181比0。這不是比分，是Claude新模型Mythos Preview與當(dāng)前最強(qiáng)版本Opus 4.6的自主漏洞挖掘成績(jī)對(duì)比。Anthropic在4月7日的安全披露里埋了這個(gè)數(shù)字，但沒多少人真正讀懂它的分量。

這不是升級(jí)，是斷層。測(cè)試用的同一批漏洞庫(kù)，Opus 4.6幾乎全軍覆沒，Mythos卻批量產(chǎn)出可用攻擊代碼。更麻煩的是，這些漏洞全在現(xiàn)役系統(tǒng)里——Windows、macOS、Chrome、Firefox、銀行間的加密通信庫(kù)，還有支撐云計(jì)算的虛擬機(jī)監(jiān)控器。沒有一個(gè)是實(shí)驗(yàn)室假想敵。

27年隱身：OpenBSD的"安全神話"破了

OpenBSD被挑中，恰恰因?yàn)樗园踩Q。代碼審計(jì)嚴(yán)苛，社區(qū)潔癖式地追求正確性，27年來(lái)沒人發(fā)現(xiàn)那個(gè)漏洞。Mythos Preview用了多久？披露沒寫具體小時(shí)數(shù)，但用了"characterised in hours"描述FFmpeg的16年老洞——后者是被 fuzzing（模糊測(cè)試）最徹底的代碼庫(kù)之一，全球安全研究者啃了十幾年。

「The oldest bug discovered was 27 years old」，Anthropic的原話。一個(gè)比很多程序員職業(yè)生涯還長(zhǎng)的漏洞，被新模型從代碼堆里拎了出來(lái)。這打破了兩個(gè)幻覺：一是"老代碼=被充分審計(jì)"，二是"小眾系統(tǒng)=攻擊面小"。

金融軟件從業(yè)者該緊張了。披露明確提到「cryptographic libraries that secure bank-to-bank communications」——銀行對(duì)銀行的加密通信庫(kù)。這不是支付前端的小毛病，是清算、結(jié)算、跨境資金流動(dòng)的管道。管道有裂縫，但之前沒人看得見。

量子 horizon 的陰影視線

原文標(biāo)題里的"quantum horizon"（量子地平線）不是修辭。Mythos的架構(gòu)設(shè)計(jì)指向一個(gè)被回避的事實(shí)：現(xiàn)有加密體系在量子計(jì)算面前的脆弱性，可能不需要等到量子計(jì)算機(jī)成熟就會(huì)暴露。AI現(xiàn)在就能找到傳統(tǒng)方法發(fā)現(xiàn)不了的實(shí)現(xiàn)層面的漏洞，而這類漏洞在加密庫(kù)里的密度，遠(yuǎn)高于一般軟件。

虛擬機(jī)監(jiān)控器（VMM）的出現(xiàn)更讓人坐不住。云服務(wù)商用這個(gè)技術(shù)把一臺(tái)物理機(jī)切成幾十上百個(gè)虛擬機(jī)，客戶彼此隔離。披露說(shuō)Mythos找到了「at least one production virtual machine monitor」的漏洞——生產(chǎn)環(huán)境，正在跑的那種。突破隔離意味著租戶A可能窺視租戶B的內(nèi)存，包括密鑰。

Anthropic選擇主動(dòng)披露而非等外部曝光，策略上聰明，但也說(shuō)明問(wèn)題已經(jīng)大到藏不住。181個(gè)漏洞不是潛在風(fēng)險(xiǎn)，是已驗(yàn)證的攻擊路徑。模型還沒公開，但漏洞本身不會(huì)等到模型發(fā)布才被人利用。

每個(gè)金融產(chǎn)品的隱形債務(wù)

對(duì)25-40歲的科技從業(yè)者來(lái)說(shuō)，這件事的啟示很具體：你依賴的基礎(chǔ)設(shè)施，其安全假設(shè)可能已經(jīng)過(guò)期。不是"可能有問(wèn)題"，是"已經(jīng)被證明有問(wèn)題，只是之前沒工具能發(fā)現(xiàn)"。

「The infrastructure was already compromised」——原文標(biāo)題的陳述句語(yǔ)氣，沒有問(wèn)號(hào)。這不是預(yù)警，是診斷。Mythos Preview的存在，相當(dāng)于給攻擊者預(yù)演了一套新工具的能力邊界。而防御方的問(wèn)題在于，你不知道自己用的庫(kù)、操作系統(tǒng)、云服務(wù)里，還埋著多少個(gè)27年級(jí)別的沉默漏洞。

披露沒給修復(fù)時(shí)間表，也沒列受影響的具體版本號(hào)。這種留白本身是一種信號(hào)：范圍太廣，逐個(gè)點(diǎn)名不現(xiàn)實(shí)。金融軟件的合規(guī)團(tuán)隊(duì)通常要求供應(yīng)商提供安全審計(jì)報(bào)告，但審計(jì)方法論是基于人類研究者的能力邊界設(shè)計(jì)的。181比0的差距，暗示這套方法論需要整體重估。

下一個(gè)問(wèn)題是：當(dāng)模型能力繼續(xù)爬坡，發(fā)現(xiàn)速度超過(guò)修復(fù)速度時(shí)，行業(yè)現(xiàn)行的漏洞響應(yīng)流程會(huì)不會(huì)直接崩潰？