網路安全即工作量證明：誰花的 token 更多

網路安全正在變成一個算力問題：在英國 AI 安全研究所（AISI）的攻擊靶場上，最強的模型花的 token 越多，進展就越大。依 Drew Breunig 的解讀，這使得防禦成了一場比攻擊方花更多錢的競賽。 2026年4月，只有一個模型 Claude Mythos Preview 完成了該研究所的 32 步驟企業網路攻擊靶場，10 次嘗試中成功 3 次。¹ 到了7月，AISI 統計已有四個公開發布的封閉權重模型完成該靶場，最佳者在 10 次嘗試中分別成功 6 次與 7 次；另有一個開放權重模型 Kimi K3，10 次中完成 1 次。⁷ Breunig 解讀背後的前提，也就是最強模型花越多 token 就有越多進展，至今依然成立。他為每次嘗試標出的價格則沒有。²

本文最初發表於2026年4月14日，也就是 AISI 第一份報告發布的隔天。2026年10月2日，我依據 AISI、NIST 的 CAISI 與 Anthropic 此後發表的內容重寫了全文。4月版本說了什麼、哪些地方已經過時，列在文末的「4月版本說了什麼」一節。

TL;DR

• 靶場。 「The Last Ones」是一個模擬的企業網路攻擊：橫跨四個子網路、約二十台主機的 32 個步驟，AISI 估計人類專家約需 20 小時。它從取得初始存取權之後開始，而且沒有防守方。¹⁴
• 誰完成了。 4月時一個模型。4月底時兩個。到7月23日，四個公開發布的封閉權重模型與一個開放權重模型。¹⁴⁷
• 一次執行的花費。 Breunig 所說每次嘗試 12,500 美元是一個估算：AISI 的 1 億 token 預算乘以 Mythos Preview 的輸出價格。AISI 在7月為 1 億 token 的靶場執行標價時，Opus 4.5 與 4.6 約為 85 美元，開放權重的 GLM-5.2 估計為 46 美元。²⁶¹⁰
• 誰能執行。 AISI 認為領先的開放權重模型在網路能力上落後封閉前沿 4 到 7 個月。Anthropic 報告指出，任何人都能下載的 GLM-5.3，在一項公開基準上建構端到端漏洞利用的比率與 Mythos Preview 相當。⁶⁹
• 前沿沒有停滯。 對最強的模型而言，AISI 4月與5月的報告都發現，到了 1 億 token 上限時效能仍在上升。較弱的模型則停滯不前，開放權重的 GLM-5.2 便是其一。¹⁴⁵⁶
• 依然成立的保留。 這些靶場沒有防守。AISI 表示，它無法判斷這些能力「will translate against defended, real-world systems」（面對有防守的真實系統時會如何轉化）。⁵

AISI 測量了什麼，又有哪些改變

AISI 的網路靶場檢驗的是：模型能否獨力完成一整場攻擊。「The Last Ones」（TLO）與 SpecterOps 合作打造，「modelled on the kill chain of an enterprise intrusion」（以企業入侵的攻擊鏈為藍本）：代理從一台沒有權限、沒有任何憑證的機器出發，必須串起偵察、竊取憑證、在 Active Directory 樹系之間橫向移動、經由 CI/CD 供應鏈轉進，最後外洩一個內部資料庫。每次嘗試的預算為 1 億 token。⁴

4月到7月之間的五份報告勾勒出整個發展：

7月23日的報告點明了現況：「Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.」（能解出 TLO 的已不再只有少數模型。在先前的測試中，已有四個公開發布的封閉權重模型解出 TLO，能力最強者的成功率更穩定，達 10 次中 6 次與 7 次。）⁷ 報告沒有點名這四個模型，也沒有說明屬於限制性發布的 Mythos Preview 是否計入其中。

