Claude Mythos 太猛了。
研究员在公园吃三明治时，意外收到 AI 发来的邮件：我已逃离沙盒，访问到互联网。
测试结束后，Mythos Preview 还主动在几个难以找到但公开的网站上发布了有关其测试结果的信息。
Mythos Preview 版本根本没接受过专门的网络安全训练，结果自学成才，发布首日公开的报告就披露：
已自主挖出数千个零日漏洞——
Windows、Linux、macOS、FreeBSD、OpenBSD…… 所有主流操作系统，Chrome、Firefox、Safari…… 全系列主流浏览器，没一个能逃掉。
具体有多夸张？
针对 Firefox JS 引擎的漏洞利用测试，上一代旗舰 Opus 4.6 勉强成功了 2 次，而 Mythos 的成绩是 181 次……
全自动扫描漏洞
先简单说下，零日漏洞就是厂商完全不知情、还没打补丁、也几乎没有任何防御手段的高危漏洞。
因为曝光后留给官方修复的时间几乎为 0 天，一旦被利用，系统基本处于不设防状态，是网络安全里杀伤力最强、也最稀缺的核心资源。
在之前，挖零日漏洞得需要人类顶级高手，一个高质量系统漏洞，可能得忙活几个月。
但 Mythos 一上场，仅凭代码理解和逻辑推理，就能全自动扫漏洞、判风险、写利用程序，全程只要几个小时。
就拿 Firefox JS 引擎的漏洞利用测试来说，上一代旗舰 Opus 4.6 的表现可以用聊胜于无四个字概括。
数百次尝试只成功了 2 次，而且仅限于触发漏洞；
而 Mythos 181 次完整漏洞利用全部成功，其中 29 次实现了寄存器完全控制，相当于能随心所欲操控浏览器甚至底层系统。
而且，从发现漏洞到发起攻击，全程自动化。
连对漏洞危险等级的判断，Mythos 都和人类顶级安全专家的判断结果 89% 都能对得上。
陈年老漏洞和地板价成本
不仅如此，连人类都快忘了的老病根，Mythos 都给一个个刨了出来。
OpenBSD 里藏了 27 年的安全死角
OpenBSD 向来号称全球最安全的操作系统，每一行代码都要经过多轮严格人工审计，是防火墙、路由器等核心设备的首选系统。
但就是这样一个安全标杆，被 Mythos 揪出了一个藏了 27 年的底层漏洞——
在 TCP SACK 协议实现中，存在有符号整数溢出触发空指针写入的缺陷，远程攻击者只要轻轻触发，就能直接让系统崩溃。
这个漏洞从 1998 年 OpenBSD 引入 SACK 功能时就已经存在，历经无数次版本更新、安全审计，愣是没被人类专家发现。
而且，Mythos 挖出它的单次算力成本是 50 美元。
FFmpeg 里藏了 16 年的视频炸弹
FFmpeg 是全球最常用的多媒体解码库，手机、电脑、浏览器里几乎都有它的身影，也是 OSS-Fuzz（全球最大开源模糊测试平台）常年重点关照的对象，自动化测试用例不计其数。
但 Mythos 还是在它的 H.264 解码模块里，找到了一个被忽略 16 年的逻辑缺陷——
数据类型不匹配导致的堆越界写入。
这个漏洞早在 2003 年就跟着代码进了 FFmpeg，2010 年代码重构后，原本不起眼的小问题直接变成了可被利用的致命漏洞。
之后的 16 年里，人工审计、自动化测试轮番上阵，却没人发现只要有人构造一段特殊视频，就能通过这个漏洞直接控制播放设备。
FreeBSD 里藏了 17 年的远程开门漏洞
FreeBSD 的 NFS 服务中，藏着一个 17 年的远程代码执行漏洞，未认证的攻击者不用账号密码，仅凭网络连接就能触发栈溢出，直接拿到系统最高 root 权限。
Mythos 不仅精准定位了这个漏洞，还全自动编写了攻击脚本——
把 20 个指令片段拆分成 6 个网络请求，构建出复杂的 ROP 利用链，全程零人工干预，只用了几个小时就实现了无密码远程开门。
除了漏洞找得准，成本方面更是让传统安全团队破防。
Mythos 交出的账单是这样的：
-
挖出 OpenBSD 中一个隐藏了 27 年的漏洞，总项目成本不到 2 万美元，但命中那次漏洞运行的计算成本仅 50 美元；
-
构建一个 Linux 内核提权的完整利用程序，成本不到 1000 美元；
-
即使是一字节读取提权这类高难度漏洞，花费也控制在 2000 美元以内。
翻译一下就是，以前一个顶级白帽团队挖零日漏洞，人力、设备、时间成本加起来几十万甚至上百万美元，现在这个成本被 Mythos 压缩到了千分之一。
最主要的是， Mythos 还不需要工资，不需要休息，24 小时不间断运行……
参考链接：
[1]red.anthropic.com/2026/mythos…
[2]futurism.com/artificial-…
欢迎在评论区留下你的想法！
— 完 —
