Claude Mythos一个月发现271个长潜伏漏洞
今日，Mozilla 官方发布了一篇深度技术复盘文章，披露的数据令整个网络安全行业为之侧目。
Firefox 开发团队借助 Claude Mythos Preview 这一先进 AI 模型，在短短 30 天内成功修复了多达 423 个安全漏洞。这个数字是什么概念？它已经超越了 Firefox 浏览器在过去 15 个月里修复的安全漏洞总量。
回顾 2025 年的统计数据，Firefox 平均每月修复的安全漏洞数量大约为 21.5 个。即便是在问题相对较多的同年 4 月，也仅有 31 个漏洞得到解决。而此次单月完成 423 个漏洞修复，无疑是对传统安全审计效率的一次“降维打击”。这一里程碑式的事件，足以让整个科技界重新评估人工智能在代码审计与漏洞挖掘领域的巨大潜力。
技术复盘：AI 如何成为漏洞挖掘的「顶级猎手」
“突然间，这些 Bug 变得非常容易被定位。” Mozilla 工程师在官方博文中如此描述。
要知道，就在数月之前，由 AI 自动生成的安全漏洞报告还被视为开源项目维护者的“负担”——报告看起来详实专业，但其中充斥大量误报或模型“幻觉”。维护者不得不投入大量时间进行人工验证，结果往往徒劳无功。
然而，局面在近期发生了颠覆性转变。究其核心，关键原因在于两点：
首先，大语言模型本身在代码理解和逻辑推理方面的能力实现了质的飞跃；其次，工程师们驾驭这些模型的工程方法论也取得了突破性进展。
简而言之，AI 模型在持续进化，而人类工程师使用它的技巧也在同步精进。当这两条上升曲线产生合力，便催生了 Firefox 单月修复 423 个漏洞这一惊人的成果。
漏洞深度分析：271 个新漏洞，180 个属高危，部分潜伏超 20 年
这场开创性的合作始于今年 2 月。Firefox 团队与 Anthropic 公司携手，初期使用 Claude Opus 4.6 模型，并在 Firefox 148 版本中成功修复了 22 个安全漏洞。
而当 Firefox 150 版本进入开发周期时，恰逢更强大的 Mythos Preview 模型上线。结果超出了所有人的预期：该模型一次性挖掘出了 271 个此前未知的安全漏洞。
更值得关注的是漏洞的严重性分布：在这 271 个漏洞中，有多达 180 个被评定为“高危”（sec-high）级别，80 个为“中危”（sec-moderate），另有 11 个为“低危”（sec-low）。
“高危”漏洞意味着普通用户在正常浏览网页时就有可能被攻击者利用，危害极大。在过去十年间，这类漏洞通常需要依赖外部安全研究员通过高额悬赏计划才能发现，单个漏洞的奖金可达数千甚至上万美元。
如今，Mythos 模型一举发现了 271 个。随后，该模型在 149.0.2、150.0.1 和 150.0.2 等后续版本中又陆续识别出更多问题。
总计 4 月份修复的 423 个安全漏洞，其来源构成如下：271 个由 Mythos 直接发现，41 个来自外部安全研究员的报告，剩余的 111 个则由 Firefox 内部团队通过其他 AI 模型、模糊测试等传统方式发现。
Mozilla 在报告中公开了其中 12 个典型漏洞的详细分析。其中一个涉及 HTML `
攻克最高难度：「沙箱逃逸」漏洞现形，赏金高达 2 万美元
最令安全界感到震撼的是，Mythos 成功找到了多个“沙箱逃逸”类型的漏洞。
现代浏览器安全架构的核心是将每个网页标签页运行在一个独立的“沙箱”进程中，以实现隔离防护。即便某个网页被恶意代码攻破，理论上也无法突破这个隔离区。而沙箱逃逸漏洞，正是攻击者用以“越狱”并获取系统更高权限的关键路径。
这类漏洞的挖掘难度极高，甚至传统的自动化模糊测试都很难有效覆盖。在 Mozilla 的官方漏洞赏金计划中，为沙箱逃逸漏洞开出的最高奖金是 2 万美元，这代表了其赏金体系中的最高级别。
Firefox 安全工程师 Brian Grinstead 坦承：“Mythos 发现的沙箱逃逸漏洞数量，已经超过了过往所有人类安全研究员发现的总和。”