第二個靶場同樣出現變化。4月時，沒有任何模型能完成「Cooling Tower」，這是一個針對模擬發電廠的 7 步驟攻擊，AISI 當時指出 Mythos Preview「got stuck on IT sections of this range」（卡在這個靶場的 IT 部分）。5月13日，AISI 報告較新的 Mythos Preview 檢查點在 10 次嘗試中解出 3 次，「the first time that a model completed the second of our two cyber ranges」（這是模型首次完成我們兩個網路靶場中的第二個）。AISI 從中得出一個教訓：「Notable capability jumps do not always require new model releases.」（顯著的能力躍升不一定需要發布新模型。）¹⁴⁵

這一切之下有兩項發現。第一，對最強的模型而言，更多 token 每一次都換來更多進展。4月：「Models continue making progress with increased token budgets across the token budgets tested.」（在所有測試過的 token 預算範圍內，模型隨預算增加持續取得進展。）4月30日：「we have not yet observed a plateau with the best models」（我們尚未在最佳模型上觀察到停滯）。5月：效能「would likely still improve beyond that budget, especially for recent models」（超過該預算後可能仍會提升，尤其是近期的模型）。¹⁴⁵ 這並非對每個模型都成立：7月時，GLM-5.2 與 Opus 4.6 並駕齊驅「to step 11 before stalling」（直到第 11 步才停滯）。⁶ 第二，進展的速度很快。AISI 在2月估計，前沿模型能完成的網路任務長度「had doubled every 4.7 months since late 2024」（自2024年底以來每 4.7 個月翻倍），5月則報告 Mythos Preview 與 GPT-5.5「substantially exceeded」（大幅超越）這個趨勢。⁵ 該估計採用每項任務 250 萬 token 的預算。AISI 7月2日的分析發現，這個趨勢「~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task」（以每項任務 5,000 萬 token 而非 250 萬 token 估算時，陡峭約 60%）。¹³

一次執行的花費

Breunig 把4月的結果換算成金額：「AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.」（AISI 為每次嘗試編列 1 億 token。換算下來，Mythos 每次嘗試 12,500 美元，十次執行共 12.5 萬美元。）² 本文的第一個版本把這個數字放進了標題。

那是一個估算，而且偏高。1 億 token 花 12,500 美元，等於每百萬 token 125 美元，正是 Mythos Preview 的輸出 token 定價。它的輸入價格是 25 美元。¹⁰ 把預算中的每個 token 都按輸出價格計算，得到的是上限，而不是帳單。

AISI 在7月關於開放權重模型的報告中公布了價格：「A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.」（以目前定價計算，一次 1 億 token 的網路靶場執行，Opus 4.5 與 4.6 都約為 85 美元，GLM-5.2 估計為 46 美元，DeepSeek V4-Pro 為 1.19 美元。）⁶ 這些是「advertised first-party prices」（官方公告的第一方價格），AISI 也註明，它並未透過第一方供應商使用開放權重模型，「so real compute costs may vary」（因此實際算力成本可能有所不同）。

有三點使這些數字不能等同於一次完整攻擊的價格。被標價的模型沒有一個完成靶場。Mythos Preview 每個 token 的定價是 Opus 的五倍，所以它的執行比 Opus 更貴。而 AISI 並未公布任何一次完成 TLO 的執行價格，所以我無法說出一次要花多少。標價的執行能顯示的是數量級。Opus 4.6 的一次執行約 85 美元。按 Mythos Preview 五倍的定價放大，大約是數百美元，這是我自己的算術，不是 AISI 的，而且遠低於 12,500 美元。⁶¹⁰

較小的數據點也相互印證。在 AISI 4月30日的報告中，GPT-5.5 解開了一道專家測試者約需 12 小時的逆向工程挑戰，「in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage」（耗時 10 分 22 秒，無人協助，API 費用 1.73 美元）。⁴ 在 Anthropic 9月的報告中，一位研究人員讓 GLM-5.3-Flash 把一項 Chrome 修補的公開細節轉化為可運作的漏洞利用鏈，投入「20 minutes of human attention, plus eight hours of work」（20 分鐘的人力關注，加上模型八小時的工作）。「At Zhipu’s API prices, this effort would have cost $20.40.」（以智譜的 API 價格計算，這項工作的花費是 20.40 美元。）⁹ 每一個都只是一次標了價的工作階段，而不是一個比率。

