5月18日Anthropic改了主意——之前用Mythos发现的漏洞，合作伙伴只能闷头自己处理；现在可以互通有无，还可以告诉监管、媒体甚至公开发布。
这事看着小，但对Mythos整套程序的逻辑是个不小的修正。
之前的口径是封闭的
Mythos是4月7日发布的——Anthropic拿Claude训出来的一个专门做攻击发现的模型，能扫常见软件、找出还没人发现的漏洞。
它没有直接公开发售，走的是”Project Glasswing”这个受控项目：选了40家公司参加，包括Amazon、Microsoft、Nvidia、Apple这种巨头。这套设计的初衷是控制扩散——一个能找漏洞的AI如果被滥用，反过来就成了攻击工具，所以Anthropic想把使用范围严格圈住。
之前的协议条款里，合作伙伴扫出来的漏洞只能内部处理。这就出现了一个尴尬：
Palo Alto Networks前阵子用Mythos扫自家产品，一个月挖出75个洞，是平时正常节奏的7倍。
如果Palo Alto的发现没法告诉别人，那等于全行业的安全水位只在Glasswing内部抬高了。其他家公司可能用着同样的漏洞产品，根本不知道有问题。
现在改了，能分享给谁
按Anthropic发言人对路透的口径：
“We fully support our partners sharing findings with each other and companies outside of Glasswing to triage vulnerabilities.”
合作伙伴现在可以把Mythos发现的漏洞信息分享给：
- Glasswing内部其他成员
- Glasswing外面的公司（也就是受影响的厂商）
- 行业组织
- 监管机构和政府
- 开源软件维护者
- 媒体
- 公众
前提是符合”responsible disclosure”（负责任披露）规范——简单说就是给厂商一个修复窗口期，不能上来就公开。
为什么现在改
这事不是Anthropic主动想到的，是被推动的。合作伙伴自己提出来的要求——他们担心如果只有自己知道某个漏洞，反而成了被针对的目标。
举个例子，假如A公司用Mythos扫出某款主流数据库的0day，按老规则A只能默默修补自己的部署。但攻击者只要看到A最近改了什么补丁，就能反推出来漏洞在哪——然后A以外的同样用这数据库的公司，瞬间暴露在攻击下。
所以这次政策松绑，本质上是把”防御信息”从私有商品变回了公共物品。安全圈一直以来的共识就是这套，漏洞披露要早、要广、要协同。
还有一件事：监管也在主动找上门
PYMNTS和BusinessToday的报道里提了另一个细节——Anthropic答应给FSB（金融稳定理事会）做专门简报，介绍Mythos的能力和发现。
这事的背景是：4-5月Mythos发布之后，央行行长、Powell、Bessent都被这个工具吓到过（之前已经报过几轮），亚洲和欧洲的金融监管也想测又测不到。现在Anthropic等于主动开了一道沟通口子。
这一步意味着什么
把时间线拉长看：
- 4月7日 Mythos发布，封闭测试
- 4-5月 Glasswing成员陆续披露发现，央行被吓到
- 5月18日 政策反转，发现可以共享
短短40天，Anthropic从”严控扩散”走到”鼓励分享”——这中间最关键的事，是合作伙伴用实际数据证明了Mythos的攻击发现能力是结构性领先而不是偶发的。
下一步看一件事：Glasswing会不会扩员。如果Anthropic把规模从40家放开到100家、200家，那这个项目就从一个”展示用的精品试验场”变成”行业基础设施”了。
一个之前几年没人想过的问题，现在被Mythos逼到了所有大公司桌面上：如果你的安全团队不用AI，对手用了，你怎么办？
参考来源：Anthropic to let partners share Mythos cybersecurity findings with others（Reuters via Investing.com / KFGO / CGTN）；Anthropic Will Update Regulators on Mythos' Cyber Vulnerability Findings（PYMNTS）；Anthropic's Mythos AI raises banking cyber risk concerns, FSB briefing planned（BusinessToday）；Anthropic's Mythos Feature Enhances Cyber Threat Sharing（DevDiscourse）