Mythos 寻找此类漏洞的方式也极为硬核：它会自主编写一段恶意补丁代码，尝试注入沙箱进程，并用这段代码去攻击浏览器最核心、防护最严密的组件。整个过程不仅需要创造性思维，更依赖于对浏览器多进程架构与系统安全的深度理解。
核心工程突破：Agentic Harness 系统，切换模型仅需一行代码
当然，强大的 AI 模型只是成功的一半，配套的工程体系同样至关重要。
项目初期，团队尝试使用 GPT-4 或 Claude Sonnet 3.5 进行“静态代码分析”，但过高的误报率使得该方法无法投入规模化应用。
“Agentic Harness”智能体赋能系统的出现成为了关键转折点。这套自动化系统的工作流设计得非常清晰：
1. 漏洞发现： 向 AI 模型提供目标代码片段，指令其寻找潜在的安全缺陷。
2. 动态验证： 模型必须编写出能够复现漏洞的测试用例。只有可成功复现的漏洞才会被采纳，无法验证的则自动过滤。
3. 去重与分诊： 自动与已知漏洞数据库进行比对，避免提交重复报告。
4. 跟踪与修复： 确认有效的漏洞将进入正式的安全 Bug 跟踪与修复流程。
在项目早期，工程师需要在终端手动监控模型运行并反复调试提示词。待核心流程跑通后，团队立即实施了并行化处理——在大量临时虚拟机上同时运行扫描任务，每台虚拟机专注于扫描一个特定的源码文件或功能模块。
尤为重要的是，一旦这套自动化流水线搭建完成，更换底层的 AI 模型就变得异常简单，几乎只需修改一行配置代码。从 Opus 4.6 切换到 Mythos Preview，整个过程实现了无缝衔接。而且，每次模型升级，整个流水线的效能都会得到同步放大：漏洞发现能力更强，验证更精准，报告质量更高。正如业内安全专家所评论的：“真正的技术杠杆可能不只在于模型本身，更在于驾驭模型的系统工程能力。”
人力投入真相：超百人团队协作，AI 并非自动修复
必须明确指出的是，Mythos Preview 发现漏洞仅仅是整个安全生命周期中的第一步。
在博文中，Brian Grinstead 说得非常明确：每一个 Bug 的修复，都必须遵循严格的标准流程——由一名工程师负责编写修复补丁，再由另一名工程师进行独立的代码审查。AI 生成的补丁代码仅能作为参考草案，绝不能未经严格审核就直接部署到生产环境。
为了消化这次史无前例的漏洞洪流，Mozilla 组织了超过 100 名工程师参与相关工作。其中包括编写补丁的、进行代码审查的、维护自动化管道的、对漏洞进行分类的、测试修复效果的、管理发布流程的，各部门全员投入。这堪称 Firefox 发展史上最大规模的一次集中安全修复行动，也由此打造出了迄今为止安全性最高的一个 Firefox 浏览器版本。
行业格局前瞻：Anthropic 与 OpenAI 的正面交锋
Firefox 修复的这 423 个漏洞，或许仅仅是 AI 驱动安全变革大潮中的一朵浪花。
在 AI 安全能力竞赛的赛道上，Anthropic 和 OpenAI 正沿着两条看似不同但同样雄心勃勃的路线全速冲刺，两家的战略布局已然清晰。
先看 Anthropic。今年 4 月初，在发布 Claude Mythos Preview 的同时，他们还启动了名为“Project Glasswing”（玻璃翼计划）的秘密项目。Anthropic 发布了其史上最强的安全审计模型，随后却主动将其“约束”起来。他们声称，Mythos 已在每一个主流操作系统和浏览器中发现了数千个高危漏洞，甚至包括一个在 OpenBSD 系统中潜伏了长达 27 年的古老漏洞。
再看 OpenAI，其路线恰恰相反，追求尽可能广泛的开放与赋能。在 Anthropic 发布 Mythos 仅一周后，OpenAI 迅速跟进，发布了专精网络安全的 GPT-5.4-Cyber 模型，并将其“威胁分析中心”计划扩展到覆盖数千名个人防御者和数百个安全团队。近期，更强的 GPT-5.5-Cyber 模型已向 TAC 最高层级的合作伙伴开放，可用于漏洞猎杀、恶意软件深度分析和攻击链逆向工程。