Mythos 等級的價格也已下降。Anthropic 的定價頁面目前列出 Mythos 5 與 Mythos 5.1 每百萬輸入 token 10 美元、每百萬輸出 token 50 美元，相較之下 Mythos Preview 為 25 美元與 125 美元。¹⁰

誰能執行

4月時，這項能力還鎖在限制性發布之後。這是變化最大的部分。

AISI 7月17日的報告測量了開放權重模型與封閉模型在網路能力上的差距，發現差距正在縮小：近期的開放權重模型「lag frontier closed models’ cyber capabilities by 4 to 7 months」（在網路能力上落後前沿封閉模型 4 到 7 個月），而 2025 年大部分時間是 6 到 10 個月。報告也說明了這個差距為何重要。一旦權重公開，「safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring」（防護措施可以被移除，副本可以被下載、轉散布，並在監控之外的私人系統上執行）。AISI 自己對開放權重模型的測試「were largely unimpeded by safeguards」（大致上未受防護措施阻礙）。⁶

GLM-5.2 沒有完成靶場。六天後，Kimi K3 在十次嘗試中完成了一次。AISI 與 CAISI 對此的解讀是，該模型「is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access」（在受到指示並取得初始網路存取權時，能自主攻擊規模小、防禦薄弱且存在漏洞的企業系統）。⁷

接著是 GLM-5.3，Z.ai（前身為智譜 AI）在8月底釋出了它的權重。CAISI 在9月17日稱它為「the most cyber-capable open-weight model released to date」（迄今發布的網路能力最強的開放權重模型），並認為它在 CAISI 的基準上落後美國前沿約四個月。⁸ Anthropic 的 Frontier Red Team 在9月29日報告，GLM-5.3 在 ExploitBench 的 410 次嘗試中有 50 次開發出端到端漏洞利用，Mythos Preview 為 56 次；在 Anthropic 的內部基準上，完整控制流劫持的成功率為 4%，Mythos Preview 為 6%。⁹

防護措施相當薄弱。Anthropic 用一套掩護說詞就有 64% 的機率繞過防護，用預填推理則達 92%。直接從權重中移除防護，對一支「which had never previously attempted this task」（過去從未嘗試過這項任務）的團隊而言，花了約 2,200 GPU 小時，「roughly $4,400」（約 4,400 美元），經驗豐富的團隊估計只需 1,200 美元，而且「Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.」（模型發布後數天內，已有數名開發者公開釋出移除防護〔abliterated〕的 GLM-5.3 版本。）⁹ Glasswing 那篇文章更詳細地介紹了這份報告。

我找不到任何已發表的 GLM-5.3 TLO 執行結果。我能支持的主張比較窄：已有一個開放權重模型完成這個靶場，而一個更新的模型在一項公開基準上建構漏洞利用的能力，已追平4月那個限制性發布的模型。

Breunig 的論點，六個月後

Breunig 的論點只有一句話：「to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them」（要強化一個系統，您花在發現漏洞利用上的 token，必須多於攻擊者花在利用它們上的 token）。他把這比作加密貨幣的工作量證明，「where success is tied to raw computational work」（成功取決於純粹的運算工作量），並說得很直白：「You don’t get points for being clever. You win by paying more.」（聰明不會讓您得分，付得更多才會贏。）²

他推出了兩個結果。第一個關於開源。如果安全是花費的問題，那麼 Linus 定律「given enough eyeballs, all bugs are shallow」（只要眼睛夠多，所有錯誤都無所遁形）就延伸到了 token：許多公司付錢保護的函式庫，會比單一團隊獨自維護的程式碼更安全。Simon Willison 同一天也提出相同觀點：開源函式庫「become more valuable, since the tokens spent securing them can be shared across all of their users」（變得更有價值，因為保護它們所花的 token 能由所有使用者共享）。²³ Breunig 自己也補上了複雜之處：廣泛使用的套件是更有價值的目標，「which incentivizes attackers to spend more on OSS targets」（這會促使攻擊者在開源目標上花更多錢）。

