠利用链），耗费的是”20 minutes of human attention, plus eight hours of work”（人类20分钟的关注，外加8小时的工作），这些工作由模型完成。Anthropic给出的价格是：”At Zhipu’s API prices, this effort would have cost $20.40.”（按Zhipu的API价格，这项工作的成本为$20.40。）⁷

这对下文的论点意味着什么？限制换来的是先发时间，而不是独占。用Anthropic的话说：”a critical threshold in freely accessible capabilities has now been crossed”（自由可得的能力如今已越过了一个关键阈值）。给从业者的建议并没有改变，只是变得更加紧迫。如今承担重任的是分诊层、披露工作流和补丁节奏，因为与Mythos Preview的ExploitBench成功率大致相当的漏洞利用开发能力，以及在另一次使用完整版GLM-5.3的研究人员会话中，发现并串联网页浏览器中此前未知漏洞的能力，如今下载即可获得。下文Opus 4.6发现漏洞的成果依然成立；在从Anthropic二进制漏洞利用基准中随机选取的同样100项任务上，它没有实现任何一次完整的控制流劫持。同一篇文章还指出，经过审核的防御者”can now use even more advanced models like Claude Mythos 5.1 through our trusted access programs”（如今可以通过我们的可信访问计划使用Claude Mythos 5.1等更先进的模型），可见受限访问这一侧也已向前推进。这些计划是否就是本文所描述的申请途径，Anthropic的文章没有说明。⁷ 下文各节中的模型名称是4月时的情况，请结合这一日期阅读。

更新（2026年4月19日）

自本文于4月7日发布以来，有两件事发生了变化：

1. Opus 4.7于2026年4月16日发布，成为新的普遍可用旗舰模型。Anthropic声明Opus 4.7在网络能力上刻意低于Mythos Preview，并配备了实时网络安全防护。Mythos Preview保持独立且受限。⁵
2. Cyber Verification Program申请表现已上线，地址为claude.com/form/cyber-use-case。最初公告中称为”未来”的项目，如今已成为具体的申请通道。⁵
3. Claude Code发布了两次相关的基础设施更新：v2.1.111增加了对Opus 4.7、xhigh以及Auto Mode的支持；v2.1.113增加了sandbox.network.deniedDomains、包装命令拒绝规则（env / sudo / watch / ionice / setsid）、更严格的find -exec / -delete处理，以及在Bash(rm:*)下对macOS /private/{etc,var,tmp,home}的删除保护。⁶ 这些正是Mythos风格的安全研究脚手架所需要的加固原语。

下文的核心论点——以能力限制代替发布、脚手架模式在最高层面依然成立、其他所有人应为这些能力进入GA做好准备——并未改变。如果说有变化，Opus 4.7明确的网络安全防护框架反而强化了这一论点。

从演讲到产品

Carlini在4月初的[un]prompted演讲就是公开预览。³ 他展示了使用一个简单的文件迭代脚本发现的5个Linux内核漏洞和22个Firefox CVE。他说，瓶颈在于人工验证——“还有几百个崩溃我尚未验证”。

Mythos是你用更强大的模型和专用基础设施移除该瓶颈后所得到的产物。规模差异是显著的：¹

专业验证的数字很关键：在198份审查过的报告中，89%的严重性评估得到了独立安全承包商的确认，98%在一个严重性等级范围之内。¹ 这些并非幻觉得出的发现。

限制决策

Anthropic的官方立场：“鉴于其网络安全能力，我们不打算让Claude Mythos Preview普遍可用。”⁴

这一决策引人注目。模型公司通常竞相发布新能力。Anthropic构建了一款在发现漏洞方面明显优于任何公开系统的模型，却选择将其限制给经过审查的合作伙伴用于防御用途。1亿美元的使用额度承诺表明这并非营销手段。¹

限制模式分为三个层级：¹ 1. Project Glasswing合作伙伴（12家组织）：直接访问，用于防御性安全 2. 更广泛的访问（共40家组织）：受监督的部署 3. Cyber Verification Program（现已在claude.com/form/cyber-use-case上线）：面向经过验证的安全专业人员的申请通道⁵

