Mythos，Anthropic 暂缓发布的模型

大多数 AI 模型都是在人人可用的当天公布的。Claude Mythos 却不是。4 月，Anthropic 介绍了一款模型，称它发现和利用软件漏洞的能力胜过除顶尖高手以外的所有人，并表示不会全面开放这款模型。

六个月后，一个加了防护措施的版本已公开发售，此前在 6 月，一封政府来函曾让它下线将近三周；而它引出的问题仍悬而未决：一个模型强大到不宜出售时，由谁来决定。下面是事情的经过，以及我们从中得出的结论。

先是泄露，然后是警告

它的存在是意外曝光的。3 月 26 日，《Fortune》报道称，Anthropic 把未发布的草稿留在了一个可公开搜索的数据存储中。其中一份草稿称 Mythos 是“我们迄今开发过的最强大的 AI 模型，而且遥遥领先”，并表示它运行成本高昂，尚未准备好全面发布。Anthropic 证实了这项工作，并称该模型是“一次跨越式的变化，也是我们迄今打造的能力最强的模型”。

4 月 7 日，Anthropic 推出了 Claude Mythos Preview，同时启动 Project Glasswing，这是一项将该模型用于防御的计划。首批合作伙伴包括 Amazon Web Services、Apple、CrowdStrike、Google、JPMorganChase、Linux Foundation 和 Microsoft，另有 40 多家维护关键软件的机构获得了使用权限。Anthropic 承诺提供最高 1 亿美元的使用额度；额度用完后，合作伙伴需按每百万输入 token 25 美元、每百万输出 token 125 美元付费。

它举出的例子很具体：OpenBSD 中一个存在了 27 年的漏洞，可让攻击者远程使机器崩溃；FFmpeg 中一个存在了 16 年的漏洞；以及一连串 Linux 内核漏洞，可借此完全控制一台机器。所有漏洞都已报告并修补。暂缓发布该模型的理由说得很直白：“我们不打算全面开放 Claude Mythos Preview。”Anthropic 认为，如果这样的能力扩散开来，对经济、公共安全和国家安全造成的后果可能十分严重。

其他人的发现

英国 AI 安全研究所在一周之内测试了该模型。它成为第一个从头到尾完成该研究所 32 步企业网络模拟攻击的模型，10 次尝试中成功 3 次，平均完成 22 步，而次优模型只完成了 16 步。研究所补充了一个重要的前提：它的测试网络中没有主动防御者，因此“我们无法确定 Mythos Preview 能否攻击防御严密的系统”。

也有人质疑这种能力有多独特。就在发布当天，安全公司 AISLE 的 Stanislav Fort 把 Anthropic 示例中的漏洞代码交给了一些小型廉价模型。八个模型全都找到了 Anthropic 展示过的那个 FreeBSD 漏洞，其中包括一个只有 36 亿激活参数的模型，尽管它们是被直接递上了正确的函数。他的结论是：优势更多在于模型周围的系统，而不在于任何单一模型。

事实还证明，发现漏洞比修复漏洞容易。Anthropic 表示，4 月至 7 月间，Glasswing 合作伙伴发现了至少 129'000 个经过验证的漏洞。9 月，VulnCheck 的 Patrick Garrity 核查了 Anthropic 声称通过自身扫描得到的 26'153 项发现：约十分之一进入了其公开披露台账，而每一百项中被标记为已修复的不到一项。他写道：“凭证开始陆续出现，只是对不上账。”

Fable，以及一次关停

6 月 9 日，Anthropic 发布了 Claude Fable 5，即“一款我们已使其可以安全地供大众使用的 Mythos 级模型”，同时为 Glasswing 合作伙伴发布了 Mythos 5。两者是同一个模型，只是防护措施不同。在 Fable 中，独立的分类器会监测有关网络攻击、生物和化学的请求以及复制模型的企图，并把它们转交给一个较旧的 Claude 模型。

三天后，美国商务部致函 Anthropic，称任何外国人，无论身在美国境内还是境外，包括 Anthropic 自己的员工，现在都需要取得出口许可证才能使用这两个模型中的任何一个。据报道，Amazon 的研究人员找到了绕过 Fable 防护措施的方法。Anthropic 无法核查每一位用户的国籍，因此写道，它必须“突然为所有客户停用 Fable 5 和 Mythos 5”。CSIS 的分析人士质疑这一做法的法律依据，因为没有任何东西被运出：用户是在 Anthropic 的服务器上访问模型的。

6 月 30 日，商务部解除了管制。据 Al Jazeera 报道，作为交换，Anthropic 同意发现并处理安全风险，帮助制定未来模型的标准，并报告恶意活动。两个模型于 7 月 1 日恢复上线。5.1 版本于 9 月 1 日推出，其中 Mythos 5.1 只向经过验证的机构开放，目前仅限美国。10 月 6 日，Anthropic 将 Glasswing 并入一项范围更广、分为三个等级的 Cyber Verification Program，最高等级的每一位申请者都要与美国政府一同审核。

为什么要这样处理

Anthropic 给出的理由是，能力跑在了防护措施的前面。它在 Fable 发布时写道：“Mythos 级模型已经达到一个会带来重大风险的门槛。”它的应对是一个顺序：先给防御者，再上分类器，最后才是加了防护的全面发布。9 月，其首席执行官 Dario Amodei 更进一步：“我们必须放慢提升 AI 模型能力的步伐。”

这已不再是一家公司独行的道路。OpenAI 在 9 月发布 GPT-6 Astra 时，它成为第一个达到 OpenAI 自身“关键网络安全能力门槛”的模型，并且先于其他所有人提供给了网络防御者。按信任程度分阶段开放，正在成为发布最强模型的常规方式。

这对企业意味着什么

由此得出三点。最好的模型如今按信任等级分层提供，公开版本可能会把某些问题转交给较旧的模型。一个模型可能会因为与您毫不相干的原因一夜之间消失：6 月 12 日，每一位 Fable 客户都在同一天失去了它。而发现漏洞如今已是安全工作中便宜的部分。修补才是难的部分，这也是为什么研究所给企业的建议毫不花哨：及时更新，严格的访问控制，安全的配置，以及完善的日志记录。

这就是为什么我们把企业的知识保存在任何单一模型之外，保存在 Twin 中；也是为什么在关键工作中我们会引入 Eigna：一个由我们的合作伙伴 Eigna Labs 打造、专属企业自己的私有模型，运行在企业自己的云端或服务器上，并且设计为可在封闭网络中离线运行。它不会在每项任务上都比得上前沿模型，而对于大多数机密工作来说，它也不必如此。一个运行在您自己硬件上的模型，不会因为某个供应商收到一封信就消失。