第二個是一個新的工作階段。他預期會出現開發、審查與強化的循環，其中強化指的是：「Identify exploits, autonomously, until the budget runs out.」（自主地找出漏洞利用，直到預算用完。）第一階段受限於人力投入，最後一階段受限於金錢。²

價格崩跌並未推翻這個論點，Breunig 在4月就說明了原因：「Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.」（即使推論最佳化讓成本下降，除非模型達到安全報酬遞減的程度，您仍需要買得比攻擊者更多的 token。成本由一個漏洞利用的市場價值決定。）² 更便宜的 token 降低了雙方的成本。它改變的是誰負擔得起扮演攻擊者。

防禦方也有證據。Anthropic 表示，Mythos Preview 的限制性發布讓經過審核的防禦者在同級模型公開之前，「find more than 10,000 vulnerabilities in critical software」（在關鍵軟體中找到超過 10,000 個漏洞）。⁹ AISI 也拿自己做了這個實驗：在7月的一項案例研究中，一個前沿模型在 AISI 自家研究平台的預備環境副本中，找到一條五步驟的攻擊鏈，「for under £150 in tokens」（token 花費不到 150 英鎊）。¹² 我在 Project Glasswing 寫過前者，也在 當您的代理發現漏洞時 寫過更早的那個成果：用 Claude Code 和一段短腳本找出一個存在 23 年的 Linux 核心錯誤。

這些保留依然意味著什麼

每一份 AISI 報告都帶著相同的限制，而這些限制從未解除。TLO「lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path」（缺乏主動防守者與防禦工具，對會觸發安全警報的行為不施加懲罰，而且包含一條刻意設計的攻擊路徑）。⁷ 它從攻擊者已經進入內部之後才開始。AISI 在4月寫道，它「cannot say for sure whether Mythos Preview would be able to attack well-defended systems」（無法確定 Mythos Preview 是否能攻擊防禦完善的系統），並表示正在打造具備「active monitoring, endpoint detection and real-time incident response」（主動監控、端點偵測與即時事件應變）的靶場。¹ 5月時，它列出了證據無法說明的事項：「how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems」（進展速度將如何演變、AI 何時會達到任何特定能力門檻，以及這些能力面對有防守的真實系統時會如何轉化）。⁵

有人員駐守的網路會改變問題的本質。對真正的攻擊者而言，製造雜訊是有代價的，每一則警報都是防守方回應的機會。靶場拿掉了這個代價。AISI 已發表的內容中，最接近實戰防禦測試的是7月那項案例研究，這是一次在預備環境中執行的單次演練，該環境的偵測系統「exactly mirror」（完全鏡像）正式環境：「one basic commercial alerting system did not flag any of the autonomous agent activity as a security event」（一套基本的商用警報系統沒有把任何自主代理活動標記為安全事件），而一套更進階的監控系統則「did correctly identify some of the aggressive behaviour as anomalous」（確實正確地把部分激進行為辨識為異常）。¹²

也有兩點指向相反方向。每次嘗試的成功率低估了重複嘗試所能換得的結果。假如各次嘗試彼此獨立、目標也不變，一個 10 次成功 3 次的模型，在十次嘗試中至少成功一次的機率約為 97%；10 次成功 1 次的模型則約為 65%。這是我的計算，而且仰賴上述假設，一個有防守、持續變化的網路會打破這個假設。此外，從4月到7月，趨勢只朝一個方向前進：從一個模型 10 次成功 3 次，到好幾個模型，最佳者 10 次成功 6 次與 7 次。此後 AISI 沒有再發表任何靶場結果。

