七月初，Epoch AI 发布了一份名为《Disclosure of serious cyber vulnerabilities spiked around the release of Claude Mythos Preview》的数据洞察。报告里的数字很安静，却让人后背发凉：在刚刚过去的六月，仅二十一家头部软件与硬件厂商就公开披露了约一千五百条高危与极危级别的 CVE，这一数字是 Claude Mythos Preview 公布前月度记录的 3.5 倍。一夜之间，全球最尖锐的安全研究者像是集体睁开了第二双眼睛，而这第二双眼睛，是 Anthropic 替他们装上的。
故事要从今年四月讲起。Anthropic 在一份系统卡里承认，他们内部代号 Mythos Preview 的模型，已经具备自主发现并利用零日漏洞的能力。在针对 Linux 内核、Firefox 浏览器 JS 引擎以及若干主流操作系统的测试里，Mythos 能把七成二以上的发现漏洞直接转写成可执行利用代码。这意味着，一名过去需要顶尖团队数周才能完成的攻击链，今天可能在一杯咖啡的时间里被自动生成。
更耐人寻味的，是随后启动的 Project Glasswing。微软、谷歌、苹果、AWS 排队加入，Anthropic 也借由这套框架对外披露了一份初版更新：在覆盖的开源项目中，Mythos 已经估算出六千二百零二条高危与极危漏洞，整体扫描量达到两万三千零一十九个；如果算上闭源侧，业界普遍引用的数字是一万条以上。这是一组被 Anthropic 自己称为”初步”的数字，而 Mozilla 在四月底的博客里补了一刀：Mythos 在 Firefox 中一次性挖出二百七十一个此前未知的漏洞，加上更早用 Claude Opus 4.6 找出的二十二个，几乎重写了 Firefox 的安全债台。
攻守同源：AI 既是最锋利的矛，也是最厚的盾
于是，一种奇特的镜像出现了。同一类模型，被打包进两套几乎相反的叙事：一边是 Anthropic 在四月的”安全研究透明度报告”里详细说明 Mythos 自主利用零日的过程，措辞克制却步步惊心；另一边，是 OpenAI 在五月十二日推出的 Daybreak 产品，明确把 GPT-5.5 和 Codex Security 摆到防御位，宣称可以”识别威胁、生成补丁、验证修复”。两个昔日最激烈的对手，在 2026 年夏天第一次把同一个赛道当作主战场，行业为之侧目。
但数字终究是不说谎的。Epoch 的数据清楚地说明：当一家头部实验室宣布”我们的模型可以独立发现漏洞”的那一天开始，公开的 CVE 数量就不再是衡量安全水平的指标，反而变成衡量 AI 在场程度的指标。换句话说，今天披露的每一千五百条高危漏洞，恰好对应着一千五百次”AI 看见了人类看不见的东西”的事件。表面上，漏洞变多了；但本质是，能看见漏洞的眼睛变多了。
更隐蔽的问题在于成本结构。Project Glasswing 的合作名单里，微软、谷歌、苹果、AWS 赫然在列，这些公司既是漏洞的主要披露方，也是 Mythos 的早期调用方。它们用 Anthropic 的模型自查自家产品，再把结果回流给上游开源社区，链条漂亮得像一条工业流水线。然而，OpenAI 的 Daybreak 路径几乎是对称的：用 GPT-5.5 给企业客户提供同款扫描，然后按席位与项目收费。一种新型的双寡头格局，正在以”安全即服务”的方式悄悄长成。
对中小开发者而言，这意味着两件事。一是上游大厂的安全水平会以一种近乎夸张的速度被抬升，主流操作系统的零日窗口期会从过去的数月压缩到数周。二是攻击者手中的同类能力也会水涨船高——开源模型权重一旦泄露，过去属于顶尖实验室的进攻工具，会迅速变成 GitHub 上的普通项目。攻守之间的平衡，被一台从未上过新闻头条的服务器悄悄按下了快进键。
回到 Epoch 那张并不显眼的折线图。3.5 倍这个数字并不是危言耸听，而是时代切换时必然出现的杂音。Mythos 公布之前，安全行业花了二十多年让漏洞披露走向规范化、可度量；Mythos 公布之后，行业被迫接受一种更残酷的现实：衡量防御水平的，不再是修了多少 bug，而是你能不能跑得过发现 bug 的 AI。
这也是为什么 aleng.net 今天选择把这一千五百条 CVE 单独拎出来讲。它不是一个孤立的安全新闻，而是一面镜子，映出整个 AI 产业正在经历的范式转移。模型即武器，模型即盾牌，模型即审计员，模型即合规官——多重身份被压在同一个权重之上。当 Anthropic 与 OpenAI 都在争相把 AI 推上防御位时，我们其实是在目睹一场静悄悄的权力重组：未来十年，决定一家科技公司生死的不再是它的代码写得有多漂亮，而是它有没有抢在 AI 之前先看见自己的伤疤。
可以肯定的是，这不会是 2026 年最大的一次 AI 浪潮。但它很可能是第一场真正被普通用户感知到的浪潮——下一次你的浏览器被后台静默更新时，多半就是 Mythos 与它的兄弟们，刚刚替这个世界又找到了一扇不该存在的窗户。