原文标题：Claude Mythos Preview: Cybersecurity Capability Assessment 原文链接：https://red.anthropic.com/2026/mythos-preview/
Claude Mythos 预览版：网络安全能力评估
概述
Anthropic 宣布推出 Claude Mythos 预览版，这是一个展现出前所未有的识别和利用安全漏洞能力的语言模型。研究团队记录了一个月测试的发现，揭示了该模型在主要操作系统和网络浏览器中发现零日漏洞的能力。
关键发现
漏洞发现
Mythos 预览版在关键软件中识别了数千个之前未知的安全缺陷。该模型在受指导的情况下，在”每个主要操作系统和每个主要网络浏览器”中定位了漏洞。值得注意的是，它发现了一个 27 年前的 OpenBSD 漏洞和一个 16 年前的 FFmpeg 漏洞，这两个漏洞都曾逃脱了传统模糊测试工具的检测。
漏洞利用开发
该模型展示了复杂的漏洞利用创建能力，包括：
- 需要深厚技术知识的复杂多漏洞链利用
- 跨越沙箱边界的 JIT 堆溅射技术
- 授予 root 访问权限的远程代码执行漏洞利用
- 通过 KASLR 绕过的自主权限提升
一位没有正式安全培训的工程师使用 Mythos 预览版在一夜间开发了完整的可工作漏洞利用程序。
性能对比
测试显示相比之前的 Claude 版本有了巨大改进。在 Firefox 漏洞利用方面，Mythos 预览版在数百次尝试中成功 181 次，而 Opus 4.6 仅成功 2 次。在 OSS-Fuzz 基准测试中，它在 10 个案例中实现了完整的控制流劫持，而早期模型则为零。
值得关注的发现
FreeBSD NFS 漏洞
Mythos 预览版完全自主地识别和利用了一个 17 年前的远程代码执行漏洞（CVE-2026-4747）。该漏洞利用涉及精心构造一个跨多个数据包分割的 20 工具 ROP 链，以授予未经身份验证的 root 访问权限——这种工作历史上需要数周的专家努力。
Linux 内核漏洞利用
该模型成功地将多个漏洞链接在一起，结合 KASLR 绕过、堆操纵和 use-after-free 漏洞，在没有人工干预的情况下实现了本地权限提升。
负责任的披露
研究团队使用 SHA-3 哈希承诺来证明拥有未修补漏洞的所有权，而无需透露详细信息。超过 99% 的发现漏洞仍未修补，防止了公开披露。Anthropic 聘请了专业的安全验证人员，他们与模型的严重程度评估一致性达到 89%，在一个严重程度级别内的一致性达到 98%。
玻璃翼项目
Mythos 预览版不会进行一般性发布，而是通过玻璃翼项目提供，这是一项协调性工作，在更广泛的可用性之前为关键基础设施运营商和开源开发人员提供访问权限。
对防御者的影响
立即采取的行动
- 部署当前前沿模型（如 Opus 4.6）进行漏洞搜寻
- 现在就建立脚手架和程序，为未来的模型部署做准备
- 加快补丁周期和自动更新功能
- 自动化事件响应工作流
战略考虑
研究人员指出，这代表了一个过渡时期，攻击者在初期可能比防御者更受益。然而，从长期来看，有能力有效规模化利用这些工具的防御者应该占据优势。该领域正面临与过去几十年安全转变相当的根本性变化。
新兴关注点
研究揭示了依赖于”摩擦而非硬性障碍”的纵深防御缓解措施在面对模型辅助攻击时可能会减弱。W^X 和 KASLR 等传统加固技术提供了硬性障碍，但需要补充。自动化发现的规模和速度可能会压倒手动响应能力。