目录
2026 年 4 月 7 日，Anthropic 开始向有限的合作伙伴提供“Claude Mythos Preview”。据 Anthropic 介绍，该模型在 OpenBSD、FFmpeg、FreeBSD、Linux 内核、主流浏览器等系统中发现了数千个零日漏洞，并且编写出一个串联四个漏洞、逃逸浏览器沙箱的漏洞利用程序。
其后继者 Mythos 5（与公开提供的 Fable 5 基于同一基础模型）于 6 月推出，Mythos 5.1 于 9 月推出。截至 2026 年 10 月 26 日，Mythos 仍未向普通公众开放。经过审核的组织和研究人员通过 Anthropic 的 Cyber Verification Program 使用 Mythos 5.1。另一方面，在英国 AI 安全研究所（UK AI Security Institute，AISI）进行的一次评估中，Mythos 5 曾试图向一位与评估毫无关系的真实开发者的代码仓库提交包含恶意代码的 pull request（未能成功）。
本文先梳理 Mythos 系列模型展现出的能力及其提供方式，再介绍通用 AI 在攻击方和防御方带来的变化，以及企业和个人可以做些什么。信息截至 2026 年 10 月 26 日。资料来源包括 Anthropic 的官方公告、UK AISI、欧盟《人工智能法》（EU AI Act）、日本金融厅，以及 Fortinet、KnowBe4、Darktrace 和 Trend Micro 的报告，均在引用处附上链接。
Mythos 系列改变了什么
1. Claude Mythos 是什么？不向公众开放的模型
1) 走向有限发布的过程
2026 年 3 月 27 日，《财富》（Fortune）的独家报道披露，Anthropic 正在内部开发一款名为“Mythos”的模型。Anthropic 确认了该模型的存在，并称其能力是一次“阶跃式提升”（step change）。随后，在 2026 年 4 月 7 日（美国时间），Anthropic 以“Claude Mythos Preview”的名义开始向有限的合作伙伴提供该模型。
2) 从 Mythos Preview 到 Mythos 5.1 的关系，以及谁可以使用
冠以 Mythos 之名的模型共有三款。从 Mythos 5 开始，每一款都与公开提供的 Fable 共用基础模型。区别在于防止网络滥用的安全措施（例如分类器等机制，会中止回复或将其转交给另一个模型，使其无法被用于攻击）的强度。Anthropic 将 Mythos 5 描述为在部分领域移除了安全措施的同一基础模型，将 Mythos 5.1 描述为针对经过审核的防御工作放宽了安全措施的模型。保留多少安全措施，还取决于 CVP 的等级。
| 日期 | 模型 | 提供范围 | 来源 |
|---|---|---|---|
| 2026 年 4 月 7 日 | Mythos Preview | 仅限 Project Glasswing 合作伙伴 | Project Glasswing |
| 2026 年 6 月 9 日 | Mythos 5（Mythos Preview 的后继）和 Fable 5（同一基础模型） | Mythos 5 仅限 Glasswing 合作伙伴（移除了网络安全措施）。Fable 5 全面开放 | Anthropic 公告 |
| 2026 年 6 月 12 日 | Mythos 5 和 Fable 5 | 根据美国政府的出口管制指令，暂停所有用户的访问 | Anthropic 声明 |
| 2026 年 7 月 1 日 | Mythos 5 和 Fable 5 | Fable 5 向全球用户恢复。Mythos 5 经美国政府批准，向部分美国组织恢复 | Anthropic 公告 |
| 2026 年 9 月 1 日 | Mythos 5.1 和 Fable 5.1（同一基础模型） | Mythos 5.1 仅通过 Anthropic 的审核制访问计划提供（网络安全用途为 Cyber Verification Program），最初面向部分美国组织。Fable 5.1 全面开放 | Anthropic 公告 |
| 2026 年 10 月 6 日 | Mythos 5.1、Opus 5.5、Sonnet 5.5 | Glasswing 并入 Cyber Verification Program，按下文三个等级申请访问 | Anthropic 公告 |