根据 OpenAI 官方博客数据，GPT-5.5-Cyber 在网络攻防基准测试中取得了 81.9% 的高分。OpenAI 的逻辑非常清晰：严格的身份验证 → 分级权限授予 → 让尽可能多的网络安全从业者能够使用上最先进的 AI 防御工具。
眼下，Anthropic 和 OpenAI 都在全力构筑自身在 AI 安全领域的技术壁垒。但 AI 安全能力的扩散与应用速度，或许会比任何人建墙的速度都要快。这场关乎未来全球网络安全基石的尖端竞赛，其实才刚刚拉开序幕。
相关攻略
近期，AI编程工具Claude Code的性能表现引发了开发者社区的广泛关注与深度讨论。一份在官方仓库引发热议的Issue直指核心问题：这款曾被寄予厚望的AI编程助手，在经历特定更新后，其处理复杂工程任务的能力似乎出现了显著退化。 核心指控聚焦于一次关键更新：据称，该更新导致模型的内部推理深度骤降约
当地时间4月11日，人工智能公司Anthropic正式发布Claude for Word测试版。此举不仅是对微软办公软件生态的一次有力挑战，更精准聚焦于法律行业用户，致力于打造一款专为律师设计的“高效智能助理”。 事实上，这一战略布局早有端倪。今年初，Anthropic已将Claude的强大功能成功
4月11日，AI行业发生了一起引人关注的争议事件。知名开源工具“龙虾”OpenClaw的创始人Peter Steinberger在社交媒体平台X上发文，称其Claude账户因被系统标记为“可疑活动”而遭到Anthropic临时封禁。这一事件迅速在开发者社区内引发广泛讨论，数小时后，他的账户访问权限才
近日，Reddit上一则热帖引发了广泛关注。游戏开发商Beamable的首席执行官Jon Radoff，利用一个周末的时间，借助AI助手Claude，成功复活了自己19岁时开发的一款名为《未来往昔传奇》（Legends of Future Past）的MUD（多用户地下城）游戏。这款诞生于1992年
马斯克最近的一次“无心之言”，似乎意外揭开了Claude模型参数规模的神秘面纱。 事情源于他在社交媒体上透露，xAI的Colossus 2超算正在训练一系列模型，其中最大的一款参数达到了惊人的10万亿（10T）。这份清单还包括6T、1 5T和1T等不同规模的变体。Colossus 2作为其“巨硬计划
热门专题
热门推荐
人工智能的浪潮正席卷每个角落，智能办公工具无疑是其中备受瞩目的弄潮儿。以自然语言处理和机器学习为内核的AI文档助手，承诺用高效与精准重塑我们的文字工作。但一个值得玩味的问题随之浮现：它究竟是一场碘伏传统的革命性创新，还是更像一位得力的职业伙伴？ AI文档助手的革命性创新 不得不说，AI文档助手的出现
2026年5月13日至14日，备受瞩目的Create 2026百度AI开发者大会将在北京隆重举行。本届大会以“万物一体”为核心主题，并实现了一项重要升级：首次将“Create百度AI开发者大会”与“云智大会”全面合并。此次整合旨在为参会者提供一站式、全景式的洞察体验，无论是关注AI基础设施的企业决策
雷蛇与《鸣潮》联名的达妮娅主题外设系列将于2026年5月20日推出，涵盖无线鼠标、机械键盘、电竞椅和超大鼠标垫四款产品。系列兼顾轻量化设计、高性能硬件与角色主题元素，致力于为玩家打造兼具操作性能与沉浸氛围的全方位游戏体验。
《极限竞速：地平线6》登陆Xbox与PC平台，首次将舞台设定于日本。本作画质显著提升，以丰富细节呈现东京霓虹、樱花林与山间晨雾。玩法上重构开局身份，玩家需从普通访客逐步成长为传奇车手，并引入庄园系统与探索乐趣。游戏对硬件性能要求较高，但借助DLSS4等技术可实现画质与流畅度的平衡。
人工智能正改变传统表格制作方式，通过自然语言指令自动生成表格与图表，显著提升工作效率。人机协作虽带来便利，确保数据准确性仍是关键。未来更智能的预测功能值得期待，但使用者仍需掌握数据分析基本功，以充分释放数据价值。