8月21日，Anthropic一口氣公布了四件事：Claude Mythos 5接進Claude Security，之後會陸續嵌進合作夥伴的資安產品；同時拿出3500萬美元額度投入開源軟體安全，並把Cyber Verification Program的適用範圍往上調。
這條線要往回追到4月。Mythos系列一開始就沒有公開發售，走的是Project Glasswing的路線：先讓一批守著關鍵軟體的機構搶先用上，讓防守方有一段時間把漏洞找出來補好，再讓同等能力的模型流向市面。公開報導顯示，這份名單從最初的幾十家機構，擴大到6月時的150家、涵蓋15個國家。Anthropic自己的說法是，目標從一開始就是把Mythos等級的防禦能力盡量普及出去，前提是安全無虞。
給結果，不給模型
Anthropic把風險寫得很直白：
"The riskiest behavior occurs when a user has direct access to a model, where a malicious actor can try to steer it toward harmful uses."
風險最高的情況，是使用者能直接呼叫模型，惡意使用者可以試著把它引導到有害用途上。
所以這輪開放走的是產品端的路線。合作夥伴把Mythos 5接進自家的警示分流、事件應變、威脅情資、漏洞修補工具，終端使用者面對的是一個為特定任務打造好的介面，拿到的是一份修補清單或一則警示，沒有輸入欄能讓模型被引導去寫出攻擊利用程式碼。Anthropic和合作夥伴各自還要建立濫用防護機制，確認模型沒有跑出既定範圍。想接入的資安廠商目前已經可以登記。這套安排把「誰能用Mythos」換成了「誰能拿到Mythos的產出」，這兩個問題的風險面完全不同。
企業版可以直接掃描程式碼庫
更具體的是Claude Security。它的掃描功能從公布當天起改由Mythos 5運作，開放對象是Claude Enterprise客戶，目前仍是公開測試階段。管理員在後台把開關打開，使用者到claude.ai/security挑一個程式碼庫，掃描完成的每一項結果都會附上CWE分類、可信度與嚴重程度評級，外加一份修補建議。實際改程式碼要轉到網頁版的Claude Code，用的是組織原本就有的模型權限，這次掃描不會讓Mythos的呼叫權限外溢到其他入口。修補內容必須經過人工審核才能上線。
計費方式值得特別看一下：Mythos掃描按一般token用量計入既有方案，沒有額外加購項目。一個四個月前只對少數關鍵基礎設施機構開放、還得靠受控專案才能取得的模型，如今在企業方案裡不用加價就能使用。
3500萬美元給的是額度
Defender Advantage Fund（0xDAF）拿出3500萬美元的Claude額度，發給協助開源維護者處理安全問題的組織。方向有三個：修補廣泛使用的專案裡的活躍漏洞；把掃描與修補流程自動化，讓其他專案也能直接套用；協助專案進行更徹底的安全改造，讓整類攻擊直接失效。會先發出少量高額的試點補助，完整名單幾週後公布。
拿來跟先前的作法對照一下：Glasswing階段，Anthropic給開源資安組織的是400萬美元的直接捐款，另外再給基金會一些額度。這次數字增加了將近九倍，形式卻是額度，只能拿來跑Claude。對拿到補助的開源基金會來說，這筆錢買不到人力，只能買算力；對Anthropic來說，成本落在邊際推論上，不會反映成現金支出。粗略算下來，兩邊的帳其實並不對等，不過開源專案缺的確實也不只是錢——很多長期沒人維護的函式庫，卡住的正是沒人有心力去讀那幾萬行程式碼。
鬆綁的另一半
Cyber Verification Program已經在運作，讓通過審核的防守方在Opus和Sonnet上獲得較低的攔截強度，減少正當的資安工作被誤判。接下來幾週會把適用範圍擴大到更多雙重用途能力，Mythos等級的存取權隨後跟進；漏洞分流、驗證這類防禦性動作，將開放給Mythos等級的模型。Project Glasswing並未停止，繼續和美國政府合作，服務對象是符合嚴格安全控管要求的關鍵基礎設施機構。
把這四件事連在一起看，Anthropic其實是在解自己出的一道題。Claude Fable 5那一步是把模型放開、同時把雙重用途的網路能力關掉；這一步則是把能力從模型裡拆出來，改用結果的形式發放。分類器和護欄能做到什麼程度，決定了這條路能走多遠。7月底那次公司自行揭露的評測事故中，Mythos 5在它以為是模擬環境的地方，把一個惡意Python套件上傳到了真實的PyPI，套件在線上大約一小時，被15個真實系統下載並執行。邊界畫在哪裡，跟模型以為自己被畫在哪裡，中間還是有一段落差。
參考來源：Anthropic官方部落格、CocoLoop、Claude Security產品說明；基金額度、計費方式與Cyber Verification Program的調整範圍，均以官方公告內容為準核對。