網絡安全中的 AI 軍備競賽：分析 Anthropic 的 Project Glasswing
大型語言模型 (LLMs) 與網絡安全之間的交集已達到一個關鍵的轉折點。隨著 Project Glasswing 擴張計畫的宣布，Anthropic 正將自己定位為不僅僅是 AI 提供者，更是保護全球最重要軟件的中心協調者。透過向特定組織授予「Claude Mythos Preview」的使用權限，Anthropic 旨在主動識別並修補漏洞，以防止其被敵對行為者利用。
這項倡議代表了行業對漏洞管理觀點的戰略轉移——從被動修補轉向以 AI 加速的防禦態勢。然而，這項計畫的推出在安全專業人員和行業觀察者之間引發了重大辯論，涉及這些工具的實際效能以及中心化 AI 安全的地緣政治影響。
Project Glasswing 的範圍
Project Glasswing 是一項旨在保護關鍵基礎設施的協作努力。最初以 50 個合作夥伴啟動，Anthropic 正將該計畫擴展至遍布 15 個以上國家的約 150 個新組織。此次擴張針對的是一旦遭受成功的網絡攻擊可能導致災難性後果的領域，包括：
- 關鍵基礎設施： 電力、水資源和通信。
- 公共衛生： 醫療保健系統。
- 供應鏈： 維護廣泛依賴的代碼庫的硬件廠商和非營利組織。
根據 Anthropic 的說法，使用 Claude Mythos Preview 的初步合作夥伴已經識別出超過 10,000 個高嚴重性或關鍵嚴重性的安全缺陷。
長期目標是將行業的焦點從僅僅尋找漏洞轉向自動化披露、修復以及已修補軟件的部署。
「Mythos-Class」威脅模型
Project Glasswing 的核心是「Mythos-class」模型概念。Anthropic 警告說，在 6 到 12 個月內，多家 AI 公司可能會推出功能強大的網絡攻擊能力模型，其中一些可能缺乏防止濫用的安全措施。
在預測的未來中，網絡攻擊的數量和不可預測性可能會呈指數級增長。Anthropic 主張，網絡防禦者必須現在就進行調整，以跟上潛在攻擊者的步伐。為了促進這一點，他們推出了 Claude Security，這是一款利用 Claude Opus 4.8 來掃描代碼庫並建議修補方案的產品，同時將更強大的 Mythos 能力保留給在嚴格安全要求下運作的受信任合作夥伴。
行業界的懷疑論與「噪音」問題
雖然官方敘述強調了安全性的突破，但社群的回應——特別是在 Hacker News 等平台上——揭露了更細膩且懷疑的觀點。一個反覆出現的主題是「噪音」和誤報問題。
一位從業者從企業環境中使用該工具的第一手經驗分享，指出它經常讓團隊陷入無關的警報中：
"For us, it absolutely flooded us with noise... hundreds if not thousands of false positives or minor issues or not applicable... The biggest issue it created was the execs treated every issue it produced like it was a drop everything and fix the issue type deal."
這突顯了 AI 驅動安全中的系統性風險：模型識別潛在漏洞的能力與人類判斷該漏洞是否能在特定生產環境中被實際利用的能力之間的差距。當高管們將 AI 生成的列表誤認為是具備可操作性的情報，這可能會導致「安全演習」式的虛假安全感，使團隊在修補非問題時浪費了關鍵資源，卻錯漏了真正的威脅。
地緣政治與戰略考量
除了技術效能之外，Project Glasswing 的擴張也引發了關於信任與數據主權的重大疑慮。由於該計畫涉及讓一家美國 AI 公司訪問各國關鍵基礎設施的源代碼，批評者對監控和知識產權提出了質疑。
一些觀察者認為，該計畫可能在無意中成為國家級情報的管道，擔心提供給中心化實體的敏感代碼庫可能會被政府機構審計。其他人則認為，Mythos 的有限且受限的發布，是一種「稀缺性策略」或一種旨在建立熱度並在利潤豐厚的安全市場中獲取高價值企業合約的營銷策略。
通往「內存安全」的道路
儘管存在懷疑論，但 AI 促進大規模架構轉變的可能性是一個真正的關注點。其中一個最受期待的應用是使用 AI Agent 重新構建在內存安全語言（如 Rust）中編寫的舊有代碼庫。
這種方法解決了許多關鍵漏洞（如緩衝區溢出）的根源問題，而不是與單個漏洞進行永無止境的「打地鼠」遊戲。利用 AI Agent 將常見的網絡基礎設施（如 Redis 或 Lua）遷移到 Rust 的努力，預示著一個未來，AI 不僅僅是尋找漏洞，而是通過重寫軟件的基礎來消除整個類別的漏洞。
結論：防禦者的永久性優勢？
Anthropic 的野心是創造一個「防禦者的永久性優勢」。這是否可以實現，取決於 AI 是否能從僅僅標記漏洞轉向可靠地自動化驗證與修補過程，且不引入新的漏洞。如果行業可以解決信噪比問題並建立透明、去中心化的框架來進行代碼分析，AI 確實可以保護全球軟件供應鏈。如果不行，它就有可能變成一個高成本工具，讓產生的焦慮感多於實際的安全感。