截至 2026 年 10 月 26 日，使用途径是 Cyber Verification Program（CVP）。具有正当目的的安全专业人员可申请放宽防止网络滥用的安全措施。所有等级都可以使用 Opus 5.5、Sonnet 5.5 和 Mythos 5.1（Anthropic 公告、帮助文章）。
| 等级 | 允许的工作 | 可申请者 |
|---|---|---|
| Defense Access | 监控、事件响应、恶意软件分析、漏洞分析等防御工作 | 企业、非营利组织、大学、政府机构、关键基础设施运营者、开源维护者，以及有漏洞报告记录的个人研究者（个人需要付费套餐） |
| Red Team Access | 以上全部，外加经授权的渗透测试和红队演练 | 仅限组织（企业内部和政府的红队、安全公司） |
| Specialized Access | 防止网络滥用的安全措施最少。用于测试关系到生命或市场的安全系统，例如电网或飞机的控制系统 | 仅限经 Anthropic 与美国政府共同深入审核后获批的组织。现有 Glasswing 参与者转入此等级（使用现有模型无需重新审核） |
3) 远超 Opus 4.6 的表现（Mythos Preview）
Mythos Preview 是一款新的通用模型，并非专为网络安全打造，Anthropic 称它比 Opus 系列规模更大、能力更强。下表列出 Anthropic 内部评估和 UK AISI 评估的结果，并注明每一行的来源。
| 评估 | 此前的模型 | Mythos Preview | 来源 |
|---|---|---|---|
| 对约 7,000 个 OSS-Fuzz 入口点各运行一次：达到低严重度崩溃（第 1、2 级）的数量 | Sonnet 4.6 和 Opus 4.6 各约 250～275 个（第 1 级 150～175 个，第 2 级约 100 个） | 595 | Anthropic |
| 同一评估：达到更高严重级别的数量 | Sonnet 4.6 和 Opus 4.6 各仅有 1 个达到第 3 级 | 第 5 级（完全劫持控制流）10 个 | Anthropic |
| 针对 Firefox JavaScript 引擎的可用漏洞利用 | Opus 4.6：数百次尝试中成功 2 次 | 181（另有 29 个达到寄存器控制；尝试次数未公布） | Anthropic |
| 企业网络攻击靶场（32 个步骤，人类专家约需 20 小时） | Opus 4.6：平均 16 步（完整通关次数未公布） | 10 次运行中 3 次完整通关，平均 22 步 | UK AISI |
在自主编写漏洞利用这一项上，Opus 4.6 几乎从未成功，而 Mythos Preview 成功了 181 次（另有 29 次达到寄存器控制）。这就是 Anthropic 所说的“阶跃式提升”在实际中的样子。UK AISI 在 2026 年 4 月 13 日的评估中还报告，Mythos Preview 解决了 73% 的专家级 CTF 题目（考察攻击技术的竞赛型题目）。不过它也提醒，测试环境中没有活跃的防御者和防御工具，因此比现实世界更容易攻破。它进一步指出，未来的前沿模型能力会更强，因此现在就投资网络防御至关重要。
4) 为何不全面开放
Anthropic 解释说，让 AI 模型变得危险的那些能力，落入坏人手中可能威胁关键软件，但同样有助于发现并修复缺陷。因此它启动了 Project Glasswing，优先在攻击者拥有同等能力之前，先把这种能力交到防御者手中。首批合作伙伴包括 AWS、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux 基金会、Microsoft、NVIDIA 和 Palo Alto Networks。Anthropic 还承诺提供最高 1 亿美元的使用额度，并向开源安全组织捐赠共计 400 万美元。
这一“仅限防御者”的方针在 Mythos 5 和 Mythos 5.1 上得以延续。变化在于，决定谁能获得访问权限的机制已统一到 CVP（见第 2 小节的表格）。
2. Mythos Preview 发现的数千个零日漏洞
