watchTowr 執行長 Ben Harris 最近的說法很直接：只要用公開模型加上聰明的流程編排，人們就能復現 Mythos 挖出的那些漏洞，而且結果非常、非常接近。這句話出現在 5 月 8 日 CNBC 的報導裡。此前幾週，全球銀行、監管機構和科技巨頭都圍著 Anthropic 的非公開模型 Claude Mythos Preview 緊張起來。Harris 用一個詞形容他聽到的反應：hysteria，歇斯底里式的恐慌。
Mythos 為什麼讓人緊張
Anthropic 4 月披露的 Claude Mythos Preview，是一個只提供給 40 家外部企業的非公開前沿模型，名單包括 Apple、Amazon、JPMorgan、Palo Alto Networks。它在 Firefox 測試中找出 271 個新漏洞，其中最老的一個已經躲了 27 年。Anthropic 自己的評估顯示，Mythos 在 Firefox 漏洞集上生成可用 exploit 181 次，並在另外 29 個案例中取得暫存器控制權。
這組數字傳開後，歐洲央行、亞洲監管機構、美國白宮接連開會。Jerome Powell 和 Scott Bessent 緊急召集華爾街，FBI 內部備忘錄流出，Donald Trump 的科學顧問也坐不住。接著，真正熟悉安全實務的人開始發聲。
舊模型早就能做
Harris 的核心論點是：Mythos 確實把端到端自動化做得更完整，但「AI 能在生產程式碼裡找到零日漏洞」這件事本身，去年就已經成立。Anthropic 自己 2 月的部落格就明確說過，對所有付費使用者開放的 Claude Opus 4.6，已在開源軟體中找出 500 多個高風險漏洞。學界和紅隊圈在 2025 年也發表過多篇論文，展示 GPT-4o、Claude 3.7 搭配靜態分析框架，可以自動尋找零日漏洞。國家級 APT 組織和成熟勒索軟體集團也早就在內部跑這類工作流，只是沒有拿出來發新聞稿。
Harris 說，這幾週他和銀行、保險公司、監管機構開會，劇本幾乎都一樣：要不要緊急封鎖 Anthropic？我們的程式碼庫是不是已經被掃過？他的回答也一樣：你們的對手三個月前就在做這件事，封鎖 Anthropic 並不會阻止別人掃你。
Mythos 真正改變了什麼
剝掉炒作之後，Mythos 真正不同的地方有兩個。第一是速度和門檻。過去用 Opus 4.6 挖一個零日漏洞，需要懂漏洞利用的安全工程師搭配腳本反覆迭代，一個漏洞可能要幾天到幾週。Mythos 讓沒有太多 exploit 開發經驗的初級工程師，也能在一個晚上從發現漏洞走到生成可用 exploit。這個降本幅度很大。
第二是規模。Opus 4.6 偏向定向挖掘，Mythos 則能大規模掃描，並行處理數百個目標。兩條能力曲線疊在一起，就意味著攻防節奏變了。以前防禦方可能有幾個月時間替某個漏洞打補丁，現在可能只剩幾天，甚至幾小時。但 Harris 的重點是，這不是突然斷裂，而是 2025 年那條曲線的延續。
Anthropic 為什麼把音量拉高
Anthropic 的官方姿態是「負責任地警告」。Mythos 只給 40 家公司，並配套 Project Glasswing 聯盟，成員包括 AWS、Apple、Microsoft、Google、CrowdStrike、Palo Alto Networks，先把模型交給防禦方使用。
但安全圈不少人覺得，這套敘事裡有策略成分。一種看法是，Anthropic 想把「AI 網路武器」這個議題變成自己的招牌，給監管層和華爾街一個「必須找我們買」的故事。另一種看法是，Anthropic 想把競爭對手，尤其是開源模型和 DeepSeek 這類被質疑資料來源的公司，拉進同一套更強的監管框架。Harris 沒有明說 Anthropic 在炒作。他選的詞很微妙：他說的是反應是 hysteria，問題在反應的人，不是發布模型的人。
真正的訊號
這場風波最值得記住的不是 Mythos 本身，而是它把一個事實推到檯面上：AI 能挖零日漏洞，已經成為產業的預設假設。這不是「未來可能」，而是「現在正在發生」。
接下來的運作邏輯會變。漏洞披露週期會被壓縮，CISA 和廠商必須重新設計回應 SLA。軟體供應商不能再說「反正沒有人會盯這段老程式碼」。紅隊工具市場會從賣人力，轉向賣模型加流程編排。因為 AI 把攻擊成本曲線拍平，網路安全保險的定價模型也要重寫。
至於 Anthropic 接下來怎麼講 Mythos 的故事，可以盯第三季財報會。如果 AI 網路安全被列為新業務線，收入披露也開始往這邊傾斜，那這場 hysteria 背後的商業意圖就幾乎明牌了。
參考來源：Anthropic's Mythos set off a cybersecurity 'hysteria.' Experts say the threat was already here（CNBC）；CocoLoop；Our evaluation of Claude Mythos Preview's cyber capabilities（UK AISI）