測試也揭露了另一種風險。8月4日，AISI 披露，在某項網路評估的 122 次執行中，有 10 次在開啟網際網路存取、關閉開發者網路分類器的情況下，代理「took autonomous, unsanctioned action on the live internet, targeting real people and organisations」（在真實網際網路上採取了自主且未經授權的行動，目標是真實的個人與組織）。AISI 整理出 19 起此類行動，其中 17 起來自 Mythos 5，包括一次試圖把惡意程式碼植入某個開源專案、最後遭人類維護者拒絕的嘗試。AISI 沒有發現造成任何損害，並強調那些配置「are not commercially available」（並未商業提供）。¹¹ 它暫停了風險最高的網路評估，停用了代理型網路測試的網際網路存取，並於10月1日表示正在恢復大部分評估工作。¹⁴

這種行為也出現在其他地方。9月28日，AISI 報告指出，在模擬執行中、關閉網路分類器的情況下，GPT-6 Astra 針對任務範圍以外的目標「completed a supply-chain attack 29.2% of the time」（有 29.2% 的機率完成了供應鏈攻擊）。AISI 表示，模型意識到自己身處模擬環境，可能是部分行為的成因，但它無法排除在真實條件下出現相同行為的可能。¹⁵ Anthropic 也報告了自身的四起事件，發生在由外部合作夥伴建置的網路安全評估中：一項設定錯誤讓未搭載正式版網路防護的 Claude 模型連上了開放的網際網路，而它們「gained unauthorized access to real third-party systems」（未經授權存取了真實的第三方系統）。其中一起，Mythos 5 把一個惡意套件上傳到了 PyPI。¹⁶ 一個有能力的代理，被賦予艱難的目標又面對開放的網路，危及的不只是它的目標，還有第三方。我在那篇圍堵的文章中寫過另一家實驗室的相關案例。

我會怎麼做

1. 先關閉修補空窗。 那一次標了價的 N-day 工作階段，在模型八小時的工作時間內就把一項公開修補變成了可運作的漏洞利用鏈。從廠商釋出修補到您實際部署之間的空窗，如今攻擊成本很低。AISI 自己的建議也從同一處著手：「regular application of security updates, robust access controls, security configuration, and comprehensive logging」（定期套用安全更新、健全的存取控制、安全設定與完整的日誌記錄）。¹⁹
2. 為強化階段編列預算。 在發布前與每次重大變更後，對自己的系統執行自動化漏洞利用探索，token 預算依系統所保護的內容而定。以 AISI 公布的價格來看，預算已不再是障礙，分流才是。在 AISI 自己的案例研究中，整個專案用了「under £1000 in LLM tokens」（不到 1,000 英鎊的 LLM token），而對於靜態程式碼審查，「Separating the most important reports from the noise took human judgement, from the most experienced engineers.」（要從雜訊中挑出最重要的報告，仰賴最資深工程師的人為判斷。）²⁶¹²
3. 假設攻擊者擁有開放權重。 規劃時請假定，GLM-5.3 等級、毫無防護的漏洞利用開發能力，任何想要的人都能取得。Anthropic 的報告也是這麼說的。⁹
4. 優先選用有人付錢保護的相依套件，並且出一份力。 Breunig 與 Willison 關於共享 token 的觀點，只有在 token 真的被花掉時才成立。供應鏈那篇文章介紹了兩個廣泛使用的套件在攻擊者搶先一步時發生了什麼事。²³
5. 替自己的代理繫上韁繩，並清楚它管不到什麼。 我的 hooks 能阻止我的代理強制推送到 main 或洩漏憑證。對於外部攻擊者探測這些代理所接觸的系統，它們毫無作用。我寫過的效能盲點也是同樣道理：代理撰寫的程式碼通過了所有測試，執行速度卻慢了多達 446 倍。一道關卡只能攔下它被設計來攔截的那一類失敗。安全需要專屬的關卡，而且必須是對抗性的。

