Mythos 之后：防御为什么必须进入机器速度

2026 年 4 月，Anthropic 公开了一个它决定不发布的模型——Claude Mythos。理由是它太强：在两个月内自主发现了 2000 多个在产软件的零日漏洞，覆盖所有主流操作系统与浏览器，其中不少已经潜伏了十年、二十年，扛过了数百万次自动化测试。随后，一个名为 Project Glasswing 的防御联盟成立，微软、谷歌、苹果、思科、CrowdStrike 等悉数在列，率先拿到模型能力。

这份名单里，没有一家中国厂商。

先把"核武器"这个词放下

国内很多解读把 Mythos 称作"AI 时代的核武器"。这个说法有传播力，但会把判断带偏。冷静的技术分析其实指向一个更朴素、也更重要的结论。

独立研究机构 Epoch AI 用约 15 个基准做了量化评估，结论是：Mythos 真正的跨代提升集中在漏洞利用（exploit 开发）——它领先能力趋势线约 7 个月，能在极少信息下完成任意代码执行，还能把多个低危漏洞串成一条高危利用链。但在漏洞发现本身上，进步是渐进的；curl 的维护者直言"没有证据表明它比以往工具发现了更高级的问题"。它在发现侧真正的优势，是误报更低、严重性判断更准。

英国 AI 安全研究所（AISI）的实测也给了泼冷水的一面：面对防御良好的系统，Mythos 并不能可靠地完成自主攻击——它模拟攻陷企业网络，十次只成功三次，且目标防御偏弱。安全专家 Bruce Schneier 甚至指出，Anthropic 限制发布的部分原因是这个模型跑起来太贵，未必全是安全上的高姿态。

换句话说：Mythos 不是凭空造出了新的攻击种类。它做的，是把原本属于顶尖专家、需要数周和数十万美元的事，压缩成几小时、几千美元的流水线。正如 Bain 的判断——

Mythos 是一个信号，而不是威胁本身。AI 没有创造新漏洞，它只是把几十年欠账的旧漏洞，一次性曝光了出来。

真正变了的，是时间

如果攻击的种类没变，那什么变了？答案是速度，以及由速度决定的那个窗口——漏洞从被发现，到被武器化利用之间的时间。

过去，这个窗口以周、以月计。防守方有时间打补丁、做研判、组织响应。而当挖洞与利用被压到机器速度，这个窗口塌缩到以小时计。行业里现在反复被提起的一个词，叫 machine-speed patching——机器速度打补丁。它背后的潜台词是：

• 补丁洪流：漏洞被批量挖出，修复的速度第一次系统性地跟不上发现的速度；
• 告警洪流：自动化攻击带来的告警量，远超人工初筛的吞吐；
• 研判压力：每一条外部情报进来，"和我有没有关系、先修哪个"都要在更短时间内回答。

这三件事，全都卡在同一个瓶颈上——人的节奏。而这恰恰是问题的核心：当攻击已经运行在机器速度，防御若还停留在人的速度，差的不是一点效率，是一整个数量级。

为什么"多招人"解决不了

直觉的反应是加预算、加人手。但这条路走不通，原因有两层。

第一，顶尖攻防与研判人才本就极度稀缺、昂贵、难留。最重要的系统，往往由最缺人手的团队在守——这是结构性矛盾，不是靠一轮招聘能填的。

第二，更根本的：这是速度问题，不是人数问题。再多的分析师，也无法用人的反应时间去匹配机器的攻击节奏。当对手一夜之间发起上万次自动化尝试，你需要的不是十个人看告警，而是一个能在同一时间尺度上收敛、关联、研判的智能体。

Schneier 对终局其实是乐观的：随着 AI 越来越擅长写出安全的代码、越来越擅长防守，"AI 增强的防御者，将对 AI 增强的攻击者占据优势"。但这个优势有一个前提——你得先有那个 AI。

对中国，还有一层：它必须是自己的

回到那份没有中国的名单。Glasswing 把率先拿到防御能力的机会，给了少数几家美国巨头。这意味着对中国的关键系统而言，"用别人的 AI 来防御"这条路，从一开始就是不完整、也不可靠的。

所以对我们，机器速度的防御还要再加一个约束：它必须是自研的、能私有化的、数据不出内网的。模型要能离线跑，语料要来自真实攻防，能力要握在防御者自己手里。对最重要的系统来说，自主可控从来不是一个加分项，而是前提。

结论

Mythos 之问——"它来了，我们怎么办"——的答案，不是去买一个新东西，也不是陷入恐慌。它是一件更朴素的事：把安全运营提升到机器速度，并且让这份能力握在自己手里。

这件事，人做不到，套壳的工具也做不到。它需要以自研安全大模型为底座的智能体——在攻击侧先把自己挖一遍（灵武），在防御侧以机器速度收敛与研判（灵御），在情报侧让每一次判断都先敌一步（灵枢）。这，就是灵云数科在做的事。

参考来源：Anthropic 关于 Claude Mythos 的公开披露（2026）；Epoch AI，《Are Mythos' cyber capabilities overhyped?》；Bruce Schneier，《How Dangerous Is Anthropic's Mythos AI?》；Bain & Company，《Claude Mythos and the AI Cybersecurity Wake-Up Call》；UK AI Security Institute 技术评测。本文观点仅代表灵云数科研究团队。