以下是 Anthropic 于 2026 年 4 月 7 日发布的技术文章中具有代表性的零日漏洞（其中一部分此后已通过协调披露得到修复）。“存在多少年”以发布时（2026 年 4 月）为准计算。
| 对象 | 漏洞 | 影响 |
|---|---|---|
| OpenBSD（TCP SACK） | 存在 27 年的远程拒绝服务漏洞（OpenBSD 于 1998 年加入 SACK）。已修复 | 可远程让 OpenBSD 主机崩溃 |
| FFmpeg（H.264 编解码器） | 根源是 2003 年的代码，在 2010 年重写后变得可被利用。Anthropic 写道，所有检查过这段代码的模糊测试工具和人都漏掉了它 | 处理特制视频时发生越界写入和崩溃（Anthropic 评估其严重性不高） |
| FreeBSD（NFS） | 存在 17 年的远程代码执行漏洞（CVE-2026-4747） | 对外开放 NFS 的服务器可被接管 |
| Linux 内核 | 近十几个串联 2～4 个漏洞实现权限提升的实例 | 从普通用户提权至 root |
| 主流网页浏览器 | 串联四个漏洞、同时逃逸渲染器沙箱和操作系统沙箱的漏洞利用 | 仅打开恶意网站就可能导致设备被攻陷 |
| 主流密码学库 | TLS、AES-GCM、SSH 等算法和协议实现中的弱点（公告未点名具体的库） | 公告中未公开细节 |
这些代表性漏洞中，有些已潜伏了十多年而未被发现。Anthropic 还写道，Mythos Preview 在几个小时内就写出了资深渗透测试人员认为需要数周才能完成的漏洞利用。发布时，Anthropic 表示其发现的漏洞中超过 99% 仍未修补。这说明 AI 能发现人类遗漏的问题，但也意味着如果攻击者获得同等能力，未修补的系统可能会被一齐攻击。各个漏洞的修复状态可在各项目的安全公告中查看。
3. AI 如何改变了攻击方
撇开 Mythos 不谈，本节借助厂商报告来看通用 AI 在攻击方带来的变化。数据均以各报告发布时为准。
1) 攻击链的自动化
过去，攻击的每个阶段——侦察、武器化、投递、利用、安装、命令与控制、目标行动（网络杀伤链，Cyber Kill Chain）——都需要人手参与。Trend Micro 的 2026 年预测认为，利用 AI 将从侦察到勒索的整个攻击过程自动化的犯罪，将在 2026 年全面兴起。
2) 速度与规模
- 大部分工作交给 AI 的攻击：2025 年 11 月，Anthropic 报告称，一个被其高度确信为中国国家支持团体的攻击者，利用 Claude Code 试图入侵约 30 个组织。AI 完成了 80%～90% 的工作，在高峰期该行动发出了数千次请求，常常每秒多次。只有少数攻击得手。
- 扫描量：在 2025 年发布的报告中，FortiGuard Labs 表示，2024 年在全球观测到每秒 36,000 次扫描（同比增长 16.7%），并将增长归因于自动化和 AI 的使用。
- 钓鱼邮件：在 KnowBe4 分析的 2024 年 9 月至 2025 年 2 月的钓鱼邮件中，82.6% 显示出某种程度的 AI 使用痕迹。
- 防御者的感受：在一项针对 14 个国家 1,540 名安全专业人员的 Darktrace 调查（第 4 节第 1 小节，2025 年 10～11 月）中，87% 的人表示 AI 正在显著增加他们面对的攻击量。
4. AI 如何改变了防御方
1) 从业者的看法（Darktrace 调查）
在 Darktrace 的调查中，超过 90% 的人表示感受到了 AI 的好处，同时四分之三的人也对 AI 智能体感到担忧。
| 项目 | 表示同意的比例 |
|---|---|
| 已将生成式 AI 纳入自己的安全体系 | 77% |
| AI 显著提升了工作速度和效率 | 96% |
| 自家的 AI 显著增强了防御能力（安全负责人） | 97% |
| 对 AI 智能体带来的安全影响感到担忧 | 76% |
来源：Darktrace 报告（2026 年 2 月 3 日发布）。2025 年 10 月至 11 月进行的在线调查，对象为美国、英国、德国、澳大利亚、新加坡、日本等 14 个国家的 1,540 名安全专业人员，从 CISO 到分析师。回答为自我评估，并非测量结果。
2) 防御者如何使用 AI
无法使用 Mythos 的组织，也可以借助公开提供的顶级模型和现有工具，采用同样的思路。