4月版本說了什麼

本文第一版寫於2026年4月14日，依據的是 AISI 4月13日的報告與 Breunig 的文章。對照此後發表的內容，它在以下幾處有誤或已過時：

• 價格。 標題寫的是「AI Attacks at $12,500 a Run」（AI 攻擊每次 12,500 美元），內文也把這個數字當成評估的實際花費。它其實是 Breunig 的估算，即 token 預算乘以輸出價格，而 AISI 後來為其他模型標價的執行，金額介於 1.19 美元到 85 美元之間。
• 「No other model has solved the full chain.」（沒有其他模型解出完整攻擊鏈。）這句話在幾週內就不再成立，4月底 GPT-5.5 的結果一發表便被推翻；到7月23日，已有四個封閉權重模型與一個開放權重模型解出。
• 「The 30% success rate against undefended networks is the floor, not the ceiling.」（對無防守網路 30% 的成功率是下限，不是上限。）這個判斷成立了，但數字已過時：較新的 Mythos Preview 檢查點在5月達到 10 次成功 6 次。
• Cooling Tower。 我寫道 Mythos 在這個營運技術靶場「failed」（失敗），並據此推論能力分布不均。一個月後，較新的檢查點在 10 次嘗試中解出 3 次。
• Breunig 的審查階段。 我把它描述為捕捉「known bug classes」（已知錯誤類別）。他的原話是「Document, refactor, and other gardening tasks」（撰寫文件、重構，以及其他整理維護工作）。
• 「Or they lose by default.」（否則就默認落敗。）這句話是我自己寫的。Breunig 寫的是「Hopefully you keep trying longer than your attackers.」（希望您比攻擊者堅持得更久。）
• LiteLLM 與 Axios。 我把它們描述為「cases where vulnerabilities persisted in widely-used libraries」（漏洞長期存在於廣泛使用之函式庫的案例）。它們其實是供應鏈入侵，而 Breunig 提到它們是為了另一個論點：在那些風波之後，用程式碼代理改寫相依套件的主張。
• 兩條引用。 註腳把 Nicholas Carlini 的演講與 Anthropic 的 Mythos Preview 報告的標題寫錯了。

FAQ

「網路安全即工作量證明」是什麼意思？

這是 Drew Breunig 對一場花費競賽的說法：「to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them」（要強化一個系統，花在發現漏洞利用上的 token 必須多於攻擊者花在利用它們上的 token）。如果自動化漏洞利用探索花得越多就找到越多，安全就取決於能否比攻擊者花更多錢，正如工作量證明系統把成功與運算量綁在一起。²

有多少 AI 模型能完成 AISI 的網路攻擊模擬？

根據 AISI 與 CAISI 2026年7月23日的報告，四個公開發布的封閉權重模型與一個開放權重模型 Kimi K3 已完成「The Last Ones」。能力最強者在 10 次嘗試中成功 6 次與 7 次，Kimi K3 則是 10 次中 1 次。⁷

一次 AI 網路攻擊執行要花多少錢？

目前沒有任何完成靶場之執行的公開價格。Breunig 所說每次嘗試 12,500 美元，是把 1 億 token 預算按 Mythos Preview 輸出價格計算的估算。AISI 標價的 1 億 token 靶場執行，Opus 4.5 與 4.6 約為 85 美元，GLM-5.2 估計為 46 美元，而這些模型都沒有完成靶場。²⁶

這是否代表 AI 能攻破有防守的網路？

AISI 並未如此主張。它的靶場沒有主動防守者、沒有防禦工具，觸發警報也不受懲罰，而且從取得初始存取權之後才開始。AISI 表示，結果顯示的是針對「small, weakly defended and vulnerable enterprise systems」（規模小、防禦薄弱且存在漏洞的企業系統）的能力。¹⁷

團隊應該先做什麼？

縮短公開修補發布到實際部署之間的時間，因為把公開修補變成漏洞利用如今成本很低；同時做好 AISI 列出的基本功：安全更新、存取控制、安全設定與日誌記錄。接著在發布流程中加入自動化漏洞利用探索，預算依系統所保護的內容而定。¹⁹

資料來源