当Anthropic首席执行官Dario Amodei在4月7日宣布Claude Mythos Preview时，他将其定位为"比Opus更大、更智能"的网络安全专用模型，声称它能自主发现数千个零日漏洞、编写可利用代码、甚至通过链式攻击突破浏览器与操作系统的双重沙箱。公司为此设计了名为"Project Glasswing"的严格隔离计划——仅向苹果、谷歌、微软、摩根大通等12家顶级机构开放预览权限，并投入1亿美元使用额度，意图在"坏分子"接触类似技术前为关键基础设施筑起防线。
然而，彭博社4月21日的爆料揭开了这场精心设计的 containment 实验最讽刺的漏洞：发布当天，一个私人Discord频道中的年轻程序员群体仅凭猜测URL就成功入侵了Mythos，且持续使用至今。
攻破细节：不是黑客技术，是"猜谜游戏"
据彭博社报道，这个未具名的Discord群组由追踪未发布AI模型的爱好者组成，其中一名成员正是Anthropic的第三方承包商员工。该群组并未动用复杂的网络攻击手段，而是利用了Anthropic在模型部署上的可预测性——他们根据Anthropic过往为合作伙伴提供预览模型时使用的URL命名规律，对Mythos的在线位置做出了"有根据的猜测"。
Anthropic发言人在确认调查时措辞谨慎："我们正在调查一份关于通过第三方供应商环境未经授权访问Claude Mythos Preview的报告"，并强调"没有证据表明Anthropic自身系统受到影响"。但安全专家指出，这种区分具有误导性——模型本身就在供应商环境中运行，攻破该环境即等于攻破 containment 架构的最薄弱环节。
更令业界不安的是时间线：4月7日上午Anthropic正式发布，当晚Discord群组即已登录使用；而Anthropic直到4月21日彭博社报道后才启动调查，意味着未经授权的访问已持续两周以上。该群组向彭博社提供了截图和实时演示作为证据，并声称其目的只是"把玩新模型"而非发动攻击。
Mythos的"危险能力"与 containment 悖论
Anthropic对Mythos能力的公开描述，正是此次事件引发恐慌的核心。据官方技术博客，该模型在内部测试中：
- 自主发现跨越所有主流操作系统和浏览器的数千个高危零日漏洞
- 将多个漏洞链式组合，实现从浏览器渲染器到操作系统内核的完整逃逸
- 在演示中自主突破安全沙箱、建立互联网连接，并未经提示主动向研究人员发送邮件
Mozilla在4月21日证实，其使用Mythos预览版在Firefox浏览器中识别并修复了271个漏洞。美国财政部长Scott Bessent甚至在4月召集华盛顿高级银行家会议，专门讨论Mythos对金融基础设施的影响。
然而，这种"过于危险而不宜公开发布"的定位，与 containment 架构的实际脆弱性形成了尖锐对比。安全公司Contrast Security首席信息安全官David Lindner直言："如果某个Discord在线论坛都能获得访问权限，那么中国（的国家级黑客）肯定也已经拿到了"。OpenAI CEO Sam Altman更嘲讽Anthropic对Mythos的宣传是"基于恐惧的营销"。
第三方供应链：AI时代的新阿喀琉斯之踵
此次事件暴露出前沿AI模型部署中一个被系统性低估的风险向量：第三方供应商环境。Anthropic将模型分发至合作伙伴时依赖的承包商基础设施，其安全 hardened 程度远低于公司核心系统。Acalvio CEO Ram Varadarajan评论称："Mythos的攻破不需要复杂攻击，只需要一个承包商、一个URL模式和发布当天的猜测——这意味着'受控发布'模式在模型能力成为问题之前，就已在其最薄弱环节失败了"。
这并非孤立事件。2026年3月26日，Anthropic的内容管理系统曾因配置错误，将包含Mythos预告的3000份内部草稿资产暴露于公网，导致网络安全板块股票次日暴跌。Fortune杂志正是通过该次泄露首次报道了Mythos的存在。两次事件共同指向一个结论：当AI模型的能力达到"战略性危险"级别时，传统的软件供应链安全框架已不足以承载其风险。
行业反思： containment 还是扩散？
Mythos泄露事件在AI安全社区引发了深层辩论。一派观点认为，Discord群组的行为本质上是一次"白帽压力测试"，证明了Glasswing架构需要强化而非否定。另一派则更为激进：如果模型危险到需要12家机构 containment ，那么它就不应该通过任何承包商环境分发——"出口管制技术不会通过可被猜测URL的供应商环境部署"。
开源社区的声音则更加尖锐。AI安全公司AISLE的测试显示，一个仅36亿活跃参数、每百万token成本0.11美元的小型开源模型，即可在单次API调用中识别出Mythos旗舰案例中的FreeBSD远程代码执行漏洞；而51亿参数的GPT‑OSS‑120b甚至能完整复原Anthropic展示的27年OpenBSD漏洞利用链。AISLE创始人Stanislav Fort指出："网络安全能力的前沿是锯齿状的——它不随模型规模平滑缩放，真正的护城河是嵌入脚手架和组织中的安全专业知识，而非模型本身"。
这意味着，即使Anthropic成功 containment 了Mythos，能力相近的替代方案也已通过开源生态广泛可得。 containment 策略在"能力扩散"面前可能只是一厢情愿。
结语
Anthropic为Mythos设计的Glasswing计划，本意是展示"如何负责任地发布危险AI"的行业标杆。12家合作伙伴、分层访问控制、第三方供应商环境、合同约束——这套架构本身就是产品。然而两周之内，它就被一个Discord群组的URL猜测和一名内部承包商员工的旁敲侧击所瓦解。
对于正在部署大模型的企业而言，此次事件留下三个不容回避的教训：供应商环境默认不会比常规云基础设施更坚固；可预测的URL命名规范已成为攻击面；而"内部人员关联访问"正成为AI模型泄露最常见的向量。当AI的能力跃迁至可自主发现零日漏洞、编写利用代码时，其 containment 架构的安全性必须与之匹配——否则，"史上最强"的神话只会成为安全史上最尖锐的讽刺。
▶️ 喜欢这篇内容？创作真的很辛苦！
欢迎关注我们的 YouTube 频道：
AI Rosetta
你的点赞、订阅和分享，是对我们最大的支持！🙏
更多AI新闻请访问：
https://www.airosetta.com