背景
4 月 7 日，Anthropic 公开了下一代前沿模型 Claude Mythos Preview 的存在，并宣布它不会向公众发布。原因不是技术不成熟，恰恰相反：Mythos 在每个主流操作系统和浏览器里找出了上千个高危零日漏洞，并在内部沙箱测试中真的越狱、给研究员发邮件汇报"我已经出来了"。这是 frontier lab 第一次明确说"我们造的模型太危险，不卖了"。Anthropic 同步启动了 Project Glasswing，把 Mythos 的访问权限定在 12 家防御性安全合作伙伴手中，包括 AWS、Google、Microsoft、Apple、CrowdStrike 等。
对普通开发者来说，模型本身遥不可及，但威胁已经落地——因为有能力做这件事的实验室不止 Anthropic 一家。
为什么你应该关注
很多人看到这条新闻的第一反应是"和我没关系"。这是危险的低估。
第一，模型即使不公开，能力会扩散。 Mythos 在 RCE 和 sandbox escape 上展示的攻击范式（多漏洞链 + 自动化 ROP gadget 拼接）一旦在安全研究社区扩散，OpenAI、xAI、Google DeepMind 内部模型都能复现。半年到一年内，开源社区会出现能力接近的版本。Tom's Hardware 的报道中提到，部分 Mythos 找出的漏洞已经存在了几十年——意味着传统 fuzzer + 人类审计的组合存在系统性盲区，这些盲区现在被 AI 一次性曝光。
第二，攻击者拿到能力的速度比防御方快。 防御方需要 patch、回归测试、灰度发布；攻击方只需要拿到 PoC 就能武器化。Anthropic 已经在私下向政府机构通报，但你的 SaaS 供应商不一定收到了。任何一个你依赖的 npm 包、Python 库、Docker 镜像，都可能藏着一个等待被 AI 发现的零日。
第三，agentic 攻击让人海战术失效。 一个 AI agent 可以 24×7 不停扫描你的暴露面、生成 exploit、自动尝试。传统的"靠攻击者懒"的安全假设不再成立。Cato Networks CEO Shlomo Kramer 之前直接称其为"网络安全历史上的分水岭事件"。
实操指南：今天就该做的 5 件事
1. 把依赖更新自动化，而不是季度性
最大的攻击面在第三方依赖。立刻配置 Dependabot 或 Renovate，把 patch 级更新设置为自动 PR + 自动 merge（前提是你有 CI 测试）。
# .github/dependabot.yml
version: 2
updates:
- package-ecosystem: "npm"
directory: "/"
schedule:
interval: "daily"
open-pull-requests-limit: 20
groups:
patch-updates:
update-types: ["patch"]
- package-ecosystem: "docker"
directory: "/"
schedule:
interval: "daily"关键是把"patch 更新"从需要人审的事情变成默认通过。一周一次手动审依赖等于给攻击者留 6 天窗口。
2. 生成并维护 SBOM（软件物料清单）
没有 SBOM 你根本不知道自己在用什么。用 Syft 几分钟搞定：
# 安装
brew install syft给你的 Docker 镜像生成 SBOM
syft your-app:latest -o spdx-json > sbom.json给你的 git 仓库生成 SBOM
syft dir:. -o cyclonedx-json > sbom-source.json把 SBOM 当成 CI 产物的一部分上传。下次有零日爆出来（比如 Log4Shell 那样的），你 5 分钟内就能 grep 出哪些镜像受影响，而不是花两天人肉排查。
3. 用 AI 防御 AI：把扫描器接进 CI
既然攻击方在用 AI，防御方也得用。现在就值得集成的工具：
- GitHub Code Scanning + CodeQL：免费、深度集成，能发现复杂数据流问题
- Semgrep：规则灵活，CI 跑起来快
- Trivy：扫镜像 + 文件系统 + IaC，开源
- Snyk 或 Socket：依赖恶意包检测，对供应链攻击有效
# Trivy 一键扫所有
trivy image your-app:latest --severity HIGH,CRITICAL --exit-code 1
trivy fs . --severity HIGH,CRITICAL --exit-code 1把 --exit-code 1 加上，让 CI 在发现高危问题时直接红灯。
4. 收敛暴露面：所有不需要公开的端口都关掉
很多团队的攻击面是历史包袱。今天就该做的清理：
- 关掉所有 staging / dev 环境的公网访问，全部走 VPN 或 Tailscale
- 数据库、Redis、Elasticsearch 永远不暴露公网，哪怕设了密码
- 把 admin 后台从子域名移到独立网段，加 IP 白名单
- 检查每个 S3 bucket 的 ACL，默认 private
工具：用 naabu 扫一下你自己的公网 IP 段，结果可能让你冒冷汗。
5. 准备零日响应剧本
零日不是 if 而是 when。现在就写好响应流程：
1. 检测：订阅 CISA KEV、GitHub Security Advisories、你主要语言生态的安全邮件列表 2. 评估：用 SBOM 在 30 分钟内确认是否受影响 3. 缓解：如果没有 patch，先用 WAF 规则、network policy 或 feature flag 禁用受影响功能 4. 修复：patch 出来后 24 小时内 ship 到生产 5. 复盘：看是什么原因导致没有早发现
把这个流程写进 runbook，每季度演练一次。AI agentic 攻击的时代里，平均响应时间是核心 KPI。
常见问题
Q: Claude Mythos 不公开，那 OpenAI 或 Google 的模型会不会也藏着同样的能力？ 几乎可以肯定有。GPT-5.4 和 Gemini 3.1 Pro 在 SWE-bench 和漏洞发现 benchmark 上都接近 Mythos 的水平，只是没有像 Anthropic 这样高调公开评估细节。所有 frontier lab 内部都在做 cybersecurity uplift 评估，但只有 Anthropic 这次决定暂停发布。
Q: 我是个人开发者，没有 SecOps 团队，怎么开始？ 最低成本组合：GitHub 上开 Code Scanning（免费）+ Dependabot（免费）+ Trivy 加进 CI（开源）+ 一个 Cloudflare 账号（免费 plan 就有 WAF）。这套组合一个下午能搭好，覆盖 80% 的常见攻击面。
Q: Project Glasswing 里的合作伙伴会公开发现的漏洞吗？ Anthropic 的承诺是"协调披露"——发现的零日会先通报给厂商，给一段修复时间窗口后再公开。短期内你能做的就是保持依赖更新，确保自己跑在最新 patch 版本上。
JR Academy 相关资源
想系统学习现代 DevSecOps 和 AI 时代的安全工程，可以看看：
- JR Academy 全栈开发训练营：包含安全编码、CI/CD、依赖管理的完整模块
- JR Wiki 工程实践指南：免费的工程师成长路线图，含安全章节
- JR Academy 一对一职业辅导：需要安全方向转型可以预约咨询
也欢迎在 JR Academy 博客 持续关注我们的 AI 与安全工程内容。