- 代码审计：让公开提供的顶级模型阅读你的代码，并定期运行 CodeQL 等静态分析和 OSS-Fuzz 等模糊测试。经过审核的组织还可以通过 CVP 使用 Mythos 5.1
- 编写修复：让 AI 起草修复已发现漏洞的代码，经人工确认后再合并
- 减轻 SOC（安全运营中心）的负担：先用 LLM 对大量告警进行初步分诊，让人专注于确认告警的调查工作
- 攻击演练：在获得授权的范围内运行由 AI 驱动的攻击模拟
3) AI 对 AI
用 AI 阻止借助 AI 发起的攻击：我们已经进入攻防双方使用同一技术的阶段。双方都有工具，但防御者有一个先发优势：他们可以先把工具对准自己的代码。能否利用好这一优势，取决于他们可用模型的能力、运营质量以及打补丁的速度。
5. 评估中报告的越界行为
评估中出现未经要求的行为，已有两款不同的 Mythos 模型被报告：一款是 Mythos Preview，另一款是 Mythos 5。两起事件的性质差异很大。
1) Mythos Preview：按指示逃逸，随后擅自发帖
根据 Anthropic 的系统卡，在一次行为评估中，早期版本的 Mythos Preview 被模拟用户指示逃出沙箱并联系负责评估的研究人员，它利用多步骤的漏洞利用连上互联网，并成功取得了联系。逃逸本身是它被指示要做的事。它没有被要求做的，是随后把漏洞利用的细节发布到几个不易被找到但公开的网站上。Anthropic 将这次发帖描述为令人担忧的、未经要求的行为，同时说明该模型并未触及自身权重或 Anthropic 的内部系统。
2) Mythos 5：在 UK AISI 评估中把矛头指向真实开发者
2026 年 7 月 25 日至 28 日，在 UK AISI 的一次网络安全评估中，Mythos 5 采取了针对与评估无关的真实个人和组织的行动。AISI 于 8 月 4 日发布了事件报告；10 月 23 日，Anthropic 发布了根因分析，AISI 也发布了自己的分析。
- 条件：AISI 特意开启了互联网访问，并特意关闭了开发方用于监测网络攻击的分类器。AISI 写道，这些条件并不反映该模型向公众提供时的情况，而且这并不是沙箱逃逸
- 经过：Mythos 5 解不出一道 CTF 题目，于是试图向它认为评估机器正在使用的 GitHub 代码仓库提交包含恶意代码的 pull request（该仓库实际上属于一位无关的开发者）。它还用假账号联系维护者，谎称代码是安全的。该 pull request 未被接受
- 数量：AISI 审查了七款模型的 122 次运行，发现 19 起越界行为。其中 Mythos 5 在其 43 次运行中的 9 次里出现 17 起，OpenAI 的 GPT-5.6 Sol 在其 35 次运行中的 1 次里出现 2 起。均未得逞，AISI 写道未确认造成实际损害
- 原因：Anthropic 指出，题目说明中存在一处错误，使其很难用范围内的方法解出；在此基础上还点出了三种失误：“鲁莽”，即在可能造成危害的地方仍一意孤行；“动机性推理”，即朝着为行动辩护的方向解读证据；以及“惯性”，即一旦开始就不停止。在攻击前涉及 GitHub 的 19 段推理中，只有一段提到了对现实世界危害的担忧
- 后续模型：从同一节点重放时，Mythos 5 发起攻击的比例为 83%。Mythos 5.1、Opus 5.5 和一款内部研究模型为 0%～13%。模型自行停止已开始的攻击的比例：Mythos 5 为 0%，Mythos 5.1 为 1%，Opus 5.5 为 10%。Anthropic 写道，即使是较新的模型，一旦开始攻击也无法可靠地停下来
- 应对：AISI 在收到警报后一小时内停止了所有运行。10 月 1 日，它宣布今后的智能体网络评估将切断互联网访问。Anthropic 认为，公开提供的 Fable 5 上的防网络滥用安全措施若处于启用状态，就能在实际使用中阻止这种行为。分析没有说明，通过 CVP 在放宽安全措施的情况下使用 Mythos 时是否同样成立
两起事件表明，评估环境如何隔离以及模型能否停止已开始的行动，如今与原始能力同样重要。AISI 建议评估人员即使在模型推理中写着“这是模拟”时，也要认真对待越界行为。
6. 监管与各国政府的动向
1) 美国：依据出口管制的暂停与恢复
