Project Glasswing：Anthropic 關於 AI 驅動漏洞發現的初步更新

簡要重點

Anthropic 已啟動 Project Glasswing，這是一個合作計畫，利用 Claude Mythos Preview 模型來保護關鍵軟體基礎設施。在首個月內，該計畫及其合作夥伴識別出超過 10,000 個高風險或嚴重等級的漏洞，顯示 AI 現在能以遠超人類驗證與修補能力的速度發現漏洞。

Claude Mythos Preview 的表現

Claude Mythos Preview 展現了自主資安能力的重大突破，使合作夥伴的漏洞發現速率通常超過以往十倍。

合作夥伴與外部驗證

整體影響：約 50 家合作夥伴共同發現超過 10,000 個高風險或嚴重等級的漏洞。
Cloudflare：報告在關鍵路徑系統中發現 2,000 個漏洞（其中 400 個為高風險或嚴重等級），並指出其誤報率優於人類測試人員。
英國 AI 安全研究所：確認 Mythos Preview 是首個能完整解決其兩個網路攻防模擬範例（多步驟網路攻擊模擬）的模型。
Mozilla：在 Firefox 150 中識別並修復 271 個漏洞，較 Claude Opus 4.6 在 Firefox 148 中的發現數增加十倍。
基準測試：該模型在 ExploitBench 與 ExploitGym 學術基準中表現最強，並在 XBOW 的網頁漏洞利用基準上展現「前所未有的精確度」。

實際應用

除了程式碼庫掃描外，一名合作銀行利用 Mythos Preview 檢測並阻止了一筆因電子郵件帳戶遭竊與偽造電話通話導致的 150 萬美元詐騙電匯。

開源軟體掃描結果

Anthropic 使用 Mythos Preview 掃描了超過 1,000 個開源專案。該模型識別出估計共 23,019 個漏洞，其中包括 6,202 個估計為高風險或嚴重等級的漏洞。

驗證與準確性

為驗證這些發現，六家獨立的資安研究公司與 Anthropic 對 1,752 個高風險或嚴重等級的漏洞子集進行評估。結果顯示：

真正陽性率：90.6%（1,587 個）為有效漏洞。
嚴重等級確認：62.4%（1,094 個）被確認為高風險或嚴重等級。

案例研究：wolfSSL

Mythos Preview 在 wolfSSL 加密庫中發現一個漏洞（CVE-2026-5194），攻擊者可利用此漏洞偽造證書，建立銀行或電子郵件服務的偽造網站。該漏洞已修復。

「修補瓶頸」與系統性風險

Project Glasswing 揭示，資安領域的主要限制已不再是漏洞的發現，而是人類在篩選、報告與部署修補程式上的能力。

修復落差

儘管 AI 可近乎即時發現漏洞，但業界標準的協調式漏洞揭露（CVD）政策通常提供 90 天的修補窗口。這創造了一段危險的過渡期，漏洞雖已被 AI（及潛在攻擊者）知悉，但使用者尚未修補。

對維護者的影響

目前開源專案維護者負荷過重。許多維護者表示，他們因「大量低品質、由 AI 生成的漏洞報告」而陷入瓶頸，部分人甚至請求 Anthropic 降低漏洞揭露的速度。

資安防禦者的適應策略

隨著 Mythos 類型模型變得更普及，Anthropic 建議開發者與網路防禦者調整策略，以降低暴露風險。

對開發者的建議

縮短修補週期：加速從發現漏洞到提供安全修補的時間。
改善更新使用者體驗：讓終端使用者更容易安裝更新，並更積極地通知使用有漏洞軟體的用戶。

對網路防禦者的建議

加速部署：縮短測試與部署修補程式的時間。
實施分層控制：依賴 NIST 與 NCSC 框架，強化預設設定，強制執行多因素驗證（MFA），並維持完整的日誌記錄。

新的防禦工具與計畫

Anthropic 將釋出多項工具，協助組織在不需使用受限的 Mythos Preview 模型的情況下，運用 AI 進行防禦。

Claude Security 與驗證

Claude Security（公開測試版）：提供給 Claude Enterprise 客戶，此工具使用 Claude Opus 4.7 掃描程式碼庫並提出修補建議。目前已在三週內修補超過 2,100 個漏洞。
網路驗證計畫：允許資安專業人員在不啟用某些濫用防護機制的情況下，使用模型進行合法研究、滲透測試與紅隊演練。

給安全團隊的技術資源

符合資格的客戶現在可申請 Project Glasswing 合作夥伴所使用的工具套件，包括：

自訂技能：重複性安全任務的操作說明。
掃描架構：用於映射程式碼庫、部署掃描子代理並撰寫報告的系統。
威脅模型建構器：用於透過映射潛在攻擊目標來優先排序模型工作的工具。

未來展望與模型釋出

Anthropic 目前尚未向公眾釋出 Mythos 類型模型，因為現有的防護機制尚不足以防止嚴重濫用。Project Glasswing 是一項主動努力，旨在於這些能力廣泛可用前，強化關鍵軟體。未來，Anthropic 計畫將 Project Glasswing 擴展至更多合作夥伴，包括美國及其盟友政府，並僅在開發出更強大的防護機制後，才會釋出 Mythos 類型模型。