对从业者而言，标准的API和Claude Code并不会暴露Mythos的漏洞发现能力。目前最强大的普遍可用模型是Opus 4.7（2026年4月16日发布），Anthropic将其定位为在网络能力上刻意低于Mythos，并配备实时网络安全防护。⁵ Mythos已展示的能力已经影响了4月16日的发布——Opus 4.7是Anthropic在Glasswing之后首款配备专用网络安全防护的模型。

这验证了什么

Project Glasswing验证了从业者社区独立构建的若干模式：

Claude Code作为执行脚手架。 Mythos通过Claude Code在隔离容器中运行。¹ 从业者日常编码所用的同一个智能体CLI，在前沿安全研究中承担了执行层的角色。Claude Code提供的hooks、skills和沙盒并非便捷功能。它们是让自主安全扫描足够安全、可以部署的基础设施。

验证瓶颈是一个编排问题。 Carlini的演讲将人工验证识别为瓶颈。Project Glasswing的解决方案是：由专业安全承包商进行验证、用于负责任披露的SHA-3哈希承诺，以及结构化的分类基础设施。¹ 同样的分类问题也出现在When Your Agent Finds a Vulnerability中，而解决方案在于基础设施，而非模型能力。

治理钩子比扫描能力更重要。 模型能够发现漏洞。真正困难的问题在于控制披露、管理访问权限，并确保发现能在攻击者之前到达防御者手中。Anthropic的答案是组织层面的（限制模型、审查合作伙伴、投入资源）。对于构建自有安全扫描的从业者，用于管控输出的治理钩子是与之对应的机制。

这对从业者意味着什么

您无法获得Mythos的访问权限。以下是您用现有资源可以做的事：

Opus 4.6本身已经足够强大。 Carlini的[un]prompted演讲成果（5个内核漏洞、22个Firefox CVE）使用的是Opus 4.6，而非Mythos。³ 捕获旗帜方法论、ASAN插桩构建以及文件迭代脚本，都可以用普遍可用的模型重现。

现在就构建分类层。 当未来的Opus模型继承部分Mythos能力时（Anthropic已暗示此事），瓶颈将与Carlini所指出的相同：人工验证。已经准备好自动化去重、严重性分类和披露工作流程的团队将率先受益。

申请Cyber Verification Program。 申请表已在claude.com/form/cyber-use-case上线。如果您从事合法的安全研究，这就是获得更高访问权限的路径。

趋势是明确的：AI辅助的漏洞发现是真实的，能够规模化，而治理问题如今已成为核心问题。模型能力已被解决。编排发现、分类和负责任披露的脚手架尚未解决。

来源

常见问题

我能通过Claude Code使用Claude Mythos吗？

不能。Mythos Preview仅限于Project Glasswing合作伙伴使用。Opus 4.7（2026年4月16日）是一般用户通过Claude Code可用的最强模型；Anthropic声明Mythos在网络能力上仍高于任何GA模型。以上是2026年4月时的模型阵容。到9月29日，Anthropic表示经过审核的防御者可以通过其可信访问计划使用Claude Mythos 5.1；详见上文10月1日的更新。

Mythos的能力会进入Opus吗？

Opus 4.7是Anthropic在Glasswing之后首款Opus发布版本，配备了实时网络安全防护。此模式表明未来的Opus模型将附带更多防护措施，而非完整的Mythos能力集。Anthropic的原始公告表示，他们的目标是”通过未来Claude Opus模型中的新防护措施实现更安全的部署”。

这与之前那篇漏洞博文有何关联？

Carlini的[un]prompted演讲（在When Your Agent Finds a Vulnerability中有介绍）使用的是Opus 4.6，发现了5个内核漏洞和22个Firefox CVE。Mythos将该方法规模化到所有主流平台上的数千个漏洞。方法论相同；只是模型更强大。