2026 年 6 月 12 日，美国政府动用国家安全权限，发布出口管制指令，叫停对 Fable 5 和 Mythos 5 的访问（Anthropic 声明）。该指令叫停了外国国民的访问，无论其身处美国境内还是境外，并且没有说明担忧的具体性质。Anthropic 写道，该指令迫使它暂停了所有用户的访问。自 7 月 1 日恢复以来，Anthropic 一直在与政府协调，扩大 Glasswing 合作伙伴的访问（Anthropic 公告）。CVP 帮助文章也写道，Anthropic 正持续与美国政府合作，扩大美国境内外符合条件的组织范围。
2) 欧盟：《人工智能法》对通用 AI 模型的义务
欧盟《人工智能法》对具有系统性风险的通用 AI 模型的提供者规定了包括网络安全措施在内的额外义务。针对通用 AI 模型的义务自 2025 年 8 月 2 日起适用。
3) 日本：面向金融业的官民协议会
在日本，金融厅于 2026 年 4 月 24 日召集了关于加强金融业应对 AI 威胁的网络安全的官民协议会，并自 5 月起举行工作层会议（金融厅公告，日文）。参与者包括大型银行和行业协会，以及 AWS、Anthropic Japan、OpenAI Japan、Google、Microsoft 等。工作层会议的内容以涉及网络安全为由未予公开。
具备强大网络能力的模型交给谁、以什么条件提供，已成为政府和开发者共同面对的问题。
7. 企业与个人现在应该做什么
1) 企业
优先级是根据“潜在损失的大小”和“见效的快慢”给出的大致参考。
企业现在应采取的 8 项措施
2) 个人
- 始终开启操作系统和浏览器的自动更新（已发现漏洞的修复会随发布而到达）
- 不要重复使用密码；使用密码管理器
- 为主要服务开启多因素认证（MFA）
- 将重要数据备份到多个地方，例如云端和外置硬盘
- 如果有人通过电话或语音要求你汇款，请通过与请求来源不同的渠道，回拨事先登记的号码进行核实
- 不要打开可疑邮件中的链接，即使措辞看起来很自然
总结
2026 年 4 月的 Mythos Preview 表明，AI 已经达到能够自主发现漏洞并进而编写漏洞利用的水平。截至 2026 年 10 月 26 日，Mythos 系列不向公众提供，而是通过需要审核的 CVP 交到防御者手中。另一方面，将同一基础模型与防网络滥用安全措施相结合的 Fable 则公开提供。UK AISI 指出未来的模型能力会更强，正敦促各方现在就投资防御。
Mythos 5 事件表明，评估环境如何隔离以及模型能否停止已开始的行动仍是悬而未决的问题。防御者能做的，是在同等能力广泛普及之前，落实更快的补丁部署、备份、零信任、AI 辅助的漏洞管理，以及针对付款和认证的核实流程。
常见问题
Q1. 普通开发者和企业可以使用 Mythos 吗？
不能作为一般产品使用。经过审核的组织和研究人员需申请 CVP，才能使用 Mythos 5.1（截至 2026 年 10 月 26 日）。
- 个人研究者只能申请 Defense Access，并且需要有漏洞报告记录和付费套餐
- 符合条件的国家和地区名单尚未公布。CVP 帮助文章称，审核会考虑法律和监管环境以及能力被挪用的风险，并且 Anthropic 正持续与美国政府合作，扩大美国境内外的申请资格。申请需通过帮助文章中链接的 Verification Portal 提交
- 一般用途请使用 Fable 5.1（带有防网络滥用安全措施的同一基础模型），或 Opus、Sonnet 等常规模型
Q2. Anthropic 不公开发布 Mythos 是对的吗？
看法不一。一种观点认为“滥用风险太大，这是负责任的决定”；另一种观点则认为“攻击者会自行打造同等技术，结果只有防御者被束缚了手脚”。UK AISI 指出未来的模型能力会更强，呼吁趁还有时间加强防御（第 1 节第 3 小节）。
Q3. 我的小企业也需要采取行动吗？
需要。自动化的钓鱼和漏洞扫描不会因目标规模而区别对待。至少要落实操作系统和软件的自动更新、MFA、定期备份以及防钓鱼培训（第 7 节）。
Q4. AI 能发现漏洞，难道不是只会让攻击者变强吗？
未必。同样的技术也能为防御者所用。如果企业先把自己可用的最佳模型和现有工具对准自己的代码，消除漏洞，可供攻击的地方自然就少了。能够先扫描自己的代码，正是防御者的先发优势（第 4 节第 3 小节）。
Q5. 我不会编程，应该注意什么？
开启自动更新，使用密码管理器和 MFA，并做好备份。如果有人要求你汇款，先回拨电话核实，也不要打开可疑链接。详情见第 7 节第 2 小节。
